Exchange Server010与RMS集成之二-利用权限管理模板来保护邮件安全
Exchange-2010网络端口参考
Exchange Server 2010Exchange 网络端口参考适用于：Exchange Server 2010 SP1上一次修改主题：2011-04-22本主题介绍 Microsoft Exchange Server 2010 所使用的所有数据路径的端口、身份验证和加密。
每个表后面的“注释”部分解释或定义非标准的身份验证方法或加密方法。
传输服务器Exchange 2010 包含两个执行邮件传输功能的服务器角色：集线器传输服务器和边缘传输服务器。
下表提供这些传输服务器之间以及与其他 Exchange 2010 服务器和服务之间的数据路径的端口、身份验证和加密的有关信息。
传输服务器的数据路径有关传输服务器的注释•集线器传输服务器之间的所有通信均使用具有自签名证书的 TLS 进行加密，这些证书通过 Exchange 2010 安装程序安装。
注意：在 Exchange 2010 中，可以在集线器传输服务器上禁用 TLS，以便与同一Exchange 组织中的其他集线器传输服务器进行内部 SMTP 通信。
除非绝对需要，否则建议不要执行此操作。
有关详细信息，请参阅禁用 Active Directory 站点间的 TLS 以支持 WAN 优化。
•边缘传输服务器与集线器传输服务器之间的所有通信均进行身份验证并加密。
Mutual TLS 是基础的身份验证和加密机制。
Exchange 2010 使用“直接信任”（而不是使用 X.509 验证）来验证证书。
直接信任意味着Active Directory 或 Active Directory 轻型目录服务 (AD LDS) 中存在证书即证明证书有效。
Active Directory 被视为是受信任的存储机制。
使用直接信任时，证书是自签名还是由证书颁发机构 (CA) 签名并不重要。
为边缘传输服务器订阅 Exchange 组织时，边缘订阅将在 ActiveDirectory 中发布边缘传输服务器证书，以便集线器传输服务器进行验证。
RMS信息权限管理解决方案
Galactic Empire Confidential – You cannot copy, print or export this information in unprotected form to droids of any class.
用户证书
用户许可
发布许可和秘钥
RMS工作流程
数据库服务器 AD域控
2013 Windows Server 2012 R2
2003 Windows RMS
On-premises 企业部署
2003 2008
2004
2005
2006
2007
2008
2009
2010
2011
2012
2013
2014
2015
2012 AAD RM 2010 Exchange Online integration
RMS
SharePoint
文件接收者
敏感邮件的自动保护
• 自动保护包含敏感信息的邮件和附件文档
RMS Sharing App保护任何文档类型
Windows 7/8的PC或平板上，已 内置了对RMS的支持；
安装RMS Sharping App for Windows后，可加密任何类 型的文档。
使用微软云端的RMS服务
非授权用户
没有授权
RMS 发展路线图
2007 SharePoint/Exchange integration 2008 AD RMS 2010 Exchange 2010 integration
2011 Windows Server 2012 2009 Windows Server 2008 R2
社交型企业 数据在用户和程序之间共享
exchange 认证机制
exchange 认证机制
Exchange 认证机制是一种用于验证用户身份和授权访问的安全机制。
它通常用于企业邮件系统中，以确保只有授权用户能够访问和使用邮件服务。
Exchange 认证机制使用了多种技术来实现身份验证和授权。
其中一种常见的技术是使用用户名和密码进行身份验证。
用户需要提供正确的用户名和密码才能登录到 Exchange 服务器并访问其邮件。
另外，Exchange 认证机制还支持使用智能卡、双重身份验证等更高级的身份验证方式，以提高安全性。
除了身份验证，Exchange 认证机制还可以用于授权用户对邮件系统的访问权限。
管理员可以根据用户的角色和职责，为其分配不同的权限，例如只读、读写、管理员等。
Exchange 认证机制是一种重要的安全机制，它可以帮助企业保护其邮件系统的安全，并确保只有授权用户能够访问和使用邮件服务。
RMS权限策略模板测试报告
客户需求说明1.创建、另存等文档操作时，必须输入密级属性，并且文档密级必须与人员密级匹配，低密人员不能创建高密文档。
2.禁止高密低传。
人员密级分为绝密、机密、秘密、内部，文档密级分为机密、秘密、内部，人员能打开的文档要与自己的密级相匹配，即绝密人员能打开全部文档，机密人员可打开机密、秘密、内部文档，秘密人员可打开秘密、内部文档，内部人员只能打开内部文档。
该权限严格通过系统限制。
测试环境描述服务器列表测试前测试环境准备1.在AD域主机上（）建立三个组织单位分别为：机密，秘密，内部，如图：在三个组织单位中分别建立三组测试账号，建立账号如下：机密账号：jimi01, jimi02秘密账号：mimi01, mimi02内部账号：neibu01, neibu022.在RMS主机上建立权限策略模板，如下图：测试场景描述（1）场景一描述：用机密账号jimi01登录电脑，创建一份Word文档，并赋予机密权限，接着注销此账号，分别用秘密账号mimi01,内部账号neibu01,机密账号jimi02，登录电脑打开jimi01创建的Word文档,看能否顺利打开。
场景一测试步骤：第1步：用机密账号jimi01登录电脑，创建一份Word文档，文档名为机密文档测试，并赋予机密权限，如下图：文档经过授权后，如下图：第2步：(a)注销机密账号jimi01，用秘密账号mimi01登录电脑，打开jimi01创建的Word文档（机密文档测试），文件不能打开,结果如下图：(b)注销机密账号jimi01，用内部账号neibu01登录电脑，打开jimi01创建的Word文档（机密文档测试）,文件不能打开，结果如下图：(c)注销机密账号jimi01，用机密账号neibu01登录电脑，打开jimi01创建的Word文档（机密文档测试）,文件可以打开，结果如下图：场景一测试结果：用机密账号jimi01创建一份Word文档，并赋予机密权限，秘密账号mimio1,内部账号neibu01不能打开机密账号jimi01创建的Word文档，机密账号jimi02可以打开机密账号jimi01创建的Word文档。
微软免费的文档权限管理方案(RMS)
微软免费的文档权限管理方案(RMS)一.客户需求分析一)需求分析1.在公司的日常工作中，经常会产生或查阅一些重要的技术文档，信息的使用者经常通过电子邮件、磁盘复制或文件服务器来共享他们的文档，随着这种使用计算机来创建和处理机密信息、敏感数据的情况越来越多，并且计算设备的功能也愈来愈强大，使得保护信息和数据成为公司内部工作中的一项艰巨而长久的任务。
此外，信息窃取行为也使得如何更好地保护公司数字信息这一需求变得更为强烈二.设计方案一)规划建议1.针对公司的需求，微软建议在公司内部署Windows RMS平台（Rights Management Service），通过与Windows Server中的活动目录紧密集成，实现对日常工作中产生的机密Office文档、电子邮件、Web内容的保护，通过设置策略，更好地控制哪些用户可以复制、打印或转发在Word 2003、Excel 2003、PowerPoint 2003 和Outlook 2003中创建的信息，监控机密信息的流动，防止信息内容的外泻。
并且基于Windows RMS的保护方案是基于文件内容的信息权限管理方案，配合传统的基于文件目录的方式，形成一个完整的、更灵活、更安全的信息权限解决方案二)方案功能实现1.让你可以保护你的文档，只有你允许的用户，才能执行您允许的操作2.你可以赋于用户，不能查看，允许查看，允许修改的权限3.基于AD的用户和组的权限管理，用户只需要通过单点登录的方式就可以获得自己的相关权限4.具体的功能图片，可在后面的客户端使用见到三)逻辑架构设计1.RMS服务器硬件建议配置如下a).两个P4 2.4G以上CPU，可扩充至4个；512K或1M二级缓存；1GB内存；采用RAID1或RAID5磁盘阵列2.RMS服务器的软件组件要求如下：a).操作系统：Windows Server 2003企业版；启用MSMQ、RMS、WEB服务；NTFS文件系统b).数据库：MSDE 或SQL Server 2000企业版；安装SP3补丁3.设计说明a).配置网络，使得内网中的机器可以访问RMS服务器，可以不能访问Internet；而RMS服务器即可以访问内部网络，又可以访问Internet。
微软RMS常见问题解答整理
微软RMS常见问题解答之部署篇1、如果用于 RMS 的安全主体是全局地址列表 (GAL) 成员，则 Exchan ge 的版本是否存在任何依赖关系？RMS 依赖于 Active Direct ory，而不是 Exchan ge。
但是，Exchan ge 5.5保留其自己的目录，而不使用 Active Direct ory。
确保 Active Direct ory 中的所有用户和组对象都有一个有效的电子邮件属性，该属性包含完全限定的域名。
如果使用的是 Exchan ge 2000 或更高版本，则此操作是自动完成的。
2、SQL Server在 RMS 中扮演什么角色？RMS 使用数据库来存储所有服务配置数据、有关系统中主体的信息和所有日志记录数据，并在 Active Direct ory 和通讯组列表扩展期间缓存查找。
已使用 SQL Server 2000 和 SQL Server 2005 完全测试 RMS。
3、用户计算机是否必须加入 RMS 服务器所在的域才能使用 RMS？用户计算机不必是 RMS 群集所在域的成员，但该计算机需要能够找到 RM S 群集。
客户端计算机找到 RMS 群集的最简单方法是通过服务连接点 (SCP) 使用 Active Direct ory 查找。
但是，也可以将客户端上的注册表设置设置为找到 RMS 群集，而不必使用Active Direct ory 查找。
确切的注册表设置取决于启用了 RMS 的应用程序。
4、如果客户希望将 RMS 服务器放在外围网络中，则要与 RMS 通信，必须对面向Intern et 的防火墙和面向 Intran et 的防火墙打开哪些端口？内部用户需要访问颁发权限帐户证书 (RAC) 和用户许可证的 RMS 服务器。
Exchange server2010 EXCHANGEAL错误日志解决办法
产品Exchange版本8.0 (Exchange Server 2007)ID 8365源MSExchangeAL警告类型ErrorMOM 规则路径Microsoft Exchange Server/Exchange 2007/Mailbox/System AttendantMOM 规则名称无法从Exchange Server 对象读取安全描述符。
在本地Exchange Server 上，代理地址计算RPC 接口将不可用。
说明此错误事件表示无法从Active Directory 目录服务读取带有全局唯一标识符(GUID) %1 的Microsoft Exchange 的安全描述符。
此服务器将无法计算添加到服务器的新邮箱的代理地址。
如果Exchange 服务器不是Active Directory 中Microsoft Exchange 安全组的Exchange 服务器组的成员或者Active Directory 复制延迟正在引起组成员身份的冲突，则通常会遇到此错误。
用户操作要解决此错误，请执行下列一项或多项操作：在系统和应用程序事件日志中查看相关事件。
例如，紧挨此事件前后发生的事件可能提供有关此错误根本原因的更多信息。
打开Exchange 命令外壳并执行下列命令：Get-ExchangeServer | fl name,guid（其中name 是Exchange 服务器名称，guid 为GUID）此命令将使GUID 与Exchange 服务器名称匹配。
验证Exchange 服务器是否是Exchange 服务器组的成员。
如果Exchange 服务器是Exchange 服务器组的成员，请让管理员验证Microsoft Windows 站点中的Active Directory 复制是否为最新的。
如果Active Directory 复制是最新的，请运行Exchange 提供用于帮助管理员分析和诊断其Exchange 环境的工具。
RMS与Exchange的集成
RMS与Exchange集成安装证书服务先安装AD证书服务（需要提前安装AD域服务角色DNS服务器角色Web服务器（IIS）角色文件服务角色（安全性中必须安装“基本身份验证和windows 身份验证否则不能登录到OWA））注意：安全性中的基本身份验证和windows身份验证需要勾选，否则将无法登入到OWA中申请证书在IE里键入https://192.168.13.235/certsrv----申请证书----高级证书申请创建并向CA提交一个申请----姓名： 需要的证书类型：服务器身份验证书标记密钥为可导出-----提交注意：姓名必须正规，后面有用，服务器身份验证证书标记密钥为可导出查看挂起的证书申请状态点击是安装此证书注意：在个人用户里的证书里导出私钥并导入本地计算机账户中的证书中创建RMS服务管理员用户创建RMS服务管理员用户rmsadmin并将其添加到“dominadminis在AD用户和计算机中的user中的“dominadminis中添加账户并查看安装RMS添加角色Active Adrectory Rights Management Services注意：需要验证需要在DNS中创建一条rms的记录IP：192.168.13.235创建安全通讯组（在Exchange 2010 中创建）用RMS管理员用户登录系统（用rmsadmin的登录）在Active Director Rights Management Services 中添加超级用户组在Internet 信息服务（IIS）管理器中修改文件的安全性在windows powershell modules中运行命令Get-IRMconfiguration然后在运行Set-IRMconfiguration–InternalLicensingEnable$true验证实验结果用IE登录https://192.168.13.220/owa用户名：administrator 密码：123-abc。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Exchange Server 2010与RMS集成之二:利用权限管理模板来保护邮件安全
发表于2013-1-16 21:39|来自
51CTO网页
[只看他]
Exchange Server 2010与RMS集成之二:利用权限管理模板来保护邮件安全场景：一次没有硝烟的暗杀之四
主题：小张和小强都是经理，小张看上了一个姑娘小丽，但小张发现还有小强对小丽有兴趣，于是一场暗杀就这么开始了！（剧情纯属娱乐，如有雷同，纯属巧合）之前已经有了三次的暗杀与反暗杀，最后的结局是小强反败为胜，因为小强在反暗杀阶段分别使用了RMS以及数字签名和加密，让小张彻底崩溃！但在实际的工作当中，他发现在使用RMS的时候总是需要手动的进行操作，有时候那面会遗忘玛瑙 去设置权限，这样又会给小张可乘之机，小强这次又跟资讯部交流了一下，希望能够真正的实现自动化，减轻压力！本着解放用户的思想，tony 答应了帮忙，于是，新一轮的反暗杀有一次精彩的上演！
本次分为以下几个阶段
RMS安装（前面已经部署过了，这里省略）
RMS配置
RMS权限策略模板
传输规则
完成测试
精彩继续
一RMS配置
1.1设置RMS的访问控制权限RMS通过Web Service方式来提供服务，默认情况下，这些Web service的权限是受限制的，Exchange服务器没有足够的权限来实现对RMS的调用，需要手动指定正确的权限，才能够台湾高山茶 实现Exchange与RMS的集成
1.2首先在安装RMS的服务器上，打开资源管理器
1.3浏览到%systemdrive%\inetpub\wwwroot\_wmcs\certification
1.4选中Servercertification.asmx，打开其属性页面，切换到安全，然后编辑，添加Exchange Servers 组，并给予读取和读取和执行
1.5如果CAL列表中没有AD RMS Service Group(这是一个本地组)，那么请重复1.4，把这个组也加到CAL里，并给予读取和“读取和执行”
1.6打开%systemdrive%\inetpub\wwwroot\_wmcs\licensing，查看publish.asmx的安全属性，是否有Exchange Server和AD RMS Service Group这2个群组，并确认权限是否一样，如果和上面的不同或者没有这2个群组，请添加并给予权限
1.7设置RMS超级用户组，RMS的超级用户组中成员，可以不受限制地访问所有被IRM保护的数据，也就是说，该组的成员可以进行解密工作。
默认情况下，超级用户组是禁用状态，需要手动进行启用。
同时，这个组需要是一个启用了邮件功能的通用组（universal group ）。
前面提到的FederatedEmail.4c1f4d8b-8179-4148-93bf-00a95fa1e042用户帐号需要加入到这个组中，这个帐号是系统邮箱，从Exchange Management Console中是看不到的，需要使用Exchange Management Shell命令行工具，通过Add-DistributionGroupMember 进行添加。
1.8打开EMC-收件人配置-通讯组，新建一个RMS通讯组
1.9打开Exchange Management Shell，输入命令
Add-DistributionGroupMember RMS_SuperUsers -Member FederatedEmail.4c1f4d8b-8179-4148-93bf-00a95fa1e042
1.10打开RMS管理控制台，展开安全策略，右键启用超级用户
1.11将前面建立的RMS组添加进去
1.12打开Exchange Management Shell，运行命令Get-IRMConfiguration，确保其中的InternalLicensingEnabled是True状态。
如果为false，则输入Set-IRMConfiguration -InternalLicensingEnable $true在Exchange组织内部启用RMS功能。
1.13运行命令Test-IRMConfiguration -Sender xiaoqiang@
1.14 到此，Exchange与RMS的集成已经完成!
二RMS配置权限模板
2.1 打开RMS管理控制台，新建一个分布式权限策略模板
2.2 设定名称以及描述
2.3 小强发给小丽的邮件，默认情况下，小强不想小丽转发打印等，只给她查看就行了防止意外发生
2.4 有效期，看个人需求了！后面的都默认，最后完成即可
三配置传输规则
3.1 打开EMC-组织配置—集线器传输，新建一条传输规则
3.2 添加过滤条件，为了方便，他们之间已经商量了一个暗语，就是TT，所以就添加了一个关键字“TT”！
3.3 这里我们选择“采用RMS模板的权限保护邮件”，并选择我们刚刚建立的“小强专用”模板
3.4 后面的根据情况选择，最后完成！
四最终测试
4.1 打开小强的邮件，新建一封给小丽，特别要注意添加一个“TT”关键字
4.2 我们打开小丽的邮箱，查看收到的邮件，提示输入账号进行验证！
4.3 通过验证之后，可以看到，授权人是小强，响应的RMS模板是“小强专用”，也发现没有办法转发以及打印等操作！
4.4 有同学说可以截图，当然这个也是不可以的哈
4.5 其实安全都是相对的，没有绝对的，用微软自身的截图软件肯定是不可以的，但你要是用第三方的，到现在为止还没有一个很好的方案！如果有的，可以留言，有时间测试一下！
总结，根据这一个案例，其实我们可以做很多事情的，比如主题中涉及到工资，商务等信息的
可以自动为公司的需要进行授权只能查看，不需要我们人工的在去考量这件事！希望大家可以举一反三！
累了，请允许我放松一下哈！Music。
附录：本篇解决论坛的问题：thread-1012884-1.html
IT之梦---你---我---他
2013年1月16日星期三
顶楼主
RMS从实际项目来看,还是比较鸡肋,基于RMS的二次开发更具价值,比较RMS本身仅仅支持微软自身产品的格式.。