MCT HUB'S TEAM

CẤU HÌNH ACTIVE DIRECTORY RIGHTS MANAGEMENT SERVICES (AD RMS) TRÊN WINDOWS SERVER 2012 - PHẦN 1

I- GIỚI THIỆU

Active Directory Rights Management Service (AD RMS) là dịch vụ được tích hợp sẵn trong Windows cho phép bảo vệ các tài liệu nhạy cảm trong doanh nghiệp bằng cách cho phép người dùng tùy ý phân quyền trên các tài liệu của mình và ngăn chặn việc đưa các tài liệu nhạy cảm ra khỏi môi trường doanh nghiệp. Trong loạt bài viết về AD RMS này, tôi sẽ trình bày các thao tác cài đặt và cấu hình AD RMS để phân quyền và bảo vệ các tài liệu trong tổ chức, phân quyền cho người dùng thuộc tổ chức khác và tích hợp với Dynamic Access Control (DAC) để tự động bảo vệ các tài liệu nhạy cảm dựa theo điều kiện xác định.

Trong phần 1 của loạt bài viết này tôi sẽ trình bày thao tác cơ bản bao gồm cài đặt và phân quyền cho các tài liệu nhạy cảm bằng ADRMS trên Windows Server 2012

 

II- TRIỂN KHAI CHI TIẾT

Bài LAB sử dụng 2 server:

- DC2012: Domain Controller (domain mcthub.local) chạy Windows Serrer 2012

- CLIENT1: Domain Member chạy Windows 8 đã cài đặt Office 2010

Bạn có thể tích tích hợp 2 máy này bằng cách cài đặt Office 2007/2010/2013 lên máy Domain Controller

Bài LAB gồm các bước chính sau đây

1- Chuẩn bị

2- Cài đặt ADRMS

3- Kiểm tra hoạt động của ADRMS

4- Cấu hình RAC (Rights Account Certificate) và User Exclusion Policy

 

1- Chuẩn bị

Trên máy DC2012, mở Active Directory Users and Computers. Tạo một OU tên là RMS. Trong OU RMS, lần lượt tạo các user nam, trong, hien, duyRMSSRVC (đây là account cần thiết để cài đặt ADRMS). Sau đó add user RMSSRVC vào group Domain Admins bằng cách bấm phải chuột lên user RMSSRVC - Add to a group

Dong Phuong Nam

 

Chọn group Domain Admins - Nhấn OK

Dong Phuong Nam

 

Do ADRMS phân quyền bằng địa chỉ E-Mail, do đó bạn cần khai báo thuộc tính E-Mail cho các user. bấm phải chuột user duy - chọn Properties

Dong Phuong Nam

 

Trong khung E-Mail: Nhập duy@mcthub.local - OK

Dong Phuong Nam

Tương tự như trên, lần lượt khai báo thuộc tính E-Mail Address cho các user như sau:

- nam: nam@mcthub.local

- trong: trong@mcthub.local

- hien: hien@mcthub.local

 

Tạo một Universal group mới tên là Manager

Dong Phuong Nam

 

Trong khung Group name: Nhập Manager

Mục Group scope: Chọn Universal - Nhấn OK

Dong Phuong Nam

 

Tạo một Universal group mới tên là IT

Dong Phuong Nam

 

Trong khung Group name: Nhập IT

Mục Group scope: Chọn Universal - Nhấn OK

Dong Phuong Nam

 

Khai báo thuộc tính E-Mail và thêm thành viên cho Group Manager

Dong Phuong Nam

 

Tab General, trong khung E-Mail: nhập Manager@mcthub.local - Nhấn OK

Dong Phuong Nam

Tương tự bạn khai báo thuộc tính E-Mail cho group ITIT@mcthub.local

 

Add 2 user namtrong vào danh sách thành viên group Manager 

Dong Phuong Nam

 

Add 2 user duy trong vào danh sách thành viên group IT

Dong Phuong Nam

 

Tạo 2 thư mục C:\DataC:\Public

Dong Phuong Nam

 

Sau đó lần lượt share 2 thư mục này cho Everyone quyền Full Control

Dong Phuong Nam

 

2- Cài đặt ADRMS

Trên máy DC2012, mở Server Manager - Chọn Add Roles and Features

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Đánh dấu chọn dịch vụ Active Directory Rights Management Services

Dong Phuong Nam

 

Nhấn nút Add Features để cài đặt các chức năng cần thiết cho dịch vụ

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Dong Phuong Nam

 

Bảo đảm chọn role service Active Directory Rights Management Server. Nhấn Next

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Chấp nhận các thành phần cần thiết mặc định cho ADRMS - Nhấn Next

Dong Phuong Nam

 

Nhấn Install

Dong Phuong Nam

 

Sau khi quá trình cài đặt hoàn tất, chọn Perform additional configuration để cấu hình cho ADRMS Server

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Do đây là ADRMS Server đầu tiên được cài đặt - chọn Create a new Active Directory RMS root cluster - Nhấn Next

Dong Phuong Nam

 

ADRMS cần sử dụng database để quản lý dữ liệu, bạn có thể dùng SQL Server hoặc Windows Internal Database (có sẵn trên Windows) để lưu trữ Database. SQL Server thích hợp hơn cho một hệ thống lớn. Trong bài LAB này do không cần thiết nên bạn chọn Use Windows Internal Database on this server - Nhấn Next

Dong Phuong Nam

 

Nhấn nút Specify để chỉ định account cài đặt

Dong Phuong Nam

 

Nhập Username và Password của account RMSSRVC đã tạo ở bước chuẩn bị - Nhấn OK

Dong Phuong Nam

 

Nhấn Next

Dong Phuong Nam

 

Chọn chế độ cho thuật toán mã hóa RSA là Cryptographic Mode 2 - Nhấn Next

Dong Phuong Nam

 

Do ADRMS cần một key dùng cho việc khôi phục sự cố và dùng để cái đặt các ADRMS Server thêm vào hệ thống. Bạn chọn User ADRMS centrally managed key storage để lưu trữ key này trên ADRMS Server - Nhấn Next

Dong Phuong Nam

 

Nhập Key Password tùy ý để mã hóa Key - Nhấn Next

Dong Phuong Nam

 

Chọn trang Web mặc định cho ADRMS sử dụng là Default Web Site - Nhấn Next

Dong Phuong Nam

 

Để ADRMS có tính bảo mật cao hơn, bạn có thể cấu hình phương pháp mã hóa SSL cho Web Site cho thể chạy bằng HTTPS. Trong bài LAB này, do không cần thiết nên bạn có thể chọn Use an unencrypted connection (http://) - Nhập FQDN của máy ADRMS Server là dc2012.mcthub.local - Nhấn Next

Dong Phuong Nam

 

Khung Name: Chấp nhận tên mặc định - Nhấn Next

Dong Phuong Nam

 

Chọn Register the SCP Now - Nhấn Next

Dong Phuong Nam

 

Nhấn Install

Dong Phuong Nam

 

Sau khi quá trình cài đặt và cấu hình hoàn tất - Nhấn Close

Dong Phuong Nam

 

Nhấn Close

Dong Phuong Nam

 

Sau khi cài đặt, bạn cần logoff, sau đó logon lại MCTHUB\Administrator và mở Active Directory Rights Management Services

Dong Phuong Nam

 

Kiểm tra ADRMS Console mở thành công. Đến đây ADRMS có thể hoạt động với các chức năng cơ bản mà không cần phải thực hiện thêm thao tác cấu hình nào

Dong Phuong Nam

 

3- Kiểm tra hoạt động của ADRMS

Sang máy CLIENT1, logon MCTHUB\nam, mở Word 2010 và soạn thảo một văn bản với nội dung như bên dưới.

Dong Phuong Nam

 

Bảo vệ văn bản và phân quyền đọc cho user trong truy cập bằng cách chọn File - Info - Protect Document - Restrict Permission by People - Restricted Access

Dong Phuong Nam

 

Xác nhận username và password - OK

Dong Phuong Nam

 

Đánh dấu Restrict permission to this document

Trong khung Read..: nhập trong@mcthub.local - Nhấn OK

Dong Phuong Nam

 

Lưu văn bản bằng cách nhấn Save

 

Dong Phuong Nam

 

Lưu văn bản vào thư mục Data trên máy DC2012: Trong khung File name: Nhập \\DC2012\Data\DocumentOfNam - Nhấn Save

Dong Phuong Nam

 

Trên máy CLIENT1, logon MCTHUB\trong, truy cập thư mục Data trên máy DC2012

Dong Phuong Nam

 

Mở văn bản DocumentOfNam

Dong Phuong Nam

 

Xác nhận username và password - Nhấn OK

Dong Phuong Nam

 

Microsoft Office Word sẽ thông báo văn bản đã bị giới hạn truy cập - Nhấn OK

Dong Phuong Nam

 

Quan sát user trong chỉ có thể đọc văn bản, ngoài ra không thể sửa chữa nội dung. Nhấn nút View Permission để xem chi tiết quyền truy cập

Dong Phuong Nam

 

Quan sát quyền truy cập của user trong - Nhấn OK

Dong Phuong Nam

 

Thử chọn một đoạn văn bản và bấm phải chuột lên đoạn văn bản đã chọn, quan sát các chức năng Copy, Cut.. đều bị vô hiệu hóa.

Dong Phuong Nam

 

Chọn menu File, quan sát các chức năng Save, Save as, Print đều bị vô hiệu hóa

Dong Phuong Nam

 

Trên máy CLIENT1, logon MCTHUB\duy, truy cập thư mục Data trên máy DC2012

Dong Phuong Nam

 

Mở văn bản DocumentOfNam

Dong Phuong Nam

 

Xác nhận username và password - Nhấn OK

Dong Phuong Nam

 

Microsoft Office Word sẽ thông báo văn bản đã bị giới hạn truy cập - Nhấn OK

Dong Phuong Nam

 

Kiểm tra user duy không được phân quyền nên không thể đọc được văn bản, hộp thoại thông báo đưa ra 3 lựa chọn

- Change user: Truy cập với quyền của user khác

- Yes: Gửi yêu cầu xin quyền truy cập bằng E-Mail đến địa chỉ nam@mcthub.local

- No: Không gửi yêu cầu xin quyền truy cập và thoát- Nhấn No

Dong Phuong Nam

 

4- Cấu hình RAC (Rights Account Certificate) và User Exclusion Policy

Ngoài việc người dùng có thể phân quyền trên tài liệu của mình, RMS cho phép dùng RAC và User Exclution Policy để loại trừ quyền truy cập của người dùng chỉ định. Trong ví dụ này tôi sẽ loại trừ quyền đọc của user nam. Chọn Exclusion Policies - Users - Enable User Exclusion

Dong Phuong Nam

 

Chọn Exclude RAC

Dong Phuong Nam

 

Trong khung User name: Nhập nam@mcthub.local - Nhấn Finish

Dong Phuong Nam

 

Kiểm tra

Dong Phuong Nam

 

Sang máy CLIENT1, logon MCTHUB\duy, mở Word 2010 tạo văn bản với nội dung như bên dưới

Dong Phuong Nam

 

Bảo vệ văn bản và phân quyền đọc cho group Manager và quyền thay đổi văn bản cho group IT bằng cách chọn File - Info - Protect Document - Restrict Permission by People - Restricted Access

Dong Phuong Nam

 

Đánh dấu Restrict permission to this document

Trong khung Read..: Nhập Manager@mcthub.local

Trong khung Change..: Nhập IT@mcthub.local

Nhấn OK

Dong Phuong Nam

Nhấn nút Save để lưu văn bản

 

Dong Phuong Nam

 

Lưu văn bản vào thư mục Data trên máy DC2012: Trong khung File name: Nhập \\DC2012\Data\IT-Document- Nhấn Save

Dong Phuong Nam

 

Trên máy CLIENT, logon MCTHUB\nam, truy cập sang thư mục Data trên máy DC2012

Dong Phuong Nam

 

Mở văn bản IT-Document

Dong Phuong Nam

 

Xác nhận username và password - Nhấn OK

Dong Phuong Nam

 

Microsoft Office Word sẽ thông báo văn bản đã bị giới hạn truy cập - Nhấn OK

Dong Phuong Nam

 

Microsoft Ofice Word thông báo không thể truy cập văn bản mặc dù user nam là thành viên của group Manager - Nhấn OK

Dong Phuong Nam

 

Nhấn OK

Dong Phuong Nam

 

Bài viết liên quan

Cấu hình Active Directory Rights Management Service (ADRMS) trên Windows Server 2012 - Phần 2

Cấu hình Active Directory Rights Management Service (ADRMS) trên Windows Server 2012 - Phần 3

Cám ơn bạn đã xem bài viết

Đồng Phương Nam

GIÁI PHÁP CÔNG NGHỆ


Style Setting

Fonts

Direction

 
Scroll to top