3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

к8 3 0 Службы управления правами Active Directory Глава 16

2.Службы AD RMS поддерживают четыре политики доверия.

• Домены доверенных пользователей позволяют кластеру AD RMS об-

рабатывать запросы других кластеров AD RMS, локализованных в различных лесах AD DS. Доверенные домены пользователей добавляются путем импорта сертификата лицензиара сервера из кластера AD RMS с которым нужно установить доверие, в ваш собственный кластер.

•Доверенные домены публикации позволяют кластеру AD RMS выдавать лицензии на использование содержимого, защищенного другим кластером AD RMS. Для создания доверенного домена публикации нужно импортировать сертификат SLC кластера публикации вместе с его закрытым ключом п ваш собственный кластер.

•Доверия Windows Live ID позволяют пользователям с идентификаторами Windows Live ID (так называемый паспорт Microsoft) только применять (но не создавать) защищенное содержимое.

•Доверия федерации устанавливаются с помощью AD FS и расширяют операции кластера AD RMS в леса, с которыми установлено федеративное доверие.

Управление базами данных

Для выполнения своих функций службы AD R M S используют три базы д а н н ы х

Дополнительные ресурсы AD RMS содержатся по адресу http://technet2.microso/t. com/windowsserver2008/en/library/789533a5-50c5-435d-b06a-37db0ab5666e1033.

mspx?m/r-true.

Практические занятия. Создание шаблона политики прав доступа

В приведенных далее упражнениях предлагается создать настраиваемый шаблон п о л и т и к прав доступа с использованием AD RMS, установка которого выполнена на з а н я т и и 1.

Упражнение. Создание нового шаблона

па группы Администраторы шаблонов службы AD RMS (AD RMS Template Administrators) или Администраторы предприятия службы AD RMS (AD RMS Enterprise Administrators) . Чтобы выполнить упражнение, нужно запустить м а ш и н ы S E R V E R 0 1 , S E R V E R 0 4 и SERVER05.

1.Войдите на сервер — член корневого кластера, используя учетные данные группы Администраторы шаблонов службы AD RMS (AD RMS Templates Administrators) .

2.В категории Администрирование (Administrative Tools) запустите Диспетчер сервера (Server Manager).

3.Разверните узел Р о л и \ С л у ж б ы управления нравами Active Di rectory \«л.я_ сероерсДШаблоны политик прав доступа (Roles\Active Directory Rights Management Services\iww_cepeepa\Rights Policy Templates).

4. На панели Действия (Actions) выполните команду Создать шаблон распределенной политики прав доступа (Create Distributed Rights Policy Template). Запустится мастер.

5.На странице Добавление сведений о шаблоне (Add Template Identification Information) щелкните кнопку Добавить (Add).

6.Укажите язык, введите имя Contoso Legal Template и описание Шаблон для защиты документов Contoso, Ltd и щелкните кнопку Добавить (Add). Щелкните Далее (Next).

7. На странице Добавление прав пользователя (Add User Rights) выполните следующие действия.

А. Щелкните кнопку Добавить (Add), чтобы добавить пользователя или группу с доступом к шаблону. Выберите группу Все (Anyone).

• Ч т о б ы исключить пользователей из системы DRM, нужно создать политики исключения .

ш Д л я того чтобы улучшить процесс создания содержимого пользователями, рекомендуется создавать шаблоны политик прав доступа, которые упрощают работу пользователей и гарантируют применение стратегии DRM.

Закрепление материала

Следующий вопрос можно использовать для проверки знаний, полученных на занятии 1 (этот вопрос содержится и на сопроводительном компакт-диске).

ПРИМЕЧАНИЕ Ответы

Ответы на эти вопросы с пояснениями, почему тот или иной вариант является правильным или неправильным, вы найдете в разделе «Ответы» в конце книги.

1. Администратор в домене contoso.com завершил установку AD RMS и теперь хочет о т к о н ф и г у р и р о в а т ь AD RMS . Он настроил внешний URL и протестировал операции с сервера AD RMS, с помощью которого настроил URL . Этот U R L использует SSL для защиты HTTP-трафика. Тем не менее пользователи вне внутренней сети не могут получить доступ к AD RMS. В чем заключается причина проблемы?

Г.Пользователям предоставлен неправильный URL-адрес.

Закрепление материала главы

Д л я того чтобы попрактиковаться и закрепить знания, полученные при изучении представленного в этой главе материала, вам необходимо:

•ознакомиться с резюме главы;

•повторить используемые в главе основные термины;

•изучить сценарий, в котором описана реальная ситуация, требующая применения полученных знаний, и предложить свое решение;

•выполнить рекомендуемые упражнения;

•сдать пробный экзамен с помощью тестов.

Резюме главы

•Службы AD R M S предназначены для поддержки расширения полномочий организации за пределы брандмауэра. Такое расширение применяется к защите интеллектуальной собственности.

•Д л я защиты интеллектуальной собственности службы AD RMS должны использовать несколько технологий: Доменные службы Active Directory

•первый этап предполагает внутреннее использование интеллектуальной собственности;

взащищенном режиме.

•При установке AD RMS создается корневой кластер, к о т о р ы й м о ж е т пре-

RMS необходимы приложения AD R M S — т е к с т о в ы е редакторы, средства презентации, клиенты электронной почты, а т а к ж е н а с т р а и в а е м ы е д о м а ш - ние приложения. Каждый раз при создании пользователем н о в о й и н ф о р м а - ции шаблоны AD R M S устанавливают права ее использования, в частности определяют лиц, которым разрешено читать, записывать, м о д и ф и ц и р о в а т ь , печатать, передавать эту информацию, в ы п о л н я т ь с ней д р у г и е операции .

Основные термины

Запомните перечисленные далее термины, чтобы л у ч ш е п о н я т ь о п и с ы в а е м ы е концепции.

Практические задания 7Q9

кластер, однако д л я поддержки операций AD RMS можно также создавать к л а с т е р ы л и ц е н з и р о в а н и я .

Сценарий. Подготовка к работе с внешним кластером

AD RMS

В н а с т о я щ е м с ц е н а р и и необходимо применить полученные знания о службах у п р а в л е н и я п р а в а м и Active Directory. Ответы иа вопросы представлены в разделе « О т в е т ы » в конце книги.

тает н о р м а л ь н о . П о л ь з о в а т е л и внутри и вне сети имеют доступ к политикам у п р а в л е н и я п р а в а м и , гарантирующим защиту содержимого.

Теперь п о л и т и к и з а щ и т ы прав доступа необходимо использовать совместно

Практические задания

Ч т о б ы подготовиться к сертификационному экзамену, выполните предлагаемые далее у п р а ж н е н и я .

Работа с AD RMS

•У п р а ж н е н и е 2 После установки кластера выполните в Диспетчере сервера

(Server Manager) все операции, необходимые для создания или модифика-

На веб-сайте Microsoft TechNet также есть много информации о службах AD RMS, которую по возможности следует просмотреть и изучить.

Службы управления правами Active Directory Глава 16

Пробный экзамен

На прилагаемом к к н и г е к о м п а к т - д и с к е п р е д с т а в л е н о н е с к о л ь к о в а р и а н т о в т р е н и р о в о ч н ы х тестов. Проверка знаний в ы п о л н я е т с я и л и т о л ь к о п о о д н о й теме

Подробнее о пробном экзамене рассказано во введении, к данной книге.

Службы федерации Active Directory

С появлением Интернета организациям стало довольно сложно обеспечивать безопасность своих сетей. Основной принцип защиты заключается в том, что каждая организация, использующая интерфейс между своей сетью и Интернетом, т а к ж е располагает некоторым типом сети периметра. Во многих слу-

необходимо обеспечить максимально возможную безопасность брандмауэров в сети по периметру. Но как эти меры предосторожности влияют на потенциальные партнерские связи? \

Когда создавались первые домены Microsoft Windows с системой Microsoft Windows NT, корпорация Microsoft предусмотрела возможность создания доверительных отношений между доменами с целью поддержки их взаимодействия. С выходом доменных служб Active Directory (Active Directory Domain Services, AD D S ) в Windows 2000 корпорация Microsoft внедрила концепцию доверия и поддержки доверительных отношений между доменами. Домены в одном лесу п р и м е н я л и автоматические транзитивные доверия, а для совместного использования контекстов безопасности домены из других лесов применяли явные доверительные отношения . С выходом Microsoft Windows 2003 корпорация Microsoft р а с ш и р и л а концепцию транзитивного доверия до уровня лесов и реализовала доверительные отношения между лесами. С помощью доверительных связей лесов партнеры могли расширять контексты безопасности своего внутреннего леса с целью установления доверия с лесами других партнеров. Однако реализация доверительных отношений лесов приводит к следующим последствиям:

•во-первых, д л я поддержки трафика доменных служб Active Directory (AD DS) в брандмауэре необходимо открыть определенные порты;

•во-вторых, по мере расширения партнерских отношений станет довольно сложно управлять множеством доверительных связей (рис. 17-1).