Материал: Книга Active directory

Скачать

Заказать новую работу

Внимание! Если размещение файла нарушает Ваши авторские права, то обязательно сообщите нам

к 828

Службы управления правами Active Directory

Глава 16

указанного числа дней, выберите о п ц и ю С р о к д е й с т в и я и с т е к а е т через (дней) (Expires After T h e Following Duration ( D a y s ) ) и введите число дней. Щелкните Далее (Next).

11. На

странице Укажите расширенную п о л и т и к у (Specify E x t e n d e d

Policy)

можно установить следующие параметры .

 

 

 

A. Разрешить пользователям п р о с м о т р з а щ и щ е н н о г о с о д е р ж и м о г о с по -

 

мощью

надстройки о б о з р е в а т е л я

( E n a b l e U s e r s t o

v i e w p r o t e c t e d

 

content,

using a b r o w s e r a d d - o n )

П о л ь з о в а т е л и без

п р и л о ж е н и й AD

 

RMS смогут просматривать з а щ и щ е н н о е

содержимое, а в т о м а т и ч е с к и

 

установив необходимую надстройку.

 

 

 

Б .

Всегда

запрашивать новую л и ц е н з и ю на

и с п о л ь з о в а н и е ( о т к л ю ч и т ь

 

кэширование на стороне клиента)

( R e q u e s t A N e w U s e L i c e n s e E v e r y

 

Time Content Is Consumed ( D i s a b l e C l i e n t - S i d e C a c h i n g ) )

К а ж д ы й

 

раз при использовании содержимого будет в ы п о л н я т ь с я п р о в е р к а под-

 

линности на серверах AD RMS. Эта о п ц и я недоступна д л я а в т о н о м н ы х

 

пользователей.

 

 

 

 

B . Для указания дополнительных сведений п р и л о ж е н и й AD R M S исполь -

 

зуйте пары

«имя-значение»- (If You W o u l d Like To S p e c i f y A d d i t i o n a l

 

Information

For Your AD R M S E n a b l e d A p p l i c a t i o n s ,

You C a n

S p e c i f y

 

Them H e r e

A s N a m e - V a l u e P a i r s )

К о н к р е т н а я и н ф о р м а ц и я будет

добавляться в защищенное содержимое. О б ы ч н о эту о п ц и ю используют разработчики.

12.Щелкните Далее (Next). На странице Укажите п о л и т и к у о т з ы в а (Specify Revocation Policy) включите отзыв, щелкнув о п ц и ю Требуется о т з ы в (Re - quired Revocation) и выполнив следующие действия .

A . Выберите опцию Место публикации списка о т з ы в а ( U R L и л и U N C ) (Location Where The Revocation List Is Published ( U R L or U N C ) ) и укажите размещение файла отзыва.

Помните, что при использовании U R L и н а л и ч и и к а к внутренних, т а к

и внешних пользователей, этот U R L

д о л ж е н

б ы т ь д о с т у п е н

в обоих

сетевых

размещениях.

 

 

 

Б. Выберите опцию Интервал обновления списка о т з ы в а ( д н и )

(Refresh

Interval

For Revocation List (Days)) и

у к а ж и т е

ч и с л о дней п о д д е р ж к и

списка

отзыва.

 

 

 

Это значение определяет, когда пользователи д о л ж н ы обновить свой список отзыва при просмотре содержимого.

B. Выберите опцию Ф а й л с открытым ключом подписанного списка отзыва (File Containing Public Key Corresponding To T h e Signed Revocation List).

13. Щелкните кнопку Готово (Finish).

Отметим, что при реализации отзыва нужно тщательно отконфигурировать его параметры. Кроме того, список отзыва следует периодически публиковать.

Занятие 2 Настройка и использование служб управления правами Active Directory

829

К СВЕДЕНИЮ

Шаблоны политики

 

Информация о шаблонах политики можно найти по адресу http://technet2.microsoft. com/toindowsserver2008/en/library/a42680fa-2855-40d9-8e2c-74f72793ca241033.

mspx?mfr-true.

Р а б о т а с к л и е н т а м и AD R M S

Д л я предоставления доступа к своим функциям службы используют один из двух локальных клиентов: клиент Windows Vista, также включенный в Windows Server 2008, и клиент, который запускается в Windows 2000, Windows 2003 и Windows ХР. Второго клиента необходимо загрузить и установить на каждом клиентском компьютере . Существует три версии клиента, поддерживающие все п л а т ф о р м ы Windows: х86, х64 и Itanium.

Клиенты автоматически обнаруживают кластер AD RMS, применяя один из следующих методов.

•Используется точка подключения службы AD DS, созданная во время установки AD R M S .

•В с л о ж н ы х развертываниях AD RMS во множестве лесов клиенты применяют переопределения реестра, которые размещаются непосредственно на клиентском компьютере. В частности, это относится к предыдущим версиям операционных систем Windows.

•Задействуются URL-адреса, включенные в лицензии иа выдачу содержимого.

Ка ж д ы й из этих методов обеспечивает избыточность, благодаря чему клиенты всегда могут получать доступ к содержимому.

К СВЕДЕНИЮ Клиенты AD RMS и Windows RMS

Получить более подробную информацию о клиентах AD RMS и загрузить клиенты Windows RMS можно по адресу http://technet2.microsoft.com/mndowsserver2008/en/

Iibrary/3230bca4-51

cb-418f-86ba-bb65393854181033.mspx?mfr-true.

К о н т р о л ь н ы е

в о п р о с ы

1.Что представляет собой сертификат лицензиара сервера?

2.Какие политики доверия поддерживает AD RMS?

Ответы на к о н т р о л ь н ы е вопросы

1. Сертификат лицензиара сервера SLC (Server Licensor Certificate) представляет собой самозаверяющий сертификат, который генерируется во время установки первого сервера в корневом кластере и назначается всему кластеру. Другие члены кластера будут использовать этот сертификат SLC совместно.

(см. след. стр.)

к8 3 0 Службы управления правами Active Directory Глава 16

2.Службы AD RMS поддерживают четыре политики доверия.

• Домены доверенных пользователей позволяют кластеру AD RMS об-

рабатывать запросы других кластеров AD RMS, локализованных в различных лесах AD DS. Доверенные домены пользователей добавляются путем импорта сертификата лицензиара сервера из кластера AD RMS с которым нужно установить доверие, в ваш собственный кластер.

•Доверенные домены публикации позволяют кластеру AD RMS выдавать лицензии на использование содержимого, защищенного другим кластером AD RMS. Для создания доверенного домена публикации нужно импортировать сертификат SLC кластера публикации вместе с его закрытым ключом п ваш собственный кластер.

•Доверия Windows Live ID позволяют пользователям с идентификаторами Windows Live ID (так называемый паспорт Microsoft) только применять (но не создавать) защищенное содержимое.

•Доверия федерации устанавливаются с помощью AD FS и расширяют операции кластера AD RMS в леса, с которыми установлено федеративное доверие.

Управление базами данных

Для выполнения своих функций службы AD R M S используют три базы д а н н ы х

(изучите эти базы данных и их

ф у н к ц и и , чтобы

г а р а н т и р о в а т ь

к о р р е к т н у ю

работу кластера AD RMS).

 

 

 

 

 

•

Б а з а данных конфигурации,

и с п о л ь з у е м а я

д л я х р а н е н и я

в с е х д а н н ы х

 

конфигурации A D R M S Используется серверами

A D R M S д л я

предо -

 

ставления клиентам информации и услуг з а щ и т ы от несанкционированного

 

доступа.

 

 

 

 

 

 

•

База данных ведения журналов, где х р а н и т с я и н ф о р м а ц и я о б о в с е х опе -

 

рациях в корневом или л и ц е н з и р у ю щ е м к л а с т е р е

Э т у базу д а н н ы х удоб-

 

но использовать для аудита событий AD R M S .

 

 

 

•

База данных служб каталогов, где х р а н и т с я и н ф о р м а ц и я о п о л ь з о в а т е л я х

 

и все их данные

Доступ к информации из каталогов A D D S осуществляет-

 

ся с помощью протокола LDAP (Lightweight Directory Access Protocol). Д л я

 

этой базы данных требуется регулярная техническая п о д д е р ж к а в случае

 

удаления пользователей из AD R M S , как описано ранее на этом занятии .

 

Помимо этих баз данных AD R M S использует службу Очередь сообщений

(Message Queuing),

предназначенную для п е р е с ы л к и с о б ы т и й в

базу д а н н ы х

журналов. В процессе аудита использования AD

R M S

следует периодически

проверять, корректно ли работает очередь сообщений .

 

 

 

 

В дополнение

к различным

ф у н к ц и я м , д о с т у п н ы м в к о н с о л и AD

R M S ,

корпорация Microsoft предоставляет с п е ц и а л ь н ы й набор инструментов

R M S ,

содержащий утилиты для администрирования AD R M S . Загрузите и добавьте

 

его в административный набор

AD R M S для полного

у п р а в л е н и я разверты-

 

ванием,

 

 

 

 

 

 

Занятие 2 Настройка и использование служб управления правами Active Directory

831

К СВЕДЕНИЮ

Набор средств администрирования служб управления правами

 

Набор инструментов RMS с утилитами для управления RMS можно загрузить по

адресу

http://www.microso/t.com/downloads/details.aspx?FamilylD-bae62cfc-d5a7-46d2-

9063-0/6885с26Ь98 & Display Lang-en.

 

К СВЕДЕНИЮ

Дополнительные ресурсы AD RMS

 

Дополнительные ресурсы AD RMS содержатся по адресу http://technet2.microso/t. com/windowsserver2008/en/library/789533a5-50c5-435d-b06a-37db0ab5666e1033.

mspx?m/r-true.

Практические занятия. Создание шаблона политики прав доступа

В приведенных далее упражнениях предлагается создать настраиваемый шаблон п о л и т и к прав доступа с использованием AD RMS, установка которого выполнена на з а н я т и и 1.

Упражнение. Создание нового шаблона

Ш а б л о н ы

п о з в о л я ю т

пользователям быстро применять политики прав до-

ступа. Д л я

создания

шаблона необходимо использовать разрешения досту-

па группы Администраторы шаблонов службы AD RMS (AD RMS Template Administrators) или Администраторы предприятия службы AD RMS (AD RMS Enterprise Administrators) . Чтобы выполнить упражнение, нужно запустить м а ш и н ы S E R V E R 0 1 , S E R V E R 0 4 и SERVER05.

1.Войдите на сервер — член корневого кластера, используя учетные данные группы Администраторы шаблонов службы AD RMS (AD RMS Templates Administrators) .

2.В категории Администрирование (Administrative Tools) запустите Диспетчер сервера (Server Manager).

3.Разверните узел Р о л и \ С л у ж б ы управления нравами Active Di rectory \«л.я_ сероерсДШаблоны политик прав доступа (Roles\Active Directory Rights Management Services\iww_cepeepa\Rights Policy Templates).

4. На панели Действия (Actions) выполните команду Создать шаблон распределенной политики прав доступа (Create Distributed Rights Policy Template). Запустится мастер.

5.На странице Добавление сведений о шаблоне (Add Template Identification Information) щелкните кнопку Добавить (Add).

6.Укажите язык, введите имя Contoso Legal Template и описание Шаблон для защиты документов Contoso, Ltd и щелкните кнопку Добавить (Add). Щелкните Далее (Next).

7. На странице Добавление прав пользователя (Add User Rights) выполните следующие действия.

А. Щелкните кнопку Добавить (Add), чтобы добавить пользователя или группу с доступом к шаблону. Выберите группу Все (Anyone).

к 832

Службы управления правами Active Directory

Глава 16

 

Все пользователи смогут запрашивать лицензию на использование со-

 

держимого.

 

Б.

В секции Пользователи и права (Users And Rights) выберите группу Все

 

(Anyone) и иа панели Права пользователя (Rights For User) назначьте

 

право доступа Просмотр (View).

 

В.

Установите флажок Предоставить полный доступ владельцу, (автору)

 

(Grant Owner (Author) Full Control).

 

Г.В поле URL запроса прав доступа (Rights Request U R L ) введите сле-

дующий URL: https://RightsManagemenLContoso.com.

По этому адресу пользователи смогут запрашивать д о п о л н и т е л ь н ы е права доступа.

8. Щелкните Далее (Next). На странице Укажите срок д е й с т в и я п о л и т и к и (Specify Expiration Policy) выберите опцию Срок действии не ограничен (Never Expires). Сбросьте флажок Срок действия истекает через (дней)

(Expires After The Following Duration (Days)).

Щ е л к н и т е Далее (Next).

9. На странице Укажите расширенную политику

(Specify E x t e n d e d Policy)

установите следующие параметры.

 

A. Выберите параметр Разрешить пользователям просмотр защищенного содержимого с помощью надстройки обозревателя ( E n a b l e Users to view protected content, using a browser add-on), чтобы пользователи без приложений AD RMS могли просматривать защищенное содержимое, автоматически установив необходимую надстройку.

Б. Сбросьте флажок Всегда запрашивать новую л и ц е н з и ю иа использование (отключить кэширование на стороне клиента) (Request A New Use License Every Time Content Is Consumed (Disable Client-Side Caching)).

B. He устанавливайте флажок Для указания д о п о л н и т е л ь н ы х сведений приложений AD RMS используйте пары « и м я - з н а ч е н и е » (If You Would

Like To Specify Additional Information

For Your AD R M S Enabled Ap-

plications, You Can Specify Them Here

As N a m e - V a l u e Pairs). Обычно

эту опцию применяют разработчики.

 

10. Щелкните Далее (Next). На странице Укажите политику отзыва (Specify Revocation Policy) не включайте отзыв. Щелкните кнопку Готово (Finish). Готовый к использованию шаблон появится на панели сведений.

Резюме

•При работе с AD RMS необходимо выполнить несколько задач конфигу - рации для завершения установки, включая создание U R L экстрасети для предоставления внешним пользователям доступа к системе D R M , а также настройку политик доверия для поддержки дополнительного внешнего доступа.

• Для работы с другими инфраструктурами AD R M S следует обменяться с ними сертификатами лицензиара сервера. Это означает экспорт сертификатов из исходного кластера и импорт в конечный кластер.

Источник: https://studfile.net/preview/16435895/

Смотрите также:

08 Мезенхимальные опухоли
189
4500
5318
vse_testy_nevra
Автономный светильник для комнатных растений
Вариационные задачи в свете современной теории функционально-дифференциальных уравнений
Вклад египетской цивилизации в развитие управления
Влияние детских страхов на развитие личности
Влияние характеристик корпоративного управления на эффективность сделок слияния и поглощения