Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

K A P I T E L 1 1
Implementieren der Active Directory-
Rechteverwaltungsdienste
Von Kurt Dillard
In diesem Kapitel:
Grundlagen von RMS ................................................ 293
Implementieren von AD RMS ........................................... 297
Integration mit Microsoft Office .......................................... 311
Einsetzen von RMS, um bestimmte Anforderungen zu erfüllen ..................... 312
Einschränkungen von AD RMS .......................................... 314
Zusammenfassung .................................................. 314
Weitere Informationen ................................................ 315
Verschlüsselung wird seit vielen Jahren genutzt, um elektronische Daten vor neugierigen
Augen zu schützen. Aber die verwendeten Methoden hingen stark davon ab, ob die Daten
auf ein Speichermedium geschrieben oder zwischen Computern übertragen wurden. Der
Austausch elektronischer Daten in Echtzeit wird als Daten im Transit (engl. data in transit)
bezeichnet. Es werden zahlreiche Technologien dafür eingesetzt, zum Beispiel IPsec und
SSL/TLS. Daten, die auf eine Festplatte, CD-ROM, ein Flashlaufwerk oder irgendein anderes
Medium geschrieben werden, werden als Daten in Ruhe (engl. data at rest) bezeichnet.
Sollen Daten in Ruhe auf sichere Weise gespeichert werden, müssen auch die Datenströme
verschlüsselt werden, ohne die Vorgänge so stark zu verzögern, dass die Benutzerfreundlichkeit
leidet.
BitLocker, EFS und sogar die Technologien zum Schutz von Daten im Transit helfen nicht
weiter, wenn es darum geht, Daten gemeinsam mit anderen Leuten zu nutzen. Falls Sarah
ein EFS-geschütztes Dokument gemeinsam mit John bearbeiten möchte, muss sie es erst
entschlüsseln; sobald John das ungeschützte Dokument erhalten hat, kann er damit machen,
was immer er will. An diesem Punkt kommen die Active Directory-Rechteverwaltungsdienste
(Active Directory Rights Management Services, AD RMS) ins Spiel. Eines ihrer zentralen
Features ist die Möglichkeit, Benutzern zu erlauben, gemeinsam an verschlüsselten Dokumenten
zu arbeiten. Ein Benutzer wendet eine RMS-Richtlinie auf ein Dokument an. Die
Richtlinie legt fest, wer mit dem Dokument was machen kann. Anders ausgedrückt: Sie
können Sarah Leseberechtigungen und John Lese-, Schreib- und Druckberechtigungen gewähren.
Wenn Sarah ein Exemplar des Dokuments bekommt, kann sie daran keine Änderungen
vornehmen. Falls sie es an eine andere Person weiterleitet, der keine Berechtigungen
in der RMS-Richtlinie zugewiesen wurden, kann diese Person das Dokument nicht einmal
ansehen. John kann dagegen Änderungen am Dokument vornehmen, bevor er es an Sie zurückgibt.
Die Regeln in den RMS-Richtlinien können beliebig einfach oder komplex sein.
Die meisten Organisationen legen eine Liste mit nur einer Handvoll von Richtlinien fest, die
291