Active Directory.pdf - Gattner

698 Kapitel 18: Active Directory-Rechteverwaltungsdienste
Tabelle 18.2
Für die Server- und Clientregistrierung verwendete AD RMS-Zertifikate
Zertifikat Beschreibung Sicherheitsinhalt
Server-Lizenzgeberzertifikat
(Server Licensor
Certificate, SLC)
Computerzertifikat
Rechtekontozertifikat
(Rights
Account Certificate,
RAC)
Client-Lizenzgeberzertifikat
(Client Licensor
Certificate, CLC)
Dieses Zertifikat wird bei der Installation und Konfiguration der
AD RMS-Serverrolle auf dem ersten Server eines AD RMS-
Stammclusters erstellt. Die Windows Server 2008 AD RMS führen
eine Selbstregistrierung durch, bei der das Server-Selbstregistrierungszertifikat
(in Windows Server 2008 enthalten) das SLC signiert.
Dadurch wird sichergestellt, dass für Computer und Benutzer
ausgestellte Lizenzen durch einen gültigen Stammcluster verifiziert
und als vertrauenswürdig eingestuft werden. Wenn zusätzliche
Server zum Stammcluster hinzugefügt werden, verwenden diese
ebenfalls das SLC. Bei Bereitstellung von reinen Lizenzierungsclustern
generieren diese ein eigenes eindeutiges SLC.
Dieses Zertifikat wird auf dem Clientcomputer erstellt, wenn ein Benutzer
erstmalig ein durch Rechte geschütztes Dokument verwendet
oder erstmalig versucht, ein Dokument unter Verwendung einer
AD RMS-fähigen Anwendung zu schützen. Bei diesem Vorgang
wird der AD RMS-Client für den Stammcluster registriert, um
dieses Zertifikat und ein öffentlich-privates Schlüsselpaar zu erstellen
sowie die Client-Lockbox zu aktivieren.
Das RAC wird zur Identifizierung der Benutzer verwendet, die innerhalb
eines AD RMS-Systems als vertrauenswürdige Entitäten
eingestuft werden. Beim Versuch eines Benutzers, eine AD RMSbasierte
Aufgabe auszuführen, stellt der AD RMS-Stammcluster
ein RAC aus, das den Benutzer mit dem verwendeten Computer
oder Gerät verknüpft. Zum Abrufen eines RAC muss der Benutzer
im E-Mail-Feld des Benutzerobjekts in Active Directory über eine E-
Mail-Adresse verfügen. Ein Standard-RAC ist per Voreinstellung
365 Tage gültig. Temporäre RACs sind für 15 Minuten gültig.
Wenn bei Verwendung von Clientcomputern zur Veröffentlichung
von durch Rechte geschützten Informationen die Computer nicht
mit dem Unternehmensnetzwerk verbunden sind (Offlineveröffentlichung),
ist eine lokale Registrierung erforderlich. Clientcomputer
werden für den Stammcluster registriert und erhalten Rechteverwaltungs-CLCs,
mit denen Benutzer durch Rechte geschützte Informationen
über diese Computer veröffentlichen können, ohne mit
dem Unternehmensnetzwerk verbunden zu sein. So kann der Benutzer
Veröffentlichungs- und Nutzungslizenzen über die Lockbox
signieren.
Enthält den öffentlichen Schlüssel
des Servers.
Enthält den öffentlichen Schlüssel
des aktivierten Computers. Der private
Schlüssel wird in der Computer-
Lockbox gespeichert.
Enthält den öffentlichen und den privaten
Schlüssel des Benutzers.
Letzterer ist mit dem öffentlichen
Schlüssel des aktivierten Computers
verschlüsselt.
Enthält den öffentlichen und den privaten
Schlüssel des Clientlizenzgebers.
Letzterer ist mit dem
öffentlichen Schlüssel des Benutzers
verschlüsselt, der das CLC
anfordert.
Enthält zudem den öffentlichen
Schlüssel des Stammclusters oder
reinen Lizenzierungsclusters, der
das Zertifikat ausgestellt hat (dieses
ist mit dem privaten Schlüssel des
Clusters signiert, durch den das Zertifikat
ausgestellt wurde).
Hinweis Computerzertifikate, RACs und CLCs können in den folgenden Verzeichnissen auf der Arbeitsstation
des Benutzers angezeigt werden:
Windows XP/2003: %UserProfile%\Lokale Einstellungen\Anwendungsdaten\Microsoft\DRM
Windows Vista/2008: %UserProfile%\AppData\Local\Microsoft\DRM