RMS实施方案.doc

RMS系统管理实施方案2006年5月 目 录前言3企业信息权限管理需求与分析4项目背景4方案成功需求因素4文档权限保护4企业信息权限策略实施4高可用性和灾难恢复4易用性5企业信息权限管理方案建议5方案概述与整体架构5主要功能介绍6文档权限设置6权限策略管理11访问受权限保护的文档13应用拓扑14RMS体系结构14基本拓扑15单RMS服务器拓扑16相关技术组件17RMS17Rights Management Services 客户端17Office 2003 IRM18Rights Management Add-on for IE18Internet 信息服务18Active Directory18SQL Server 或 Microsoft SQL Server Desktop Engine (Windows)19综合因素19企业级的高可靠性与可伸缩性19易用性19系统配置20RMS服务器（根认证和授权服务器）20硬件要求20软件要求20SQL服务器21硬件要求21软件要求211、前言随着信息技术的广泛使用，敏感的企业信息和数据，如客户资料、市场计划、销售分析、财务报表、研发报告，越来越多地以电子文档的形式存在。这些敏感信息一旦泄漏，可能会极大地降低企业在市场上的竞争能力，并导致如业务流失、收入下降、法律诉讼之类的严重后果。通常，企业采用基于边界的安全方法来保护数字文件和信息。例如，使用防火墙限制对公司网络的访问，使用随机访问控制列表 (DACL) 限制对特定数据的访问。除此之外，企业还可以使用加密与验证技术及产品（例如公钥结构 PKI 和 Kerberos），以帮助保护传输中的电子邮件，并确保预期的收件人是第一个打开该电子邮件的人。然而，尽管这些方法都可以帮助企业控制对敏感内容的访问，使用者仍可以对他们所接收到的内容进行任何操作。当用户通过验证且内容经过解密之后，对于该内容的使用或处理将不受任何限制。因此，基于边界的安全方法无法在网络边界之外或在边界被破坏之后，实施用于控制人们如何使用和分发内容的业务规则。如果依靠用户的自我约束和责任感来实现数字内容的共享与使用，则可能会给网络安全模型带来无法接受的风险。即使是偶然的安全漏洞，也可能带来严重后果。例如，用户可能会将包含敏感信息的电子邮件或文档错误地转发给不怀好意的人。如果没有合适的端对端软件解决方案，如安装 RMS 来有效控制对数字内容的使用（与内容用途无关），这些数字内容将很容易被心怀恶意或毫无关联的人获取。数据和重要的信息是企业最重要的财富。因此，我们建议贵公司采用基于Windows Rights Management技术的信息权限管理方案，来解决上述问题，从而保护公司的敏感信息，防止这些信息流失导致的损失。本文的以下部分，将会对于我们的建议作进一步阐述。 2、企业信息权限管理需求与分析2.1项目背景 2.2方案成功需求因素文档权限保护更好地保护信息的解决方案作为企业安全战略的基本组成部分，不应仅仅是访问控制，而是能提供控制使用和分发内容的方法。能够更好地保护信息的解决方案应当有助于： 保护公司 Intranet 中的企业记录与文档，不允许未授权用户访问这些记录与文档，也不允许授权用户进行授权范围外的操作。作者在创建敏感文档时，可以指定能够访问文档的用户，以及用户对文档的操作权限（读取、修改、拷贝、打印、转发等）。未经授权的用户，即使得到了文件的物理拷贝，也无法打开文档；授权用户也只能够完成被赋予的操作权限。例如，只被赋予了读取权限的用户，不能对文档进行打印。 确保内容安全并防止篡改。 如果需要，根据时间要求终止内容使用，即使是通过 Extranet 发送给其他企业的内容。 能够提供审计线索，以便跟踪曾访问和使用过特定内容的用户。基于企业目前的业务状况，主要的敏感信息，存在于Word、Excel、PowerPoint文档和电子邮件中。企业信息权限策略实施除了由文档创建人员直接赋予用户权限，在企业层面，需要定义信息权限策略，对于敏感信息进行分类，并指定对于每一类敏感信息，相关的授权访问用户和访问权限。文档创建人员在创建某种类型的敏感信息时，可以直接实施公司的指定策略，而无需逐一赋予用户权限。高可用性和灾难恢复对于经过授权的用户，如果无法及时访问敏感文档信息，甚至永久失去对于敏感文档的访问能力，都可能导致严重的业务损失。然而，组件故障、断电、操作员失误和自然灾害等情况都可能影响权限管理系统的可用性。为了防止此类情况发生，系统需要提供相应机制，能够支持通过规划并实现可靠的策略来保证高可用性，以及在发生灾难状况的情况下恢复系统的能力。易用性易于使用的权限管理功能，除了降低培训成本之外，更有助于推进权限管理功能在企业中的运用。因此，权限管理功能应该能够与日常的生产率工具如Office、IE相结合，简单易用。3、企业信息权限管理方案建议方案概述与整体架构基于贵企业的上述需求，建议采用Microsoft Windows Rights Management Service和Office Information Rights Management技术来构建企业的信息权限管理平台。权限管理服务（Microsoft Windows Rights Management Service，RMS）是微软最新推出的基于Microsoft Windows Server 2003操作系统系列产品之上的服务组件，它与日常办公所使用的应用程序协作来保护数字内容，专为那些需要保护敏感的Web内容、文档和电子邮件的企业和用户而设计。它将Windows RM客户端和服务器技术综合起来，可以提供创建受RM保护的内容、授权和分发受RM保护的内容、获取许可并打开受RM保护的信息，并可以将信息安全策略在企业级快速部署。信息权限管理（Microsoft Information Rights Management，IRM）是微软推出的第一个基于Microsoft Windows Rights Management Service（RMS）平台并与Microsoft Office 2003紧密集成的，面向Office文档的信息权限管理应用方案。它可以通过Microsoft Office 2003帮助企业和知识工作者实现持久的、跨网络、跨地域的文件级保护机制，将保护信息作为被保护文件的一个部分，保证文件的使用权限控制将贯穿于文档的整个生命周期。主要功能介绍文档权限设置文档权限设置是指信息创建人员指定能够访问文档的用户，以及他们相应的权限（如读取、编辑、打印、转发）的过程。Office文档权限设置在Office 2003 Word、Excel和PowerPoint中，可以双击工具栏上的Permission按钮，对于文档进行权限设置。防止邮件转发在Outlook2003中，通过工具栏上的禁止转发按钮，除了防止非法用户察看邮件之外，合法的收件人也无法打印、拷贝或者转发邮件。权限策略管理除了由文档创建人员直接赋予用户权限，在企业层面，往往需要定义信息权限策略，对于敏感信息进行分类，并确定对于每一类敏感信息，相关的授权访问用户和访问权限。RMS通过策略模板支持企业信息权限策略的制定；最终用户在判断敏感信息的所属的类别后，可以直接应用已经制定的模板，无需考虑需要具体赋予哪些用户相关权限。配置权限策略在RMS服务器管理界面中，管理人员可以根据企业的敏感信息分类和访问策略，配置权限策略模板添加模板后使用权限策略保护文档Office 2003专业版（Word、Excel、PowerPoint和Outlook）中，可以从FilePermission菜单中，应用已经发布的权限策略模板，来保护文档。访问受权限保护的文档在使用Office 2003专业版对文档进行权限保护之后，接收到文档的授权用户，可以利用Office 2003访问文件，当然他们仅能够拥有被赋予的权限。如果在创建文档时选择了允许从浏览器访问文档选项（如下图所示），对于没有安装Office 2003的用户，可以在安装了Rights Management Add-on for IE的计算机上，使用IE察看文档（无法编辑），IE同样会实施打印、拷贝等权限控制。3、本方案应用拓扑RMS体系结构Windows RM 系统既包括服务器技术，也包括客户端技术。基本拓扑基本的 Windows RMS 拓扑包含一个或多个用作根认证群集的物理服务器。该群集用于在企业中执行认证、授权和发布操作。除最小部署规模外，在所有其他规模的部署中，多个物理服务器通常都被配置为一个群集且具有同一个 URL。创建该群集的具体方法是：设置第一个服务器，以便创建根认证服务器，然后向该群集中添加服务器，直到达到支持计划的活动所需的根认证服务器的数量为止。下图说明了这种拓扑。将服务器加入群集后，这些服务器将共享相同的配置数据库和日志数据库，这些数据库都是 SQL Server 数据库。SQL Server 既可以位于根认证服务器上，也可以位于单独的服务器上。从系统可用性的角度考虑，可以将数据库放在SQL Cluster上。负载均衡可在根认证群集内的所有服务器之间进行设置。要求获取证书和许可证的所有请求都通过配置根认证群集内的第一个服务器时指定的公用 URL 传递到该群集。服务器拓扑如果要支持的客户端不多，则可以只部署一台RMS服务器，以及单独的SQL服务器。该RMS服务器负责企业内的所有认证和授权活动。这种配置具有单一故障点。极端情况下，可以将SQL服务和RMS服务安装到同一台机器上，但是这一般不是推荐的做法。综合因素企业级的高可靠性与可伸缩性Windows Rights Management Service从体系结构上为企业级的可靠性与可伸缩性提供了支持。在它的两层架构中，在前端可以由多台物理的RMS服务器通过负载均衡组成群集，当系统的负载上升时，能够简单的向群集中添加新的节点；而后台的数据库可以运行在SQL Cluster上，以便提高数据层的可靠性。通过这种方式，能够支持企业级的高可靠性和可伸缩性。易用性微软权限解决方案将权限文档的创建和访问功能集成到常用的生产率工具如Word、Outlook和IE中，与信息工作者典型的日常工作流程结合起来，无需繁复的操作和特别的培训。同时，通过RMS权限策略模板，企业能够制定相关的敏感信息权限策略；对于最终用户，无需具体考虑某类敏感信息所要设置的具体权限，而是可以直接应用企业发布的权限模板，就能够达到按照企业安全策略保护文档的目的。预算及实施计划RMS部署实施时间计划目标：RMS培训目标：RMS应用调试目标：RMS安装第三阶段：2天 操作培训 维护培训 制度协助建立 在应用调试时同步进行第一阶段：2天 准备 安装 调试第二阶段：3天 功能测试 局部测试 正式应用1 项目组技术服务小组介绍为了给乐山-菲力克斯提供优质高效的技术服务，组建了技术服务小组，构成如下：技术服务小组 组长：钟洪涛 （负责协调）MBA硕士，获国家程序员证书，7年软件行业工作经验，有丰富的项目实际操作经验。负责过四川省投资集团有限责任公司、四川蜀道集团股份有限公司、大唐电信光通信分公司等企业的信息化规划与实施，并规划和实施了铁道第二勘察设计院、攀枝花钢铁研究设计院、蓝光集团等大型企业集团的信息系统部署和实施。联系方式E-mail：技术服务小组 专职工程师：孟伟4年软件行业工作经验。有丰富的微软产品部署和问题解决经验。负责过新希望集团企业信息门户实施、雅舍装饰Exchange实施及SMS部署实施等项目。 联系方式E-mail： 技术服务小组 协助工程师：席涛微软经销商联盟技术支持培训证书ISEC网络安全规划师5年软件行业工作经验。有丰富的微软产品部署和问题解决经验。负责过铁道第二勘察设计院、四川省石油设计院项目管理及SMS部署实施、攀钢集团系统管理部署实施、负责过迪康集团Office System办公自动化系统、成都市建筑材料研究设计院Windows2003网络基础部署。 联系方式E-mail：技术服务小组 协助工程师：辜学勇7年软件行业工作经验。精通网络防病毒、防火墙、远程数据安全传输、入侵检测的规划和实施。负责过迪康集团、东方锅炉集团、成都印钞公司、华西集团等单位的网络安全规划与实施部署。联系方式E-mail： 2 技术支持承诺u 电话和Email技术支持服务一般问题做到当时解决；对于无法立即提供解决办法的问题，在寻找到解决方法后，采用电话、Email的方式回复，时间不超过8小时。对于确实无法解决的问题，四川建华会将问题备案并在24小时之内通知，在深入了解情况之后，会和乐山-菲力克斯进行协调，共同制定一个行动计划，以继续解决问题。u 紧急事件现场响应服务对企业生产有重大