RMS与Exchange集成

RMS与Exchange server 2010集成
作者：司书昊
内容介绍：
使用Active Directory 权限管理服务(AD RMS) 和AD RMS 客户端，可通过永久使用策略（始终随信息一同存在，无论是否移动信息）保护信息，从而增强组织的安全策略。

可以使用AD RMS 来帮助防止敏感信息（如财务报表、产品说明、客户数据及机密电子邮件）被有意或意外地用于不当用途。

与权限管理服务（Rights Management Services/RMS）集成是Exchange Server 2010 的新功能，也是一大亮点。

Exchange Server 2010 与RMS 集成通过IRM，即：信息权限管理/Information Rights Management 来具体实现。

安装RMS 之后，才可以使用IRM。

在Exchange Server 2010 中，可使用信息权限管理(IRM) 功能对邮件和附件应用持久保护。

通过与RMS 的集成，Exchange 邮件用户可以控制收件人对电子邮件拥有的权限，允许或限制某些收件人操作，例如向其他收件人转发邮件、打印邮件或附件，或者是通过复制和粘贴提取邮件或附件内容。

用户可在Microsoft Outlook 或Outlook Web App 中应用IRM 保护，或者可以根据组织的邮件策略并使用传输保护规则或Outlook 保护规规则应用IRM 保护。

与其他电子邮件加密解决方案不同，IRM 还允许组织解密受保护的内容，以强制执行策略遵从性。

IRM 可以实现：
• 防止受IRM 保护的内容的授权收件人转发、修改、打印、传真、保存或剪切和粘贴该内容；
• 用与邮件相同的保护级别保护所支持的附件文件格式；
• 支持受IRM 保护的邮件和附件的过期，使其在指定时间段之后，无法再进行查看；
• 防止使用Windows 中的截图工具复制受IRM 保护的内容。

但是，IRM 无法防止：
• 第三方屏幕捕获程序；
• 使用照相机等图像处理设备对显示在屏幕上的受IRM 保护的内容进行照相；
• 用户记住或手动抄录信息。

要使用RMS，特别是进行解密工作，需要特殊的权限；Exchange 为了简化管理，并且减少Exchange 与RMS 直接的访问请求（用于获得RMS 授权），在安装Exchange Server 2010 时，会在活动目录中创建一个专门的用户帐号，显示名称为FederatedEmail.4c1f4d8b-8179-4148-93bf-00a95fa1e042。

将这个帐号加入到RMS 的Super Users 组中即可获得相应的权限。

Exchange 与RMS 的集成主要分为3个步骤：
∙安装RMS并注册服务连接点（Service Connection Point/SCP）；
∙设置Exchange 在RMS 服务上能够使用的权限；
∙创建并配置RMS 的Super Users 组。

安装Rights Management Services
在Windows Server 2008/R2 中，RMS 是作为操作系统的组件直接提供的，不再像Windows Server 2003 中需要额外下载并安装。

要实现Exchange Server 2010 与RMS 的集成，运行RMS 的操作系统需要是Windows Server 2008 R2，或者Windows Server 2008 SP2，并且安装了KB973247 补丁。

现在我通过一台域服务器 安装AD RMS 角色，通过Windows Server 2008/R2 的服务器管理控制台，通过添加角色菜单，启动RMS 的安装向导来为大家演示安装过程。

安装RMS与Exchange server 2010两个角色在实际环境中尽量不要在同一台机子上，否则会产生一些功能上的冲突，那么我们先准备两台Windows Server 2008/R2，一台为Exchange server ，另一台用来安装RMS角色。

我们将exchange server 暂时命名为server 1 ，要安装RMS角色服务的机子命名为server 2 。

server 1的ip 地址为192.168.13.212 。

1.安装证书服务
首先我们先确认IE的安全级别，我们要把ie的安全级别降低，在服务器管理器的根下找到“配置IE ESC ”然后将两个增强安全配置选择“禁用”
我们在server 1上安装证书服务，用来颁发实验所用的证书。

打开“开始”菜单，管理工具，打开“服务器管理器”在左侧栏中选择角色，然后在右侧主窗口中点击“添加角色”
运行“添加角色向导”选择Active Directory 证书服务，单机下一步，在后面“角色服务”中把“证书颁发机构Web注册”的选项勾上，然后下一步，安装类型选择独立（在实际生产环境中建议选择“企业”，此处为教程，为了节省时间更快安装选择“独立”）
剩下的均保持默认即可，等待安装完成以后关闭。

（注意在角色服务中确认勾选这几个选项）
2.为server 2计算机申请证书
在server 2上打开IE浏览器然后输入https://192.168.13.212/certsrv然后点击“申请证书”。

（注：此地址为server 1的证书服务器的地址）
选择“高级证书申请”
选择“创建并向此CA 提交一个申请。

”
在弹出的提示选择是（以后再有弹出默认选择是即可）。

填写申请信息，在填写的过程中，要注意三个地方，申请信息中，姓名必须要域名的形式如：，这个姓名在以后要用得到，必须一致，其他可以随便。

需要的证书类型我们选择“服务器身份验证证书”。

密钥选项把“标记密钥可导出”勾上，点击提交，此时证书申请提交到证书服务器上也就是server 1 上
提交申请以后我们来到server 1 的机子上，开始菜单——管理工具——证书颁发机构，来到证书颁发机构管理控制台，在“挂起的申请”中在挂起的证书申请上右击——所有任务——颁发
此时再回到server 2 上打开IE浏览器，在地址栏中输入“https://192.168.13.212/certsrv”然后选择“查看挂起的证书”，安装此证书。

安装完证书以后，运行——mmc，打开控制台，文件——添加/删除管理单元，在可选单元中添加“证书”，两个节点（当前用户节点和本地计算机节点）
确定，单开管理控制台，在当前用户节点下，个人——证书，选择刚安装的证书“”右键导出，在导出向导中选择“是，到处密钥”设置好密码和导出路径将证书导出。

再到本地计算机节点下，个人——证书，空白处右键菜单——所有任务——导入，浏览选择刚才导出证书的路径，文件类型所有，然后选择刚导出的证书，确定，匹配密码。

导入证书完成后，打开开始菜单——管理工具——internet 信息服务（IIS）管理器，打开IIS管理控制台，在网站根节点下单击右侧边栏操作栏中的绑定，弹出对话空中选中类型为https，端口为443的一条，编辑，证书选择“”。

3.创建RMS服务管理员用户
创建RMS服务管理员用户rmsadmin，并且将此用户加入到服务器域管理员组中。

4.安装RMS
在server 2 中开始菜菜单——管理工具——dns，正向查找区域里“”添加一条主机A记录,名称为rms，ip地址为192.168.13.212
在server 2上打开开始菜单——管理工具——服务器管理器——添加角色，将“Active Directory Rights Management Servi”勾选上，单击下一步。

基本保持默认，服务账户指定为rmsadmin
制定AD RMS 群集密钥密码
指定群集地址： ，点击“验证”后下一步，命名服务器许可方证书名称为rms，下一步。

安装完成。

5.创建安全通用组
创建安全通用组，添加Federated Email 用户账户，在server 1 中打开Exchange 管理控制台，在收件人配置当中，通讯组——新建通讯组，组类型选择安全性，名称都添rms，点击下一步，新建，完成。

在本地用户和组的管理控制台里将Federated Email用户账户添加到rms组中。

6.用RMS管理员登录系统，添加超级用户组
用RMS管理员登录server 2，开始菜单——管理工具，打开Active Directory Rights Management Services，在安全策略中启用超级用户，更改超级用户组为rms。

7.修改IIS文件的安全性
Server 2 用rmsadmin用户登录，开始——管理工具——internet 信息服务（IIS）管理器，打开IIs管理器，发现多出一个“wmcs”网站，在改网站下找到
“certification”浏览，选中ServerCertification.asmx文件，属性，安全选项卡，继续按钮，添加Authenticated User，权限选择默认的两个权限。

最后配置启用irm服务。

打开Windows powershell modules ，输入get-irmconfiguration，回车再输入set-irmconfguration–internallicensing enabled $true
完成后用两个用户互发邮件，并设置权限查看是否生效。