Active Directory.pdf - Gattner

702 Kapitel 18: Active Directory-Rechteverwaltungsdienste
Weitere Informationen zur Konfiguration der AD FS-Unterstützung finden Sie weiter unten in diesem
Kapitel im Abschnitt „Unterstützung für Identitätsverbund“.
Implementieren der AD RMS
Unabhängig davon, welches Szenario für die Rechteverwaltungsdienste verwendet werden soll, ist der
erste Schritt stets die Installation des AD RMS-Stammclusters. Nach der Installation des Stammclusters
kann festgelegt werden, wie die spezifischen Anforderungen, wie z.B. die Bereitstellung von
externem Zugriff auf die AD RMS-Umgebung, erfüllt werden sollen. In diesem Abschnitt wird die
Bereitstellung und Konfiguration von AD RMS-Komponenten beschrieben, um eine effektive und
sichere Rechteverwaltungslösung sicherzustellen.
Vor der Installation der AD RMS zu berücksichtigende Aspekte
Während der Installation der AD RMS-Serverrolle wird der Benutzer zur Angabe verschiedener Konfigurationswerte
aufgefordert, die bereits im Vorfeld ermittelt werden sollten. Ferner müssen für eine
erfolgreiche Implementierung eine Reihe von Anforderungen erfüllt werden. Berücksichtigen Sie vor
der Installation der AD RMS die folgenden Aspekte:
• Die AD RMS-Serverrolle sollte auf einem Mitgliedsserver in derselben Active Directory-Domäne
wie die Benutzerkonten installiert werden, welche die Rechteverwaltungslösung nutzen. Die
AD RMS können auf einem Domänencontroller installiert werden; das AD RMS-Dienstkonto
muss jedoch zur Gruppe Domänen-Admins hinzugefügt werden, und dies kann ein Sicherheitsrisiko
darstellen.
• Es muss ein Domänenbenutzerkonto erstellt werden, das während der Installation als AD RMS-
Dienstkonto angegeben wird. Für dieses Konto sind neben den Berechtigungen eines Standardbenutzerkontos
keine zusätzlichen Berechtigungen erforderlich.
• Das zur Installation der AD RMS-Serverrolle verwendete Benutzerkonto darf nicht mit dem als
AD RMS-Dienstkonto angegebenen Konto übereinstimmen und muss Abfragen an die Active
Directory-Domäne senden können. Wenn der AD RMS-Dienstverbindungspunkt während der
Installation registriert werden soll, muss das zur Installation der AD RMS verwendete Konto ferner
Mitglied der Active Directory-Gruppe Organisations-Admins oder einer vergleichbaren
Gruppe sein.
• Wenn eine externe Datenbank für den AD RMS-Cluster verwendet wird, muss der Benutzer, der
die AD RMS-Installation durchführt, zur Erstellung neuer Datenbanken berechtigt sein. Wenn
Microsoft SQL Server 2005 verwendet wird, muss das Benutzerkonto ferner Mitglied der Datenbankrolle
für Systemadministratoren sein.
• Während der Installation wird der Benutzer zur Angabe einer URL für den AD RMS-Cluster aufgefordert.
Diese URL darf nicht mit dem Computernamen übereinstimmen und muss den gesamten
AD RMS-Cluster darstellen. Darüber hinaus sollte ein DNS-Aliaseintrag (CNAME) für die
AD RMS-Cluster-URL sowie ein separater CNAME-Eintrag für den Computer erstellt werden,
auf dem die Konfigurationsdatenbank gehostet wird. CNAMEs bieten Flexibilität, für den Fall,
dass ein Hardwarefehler auftritt oder ein Computername geändert wird.
• Wenn die Kommunikation mit dem AD RMS-Cluster über SSL gesichert werden soll, muss das
erforderliche SSL-Zertifikat von einer vertrauenswürdigen Stammzertifizierungsstelle abgerufen
werden.