Управление правами в Exchange 2010

Две функции IRM борются с утечкой информации

Ор­га­ни­за­ции лю­бо­го раз­ме­ра всеми си­ла­ми ста­ра­ют­ся за­щи­тить свои кон­фи­ден­ци­аль­ные дан­ные — поль­зо­ва­тель­ские имена и ад­ре­са, планы на бу­ду­щее — от слу­чай­но­го рас­кры­тия. Недо­ста­ток ин­фор­ма­ции или по­те­ря дан­ных могут при­ве­сти к фи­нан­со­во­му краху, по­те­ре парт­не­ра или до­ве­рия поль­зо­ва­те­лей. Те­перь, с вы­пус­ком Microsoft Exchange Server 2010, у ком­па­ний по­яви­лось новое ору­жие в борь­бе за кон­фи­ден­ци­аль­ность дан­ных. Exchange 2010 может ис­поль­зо­вать ин­фра­струк­ту­ру Active Directory Rights Management Services (AD RMS),

ко­то­рую при­во­дит в дей­ствие служ­ба Information Rights Management (IRM). Таким об­ра­зом, ад­ми­ни­стра­то­ры Exchange могут за­да­вать пра­ви­ла для ав­то­ма­ти­че­ской за­щи­ты со­об­ще­ний элек­трон­ной почты и при­со­еди­нен­ных фай­лов, ос­но­ван­ных на осо­бом критерии.

Exchange 2010 рас­по­ла­га­ет и дру­гой за­ме­ча­тель­ной функ­ци­ей, ко­то­рая поз­во­ля­ет поль­зо­ва­те­лям от­сы­лать, по­лу­чать за­щи­щен­ные элек­трон­ные со­об­ще­ния и от­ве­чать на них при по­мо­щи Outlook Web App (OWA, быв­ший Oulook Web Access). В ран­них вер­си­ях OWA поль­зо­ва­те­ли могли чи­тать за­щи­щен­ные элек­трон­ные со­об­ще­ния и при­со­еди­нен­ные файлы, толь­ко если у них был уста­нов­лен мо­дуль Rights-Management Add-On (RMA), но это ре­ше­ние ра­бо­та­ло лишь в бра­у­зе­ре Internet Explorer (IE), а поль­зо­ва­те­ли не могли от­ве­чать и со­зда­вать новые за­щи­щен­ные со­об­ще­ния. Да­вай­те по­смот­рим, как уста­нав­ли­вать и на­стра­и­вать кон­фи­гу­ра­цию Exchange 2010, чтобы ис­поль­зо­вать ука­зан­ные две функции.

Что нам дает эта технология?

Пред­по­ло­жим, вы уже уста­но­ви­ли ин­фра­струк­ту­ру Exchange 2010, но еще не за­да­ли на­строй­ки Exchange 2010 IRM. Вспом­ни­те о том, что AD RMS яв­ля­ет­ся ба­зо­вой ин­фра­струк­ту­рой, со­сто­я­щей из сер­ве­ров и баз дан­ных. Также при­ми­те к све­де­нию, что IRM яв­ля­ет­ся со­во­куп­но­стью функ­ций, пред­ла­га­е­мых про­дук­та­ми Microsoft Office, таких как Word, Excel, PowerPoint и Outlook, и сер­вер­ны­ми си­сте­ма­ми, на­при­мер SharePoint, ко­то­рые ак­ти­ви­ру­ют AD RMS для за­щи­ты дан­ных, со­дер­жа­щих­ся в кор­по­ра­тив­ных до­ку­мен­тах и со­об­ще­ни­ях элек­трон­ной почты. При по­мо­щи AD RMS и IRM за­щи­щен­ные до­ку­мен­ты и со­об­ще­ния элек­трон­ной почты за­шиф­ро­ва­ны так, что толь­ко поль­зо­ва­те­ли или их груп­па, опре­де­лен­ная самим ав­то­ром, может их чи­тать и — в за­ви­си­мо­сти от предо­став­лен­ных прав — ви­до­из­ме­нять, пе­ча­тать или ко­пи­ро­вать. Также бла­го­да­ря AD RMS ад­ми­ни­стра­то­ры Exchange могут уста­нав­ли­вать усло­вия (на­при­мер, от­пра­ви­тель, по­лу­ча­тель, пред­мет, со­дер­жа­ние, при­со­еди­нен­ные файлы) для ав­то­ма­ти­че­ской за­щи­ты прав. Эта функ­ция из­бав­ля­ет от необ­хо­ди­мо­сти при­ни­мать ре­ше­ние о за­щи­те прав от­пра­ви­те­ля элек­трон­но­го со­об­ще­ния или даже за­ду­мы­вать­ся о по­ли­ти­ке, опи­сы­ва­ю­щей рас­про­стра­не­ние кон­фи­ден­ци­аль­ной информации.

Под­го­тов­ка AD RMS к ин­те­гра­ции С Exchange 2010

Рас­смот­рим дей­ствия, ко­то­рые вам нужно пред­при­нять для под­го­тов­ки AD RMS к ин­те­гра­ции с Exchange 2010. Пре­жде всего, сле­ду­ет ис­поль­зо­вать AD RMS на Windows Server 2008. Если вы за­пус­ка­е­те более ста­рую вер­сию Windows RMS на Windows Server 2003 или Windows 2003 R2, вам тре­бу­ет­ся мо­дер­ни­за­ция. Я ре­ко­мен­дую мо­дер­ни­за­цию до Server 2008 R2, тогда вы смо­же­те стро­го сле­до­вать ин­струк­ции по под­го­тов­ке AD RMS на Windows Server 2008 RTM. Если вы за­пус­ка­е­те AD RMS на Server 2008 RTM, при­дет­ся уста­но­вить Server 2008 SP2 на всех ваших сер­ве­рах RMS, ко­то­рые будут ис­поль­зо­вать Exchange 2010. Это как ми­ни­мум все сер­ве­ры кла­сте­ра сер­ти­фи­ка­ции RMS в Active Directory. Уста­но­вив SP2, вам нужно будет сле­до­вать ин­струк­ции, опи­сан­ной в ста­тье Microsoft «A hotfix is available for the Active Directory Rights Management Services role in Windows Server 2008: August 26, 2009» (support.​microsoft.​com/​kb/​973247). Про­сто щелк­ни­те ссыл­ку View and request hotfix downloads на­вер­ху стра­ни­цы. Убе­ди­тесь, что вы за­гру­зи­ли нуж­ное ис­прав­ле­ние. Вер­сии до­ступ­ны как для 32-раз­ряд­ной, так и для 64-раз­ряд­ной системы.

Неза­ви­си­мо от того, за­пус­ка­е­те ли вы AD RMS на Server 2008 RTM или R2, вам нужно за­дать на­строй­ки дис­крет­ных ACL (DACL) в файле веб-служ­бы AD RMS на каж­дом сер­ве­ре ва­ше­го кла­сте­ра сер­ти­фи­ка­ции. На каж­дом сер­ве­ре за­пу­сти­те IIS Manager из папки Administrative Tools и рас­крой­те узел Web Server, затем узел Sites, узел Default Web Site, далее узел _wmcs. Пра­вой кноп­кой мыши щелк­ни­те по узлу Certification и вы­бе­ри­те Explore. В окне Explorer пра­вой кноп­кой мыши щелк­ни­те по файлу ServerCertification.​asmx, вы­бе­ри­те Properties и далее вклад­ку Security. Тре­бу­ет­ся на­зна­чить груп­пе Exchange Servers раз­ре­ше­ния на чте­ние и вы­пол­не­ние файла. Те же раз­ре­ше­ния нужно на­зна­чить и AD RMS Service Group (эта груп­па яв­ля­ет­ся ло­каль­ной на самом сер­ве­ре AD RMS Server). Когда вы за­да­ди­те этим двум груп­пам раз­ре­ше­ния на файл, на­строй­ки без­опас­но­сти ServerCertification.​asmx, ко­то­рые вы мо­же­те уви­деть, нажав кноп­ку Advanced в ACL Editor, будут вы­гля­деть, как на экране 1.

Затем тре­бу­ет­ся до­ба­вить поч­то­вый ящик Federated Delivery (слу­жеб­ный поч­то­вый ящик, со­здан­ный в ходе уста­нов­ки и на­строй­ки ор­га­ни­за­ции Exchange 2010) для груп­пы RMS Super Users. Груп­па Super Users чрез­вы­чай­но мощ­ная: член этой груп­пы может по­лу­чить до­ступ к лю­бо­му за­щи­щен­но­му кон­тен­ту, охра­ня­е­мо­му си­сте­мой AD RMS.

По этой при­чине груп­па по умол­ча­нию за­бло­ки­ро­ва­на, а когда она ак­ти­ви­ро­ва­на, член­ство в ней долж­но стро­го кон­тро­ли­ро­вать­ся. Если до­ступ к Super User от­клю­чен, вклю­чи­те его, со­здай­те новую груп­пу рас­сыл­ки в AD и сде­лай­те эту груп­пу груп­пой RMS Super Users. На экране 2 по­ка­за­ны на­строй­ки RMS Super Users в AD RMS 2008.

Имя ре­ги­стра­ции поль­зо­ва­те­ля, при­над­ле­жа­щее поч­то­во­му ящику Federated Delivery, — это FederatedEmail.4c1f4d8b-8179-4148-93bf-00a95fa1e042. Для того чтобы до­ба­вить поч­то­вый ящик к груп­пе Super Users, за­пу­сти­те сле­ду­ю­щую ко­ман­ду в Exchange Management Shell (EMS):

Add-DistributiionGroupMember
   <RMSSuperUsers> -Member 
   FederatedEmail.4c1f4d8b-8179-4148- 
   93bf-00a95fa1e042 

Здесь RMSSuperUsers — это имя груп­пы рас­сыл­ки, пред­став­ля­ю­щей Super Users.

Зная имя груп­пы Super Users, до­бавь­те учет­ную за­пись поч­то­во­го ящика поль­зо­ва­те­ля Federated Delivery. За­меть­те, что, когда вы до­ба­ви­те поль­зо­ва­те­ля Federated Delivery в груп­пу Super Users, кэш чле­нов груп­пы RMS будет нуж­дать­ся в очист­ке до того, как по­явят­ся из­ме­не­ния в груп­пе Super Users. Это может за­нять 24 часа.

На­строй­ка OWA для IRM

Exchange 2010 вклю­ча­ет в себя кон­цеп­цию роли Client Access, ко­то­рая со­дер­жит функ­цию OWA. Дан­ная функ­ция поз­во­ля­ет поль­зо­ва­те­лям по­лу­чить до­ступ к своим элек­трон­ным поч­то­вым ящи­кам через бра­у­зер, а также по­лу­чать и от­сы­лать со­об­ще­ния. Роль Client Access не под­дер­жи­ва­ет IRM, а это озна­ча­ет, что поль­зо­ва­те­ли не могут от­сы­лать и по­лу­чать за­щи­щен­ные со­об­ще­ния без на­строй­ки роли Client Access. Если поль­зо­ва­тель по­пы­та­ет­ся про­чи­тать за­щи­щен­ное со­об­ще­ние в OWA до того, как роль Client Access будет на­стро­е­на, он уви­дит со­об­ще­ние, по­ка­зан­ное на экране 3.

Для того чтобы за­дать на­строй­ки роли Client Access, ад­ми­ни­стра­то­ру Exchange нужно ис­поль­зо­вать EMS для за­пус­ка ко­ман­ды, на­зы­ва­е­мой Set-IRMConfiguration. Син­так­сис ко­ман­ды следующий:

Set-IRMConfiguration 
-InternalLicensingEnabled $true 
-OWAEnabled $true 

Вы мо­же­те за­пу­стить ко­ман­ду один раз для всей ор­га­ни­за­ции Exchange, и каж­дый сер­вер Exchange 2010 с ролью Client Access начет об­слу­жи­вать поль­зо­ва­те­лей за­щи­щен­ных со­об­ще­ний через OWA. Вы­пол­ни­те такую про­це­ду­ру, и поль­зо­ва­те­ли уви­дят со­об­ще­ние, по­ка­зан­ное на экране 4.

Если у вас име­ют­ся сер­ве­ры ли­цен­зи­ро­ва­ния, а вы хо­ти­те, чтобы Exchange 2010 ис­поль­зо­вал толь­ко один из них, вам нужно за­дей­ство­вать ключ LicensingLocation для ука­за­ния URL сер­ве­ра ли­цен­зи­ро­ва­ния AD RMS.

По­лу­ча­те­ли за­щи­щен­ных со­об­ще­ний могут от­ве­чать на них, ис­поль­зуя OWA. Од­на­ко их воз­мож­но­сти за­ви­сят от того, какие права были за­да­ны ав­то­ром со­об­ще­ния. При этом от­ве­ты также будут за­щи­щен­ны­ми. Это новая функ­ция Exchange 2010. Поль­зо­ва­те­ли OWA также могут со­зда­вать за­щи­щен­ные сообщения.

Есть два ос­нов­ных от­ли­чия между ис­поль­зо­ва­ни­ем Exchange 2010 OWA для опе­ра­ций с за­щи­щен­ны­ми со­об­ще­ни­я­ми и ис­поль­зо­ва­ни­ем RMA for IE вме­сте с Exchange 2007 OWA. Пер­вое от­ли­чие со­сто­ит в том, что при ра­бо­те с Exchange 2010 OWA от поль­зо­ва­те­лей не тре­бу­ет­ся под­клю­че­ние к ин­фра­струк­ту­ре AD RMS для того, чтобы по­лу­чить сер­ти­фи­кат учет­ной за­пи­си прав (RAC) или ли­цен­зию End User License Agreements (EULA). Exchange 2010 дей­ству­ет в ин­те­ре­сах поль­зо­ва­те­лей и по­лу­ча­ет до­ступ к за­щи­щен­но­му кон­тен­ту как Super User до того, как вы­во­дит кон­тент на веб-стра­ни­цу. Это об­лег­ча­ет поль­зо­ва­те­лям про­цесс ра­бо­ты с за­щи­щен­ны­ми со­об­ще­ни­я­ми и не тре­бу­ет, чтобы ад­ми­ни­стра­то­ры AD RMS за­да­ва­ли на­строй­ки раз­лич­ных ад­ре­сов Extranet Cluster URL и внеш­не­го до­сту­па для поль­зо­ва­те­лей, ко­то­рые на­хо­дят­ся вне кор­по­ра­тив­но­го брандмауэра.

Дру­гое от­ли­чие со­сто­ит в том, что ко­неч­ные поль­зо­ва­те­ли могут вы­ре­зать и встав­лять за­щи­щен­ные со­об­ще­ния и де­лать сним­ки экра­на. Это было невоз­мож­но при ис­поль­зо­ва­нии RMA for IE. Бла­го­да­ря дан­ной функ­ции можно за­дать кон­фи­гу­ра­цию, ко­то­рая поз­во­ля­ет поль­зо­ва­те­лям за­дей­ство­вать IRM через OWA, ука­зав ключ -IRMEnabled Boolean в ко­ман­де Set-OwaMailboxPolicy в PowerShell для Exchange. Таким об­ра­зом, пред­при­я­тия могут за­щи­тить своих поль­зо­ва­те­лей от по­лу­че­ния неже­ла­тель­ной почты через OWA. Если у вас много поль­зо­ва­те­лей и вам нужно раз­ре­шить или бло­ки­ро­вать до­ступ к IRM через OWA, то ко­ман­да Set-OwaMailboxPolicy будет не очень удоб­на. Аль­тер­на­ти­ва — со­зда­ние од­но­го или несколь­ких до­пол­ни­тель­ных вир­ту­аль­ных ка­та­ло­гов OWA для каж­дой ка­те­го­рии поль­зо­ва­те­лей, затем за­да­ние на­стро­ек до­сту­па к каж­до­му и ис­поль­зо­ва­ние ключа -IRMEnabled Boolean в ко­ман­де Set-OwaVirtualDirectory PowerShell.

Ис­поль­зо­ва­ние транс­порт­ных правил

Функ­ции IRM до­ступ­ны в при­ло­же­ни­ях Office, вклю­чая Outlook, и могут при­ме­нять­ся для за­щи­ты важ­ных дан­ных. Един­ствен­ная про­бле­ма, ко­то­рая была ранее у IRM до Exchange 2010, со­сто­ит в том, что поль­зо­ва­те­ли за­бы­ва­ют вруч­ную при­ме­нять за­щи­ту важ­ных дан­ных, по­это­му дан­ные могут по­те­рять­ся или до­став­лять­ся некор­рект­ным об­ра­зом. Exchange 2010 поз­во­ля­ет ад­ми­ни­стра­то­рам поч­то­вых си­стем со­зда­вать пра­ви­ла транс­пор­ти­ров­ки Transport Rules, ко­то­рые поз­во­ля­ют за­да­вать шаб­лон AD RMS за­щи­ты прав для элек­трон­ных со­об­ще­ний и любых под­дер­жи­ва­е­мых вло­же­ний, ос­но­ван­ный на со­от­вет­ствии усло­ви­ям, таким как адрес от­пра­ви­те­ля или по­лу­ча­те­ля элек­трон­ных со­об­ще­ний, слова в теме со­об­ще­ния или любое дру­гое усло­вие, ко­то­рое под­дер­жи­ва­ет Transport Rules. Exchange 2010 по­став­ля­ет­ся со встро­ен­ным шаб­ло­ном за­щи­ты прав, ко­то­рый на­зы­ва­ет­ся Do Not Forward. Как видно из на­зва­ния («не пе­ре­сы­лать»), шаб­лон не поз­во­ля­ет по­лу­ча­те­лям пе­ре­сы­лать элек­трон­ные со­об­ще­ния. Exchange 2010 будет из­вле­кать до­пол­ни­тель­ные шаб­ло­ны за­щи­ты прав из AD RMS, если за­да­ны их настройки.

Чтобы со­здать транс­порт­ное пра­ви­ло для ав­то­ма­ти­че­ской за­щи­ты со­об­ще­ний, ко­то­рые со­от­вет­ству­ют усло­ви­ям пра­ви­ла, за­пу­сти­те Exchange Management Console (EMC) на сер­ве­ре цен­траль­но­го транс­пор­та Exchange 2010 Hub Transport, от­крой­те узел Microsoft Exchange On-Premises, узел Organization Configuration, затем вы­бе­ри­те вклад­ку Transport Rules в пра­вой па­не­ли кон­со­ли. Щелк­ни­те пра­вой кноп­кой мыши в па­не­ли, затем в меню вы­бе­ри­те пункт New Transport Rule, чтобы за­пу­стить ма­стер New Transport Rule. На шаге Introduction вве­ди­те имя для пра­ви­ла и до­пол­ни­тель­ный ком­мен­та­рий до того, как щелк­ни­те Next. На шаге Conditions вы­бе­ри­те, на­чи­ная свер­ху, усло­вия, ко­то­рые будут ак­ти­ви­ро­вать пра­ви­ло. Общее усло­вие для под­клю­че­ния за­щи­ты прав — это when the Subject field or message body contains specific words («когда поле темы или само со­об­ще­ние со­дер­жит спе­ци­аль­ные слова»), как по­ка­за­но на экране 5.

Когда вы вы­бе­ре­те усло­вие Condition, тре­бу­ю­щее даль­ней­ших де­та­лей, таких как клю­че­вое слово или слова, вам по­тре­бу­ет­ся ука­зать их, щел­кая по под­черк­ну­тым зна­че­ни­ям, затем от­ре­дак­ти­ро­вать опи­са­ние пра­ви­ла на по­след­нем шаге ма­сте­ра уста­нов­ки. Если вы за­да­е­те несколь­ко усло­вий, то все они обя­за­тель­но долж­ны со­по­став­лять­ся с пра­ви­лом, чтобы оно запустилось.

Когда вы за­кон­чи­те вы­би­рать усло­вия и ре­дак­ти­ро­вать опи­са­ние, на­жми­те Next для пе­ре­хо­да к сле­ду­ю­ще­му шагу Actions. На шаге Actions вы­бе­ри­те ва­ри­ант Rights protect the RMS template, рас­по­ло­жен­ный ввер­ху окна ма­сте­ра. Затем ука­жи­те под­черк­ну­тое зна­че­ние RMS template для вы­зо­ва диа­ло­го­во­го окна, ко­то­рое по­ка­жет, какие шаб­ло­ны RMS до­ступ­ны (шаб­ло­ны по­ли­ти­ки прав). Вы­бе­ри­те по­ли­ти­ку RMS, ко­то­рую хо­ти­те ис­поль­зо­вать, и на­жми­те OK для воз­вра­та к ма­сте­ру. Затем щелк­ни­те Next для пе­ре­хо­да к сле­ду­ю­ще­му шагу Exceptions. Если у вас нет ис­клю­че­ний, на­жми­те Next для пе­ре­хо­да к шагу Create Rule. Щелк­ни­те New для со­зда­ния сво­е­го пра­ви­ла Transport Rule. Со­здав пра­ви­ло, на­жми­те Finish для за­вер­ше­ния ра­бо­ты мастера.

Ис­поль­зо­ва­ние пра­вил Transport Rules для ав­то­ма­ти­че­ско­го при­ме­не­ния шаб­ло­нов по­ли­ти­ки за­щи­ты прав, ос­но­ван­ных на усло­ви­ях, может ока­зать­ся за­трат­ным с точки зре­ния по­треб­ле­ния ре­сур­сов. В опре­де­лен­ных си­ту­а­ци­ях, таких как на­ли­чие мно­же­ства пра­вил или про­вер­ка со­от­вет­ствия боль­шо­му ко­ли­че­ству усло­вий в пра­ви­лах, про­из­во­ди­тель­ность ин­фра­струк­ту­ры Exchange может быть сни­же­на, а поль­зо­ва­те­ли будут по­лу­чать или от­сы­лать со­об­ще­ния с за­держ­кой. По этой при­чине транс­порт­ные пра­ви­ла нужно ис­поль­зо­вать ис­клю­чи­тель­но по необходимости.

Если шаб­лон по­ли­ти­ки прав уда­лен из AD RMS, вам нужно от­ре­дак­ти­ро­вать любое пра­ви­ло Transport Rules, ко­то­рое об­ра­ща­ет­ся к шаб­ло­ну. Если этого не сде­лать, Exchange 2010 вер­нет от­че­ты о недо­став­ке (NDR) от­пра­ви­те­лям со­об­ще­ний, ко­то­рые со­от­вет­ству­ют усло­ви­ям транс­порт­но­го пра­ви­ла, и те вы­зы­ва­ют дей­ствия из толь­ко что уда­лен­но­го шаб­ло­на по­ли­ти­ки прав, при­ме­ня­е­мой к со­об­ще­нию, по ко­то­рой по­тен­ци­аль­ные по­лу­ча­те­ли ни­ко­гда не уви­дят это со­об­ще­ние. Пре­жде чем уда­лить шаб­ло­ны по­ли­ти­ки прав, нужно за­ар­хи­ви­ро­вать их. Exchange 2010 смо­жет ис­поль­зо­вать за­ар­хи­ви­ро­ван­ный шаб­лон, но в любом слу­чае он недо­сту­пен поль­зо­ва­те­лям. Exchange 2010 также вер­нет NDR от­пра­ви­те­лю со­об­ще­ния, если шаб­лон по­ли­ти­ки прав не может быть при­ме­нен в силу недо­ступ­но­сти ин­фра­струк­ту­ры AD RMS. По­это­му убе­ди­тесь, что ваша ин­фра­струк­ту­ра AD RMS от­ка­зо­устой­чи­ва, то есть по­стро­е­на на кла­сте­рах сер­ве­ров сер­ти­фи­ка­ции и лицензий.

Две за­ме­ча­тель­ные функции

Кроме спо­соб­но­сти от­прав­лять, чи­тать и от­ве­чать на за­щи­щен­ные элек­трон­ные со­об­ще­ния через OWA и спо­соб­но­сти при­ме­нять шаб­ло­ны по­ли­ти­ки прав к со­об­ще­ни­ям, Exchange 2010 предо­став­ля­ет воз­мож­ность ин­те­гра­ции в Office 2010 Outlook по­ли­тик на сто­роне кли­ент­ских си­стем, а не на сто­роне сер­ве­ра. Это по­мо­жет за­мет­но раз­гру­зить про­цесс об­ра­бот­ки дан­ных. Еще одна функ­ция — рас­шиф­ров­ка за­щи­щен­но­го кон­тен­та для того, чтобы при­ве­сти его в со­от­вет­ствие с за­ко­но­да­тель­ны­ми тре­бо­ва­ни­я­ми. Эти две функ­ции я рас­смот­рю в одной из сле­ду­ю­щих статей.

Джон Хоуи (jhowie@​microsoft.​com) — ме­не­джер цен­тра Microsoft Security Center of Excellence. Имеет сер­ти­фи­ка­ты CISSP, CISM и CISA

Источник: http://www.osp.ru/win2000/2010/11/13006808/