IRM技术图解.doc

图解IRM技术信息权限管理（Information Rights Management，IRM）是一项持续存在的文件级技术，旨在保护文档和电子邮件信息免受未经授权的访问。IRM将Windows Rights Management Services（权限管理服务）的范围延伸到了Microsoft Office 2003 应用程序和Microsoft Internet Explorer之中。本文简要介绍了信息权限管理的优点、实现方式以及部署时应该考虑的注意事项。什么是IRMMicrosoft Office 2003中的信息权限管理（Information Rights Management，IRM）为组织和信息工作者控制他们自己的信息提供了又一种有益机制。IRM是Microsoft开发的一种持久性的文件级保护技术，它允许信息工作者对有权访问和使用文档或电子邮件的人员加以指定，并且能够保护信息不受未经授权的打印、转发或复制。IRM对一种被称作Windows 权限管理（Windows Rights Management）的关键Windows 平台技术进行了扩展。权限管理是Windows 的一种信息保护特性，它可以与应用程序相配合，对机密和敏感的企业信息加以保护-无论这些信息被发送到什么地方。作为对用户所提出的改善内容保护要求的响应，Microsoft将权限管理设计为一个可扩展的平台，可以集成到Office 2003以及各种第三方应用程序之中。在以前版本的Office软件中，如果我们要保护自己创建的文档，基本上就只能在保存该文档的时候设置一个密码，这样没有密码的人就只能读取该文档，而不能修改，这种保护技术的功能非常有限。不过在Office 2003 中，一切都不同了。通过使用IRM功能，用户可以创建一个受保护的文档，而该文档对不同的人有不同的权限。这里所说的权限有三个等级：只读：顾名思义，拥有只读权限的用户只能查看该文件，不能编辑、打印和从中复制文件内容。更改：拥有更改权限的用户除了查看外，还可以编辑，但是仍然不可以打印。完全控制：拥有完全控制权限的用户除了以上所说过的所有权限外，还可以对文档设置更多的权限。而对用户身份的认证则是通过专门的服务器进行的。这就要求要创建和阅读带有IRM技术保护的文档时，计算机必须能够连接到网上：互联网和局域网都可以，只要可以访问到相应的权限管理服务器。Office 2003的IRM技术可应用于Word 2003、Excel 2003和PowerPoint 2003上，而Outlook 2003中也可以简单使用。受IRM保护的文档是被128位AES算法加密的，因此不用担心安全性问题。创建使用IRM技术保护的文档下面我们会通过具体的实例了解如何使用IRM保护我们的文档。以Word 2003为例，打开后新建一个文档，然后随意输入一些文字，接着点击工具栏上的“（自由访问）的权限”按钮。（图一） 在第一次使用这个功能的时候首先提示你要从互联网下载一个IRM的组件，（图二）在图二的界面上点击“是”按钮即可。下载并安装后开始安装，因为在企业中使用IRM技术时企业会有专门的权限管理服务器，而我们现在只是以一般用户的身份来在测试，暂不介绍权限管理服务器的设置，因此我们选择使用微软提供的免费试用服务。选择“是，我希望注册使用.”后点击“下一步”按钮，然后登录你的.Net Passport（如果还没有就在这里申请）。最后还需要你选择证书的类型，在这里我们选择标准证书，然后点击“下一步”。（图三） 组件安装好后重新点击“（自由访问）的权限”按钮，可以看见图四的界面，（图四）选中“限制对此文档的权限”后我们就可以针对不同的用户设置权限。因为我们选择的是微软所提供的认证服务，而用户认证是通过.Net Passport进行的，这也就决定了以后阅读该文件的用户必须也有自己的.Net Passport账户，而且你要知道他的账户。为了实现更复杂的权限设置，我们点击图四窗口下方的“其他选项”按钮，看到图五的界面。（图五）点击“添加”按钮，然后分别根据想要分配的权限，把该用户的.Net Passport（例如）输入到“读取”或者“更改”对话框中。当然，你也可以设置多个用户对该文档拥有完全控制的权限，只要简单得在该用户的“访问级别”下拉菜单中指定。如果你提供的文档具有一定的时效性，而你只希望对方在某个特定的日期之前阅读，那么就选中“此文档的到期日期为”的复选框，然后在下面指定到期日期。这样没有完全控制权限的用户在该日期之后就无法打开这个文档了。同样的，如果你想让没有完全控制权限的人可以打印或者复制该文档的内容，也可以选中“打印内容”或者“允许具有读取权限的用户复制内容”。相应的还有一种情况，那就是对方在得到你的文档后由于一些原因而需要对该文档获得进一步的权限，那么你可以在其他设置下选中“用户可以从此处请求附加权限”。这样一旦用户有需要，就可以直接通过你所提供的电子邮件地址给你发信，请求更多的权限。而如果你创建的文档要考虑到还没有升级到Office 2003的用户，那么就可以选中“允许使用Office 早期版本的用户.”，这样对于只安装了Office XP或者Office 2000的用户，他们还可以通过给IE安装插件的方式来阅读具有IRM技术保护的文档。具体的方法我们会在后面详细说明。所有权限设置完后点击“确定”，在Word窗口的右侧，你会看到一个名为“共享工作区”的区域，在这里你可以对文档的权限进行进一步的操作，例如分别点击“更改权限”和“更改用户”来对已有的权限作些调整。（图六）一切都设置好之后就可以通过各种途径把文件发布出去了。这下你不用担心机密文件被无关人员查阅，因为他们根本打不开。阅读使用IRM技术保护的文档对于文件的阅读者，我们假设了两种情况，一是阅读者也安装了Office 2003，二是阅读者只安装了Office 2000或者Office XP等低版本的Office 应用程序。对于第一种情况，这是很简单的，只要简单地双击文档。如果你是第一次打开有IRM保护的文档，或者你以前没有创建过这样的文档，那么你也需要先下载并安装一个组件。（图七）点击确定，并下载和安装。这个过程跟之前我们创建文档时是一样的，因此跳过不说。安装过程中同样需要登录.Net Passport，我们使用了一个Passport登录，该帐户对要打开的文档拥有只读的权限。安装好组件后，由于我们创建的文档是通过微软来验证身份的，因此我们需要在微软的服务器上验证凭据和下载权限，只要简单地点击“确定”，剩下的就交给软件来解决了。（图八）文档打开后的界面如，在Word窗口的右下角状态栏中有一个“禁止”符号，证明该文档受保护。（图九）而我们只有最基本的只读权限，因此不能编辑和打印该文档，你可以看到，打印相关的按钮都是灰色不可选的，而复制、粘贴、字体设置等菜单也是灰色不可选的。点击右侧的“察看我的权限”后会弹出图十的窗口，在这里我们可以看到自己拥有的权限。（图十）如果你需要用具有完全控制或者更改权限的用户查看这个文档，只要点击“更改用户”，然后用相应的.Net Passport登录；如果你想向文档的创建者要求更多的权限，则可以点击“请求附加权限”，然后程序会自动调用默认的电子邮件客户端软件，给创建者写信，由创建者把新的文档发送给你。对于第二种情况，则有些不同。如果我们直接在不支持IRM的Office XP或者WPS中打开受保护文档，则该文档不会正确显示。我们做了一个实验，在Windows 2000 Professional SP4上安装Office 2000，然后直接在该系统上用Word 2000打开一个受保护文档，接着Word会显示一个出错界面，（图十一）按照提示点击链接后程序会自动联网下载用于IE6 的IRM加载项，这样安装了加载项后我们就可以直接用IE打开受保护的WORD文档。（图十二） 假如只有查看权限，那么你不能打印，复制，另外保存，查看源代码甚至使全屏拷贝按钮失效。 假如你有另外帐号，你可以换用另一个帐号查看。 假如你想获取更大的权限，你可以向文档授权人发邮件提出申请。 (图十三)IRM 技术的不足作为一项新技术，IRM的优势是显而易见的，商业文档、邮件等可以更加安全和可信赖，可是同样的还有一些问题是需要加强的。从创建者来看，受IRM技术保护的文档只能由Office 2003 软件创建，这也就是说，对于Office XP或者Office 2000用户，如果想要使用这一新功能，就必须把Office 软件升级到2003版。然而仅仅升级Office 还是不够的。因为IRM技术需要身份认证等操作，这就必然要网络中有一台用于此用途的服务器。微软目前提供的Passport认证只是一种免费的试用服务，不可能让我们永久使用。因此如果要在企业内部使用这一版权保护系统，就必须有一台进行身份认证工作的服务器，根据微软的说明，该服务器是作为Windows Server 2003 企业版及更高版本的一个组件的形式出现的，这也就意味着，企业中还要有Windows Server 2003 企业版服务器，这又是一笔不小的投资。从阅读者来看，想要阅读受IRM保护的文件，最好的办法是安装Office 2003，不过微软也提供了变通的方法，那就是针对IE的IRM加载项，在安装了加载项后我们可以直接用IE查看受保护的文档。如果你不喜欢用IE，微软还承诺会提供一系列的SDK开发工具，供其他程序员为自己的软件开发加载项（例如针对Netscape、WPS、OpenOffice的加载项），因此如果有必要，所有的常用软件都有可能在安装了相应的加载项后查看受保护的文档。进而对于阅读者，这并不会造成太多经济上或者其他方面的困扰。那么是不是使用了IRM技术后我们的文档就绝对安全了呢？当然不是这样，毕竟IRM还是从软件上来保证安