Active Directory Rights Management Services

Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) per il sistema operativo Windows Server 2008 R2 consiste nella tecnologia di protezione delle informazioni che utilizza applicazioni abilitate per RMS di AD per proteggere i dati digitali da utilizzi non autorizzati sia online sia offline e all'interno o all'esterno del firewall. RMS di AD è progettato per le organizzazioni che hanno la necessità di proteggere informazioni riservate e di proprietà, ad esempio rapporti finanziari, specifiche di prodotti, dati relativi ai clienti e messaggi di posta elettronica riservati. RMS di AD consente di migliorare la strategia di sicurezza delle organizzazioni offrendo loro la possibilità di proteggere le informazioni tramite criteri di utilizzo permanenti, noti anche come diritti e condizioni di utilizzo, che rimangono associati alle informazioni indipendente dalla posizione in cui queste vengono spostate. RMS di AD consente di proteggere in modo permanente qualsiasi formato binario di dati, in modo tale che i diritti di utilizzo rimangano associati alle informazioni anziché risiedere semplicemente nella rete dell'organizzazione. Consente inoltre di applicare i diritti di utilizzo dopo l'accesso alle informazioni da parte di un destinatario non autorizzato sia online sia offline e all'interno o all'esterno dell'organizzazione. RMS di AD consente di proteggere le informazioni mediante l'uso di criteri di utilizzo permanenti attraverso la definizione degli elementi seguenti:

  • Entità trusted. Le organizzazioni hanno la possibilità di specificare le entità, inclusi individui, gruppi di utenti, computer e applicazioni considerati partecipanti attendibili in un sistema RMS di AD. Mediante la definizione di entità trusted, RMS di AD consente di proteggere le informazioni concedendo l'accesso solo ai partecipanti considerati attendibili.

  • Diritti e condizioni di utilizzo. Organizzazioni e individui possono assegnare diritti e condizioni di utilizzo che consentono di definire il modo in cui un'entità trusted specifica può utilizzare il contenuto protetto con RMS. Esempi di diritti di utilizzo sono rappresentati dall'autorizzazione per la lettura, la copia, il salvataggio, l'inoltro e la modifica. I diritti di utilizzo associati a condizioni, ad esempio la data di scadenza di tali diritti. Le organizzazioni hanno la possibilità di escludere applicazioni ed entità dall'accesso al contenuto protetto con RMS.

  • Crittografia. La crittografia è il processo mediante il quale i dati vengono bloccati tramite chiavi elettroniche. RMS di AD crittografa le informazioni rendendo l'accesso condizionato alla riuscita della convalida delle entità trusted. Dopo aver bloccato le informazioni, solo le entità trusted a cui sono stati concessi i diritti di utilizzo in base a eventuali condizioni specificate saranno in grado di sbloccare o decrittografare le informazioni in un'applicazione o in un browser abilitato RMS di AD. I diritti e le condizioni di utilizzo definiti verranno quindi imposti dall'applicazione.

In questo sistema di Guida vengono fornite le informazioni che consentono all'utente di svolgere le attività amministrative utilizzando la console Active Directory Rights Management Services. Per ulteriori informazioni sull'utilizzo del cluster RMS di AD, vedere gli argomenti seguenti.

  • Panoramica di Active Directory Rights Management Services

  • Informazioni sulla preinstallazione per Active Directory Rights Management Services

  • Elenco di controllo: distribuire un'installazione a server singolo

  • Elenco di controllo: distribuire AD RMS in una rete Extranet

  • Elenco di controllo: distribuire AD RMS in un'organizzazione con utenti in più foreste

  • Elenco di controllo: Distribuzione di un cluster AD RMS utilizzato esclusivamente per la gestione delle licenze

  • Elenco di controllo: distribuire AD RMS con AD FS

  • Installare un cluster AD RMS

  • Configurare un cluster AD RMS

  • Rimozione di un cluster AD RMS

  • Utilizzare il client AD RMS

  • Risorse di AD RMS

  • Interfaccia utente: AD RMS

È possibile configurare e gestire RMS di AD tramite l'interfaccia di Windows o Windows PowerShell. In questi argomenti della Guida vengono illustrati i metodi per utilizzare l'interfaccia di Windows. Per ulteriori informazioni sull'utilizzo di Windows PowerShell per RMS di AD, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Per ulteriori informazioni sulla pianificazione, la distribuzione e la risoluzione dei problemi di RMS di AD, vedere il sito Web TechCenter di Active Directory Rights Management Services (http://go.microsoft.com/fwlink/?LinkId=80907).


Panoramica di Active Directory Rights Management Services

Mediante Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) e il client RMS di AD è possibile incrementare il livello di sicurezza di un'organizzazione proteggendo le informazioni con criteri di utilizzo persistenti che rimangono associati alle informazioni stesse a prescindere da dove vengano trasferite. RMS di AD può essere utilizzato per impedire che informazioni riservate, come ad esempio rendiconti finanziari, specifiche di prodotto, dati dei clienti e messaggi di posta elettronica confidenziali, entrino intenzionalmente o accidentalmente nella disponibilità di persone non autorizzate.

Per informazioni su RMS di AD, vedere la pagina del TechCenter dedicata ad Active Directory Rights Management Services all'indirizzo http://go.microsoft.com/fwlink/?LinkId=80907.

Nelle sezioni seguenti sono disponibili ulteriori informazioni su RMS di AD, sulle funzionalità obbligatorie e facoltative in RMS di AD, nonché sui requisiti hardware e software per l'esecuzione di RMS di AD. Per ulteriori informazioni sull'apertura della console RMS di AD e su RMS di AD, vedere la parte finale di questo argomento.

Cos'è Active Directory Rights Management Services?

Un sistema RMS di AD include un computer server basato su Windows Server® 2008 R2 che esegue il ruolo server Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) che gestisce i certificati e le licenze, un server database e il client RMS di AD. La versione più recente del client RMS di AD è inclusa nei sistemi operativi Windows® 7 e Windows Vista®. La distribuzione di un sistema RMS di AD offre i vantaggi seguente a un'organizzazione:

  • Salvaguardia delle informazioni riservate. Le applicazioni quali gli elaboratori di testo, i client di posta elettronica e le applicazioni line-of-business possono essere abilitate per RMS di AD così da poter salvaguardare le informazioni riservate. Gli utenti possono stabilire chi può aprire, modificare, stampare, inoltrare o eseguire altre azioni su tali informazioni. Le organizzazioni possono creare modelli di criteri di utilizzo personalizzati, ad esempio "confidenziale - sola lettura", che possono essere applicati direttamente alle informazioni.

  • Protezione persistente. RMS di AD potenzia le soluzioni di sicurezza perimetrali esistenti, ad esempio i firewall e gli elenchi di controllo di accesso, per proteggere meglio le informazioni con il blocco dei diritti di utilizzo nel documento stesso e con il controllo della modalità di utilizzo delle informazioni anche dopo la loro apertura da parte dei legittimi destinatari.

  • Tecnologia flessibile e personalizzabile. I fornitori di software indipendente e gli sviluppatori possono abilitare per RMS di AD qualsiasi applicazione o abilitare altri server, ad esempio i sistemi di gestione dei contenuti o i server portale eseguiti su Windows o altri sistemi operativi, al funzionamento con RMS di AD per incrementare la salvaguardia delle informazioni riservate. I fornitori di software indipendente possono integrare la protezione delle informazioni nelle soluzioni server quali la gestione di documenti e record, i gateway di posta elettronica e i sistemi di archiviazione, i flussi di lavoro automatizzati e il controllo dei contenuti.

RMS di AD offre strumenti di sviluppo e tecnologie di sicurezza di settore, tra cui crittografia, certificati e autenticazione, per consentire alle organizzazioni di creare soluzioni affidabili per la protezione delle informazioni. Per la creazione di soluzioni RMS di AD personalizzate è disponibile il Software Development Kit di RMS di AD.

Funzionalità di AD RMS

Utilizzando Server Manager è possibile configurare i componenti di RMS di AD seguenti:

  • Active Directory Rights Management Services. Il servizio ruolo Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) è necessario e installa i componenti di RMS di AD utilizzati per pubblicare e usufruire dei contenuti protetti con RMS.

  • Supporto federazione identità. Il servizio Ruolo Supporto federazione identità è facoltativo e consente alle identità federate di usufruire del contenuto protetto con RMS mediante Active Directory Federation Services.

Considerazioni relative ai requisiti hardware e software

RMS di AD può essere eseguito in un computer con il sistema operativo Windows Server 2008 R2. Quando il ruolo server RMS di AD viene installato, vengono installati anche i necessari servizi, uno dei quali è Internet Information Services (IIS). RMS di AD necessita inoltre di un database, ad esempio Microsoft SQL Server, che può essere eseguito sullo stesso server di RMS di AD o su un server remoto, e della foresta Servizi di dominio Active Directory.

Nella tabella seguente sono riportati i requisiti hardware minimi e i consigli per l'esecuzione di server basati su Windows Server 2008 R2 con il ruolo server RMS di AD.

Requisito | Consiglio
Un processore Pentium 4 a 3 GHz o superiore | Due processori Pentium 4 a 3 GHz o superiori
512 MB di RAM | 1.024 MB di RAM
40 GB di spazio libero sul disco rigido | 80 GB di spazio libero sul disco rigido
Nota

È disponibile un insieme limitato di ruoli server per l'opzione di installazione di Server Core di Windows Server 2008 e per Windows Server 2008 per sistemi basati su Itanium.

Per determinare la capacità necessaria del server, utilizzare il testing in un ambiente di laboratorio, i dati hardware esistenti di un ambiente di produzione e le distribuzioni pilota.

Nella tabella seguente sono riportati i requisiti software per l'esecuzione di server basati su Windows Server 2008 R2 con il ruolo server RMS di AD. Per i requisiti che possono essere soddisfatti attivando funzionalità del sistema operativo, l'installazione del ruolo server RMS di AD determinerà la configurazione appropriata di tali funzionalità, nel caso non siano già configurate.

Software | Requisito
Sistema operativo | Windows Server 2008 R2
File system | È consigliato il file system NTFS
Messaggistica | Accodamento messaggi
Servizi Web | Internet Information Services (IIS). È necessario abilitare ASP.NET.
Active Directory o Servizi di dominio Active Directory | RMS di AD deve essere installato in un dominio Active Directory in cui i controller di dominio eseguono Windows Server 2000 con Service Pack 3 (SP3), Windows Server 2003, Windows Server® 2008 o Windows Server 2008 R2. Tutti gli utenti e i gruppi che utilizzano RMS di AD per acquisire licenze e pubblicare contenuto devono disporre di un indirizzo di posta elettronica configurato in Active Directory.
Server database | RMS di AD richiede un server database, ad esempio Microsoft SQL Server 2005 o Microsoft SQL Server 2008, e stored procedure per eseguire le operazioni. Il ruolo server RMS di AD in Windows Server 2008 R2 non supporta Microsoft SQL Server 2000.

Il client abilitato per RMS di AD deve disporre di un browser o applicazione abilitata per RMS di AD, ad esempio Microsoft Word, Outlook o PowerPoint in Microsoft Office 2007. Il client abilitato per AD RMS deve disporre di un browser o applicazione abilitata per AD RMS, ad esempio Microsoft Word, Outlook o PowerPoint in Microsoft Office 2007. Tali applicazioni richiedono le versioni Enterprise, Professional Plus o Ultimate di Microsoft Office 2007 per creare contenuto protetto. Per un maggiore livello di sicurezza è possibile integrare RMS di AD con altre tecnologie quali le smart cart.

Windows 7 e Microsoft Windows Vista includono il client RMS di AD per impostazione predefinita, mentre negli altri sistemi operativi client è necessario installare il client RMS. La versione del client RMS che include il Service Pack 2 (SP2) può essere scaricata dall'Area download Microsoft e funziona nelle versioni del sistema operativo precedenti a Microsoft Windows Vista e a Windows Server 2008.

Per ulteriori informazioni sulle considerazioni relative all'hardware e al software per RMS di AD, vedere l'argomento contenente informazioni di pre-installazione per Active Directory Rights Management Services nella raccolta di documentazione tecnica di Windows Server 2008 (http://go.microsoft.com/fwlink/?LinkId=84733).

Installare AD RMS

Al termine dell'installazione del sistema operativo, è possibile utilizzare Attività di configurazione iniziali o Server Manager per installare i ruoli server. Per installare RMS di AD, fare clic nell'elenco delle attività su Aggiungi ruoli e quindi selezionare la casella di controllo Active Directory Rights Management Services.

Per istruzioni dettagliate sull'installazione e sulla configurazione di RMS di AD in un ambiente di prova, vedere la guida dettagliata all'installazione di RMS di AD (http://go.microsoft.com/fwlink/?LinkId=72134).

Gestire AD RMS

I ruoli server vengono gestiti mediante uno snap-in MMC (Microsoft Management Console). Utilizzare la console Active Directory Rights Management Services per gestire RMS di AD. Per aprire la console Active Directory Rights Management Services, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Rights Management Services.

Ulteriori informazioni

Per ulteriori informazioni su RMS di AD, è possibile visualizzare la Guida nel server in uso. A questo scopo, aprire la console Active Directory Rights Management Services e premere F1 oppure visitare il TechCenter dedicato ad Active Directory Rights Management Services (http://go.microsoft.com/fwlink/?LinkId=80907).


Informazioni sulla preinstallazione per Active Directory Rights Management Services

Prima di installare AD RMS

Prima di installare Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) in Windows Server® 2008 R2 per la prima volta, è necessario che vengano soddisfatti alcuni requisiti:

  • Installare il server RMS di AD come server membro nello stesso dominio di Servizi di dominio Active Directory allo stesso modo degli account utente che utilizzeranno i contenuto protetto con RMS.

  • Creare un account utente di dominio senza autorizzazioni aggiuntive da utilizzare come account del servizio RMS di AD.

  • Selezionare l'account utente per l'installazione di RMS di AD con le restrizioni seguenti:

    • L'account utente utilizzato per l'installazione di RMS di AD deve essere diverso dall'account del servizio RMS di AD.

    • Se si registra il punto di connessione del servizio (SCP) RMS di AD durante l'installazione, l'account utente utilizzato per l'installazione di RMS di AD deve essere membro del gruppo Enterprise Admins di Servizi di dominio Active Directory o di un gruppo equivalente.

    • Se si utilizza un server database esterno per i database RMS di AD, l'account utente utilizzato per l'installazione di RMS di AD deve disporre del diritto di creare nuovi database. Se si utilizza Microsoft SQL Server 2005 o Microsoft SQL Server 2008, l'account utente deve essere membro del ruolo del database degli amministratori di sistema o di un ruolo equivalente.

    • L'account utente utilizzato per l'installazione di RMS di AD deve poter eseguire una query sul dominio di Servizi di dominio Active Directory.

  • Riservare un URL per il cluster RMS di AD che sarà disponibile per tutta la durata dell'installazione di RMS di AD. Verificare che l'URL riservato sia diverso dal nome del computer.

Oltre ai requisiti di preinstallazione per RMS di AD, è inoltre consigliabile:

  • Installare il server database utilizzato per l'hosting dei database RMS di AD in un computer separato. Per informazioni sui server database supportati da Windows Server 2008 R2, vedere Requisiti di sistema.

  • Installare il cluster RMS di AD utilizzando un certificato SSL (Secure Socket Layer). È consigliabile che questo certificato venga rilasciato da un'autorità di certificazione (CA) radice attendibile.

  • Creare un record di alias DNS (CNAME) per l'URL del cluster RMS di AD e un record CNAME separato per il computer che ospita il database di configurazione di RMS di AD. Nel caso in cui i server RMS di AD vengano ritirati oppure persi a causa di un errore hardware o il nome del computer venga modificato, sarà possibile aggiornare un record CNAME senza dover pubblicare di nuovo tutti i file protetti con RMS.

  • Se si utilizza un'istanza denominata per il database di configurazione di RMS di AD, sarà necessario che il servizio Browser SQL Server venga avviato nel server database prima dell'installazione di RMS di AD. In caso contrario, l'installazione di RMS di AD non sarà in grado di individuare il database di configurazione e l'installazione non verrà completata.

Prima di eseguire l'aggiornamento da RMS ad AD RMS

Se si sta eseguendo l'aggiornamento da una versione qualsiasi di Rights Management Services (RMS) a RMS di AD, eseguire le operazioni seguenti:

  • Eseguire il backup dei database RMS e archiviarli in un percorso sicuro.

  • Se il cluster RMS è stato configurato in modo da utilizzare l'account SYSTEM locale come account del servizio per il cluster, sarà necessario cambiare l'account del servizio passando dall'account SYSTEM locale a un account utente di dominio prima di eseguire l'aggiornamento da RMS a RMS di AD.

  • Se è stata utilizzata l'opzione relativa alla registrazione offline per il provisioning di RMS, verificare che la registrazione sia stata completata prima di eseguire l'aggiornamento a RMS di AD.

  • Se è stato utilizzato MSDE per l'hosting dei database RMS, sarà necessario aggiornare i database a Microsoft SQL Server 2005 o versioni successive prima di aggiornare il cluster RMS a RMS di AD. Non è supportato l'aggiornamento da versioni di RMS mediante il database MSDE.

  • Se è stato utilizzato Microsoft SQL Server 2000 per l'hosting dei database RMS, sarà necessario aggiornare i database a Microsoft SQL Server 2005 o versioni successive prima di aggiornare il cluster RMS a RMS di AD.

  • Scaricare la coda Accodamento messaggi di RMS per verificare che tutti i messaggi vengano scritti nel database di registrazione RMS.

Considerazioni importanti per l'installazione di AD RMS

Prima di installare RMS di AD, è consigliabile considerare tenere presente quanto segue:

  • È consigliabile utilizzare i certificati autofirmati solo in un ambiente di prova. In ambienti pilota e di produzione, è consigliabile utilizzare un certificato SSL rilasciato da un'autorità di certificazione attendibile.

  • Database interno di Windows con RMS di AD è destinato esclusivamente all'utilizzo in ambienti di prova. Poiché Database interno di Windows non supporta le connessioni remote, non è possibile aggiungere un altro server al cluster RMS di AD in questo scenario.

  • Se esiste già un punto di connessione nella foresta di Active Directory per cui si sta installando RMS di AD, verificare che l'URL del cluster nel punto di connessione sia uguale all'URL del cluster per la nuova connessione. Se non sono uguali, è consigliabile non registrare il punto di connessione durante l'installazione di RMS di AD.

  • Durante l'installazione di RMS di AD, localhost non corrisponde a un URL cluster supportato.

  • Quando si specifica l'account del servizio RMS di AD durante l'installazione, verificare che nel computer non sia stata inserita una smart card. Se al computer è collegata una smart card, si riceverà un messaggio di errore per informare che l'account utente utilizzato per l'installazione di RMS di AD non è in grado di eseguire una query su Servizi di dominio Active Directory.

  • Quando si aggiunge un nuovo server a un cluster RMS di AD esistente, è necessario che il certificato SSL sia presente nel nuovo server prima che l'installazione di RMS di AD venga avviata.

  • AD RMS non supporta l'autenticazione Kerberos per impostazione predefinita. Per informazioni sulle operazioni da eseguire per configurare il server per supportare l'autenticazione Kerberos, vedere Attivare il supporto per l'autenticazione Kerberos.

  • Windows Server 2008 R2 non supporta Windows Rights Management Services (RMS) Client versione 1. Il supporto per tale versione del client è terminato con l'uscita dell'ultimo Service Pack per RMS Client versione 1. Per poter continuare a creare e ad accedere a contenuto protetto con RMS di AD, i client che eseguono RMS Client versione 1 devono installare l'ultimo Service Pack scaricandolo dal sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=140054.

Considerazioni importanti per l'installazione di AD RMS con Supporto federazione identità

Prima di installare RMS di AD con Supporto federazione identità, è consigliabile tenere presente quanto segue:

  • Prima di installare Supporto federazione identità è necessario che sia configurata una relazione di trust federativa. Durante l'installazione del servizio ruolo Supporto federazione identità, verrà chiesto di specificare l'URL del servizio federativo.

  • Active Directory Federation Services (ADFS) richiede una connessione sicura tra RMS di AD e il server di risorse di ADFS. Per poter utilizzare il supporto federativo con RMS di AD, è necessario che RMS di AD venga installato utilizzando un indirizzo cluster sicuro.

  • L'account del servizio RMS di AD deve disporre del privilegio Generazione di controlli di sicurezza. Questo privilegio viene concesso mediante la console dei criteri di sicurezza locali.

  • È necessario che gli URL del cluster Extranet RMS di AD siano accessibili al partner account federato.

Requisiti di sistema

Nella tabella seguente sono riportati i requisiti hardware minimi e i consigli per l'esecuzione di server Windows Server® 2008 R2 con il ruolo server RMS di AD.

Requisito | Consiglio
Un processore Pentium 4 a 3 GHz o superiore | Due processori Pentium 4 a 3 GHz o superiori
512 MB di RAM | 1024 MB di RAM
40 GB di spazio libero sul disco rigido | 80 GB di spazio libero sul disco rigido

Nella tabella seguente sono riportati i requisiti software per l'esecuzione di server Windows Server 2008 R2 con il ruolo server RMS di AD. Per i requisiti che possono essere soddisfatti attivando funzionalità del sistema operativo, l'installazione del ruolo server RMS di AD determinerà la configurazione appropriata di tali funzionalità, nel caso non siano già configurate.

Software | Requisito
Sistema operativo | Windows Server 2008 R2
File system | È consigliato il file system NTFS
Messaggistica | Accodamento messaggi
Servizi Web | Internet Information Services (IIS) È necessario attivare ASP.NET.
Active Directory o Servizi di dominio Active Directory | RMS di AD deve essere installato in un dominio Active Directory in cui i controller di dominio eseguono Windows Server 2000 con Service Pack 3 (SP3), Windows Server 2003, Windows Server® 2008 o Windows Server 2008 R2. Tutti gli utenti e i gruppi che utilizzano RMS di AD per acquisire licenze e pubblicare contenuto devono disporre di un indirizzo di posta elettronica configurato in Active Directory.
Server database | RMS di AD richiede un server database, ad esempio Microsoft SQL Server 2005, e stored procedure per eseguire le operazioni. Il ruolo server RMS di AD in Windows Server 2008 R2 non supporta Microsoft SQL Server 2000.

Ulteriori riferimenti

  • Elenco di controllo: distribuire un'installazione a server singolo

  • Elenco di controllo: distribuire AD RMS in una rete Extranet

  • Elenco di controllo: distribuire AD RMS in un'organizzazione con utenti in più foreste

  • Elenco di controllo: Distribuzione di un cluster AD RMS utilizzato esclusivamente per la gestione delle licenze

  • Elenco di controllo: distribuire AD RMS con AD FS


Elenco di controllo: distribuire un'installazione a server singolo

Nell'elenco di controllo seguente vengono descritte le attività necessarie per l'installazione e la configurazione di un cluster radice Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) in un server singolo che utilizza Database interno di Windows. Questo tipo di distribuzione è appropriato per l'installazione di RMS di AD in un ambiente di prova. Tale distribuzione non è scalabile, ovvero non è possibile includere più server nello stesso cluster.

Passaggio | Riferimento
Installare il ruolo server RMS di AD. | Installare il ruolo server AD RMS
Configurare l'eccezione di Windows Firewall appropriata nel server RMS di AD. | Configurare Windows Firewall
Aggiungere il server RMS di AD alla console MMC. | Amministrare AD RMS utilizzando la console Active Directory Rights Management Services

Per ulteriori informazioni sull'installazione e sulla configurazione di RMS di AD, vedere la guida dettagliata di Active Directory Rights Management Services di Windows Server all'indirizzo http://go.microsoft.com/fwlink/?LinkId=72134.


Elenco di controllo: distribuire AD RMS in una rete Extranet

Nell'elenco di controllo seguente vengono indicate le operazioni necessarie per configurare il cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) per supportare gli utenti che devono utilizzare contenuto protetto con RMS quando non sono connessi alla rete dell'organizzazione, ad esempio utenti mobili e telelavoratori.

Passaggio | Riferimento
Installare il ruolo server RMS di AD. | Installare il ruolo server AD RMS
Configurare l'eccezione di Windows Firewall appropriata. | Configurare Windows Firewall
Aprire la console Active Directory Rights Management Services. | Amministrare AD RMS utilizzando la console Active Directory Rights Management Services
Configurare le impostazioni del cluster RMS di AD. | Aggiungere un URL del cluster Extranet
Nota

Questo elenco di controllo non comprende la pubblicazione su Internet degli URL del cluster Extranet di certificazione e gestione licenze RMS di AD. Per informazioni sulla pubblicazione sicura degli URL del cluster Extranet su Internet, vedere la guida dettagliata sulla distribuzione di Active Directory Rights Management Services in una rete Extranet all'indirizzo http://go.microsoft.com/fwlink/?LinkID=72138.

Per ulteriori informazioni sulla configurazione di RMS di AD per la collaborazione all'esterno della rete dell'organizzazione, vedere la guida dettagliata sulla distribuzione di Active Directory Rights Management Services in una rete Extranet all'indirizzo http://go.microsoft.com/fwlink/?LinkID=72138.


Elenco di controllo: distribuire AD RMS in un'organizzazione con utenti in più foreste

Per ogni foresta è consentito un solo cluster radice Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD). Se l'organizzazione desidera utilizzare contenuto protetto con RMS in più di una foresta, è necessario disporre di un cluster radice RMS di AD diverso per ogni foresta.

Nei passaggi dell'elenco di controllo seguente vengono descritte le attività necessarie per distribuire RMS di AD in un'organizzazione con utenti in più foreste.

  1. Assegnare un certificato SSL (Secure Sockets Layer) al sito Web che ospiterà il cluster RMS di AD.

  2. Installare e configurare un cluster radice RMS di AD in ogni foresta.

  3. Se non si utilizza Exchange Server in ogni foresta, è necessario estendere lo schema di Active Directory.

  4. Aggiungere l'account del servizio RMS di AD all'elenco di controllo di accesso della pipeline di espansione dei gruppi.

Per istruzioni dettagliate sulla configurazione di RMS di AD in un ambiente con più foreste, vedere la guida dettagliata sulla distribuzione di Active Directory Rights Management Services in un ambiente con più foreste all'indirizzo http://go.microsoft.com/fwlink/?LinkId=72139.

Ulteriori riferimenti

  • Installare il ruolo server AD RMS

  • Configurare l'elenco di controllo di accesso (ACL) per la cartella GroupExpansion

  • Esportare un dominio utente trusted

  • Aggiungere un dominio utente trusted


Elenco di controllo: Distribuzione di un cluster AD RMS utilizzato esclusivamente per la gestione delle licenze

La procedura illustrata in questo elenco di controllo descrive le attività che è necessario eseguire per distribuire un cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) utilizzato esclusivamente per la gestione delle licenze.

  1. Assegnare un certificato SSL (Secure Sockets Layer) al sito Web che ospiterà il cluster RMS di AD.

  2. Installare e configurare il cluster RMS di AD utilizzato esclusivamente per la gestione delle licenze. Prima di poter installare il cluster utilizzato esclusivamente per la gestione delle licenze, è necessario che nella foresta di Servizi di dominio Active Directory sia già presente un cluster RMS di AD radice.

    1. Durante l'installazione, scegliere l'opzione Crea un nuovo cluster AD RMS.

    2. Immettere il nome del computer che ospiterà il database di configurazione RMS di AD del cluster utilizzato esclusivamente per la gestione delle licenze e il nome dell'istanza del database.

    3. Selezionare il tipo di protezione della chiave da utilizzare per il cluster utilizzato esclusivamente per la gestione delle licenze. Se si sceglie che le chiavi vengano gestite centralmente da RMS di AD, immettere la password della chiave del cluster RMS di AD. Se per proteggere la chiave del cluster si utilizza un provider del servizio di crittografia (CSP), creare una nuova coppia di chiavi oppure utilizzare una coppia di chiavi esistente.

    4. Immettere un account di servizio da utilizzare per il cluster utilizzato esclusivamente per la gestione delle licenze.

    5. Scegliere il sito Web appropriato in cui dovrà essere installato RMS di AD.

    6. Immettere il nome del cluster da utilizzare per il nuovo cluster utilizzato esclusivamente per la gestione delle licenze e digitare il numero di porta appropriato. Per impostazione predefinita, il numero di porta è 80 per HTTP e 443 per HTTPS.

    7. Immettere un nome descrittivo per il nuovo cluster RMS di AD.

Per istruzioni dettagliate sull'impostazione di un cluster RMS di AD utilizzato esclusivamente per la gestione di licenze in un ambiente di prova, vedere la guida dettagliata per la distribuzione di un cluster AD RMS utilizzato esclusivamente per la gestione delle licenze all'indirizzo http://go.microsoft.com/fwlink/?LinkId=72141.

Ulteriore riferimento

  • Installare un cluster AD RMS


Elenco di controllo: distribuire AD RMS con AD FS

Nei passaggi dell'elenco di controllo seguente vengono descritte le attività necessarie per configurare il supporto di identità federative con il cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD).

  1. Assegnare un certificato SSL (Secure Sockets Layer) al sito Web che ospiterà il cluster RMS di AD.

  2. Installare e configurare il cluster RMS di AD.

  3. Concedere all'account del servizio RMS di AD il privilegio Generazione di controlli di sicurezza presente nella console Criteri di sicurezza locali. Tale privilegio consente all'account del servizio RMS di AD di generare eventi e di scriverli nel registro sicurezza.

  4. Nel partner risorse AD FS creare un'applicazione in grado di riconoscere attestazioni per le pipeline di certificazione e gestione licenze di RMS di AD.

  5. Configurare l'URL del cluster Extranet di RMS di AD utilizzando la console Active Directory Rights Management Services.

  6. Aggiungere il servizio ruolo Supporto federazione identità di RMS di AD tramite Server Manager.

Per istruzioni dettagliate sull'impostazione di RMS di AD e AD FS, vedere la Guida dettagliata all'utilizzo della federazione delle identità con AD RMS insieme ad ADFS all'indirizzo http://go.microsoft.com/fwlink/?LinkId=72135.

Ulteriori riferimenti

  • Installare un cluster AD RMS

  • Configurare le impostazioni di Supporto identità federativa

  • Aggiungere un URL del cluster Extranet

  • Importare un certificato SSL utilizzando Gestione Internet Information Services (IIS)


Installare un cluster AD RMS

In questa sezione vengono descritte procedure utili per la configurazione di Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) all'interno dell'organizzazione.

In questa sezione sono contenute le procedure seguenti:

  • Informazioni sui cluster AD RMS

  • Informazioni sulla protezione e l'archiviazione delle chiavi di AD RMS

  • Installare il ruolo server AD RMS

  • Eseguire l'aggiornamento a AD RMS

  • Collegare un server AD RMS a un cluster esistente

  • Amministrare AD RMS utilizzando la console Active Directory Rights Management Services

  • Modificare le impostazioni del proxy di AD RMS

  • Aggiungere un URL del cluster Extranet

  • Registrare un punto di connessione del servizio

  • Configurare Windows Firewall

  • Controllare i Criteri password dell'organizzazione

  • Importare un certificato SSL utilizzando Gestione Internet Information Services (IIS)

  • Attivare il supporto per l'autenticazione Kerberos


Informazioni sui cluster AD RMS

I cluster RMS di AD vengono definiti come server singolo che esegue RMS di AD o come gruppo di server che condivide le richieste di pubblicazione e di gestione licenze RMS di AD provenienti da client RMS di AD. Quando viene eseguito il provisioning del primo server RMS di AD in una foresta di Active Directory, il server diventa un cluster RMS di AD. È possibile eseguire il provisioning di altri server e aggiungerli a un cluster RMS di AD in qualsiasi momento.

Esistono due tipi di cluster: i cluster radice e i cluster utilizzati esclusivamente per la gestione delle licenze. Il primo server in un'installazione RMS di AD diventa sempre il cluster radice. Il cluster radice gestisce tutte le richieste di certificazione e di gestione licenze relative al dominio di Servizi di dominio Active Directory in cui è stato installato. Negli ambienti complessi è possibile creare, oltre al cluster radice, cluster utilizzati esclusivamente per la gestione delle licenze. È tuttavia consigliabile utilizzare solo un cluster radice e aggiungere a questo altri server RMS di AD, poiché non è possibile utilizzare cluster radice e cluster per la sola gestione delle licenze nello stesso pool di bilanciamento del carico.

Ulteriore riferimento

  • Installare un cluster AD RMS


Informazioni sulla protezione e l'archiviazione delle chiavi di AD RMS

È possibile proteggere la chiave del cluster RMS di AD utilizzando un provider del servizio di crittografia (CSP) basato sull'hardware o sul software oppure archiviando la chiave del cluster nel database di configurazione RMS di AD. Un provider del servizio di crittografia basato sull'hardware archivia la chiave in un dispositivo hardware.

Per una sicurezza ottimale, per proteggere la chiave del cluster RMS di AD, è consigliabile utilizzare un provider del servizio di crittografia basato sul'hardware. Quando si utilizza RMS di AD per gestire centralmente la chiave del cluster dal database di configurazione RMS di AD, è consigliabile utilizzare una password della chiave del cluster complessa. Se si sta eseguendo l'aggiornamento da RMS a RMS di AD e si sta utilizzando un provider del servizio di crittografia basato sull'hardware, prima di procedere con l'aggiornamento verificare che i driver siano compatibili con Windows Server 2008 R2.

Nota

Se il cluster RMS di AD include più server e per proteggere la chiave del cluster si sta utilizzando un provider del servizio di crittografia basato sul software o sull'hardware, prima di installare RMS di AD sarà necessario spostare manualmente la chiave del cluster negli altri componenti. Per informazioni sulle procedure che consentono di spostare la chiave del cluster, vedere la documentazione del provider del servizio di crittografia.

Ulteriori riferimenti

  • Informazioni sulla preinstallazione per Active Directory Rights Management Services

  • Informazioni sui certificati AD RMS


Installare il ruolo server AD RMS

Il computer in cui si sta effettuando l'installazione di RMS di AD deve essere un server membro di un dominio oppure deve essere un controller di dominio. Non è possibile distribuire RMS di AD in un server che fa parte di un gruppo di lavoro.

Nota

Se si sta installando RMS di AD in un controller di dominio, è necessario aggiungere l'account di servizio RMS di AD al gruppo Domain Admins. Non è consigliabile aggiungere l'account di servizio RMS di AD al gruppo Enterprise Admins.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per installare il ruolo server AD RMS

  1. Accedere al server in cui si desidera installare RMS di AD.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Nella casella Riepilogo ruoli fare clic su Aggiungi ruoli.

  4. Leggere la sezione Prima di iniziare e quindi fare clic su Avanti.

  5. Nella pagina Selezione ruoli server selezionare la casella di controllo Active Directory Rights Management Services.

  6. Verrà visualizzata la pagina Servizi ruolo contenente informazioni sulle funzionalità e sui servizi ruolo dipendenti da RMS di AD. Verificare che Server Web (IIS), Servizio Processo attivazione Windows e Accodamento messaggi siano elencati e quindi fare clic su Aggiungi servizi ruolo necessari. Fare clic su Avanti.

  7. Leggera la pagina di introduzione a RMS di AD e quindi fare clic su Avanti.

  8. Nella pagina Selezione servizi ruolo verificare che la casella di controllo Server AD RMS sia selezionata e quindi fare clic su Avanti.

  9. Selezionare l'opzione Crea un nuovo cluster AD RMS e quindi fare clic su Avanti.

  10. Selezionare l'opzione Usa un altro server di database e quindi fare clic su Seleziona.

    Nota

    Se si sceglie di utilizzare Database interno di Windows per ospitare i database RMS di AD per un'installazione a server singolo, non è necessario eseguire i passaggi 11 e 12.

  11. Digitare il nome del computer che ospiterà i database RMS di AD e quindi fare clic su OK.

  12. In Istanza database scegliere l'istanza appropriata e quindi fare clic su Convalida e su Avanti.

  13. Nella pagina Impostazione account servizio fare clic su Specifica, digitare l'account e la password dell'utente di dominio da utilizzare come account di servizio RMS di AD e quindi fare clic su OK e su Avanti.

  14. Verificare che l'opzione Usa archivio chiavi AD RMS gestito centralmente sia selezionata e quindi fare clic su Avanti.

    Nota

    Se si sceglie di proteggere la chiave del cluster RMS di AD utilizzando un provider di archiviazione chiavi di crittografia, non è necessario eseguire il passaggio 15.

  15. Digitare una password complessa in Password e in Conferma password e quindi fare clic su Avanti.

  16. Scegliere il sito Web in cui si desidera installare i servizi Web RMS di AD e quindi fare clic su Avanti. In un'installazione predefinita il nome del sito Web dovrebbe essere Sito Web predefinito.

  17. Per una sicurezza ottimale il provisioning del cluster RMS di AD dovrebbe essere eseguito utilizzando una connessione crittografata con SSL. Selezionare l'opzione Usa una connessione crittografata con SSL (https://).

  18. Digitare il nome di dominio completo del cluster RMS di AD nella casella Indirizzo interno e quindi fare clic su Convalida. Se si desidera modificare la porta predefinita utilizzata per le comunicazioni RMS di AD, è possibile farlo in questa pagina della procedura guidata. Se la convalida ha esito positivo, il pulsante Avanti sarà attivo. Fare clic su Avanti.

  19. Selezionare l'opzione Scegli un certificato esistente per crittografia SSL, fare clic sul certificato appropriato oppure fare clic su Importa per importare il certificato e quindi fare clic su Avanti.

    Importante

    È consigliabile utilizzare i certificati autofirmati solo negli ambienti di prova. In un ambiente di produzione è consigliabile utilizzare un certificato SSL rilasciato da un'autorità di certificazione, ad esempio Verisign Inc.

  20. Nella casella Nome descrittivo digitare un nome che consenta di identificare facilmente il cluster RMS di AD e quindi fare clic su Avanti.

  21. Verificare che l'opzione Registra punto di connessione del servizio AD RMS adesso sia selezionata e quindi fare clic su Avanti per registrare il punto di connessione del servizio RMS di AD in Servizi di dominio Active Directory.

    Importante

    Per registrare il punto di connessione del servizio RMS di AD, è necessario essere connessi al server RMS di AD con un account utente dotato di accesso in scrittura al contenitore Servizi in Servizi di dominio Active Directory.

  22. Leggere le informazioni contenute nella pagina Introduzione a Server Web (IIS) e quindi fare clic su Avanti.

  23. Fare nuovamente clic su Avanti, lasciando invariate le impostazioni predefinite del server Web.

  24. Fare clic su Installa per eseguire il provisioning di RMS di AD nel computer. Il completamento dell'installazione può richiedere fino a 60 minuti.

  25. Fare clic su Fine.

  26. Disconnettersi dal server e quindi eseguire nuovamente l'accesso per aggiornare le autorizzazioni concesse all'account dell'utente connesso. L'account utente che è connesso durante il provisioning del ruolo server RMS di AD viene automaticamente aggiunto come membro del gruppo RMS di AD Enterprise Administrators. L'utente deve essere membro di tale gruppo per amministrare RMS di AD.

Ulteriori riferimenti

  • Installare un cluster AD RMS

  • Controllare i Criteri password dell'organizzazione


Eseguire l'aggiornamento a AD RMS

Per eseguire l'aggiornamento a RMS di AD da Rights Management Services (RMS) con Service Pack 1 (SP1) o Service Pack 2 (SP2), eseguire la procedura seguente dopo aver aggiornato il sistema operativo a Windows Server® 2008 R2:

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale o a un gruppo equivalente. L'account utente, inoltre, deve essere un membro del ruolo del database Amministratori di sistema o di un ruolo equivalente nel server database.

Per eseguire l'aggiornamento a AD RMS

  1. Accedere al server nel quale si desidera eseguire l'aggiornamento a RMS di AD.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Espandere Ruoli e quindi fare clic su Active Directory Rights Management Services.

    Nota

    Quando si esegue questo passaggio, è possibile che venga visualizzato un messaggio di errore. Tale messaggio non indica un problema con l'aggiornamento. Fare clic su OK per continuare.

  4. Nel riquadro dei risultati fare clic su Completare l'installazione di Active Directory Rights Management Services e quindi seguire le istruzioni della procedura guidata di aggiornamento a RMS di AD.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Informazioni sulla preinstallazione per Active Directory Rights Management Services


Collegare un server AD RMS a un cluster esistente

È possibile collegare in qualsiasi momento server aggiuntivi a un cluster. I server possono essere aggiunti a un'installazione di RMS di AD in uno dei modi seguenti:

  • Aggiungere uno o più server RMS di AD a un cluster radice.

  • Aggiungere uno o più server RMS di AD a un cluster utilizzato esclusivamente per la gestione delle licenze.

Aggiungere server a un cluster radice

Nella maggior parte dei casi aggiungere uno o più server RMS di AD a un cluster radice è il modo migliore per aumentare la disponibilità e la ridondanza della distribuzione. Un cluster radice può contenere uno o più server che forniscono tutti i servizi ai client RMS di AD.

Durante l'installazione e il provisioning è possibile scegliere di aggiungere un server a un cluster. In tal caso il nuovo server RMS di AD viene automaticamente configurato come membro del cluster.

Oltre a questa operazione di provisioning, se si sta creando un cluster per la prima volta, è inoltre necessario configurare il software o l'hardware con il clustering e il bilanciamento del carico in base alle specifiche esigenze. Se è già stato implementato un cluster, è necessario configurare il software o l'hardware per il bilanciamento del carico in modo che funzioni con il nuovo membro del cluster.

Aggiungere server a un cluster utilizzato esclusivamente per la gestione delle licenze

A differenza del cluster radice che offre tutti i servizi RMS di AD, i server di un cluster utilizzato esclusivamente per la gestione delle licenze offrono solo servizi di gestione licenze e pubblicazione.

I cluster utilizzati esclusivamente per la gestione delle licenze sono facoltativi e nella maggior parte dei casi vengono distribuiti per rispondere a specifici requisiti di gestione delle licenze, ad esempio i seguenti:

  • Per supportare specifici requisiti di gestione dei diritti di un reparto. Ad esempio, un gruppo all'interno dell'organizzazione può avere una serie di modelli di criteri per i diritti di utilizzo diversi che non dovrebbero essere condivisi con il resto dell'organizzazione. Dato che in una foresta è consentito un unico cluster radice, non è possibile configurare un cluster radice separato a meno che non venga creata una nuova foresta. In tal caso, è possibile configurare un cluster utilizzato esclusivamente per la gestione delle licenze dedicato alle esigenze del gruppo e quindi configurare modelli di criteri per i diritti di utilizzo separati specifici per tale cluster.

  • Per supportare la gestione dei diritti per i partner commerciali esterni come parte di una rete Extranet in cui è necessario separare nettamente e tenere traccia delle risorse per partner commerciali specifici.

Importante

Se si utilizza un provider del servizio di crittografia (CSP) basato su software o hardware per proteggere la chiave del cluster RMS di AD, è consigliabile importare il contenitore di chiavi prima di aggiungere il server al cluster RMS di AD.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere un server AD RMS a un cluster esistente

  1. Accedere al server che si desidera aggiungere a un cluster RMS di AD esistente.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Nella casella Riepilogo ruoli fare clic su Aggiungi ruoli.

  4. Leggere la sezione Prima di iniziare e quindi fare clic su Avanti.

  5. Nella pagina Selezione ruoli server selezionare la casella di controllo Active Directory Rights Management Services.

  6. Verrà visualizzata la pagina Servizi ruolo contenente informazioni sulle funzionalità e sui servizi ruolo dipendenti da RMS di AD. Verificare che Server Web (IIS), Servizio Processo attivazione Windows e Accodamento messaggi siano elencati e quindi fare clic su Aggiungi servizi ruolo necessari. Fare clic su Avanti.

  7. Leggera la pagina di introduzione a RMS di AD e quindi fare clic su Avanti.

  8. Nella pagina Selezione servizi ruolo verificare che la casella di controllo Server AD RMS sia selezionata e quindi fare clic su Avanti.

  9. Selezionare l'opzione Aggiungi a un cluster AD RMS e quindi fare clic su Avanti.

  10. Digitare il nome del server database nella casella Server database, scegliere l'istanza del server database appropriata dalla casella Selezionare o immettere l'istanza del server database, digitare il nome del database di configurazione RMS di AD nella casella Immettere il nome del database, fare clic su Convalida e quindi su Avanti.

  11. Se si utilizza RMS di AD per gestire centralmente la chiave del cluster, confermare che il database è corretto, digitare la password della chiave del cluster nella casella Password, digitare nuovamente la password nella casella Conferma password e quindi fare clic su Avanti.

  12. Leggere le informazioni contenute nella pagina Introduzione a Server Web (IIS) e quindi fare clic su Avanti.

  13. Mantenere le selezioni predefinite delle caselle di controllo relative al server Web e quindi fare clic su Avanti.

  14. Fare clic su Installa per aggiungere il computer al cluster RMS di AD esistente. Il completamento dell'installazione può richiedere fino a 60 minuti.

  15. Fare clic su Fine.

  16. Disconnettersi dal server e quindi eseguire nuovamente l'accesso per aggiornare le autorizzazioni concesse all'account dell'utente connesso. L'account utente che è connesso durante il provisioning del ruolo server RMS di AD viene automaticamente aggiunto come membro del gruppo RMS di AD Enterprise Administrators.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Installare un cluster AD RMS


Amministrare AD RMS utilizzando la console Active Directory Rights Management Services

Quando si aggiunge un cluster alla console Active Directory Rights Management Services, viene stabilita una connessione tra la console e un server del cluster che funge da punto di connessione del cluster RMS di AD. Gli altri server del cluster vengono associati a tale server in modo da creare il cluster e vengono gestiti insieme.

Per amministrare RMS di AD, è necessario che all'utente sia stato concesso il ruolo di amministratore in ogni server del cluster RMS di AD. Per l'esecuzione delle operazioni giornaliere, sono disponibili tre gruppi di amministrazione identificati per RMS di AD:

  • AD RMS Enterprise Administrators

    I membri di questo gruppo hanno accesso a tutte le funzionalità disponibili nella console RMS di AD. Durante l'installazione di RMS di AD, l'account utente utilizzato per l'installazione viene aggiunto automaticamente a questo gruppo

  • AD RMS Template Administrators

    I membri di questo gruppo possono accedere solo alle funzionalità di amministrazione dei modelli di criteri per i diritti di utilizzo disponibili nella console RMS di AD.

  • AD RMS Auditors

    I membri di questo gruppo possono accedere solo alla funzionalità per la creazione di rapporti disponibile nella console RMS di AD.

Nota

È inoltre disponibile il gruppo di servizi AD RMS. I membri di questo gruppo agiscono come account del servizio RMS di AD. Durante l'installazione di RMS di AD, l'account utente designato come account di servizio viene aggiunto automaticamente a questo gruppo.

Oltre a questi gruppi amministrativi, l'utilizzo di alcune funzioni è limitato agli utenti che dispongono di credenziali aggiuntive:

  • Modifica dell'account del servizio AD RMS

    Per eseguire questa attività è necessario che l'account utente utilizzato per l'accesso sia membro del gruppo AD RMS Enterprise Administrators e membro del gruppo Administrators locale nel server.

  • Modifica della password della chiave del cluster

    Per eseguire questa attività, è necessario che l'account utente utilizzato per l'accesso sia membro del gruppo AD RMS Enterprise Administrators e membro del gruppo Administrators locale nel server.

  • Registrazione o modifica del punto di connessione del servizio (SCP)

    Per eseguire questa attività, è necessario che l'account utente utilizzato per l'accesso sia membro del gruppo AD RMS Enterprise Administrators e disponga dell'autorizzazione per la modifica e la creazione di oggetti in Servizi di dominio Active Directory. Ad esempio, un utente membro del gruppo AD RMS Enterprise Administrators e del gruppo Enterprise Admins di Servizi di dominio Active Directory dispone delle credenziali necessarie per eseguire questa attività.

L'appartenenza al gruppo locale AD RMS Enterprise Administrators, AD RMS Template Administrators o AD RMS Auditorso equivalente, è il minimo indispensabile per completare questa procedura.

Per aprire la console Active Directory Rights Management Services

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Active Directory Rights Management Services.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Verrà aggiunto automaticamente il cluster RMS di AD al quale è assegnato il computer utilizzato. Se si desidera aggiungere ulteriori cluster, fare clic su Aggiungi cluster nel riquadro dei risultati.

Ulteriore riferimento

  • Installare un cluster AD RMS


Modificare le impostazioni del proxy di AD RMS

Se il controllo dell'accesso alle risorse esterne alla foresta locale viene eseguito da un server Web proxy, potrebbe essere necessario configurare RMS di AD per l'utilizzo del proxy in alcuni scenari. Le situazioni in cui questo risulta necessario sono le seguenti:

  • L'organizzazione supporta client Microsoft Rights Management Services (RMS) versione 1.0 che non dispongono della connettività Internet.

    I client RMS versione 1.0 devono essere attivati da Microsoft tramite Internet prima del primo utilizzo. I client RMS versione 1.0 fanno in modo che la richiesta di attivazione venga inoltrata dal cluster RMS di AD, ma se il cluster RMS di AD non risponde, il client tenta di ottenere le credenziali direttamente tramite una connessione Internet nel computer locale, se disponibile. In RMS con Service Pack 1 (SP1) e versioni successive l'attivazione del computer client RMS di AD tramite Internet non è più necessaria.

  • Si considerano attendibili i Certificati per account con diritti (RAC) di utenti Windows Live ID.

    Quando si sceglie di considerare attendibili siti e servizi di Windows Live ID come uno dei propri domini utente trusted, il cluster RMS di AD deve essere in grado di convalidare l'utente in base ai siti e servizi di Windows Live ID.

  • Nell'organizzazione esistono più foreste separate da un server Web proxy e sono state stabilite relazioni di trust tra queste foreste.

    Questo scenario è simile a quello con Windows Live ID per il fatto che il Registro di sistema degli account utente in base al quale il cluster RMS di ADdeve eseguire la convalida è protetto da un server Web proxy.

Se il cluster RMS di AD non ha la necessità di negoziare una connessione attraverso un server proxy, non sarà necessario configurare queste impostazioni. Se il server proxy autentica gli utenti prima di consentire l'accesso in uscita, sarà necessario specificare un account utente utilizzabile da RMS di AD durante la richiesta di verifica delle credenziali eseguita dal server proxy.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare le impostazioni del proxy di AD RMS

  1. Aprire la console Active Directory Rights Management Services, fare clic con il pulsante destro del mouse sul cluster RMS di AD e quindi scegliere Proprietà

  2. Fare clic sulla scheda Impostazioni proxy e quindi selezionare la casella Il cluster utilizza un server proxy per l'accesso a reti esterne.

  3. Nella casella Indirizzo digitare l'indirizzo IP o il nome DNS del server proxy che si desidera utilizzare.

  4. Nella casella Porta digitare il numero di porta utilizzata dal server proxy per connettersi a Internet.

  5. Se non si utilizza il server proxy per connettersi alle risorse locali, selezionare la casella di controllo Ignora server proxy per indirizzi locali.

  6. Se si dispone di indirizzi che non devono utilizzare il server proxy, digitarli nella casella Non utilizzare il server proxy per gli indirizzi che iniziano per.

  7. Se necessario, selezionare la casella di controllo Autenticazione richiesta per questo server proxy.

    • In Tipo di autenticazione scegliere il tipo di autenticazione appropriato dall'elenco, ovvero Di base, Digest o Integrata di Windows.

    • Nella casella Nome utente digitare il nome utente che deve essere fornito in risposta alla richiesta di verifica del proxy server.

    • Nelle caselle Password e Conferma password digitare la password che deve essere fornita in risposta alla richiesta di verifica del proxy server.

    • Se il server proxy utilizza l'autenticazione Integrata in Windows, nella casella Dominio digitare il dominio al quale appartiene l'utente.

  8. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Installare un cluster AD RMS


Aggiungere un URL del cluster Extranet

Gli URL di cluster Extranet vengono utilizzati dai client RMS di AD esterni alla rete interna per connettersi al cluster RMS di AD di gestione delle licenze e certificazione. Assicurarsi di registrare gli URL nel DNS (Domain Name System) e verificare che il DNS sia disponibile da Internet.

Se si aggiungono URL di cluster Extranet a un cluster RMS di AD esistente, i nuovi certificati concessori di licenze client dovranno essere ottenuti dai client RMS di AD correnti. Gli URL di cluster Extranet vengono aggiunti al campo Extranet-License-Acquisition-URL nella licenza di pubblicazione e utilizzati nell'individuazione del servizio client RMS di AD.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere un URL di cluster Extranet

  1. Aprire la console Active Directory Rights Management Services e connettersi al cluster RMS di AD.

  2. Fare clic con il pulsante destro del mouse sul cluster e quindi scegliere Proprietà.

  3. Fare clic sulla scheda URL cluster.

  4. Nell'area URL cluster Extranet fare clic sulla casella di controllo URL Extranet e quindi specificare gli URL da cui si desidera che gli utenti esterni acquisiscano le licenze. È inoltre possibile selezionare HTTP o HTTPS.

  5. Fare clic su Applica.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Installare un cluster AD RMS

  • Individuazione del servizio client AD RMS


Registrare un punto di connessione del servizio

Il punto di connessione del servizio (SCP) RMS di AD identifica l'URL di connessione del servizio ai client abilitati per RMS di AD all'interno dell'organizzazione. Dopo la registrazione dell'SCP in Servizi di dominio Active Directory, i client saranno in grado di individuare il cluster RMS di AD per richiedere licenze d'uso, licenze di pubblicazione o Certificati per account con diritti (RAC).

Quando il ruolo RMS di AD viene configurato nel server, durante l'installazione viene eseguito un primo tentativo di registrazione dell'SCP RMS di AD. Se il tentativo fallisce, è possibile registrare o modificare l'SCP dalla finestra Proprietà del cluster nella console Active Directory Rights Management Services.

Durante la registrazione di un punto di connessione del servizio (SCP) da un cluster RMS di AD in un dominio figlio, è possibile visualizzare un messaggio di errore in cui viene indicato l'esito negativo della registrazione dell'SCP. In molti casi la registrazione ha esito positivo. Tuttavia, la registrazione viene innanzitutto eseguita nel dominio di primo livello e la replica nel dominio figlio in cui il cluster RMS di AD cerca l'oggetto SCP richiede tempo. Al termine della replica dell'SCP in tutti i server di catalogo globale presenti nella foresta, il messaggio non verrà più visualizzato.

L'appartenenza al gruppo AD RMS Enterprise Administrators e il ruolo del database Enterprise Admins in DS di AD, o equivalente, è il minimo indispensabile per completare questa procedura.

Per registrare un punto di connessione del servizio

  1. Accedere al server nel cluster in cui è necessario registrare un SCP.

  2. Aprire la console Active Directory Rights Management Services.

  3. Fare clic con il pulsante destro del mouse sul cluster RMS di AD e quindi scegliere Proprietà.

  4. Fare clic sulla scheda SCP.

  5. Selezionare la casella di controllo Cambia SCP.

  6. Fare clic sull'opzione Imposta SCP sul cluster di certificazione corrente e quindi su OK.

  7. Fare clic su Sì per confermare.

Ulteriori riferimenti

  • Installare un cluster AD RMS

  • Individuazione del servizio client AD RMS


Configurare Windows Firewall

Windows Firewall è un'applicazione firewall basata su host che viene installata e attivata per impostazione predefinita in Windows Server 2008 R2. Se si desidera utilizzare le funzionalità di Windows Firewall all'interno dell'infrastruttura Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD), sarà necessario creare alcune eccezioni del firewall.

Nota

In questo argomento vengono descritte solo le eccezioni del firewall specifiche di RMS di AD. Per altre applicazioni, è possibile che sia necessario creare eccezioni diverse.

Nella tabella seguente sono riportate le eccezioni porte che è consigliabile creare in ogni server RMS di AD del cluster. Non è necessario aprire entrambe le porte contemporaneamente. Per la trasmissione HTTP, è consigliabile aprire solo la porta TCP 80. Se l'ambiente RMS di AD utilizza il protocollo SSL o HTTPS, è consigliabile aprire solo la porta TCP 443. La porta predefinita per SSL è la porta TCP 443. Se l'organizzazione utilizza un numero di porta per SSL diverso da quello predefinito, è consigliabile utilizzare tale porta.

Nota

Quando RMS di AD viene installato, viene creata e attivata automaticamente l'eccezione appropriata descritta nella tabella seguente.

Eccezioni porte | Descrizione
TCP 80 | HTTP
TCP 443 | Comunicazione HTTPS o SSL

Se il cluster RMS di AD contiene più server o il server database RMS di AD non è incluso nel cluster RMS di AD in una distribuzione a server singolo, è consigliabile creare le eccezioni porte seguenti nel server database che ospita i database RMS di AD. In questa tabella si presuppone che si utilizzi Microsoft SQL Server 2005 o versioni successive.

Eccezioni porte | Descrizione
TCP 1433 | Porta di ascolto predefinita di Microsoft SQL Server
TCP 445 | Named Pipes di SQL Server (per il provisioning del server RMS di AD)

Oltre alla creazione delle eccezioni porte, la configurazione dell'ambito del firewall richiede alcune speciali considerazioni. A meno che l'ambiente RMS di AD non venga utilizzato in uno scenario Extranet, è consigliabile limitare tutto il traffico alla rete dell'organizzazione. Se è necessario che l'ambiente RMS di AD sia disponibile per i computer client all'esterno della rete dell'organizzazione, ai computer su Internet è consigliabile consentire solo la connessione alla porta TCP 443 o TCP 80.

Attenzione

In un ambiente RMS di AD la porta TCP 445 viene utilizzata per effettuare il provisioning di un server RMS di AD, ma tale porta viene inoltre utilizzata come porta per la condivisione dei file per tutti i computer che eseguono Microsoft Windows 2000 o versioni successive. A meno che altri computer della rete non abbiano l'esigenza specifica di disporre dell'accesso a questa porta, è consigliabile limitare l'ambito in modo che solo il cluster RMS di AD abbia accesso alla porta TCP 445 nel server database RMS di AD.

Ulteriore riferimento

  • Installare un cluster AD RMS


Controllare i Criteri password dell'organizzazione

Quando si installa un cluster RMS di AD, la password utilizzata per crittografare il certificato concessore di licenze deve essere conforme ai requisiti di complessità delle password esposti dall'organizzazione.

L'appartenenza al gruppo Domain Adminso equivalente, è il minimo indispensabile per completare questa procedura.

Per controllare i requisiti di complessità delle password dell'organizzazione

  1. Accedere a un controller di dominio nella foresta in cui RMS di AD deve essere installato.

  2. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Criteri di gruppo.

  3. Espandere la foresta appropriata, espandere Domini e quindi fare clic sul dominio appropriato

  4. Fare doppio clic su Default Domain Policy.

  5. Passare a:

    Configurazione computer/Impostazioni di Windows/Impostazioni sicurezza/Criteri account/Criteri password

  6. Verificare che la password immessa sia conforme ai Criteri password specificati.

Ulteriore riferimento

  • Informazioni sulla protezione e l'archiviazione delle chiavi di AD RMS


Importare un certificato SSL utilizzando Gestione Internet Information Services (IIS)

Per una sicurezza ottimale, è consigliabile installare RMS di AD con un certificato SSL (Secure Sockets Layer) utilizzato per le comunicazioni Web. È consigliabile utilizzare un certificato considerato attendibile da un'autorità di certificazione.

Se si decide di utilizzare un certificato SSL nell'installazione di RMS di AD, sarà possibile aggiungere il certificato durante l'installazione di RMS di AD oppure importarlo al termine dell'installazione. Per importare il certificato al termine dell'installazione di RMS di AD, eseguire la procedura seguente:

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per importare un certificato SSL utilizzando Gestione Internet Information Services (IIS)

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Internet Information Services (IIS).

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Fare clic sul computer locale e quindi fare doppio clic su Certificati server.

  4. Nel riquadro Azioni fare clic su Importa.

  5. Nella casella File certificati (.pfx) digitare il percorso per il certificato SSL.

  6. Nella casella Password digitare la password utilizzata per creare il certificato e quindi fare clic su OK.

Ulteriore riferimento

  • Installare un cluster AD RMS


Attivare il supporto per l'autenticazione Kerberos

Se si intende utilizzare Active Directory Rights Management Services (AD RMS) con l'autenticazione Kerberos, sarà necessario eseguire alcune operazioni aggiuntive per configurare il server che esegue AD RMS dopo l'installazione del ruolo server AD RMS e il provisioning del server. Nello specifico sarà necessario eseguire queste procedure:

  • Impostare su True la variabile useAppPoolCredentials di Internet Information Services (IIS)

  • Impostare il valore dei nomi principali di servizio (SPN) per l'account del servizio AD RMS

L'appartenenza al gruppo AD RMS Enterprise Administrators e il ruolo del database Enterprise Admins in DS di AD, o equivalente, è il minimo indispensabile per completare questa procedura.

Impostare su True il valore useAppPoolCredentials di IIS

  1. Aprire una finestra del prompt dei comandi con privilegi elevati. Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  2. Passare a %windir%\system32\inetsrv.

  3. Digitare appcmd.exe set config -section:system.webServer/security/authentication/windowsAuthentication -useAppPoolCredentials:true.
Importante

Per poter eseguire correttamente la procedura seguente, l'account del servizio AD RMS deve trovarsi nella stessa foresta del cluster AD RMS. Se inoltre si cambia l'account del servizio AD RMS, sarà necessario eliminare le registrazioni SPN per l'account del servizio precedente e quindi eseguire tale procedura per il nuovo account del servizio.

Impostare il valore dei nomi principali di servizio (SPN) per l'account del servizio AD RMS

  1. Aprire una finestra del prompt dei comandi con privilegi elevati. Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  2. Digitare setspn -a HTTP/<ServerName> <DominioAccountServizio>\<AccountServizio>, dove <ServerName> è il nome del server, <DominioAccountServizio> è il nome del dominio contenente l'account del servizio AD RMS e <AccountServizio> è il nome dell'account del servizio AD RMS.

  3. Digitare setspn -a HTTP/<FQDNServer> <DominioAccountServizio>\<AccountServizio>, dove <FQDNServer> è il nome di dominio completo (FQDN) del server.

  4. Digitare setspn -a HTTP/<NomeCluster> <DominioAccountServizio>\<AccountServizio>, dove <NomeCluster> è il nome del cluster AD RMS.

  5. Digitare setspn -a HTTP/<FQDNCluster> <DominioAccountServizio>\<AccountServizio>, dove <FQDNCluster> è il nome di dominio completo (FQDN) del cluster.

Nota

Se nel cluster viene utilizzato SSL (Secure Sockets Layer), ripetere i passaggi da 2 a 5 sostituendo HTTPS a HTTP.

Ulteriore riferimento

Installare un cluster AD RMS


Configurare un cluster AD RMS

In questa sezione vengono descritte procedure utili per la configurazione di Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) all'interno dell'organizzazione.

In questa sezione sono contenute le procedure seguenti:

  • Amministrare certificati

  • Attivare criteri di esclusione

  • Stabilire criteri di attendibilità

  • Gestione dei database AD RMS

  • Configurare account

  • Configurazione di modelli di criteri per i diritti di utilizzo

  • Configurazione delle foreste in AD RMS


Amministrare certificati

In questa sezione vengono descritte procedure utili per la gestione di certificati per account con diritti e di certificati concessori di licenze server nell'ambiente RMS di AD.

In questa sezione sono contenute le procedure seguenti:

  • Informazioni sui certificati AD RMS

  • Esportare il certificato concessore di licenze server

  • Specificare il periodo di validità del certificato per account con diritti

  • Attivare la certificazione di dispositivi mobili

  • Attivare la certificazione di servizi server

  • Autenticare i client utilizzando smart card


Informazioni sui certificati AD RMS

I diversi componenti di Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) dispongono di connessioni trusted implementate tramite una serie di certificati. Imporre la validità di tali certificati è una funzionalità principale della tecnologia RMS di AD. Ogni parte di contenuto protetto con RMS viene pubblicata con una licenza che definisce le regole di utilizzo e ogni utente di tale contenuto riceve una licenza unica in grado di leggere, interpretare e imporre tali regole di utilizzo. In questo contesto una licenza è un tipo particolare di certificato.

Per esprimere i diritti di utilizzo per il contenuto protetto con RMS, in RMS di AD viene utilizzato un vocabolario XML denominato XrML (eXtensible rights Markup Language).

I certificati e le licenze utilizzati da RMS di AD sono connessi in una gerarchia, in modo che il client RMS di AD sia sempre in grado di ricostruire il percorso da un certificato o una licenza particolare attraverso certificati trusted fino a una coppia di chiavi trusted.

Nella tabella seguente vengono elencati i certificati e le licenze utilizzati da RMS di AD:

Certificato o licenza Scopo Contenuto

Certificato concessore di licenze

Il certificato concessore di licenze viene creato quando il ruolo server RMS di AD viene installato e configurato nel primo server del cluster. Viene generato un unico certificato concessore di licenze che stabilisce autonomamente la propria identità, in un processo denominato di registrazione automatica, e che ha un periodo di validità di 250 anni. Ciò consente l'archiviazione dei dati protetti con RMS per un periodo di tempo esteso. Un cluster radice si occupa sia della certificazione, tramite il rilascio di un certificato per account con diritti (RAC), sia della gestione delle licenze per il contenuto protetto con RMS. Gli altri server aggiunti al cluster radice condividono lo stesso certificato concessore di licenze. Negli ambienti complessi è possibile distribuire cluster utilizzati esclusivamente per la gestione delle licenze che generano i propri certificati concessori di licenze.

Il certificato concessore di licenze contiene la chiave pubblica del server.

Certificato concessore di licenze client

Il certificato concessore di licenze client viene creato dal cluster RMS di AD in risposta a una richiesta dell'applicazione client. Il certificato viene inviato al client quando è connesso alla rete dell'organizzazione e concede all'utente il diritto di pubblicare contenuto protetto con RMS quando il client non è connesso. Il certificato concessore di licenze client è legato al RAC dell'utente. Pertanto, se il RAC non è valido o non è presente, l'utente non sarà in grado di accedere al cluster RMS di AD.

Il certificato concessore di licenze client contiene la chiave pubblica del concessore di licenze client insieme alla chiave privata dello stesso che viene crittografata dalla chiave pubblica dell'utente che ha richiesto il certificato. Contiene inoltre la chiave pubblica del cluster che ha rilasciato il certificato firmato dalla chiave privata dello stesso cluster. La chiava privata del concessore di licenze client viene utilizzata per firmare le licenze di pubblicazione.

Certificato del computer

Il certificato del computer viene creato nel computer client al primo utilizzo di un'applicazione abilitata per RMS di AD. Il client RMS di AD in Microsoft Windows Vista e Windows 7 viene attivato e registrato automaticamente nel cluster radice per creare questo certificato nel computer client. Il certificato identifica un archivio protetto in un computer o dispositivo correlato con il profilo dell'utente connesso.

Il certificato del computer contiene la chiave pubblica del computer attivato. La chiave privata corrispondente si trova nell'archivio protetto del computer.

Certificato per account con diritti

Il RAC stabilisce un'identità dell'utente nel sistema RMS di AD. Viene creato dal cluster radice RMS di AD e viene fornito all'utente al primo tentativo di apertura del contenuto protetto con RMS.

Un RAC standard identifica un utente in base alle credenziali dell'account nel contesto di un computer o un dispositivo specifico ed è caratterizzato da un periodo di validità misurato in giorni. Il periodo di validità predefinito di un RAC standard è di 365 giorni.

Un RAC temporaneo identifica un utente in base alle sole credenziali dell'account e ha un periodo di validità misurato in minuti. Il periodo di validità predefinito di un RAC temporaneo è di 15 minuti.

Il RAC contiene la chiave pubblica dell'utente e la chiave privata dell'utente crittografata con la chiave pubblica del computer attivato.

Licenza di pubblicazione

La licenza di pubblicazione viene creata dal client quando il contenuto viene salvato con la protezione con RMS. Specifica gli utenti che possono aprire il contenuto protetto con RMS, le condizioni in cui il contenuto può essere aperto dall'utente e i diritti concessi a ogni utente per l'utilizzo del contenuto protetto con RMS.

La licenza di pubblicazione contiene la chiave del contenuto simmetrica per la decrittografia del contenuto crittografato con la chiave pubblica del server che ha rilasciato la licenza.

Licenza d'uso

La licenza d'uso determina i diritti relativi al contenuto protetto con RMS nel contesto di uno specifico utente autenticato. Questa licenza è legata al RAC. Se il RAC non è valido o non è presente, la licenza d'uso non può essere utilizzata per aprire il contenuto.

La licenza d'uso contiene la chiave del contenuto simmetrica per la decrittografia del contenuto crittografato con la chiave pubblica dell'utente.

Ulteriori riferimenti

  • Amministrare certificati


Esportare il certificato concessore di licenze server

I certificati concessori di licenze server vengono esportati per poter essere utilizzati nella creazione di domini di pubblicazione trusted e domini utente trusted.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per esportare il certificato concessore di licenze server in un file

  1. Aprire la console Active Directory Rights Management Services.

  2. Nell'albero della console selezionare il cluster RMS di AD del quale si desidera esportare il certificato.

  3. Fare clic con il pulsante destro del mouse sul nome del cluster e quindi scegliere Proprietà.

  4. Nella scheda Certificato server fare clic su Esporta certificato.

  5. Verrà visualizzata la finestra di dialogo Esporta certificato come. È consigliabile modificare il nome di file con estensione bin affinché includa il nome del server, ad esempio RMS di AD_Cluster1_CertConcessore.bin.

  6. Specificare la posizione in cui salvare il certificato concessore di licenze server e quindi fare clic su Salva.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Informazioni sui certificati AD RMS

  • Amministrare certificati


Specificare il periodo di validità del certificato per account con diritti

È possibile specificare i periodi di validità per Certificati per account con diritti (RAC) standard e temporanei. Per impostazione predefinita, il periodo di validità di un RAC standard è di 365 giorni ,mentre quello di un RAC temporaneo è di 15 minuti. Alla fine di tali periodi, è necessario che gli utenti acquisiscano nuovi certificati nel momento in cui tentano di acquisire licenze di pubblicazione o d'uso. Il modo in cui il RAC viene rinnovato dipende dall'applicazione abilitata RMS di AD. In alcuni casi, potrebbe essere trasparente per l'utente, mentre in altri l'utente potrebbe dover inviare una richiesta.

Nota

Se si utilizza Active Directory Federation Services (AD FS) con RMS di AD, il periodo di validità dei certificati per account con diritti viene specificato in Supporto identità federativa. Per ulteriori informazioni, vedere Configurare le impostazioni di Supporto identità federativa.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per specificare il periodo di validità del certificato per account con diritti per certificati standard

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console selezionare Criteri certificato per account con diritti e quindi fare clic su Modifica periodo di validità certificato per account con diritti standard.

  3. Nella scheda Certificato per account con diritti standard in Periodo di validità certificato per account con diritti standard digitare il numero di giorni di validità per un RAC standard e quindi fare clic su OK.

Per specificare il periodo di validità del certificato per account con diritti per certificati temporanei

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console selezionare Criteri certificato per account con diritti e quindi fare clic su Modifica periodo di validità certificato per account con diritti temporaneo.

  3. Nella scheda Certificato per account con diritti temporaneo in Periodo di validità certificato per account con diritti temporaneo digitare il numero di minuti di validità per un RAC temporaneo e quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Informazioni sui certificati AD RMS

  • Amministrare certificati

  • Configurare le impostazioni di Supporto identità federativa


Attivare la certificazione di dispositivi mobili

RMS di AD è in grado di fornire Certificati per account con diritti (RAC) e licenze d'uso alle applicazioni abilitate RMS di AD che eseguono Windows Mobile 6. Quando si configurano servizi di telefonia mobile, è consigliabile tenere presente alcuni aspetti:

  • Per impostazione predefinita, gli elenchi di controllo di accesso discrezionali (DACL) nelle pipeline di RMS di AD utilizzano le impostazioni più sicure. È necessario modificare il DACL quando si utilizzano i servizi di telefonia mobile di RMS di AD.

  • Molti servizi di telefonia mobile utilizzano funzionalità avanzate di Servizi di dominio Active Directory che risultano disponibili solo se tutti i controller di dominio di Servizi di dominio Active Directory eseguono Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. Se si utilizzano servizi di telefonia mobile, è consigliabile che tutti i controller di dominio eseguano Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 e che i livelli di funzionalità di Active Directory del dominio e della foresta corrispondano almeno a Windows Server 2003.

In un'installazione di RMS di AD predefinita, il DACL della pipeline per la certificazione dei dispositivi mobili di RMS di AD è limitato e pertanto un'applicazione non può ottenere certificati e licenze per i relativi utenti. Se si dispone di un'applicazione abilitata RMS di AD per questi computer, sarà tuttavia possibile consentire ai computer di partecipare al sistema RMS di AD configurando i DACL nella pipeline per la certificazione dei dispositivi mobili di RMS di AD.

Le applicazioni abilitate RMS di AD possono connettersi al server per la certificazione dei dispositivi mobili RMS di AD utilizzando il file MobileDeviceCertification.asmx.

Nota

Se nel cluster RMS di AD sono inclusi più server RMS di AD, il DACL nel servizio per la certificazione dei dispositivi mobili dovrà essere modificato in ogni server del cluster.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per attivare la certificazione di dispositivi mobili

  1. Aprire Esplora risorse e passare alla cartella in cui è installato Internet Information Services. Per impostazione predefinita, il percorso della cartella predefinito è %systemdrive%\Inetpub\wwwroot\_wmcs\Certification.

  2. Per consentire ai dispositivi mobili di ricevere i RAC, fare clic con il pulsante destro del mouse sul file MobileDeviceCertification.asmx e quindi scegliere Proprietà.

  3. Nella scheda Sicurezza fare clic su Aggiungi e quindi aggiungere l'oggetto account utente dell'applicazione per dispositivi mobili abilitata RMS di AD e il gruppo di servizi AD RMS.

  4. Nell'elenco Autorizzazioni dei gruppi selezionare la casella di controllo Consenti per l'autorizzazione Lettura e Lettura ed esecuzione e quindi fare clic su OK.

    Nota

    Se più server ospitano applicazioni per dispositivi mobili abilitate RMS di AD, valutare la possibilità di creare un gruppo, aggiungendo tutti gli oggetti utente a questo gruppo e quindi aggiungendo il gruppo all'ACL della pipeline di certificazione.

  5. Riavviare Internet Information Services eseguendo IISRESET al prompt dei comandi per implementare le modifiche nei DACL nei servizi Web. Eseguire questa operazione in ogni server del cluster RMS di AD.

Ulteriore riferimento

  • Amministrare certificati


Attivare la certificazione di servizi server

I servizi server in RMS di AD consentono alle applicazioni server abilitate per RMS di AD di richiedere Certificati per account con diritti (RAC) per conto di altri utenti. Un esempio di applicazione server abilitata per RMS di AD è Microsoft Exchange Server 2007. Durante la configurazione dei servizi server, è consigliabile tenere presenti le considerazioni seguenti:

  • Per impostazione predefinita, per gli elenchi di controllo di accesso discrezionali (DACL) nelle pipeline di RMS di AD vengono utilizzate le impostazioni che garantiscono la maggior sicurezza. Quando si utilizzano i servizi server RMS di AD, è necessario modificare il DACL.

  • Se il client RMS di AD è installato in un server basato su Windows Server 2003, Windows Server 2008 o basato su Windows Server 2008 R2 ed è attivata la Sicurezza avanzata di Internet Explorer, è necessario aggiungere l'URL del cluster RMS di AD nell'area di sicurezza Intranet locale in Internet Explorer.

  • Molti servizi server utilizzano la funzionalità avanzata Servizi di dominio Active Directory disponibile solo se tutti i controller di dominio di Servizi di dominio Active Directory eseguono Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. Se si utilizzano servizi server, è consigliabile che tutti i controller di dominio eseguano Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 e che i livelli di funzionalità di Servizi di dominio Active Directory del dominio e della foresta siano almeno Windows Sever 2003.

In un'installazione predefinita di RMS di AD il DACL della pipeline di certificazione del server RMS di AD è limitato, ovvero un'applicazione non può ottenere certificati e licenze per i propri utenti. Tuttavia, se in tali computer è presente un'applicazione abilitata per RMS di AD, è possibile consentire a tali computer di prendere parte al sistema RMS di AD configurando i DACL nella pipeline di certificazione del server RMS di AD.

Le applicazioni server abilitate per RMS di AD possono connettersi al servizio di certificazione del server RMS di AD utilizzando il file ServerCertification.asmx.

Nota

Se nel cluster RMS di AD è presente più di un server RMS di AD, è necessario modificare il DACL relativo al servizio di certificazione del server per ogni server del cluster.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per attivare la certificazione di servizi server

  1. Aprire Esplora risorse e passare alla cartella in cui è installato Internet Information Services. Per impostazione predefinita, il percorso della cartella è %systemdrive%\Inetpub\wwwroot\_wmcs\Certification.

  2. Per attivare i servizi server alla ricezione di certificati per account con diritti, fare clic con il pulsante destro del mouse sul file ServerCertification.asmx e quindi scegliere Proprietà.

  3. Nella scheda Sicurezza fare clic su Aggiungi e quindi aggiungere l'oggetto account computer dell'applicazione server abilitata per RMS di AD e l'AD RMS Service Group.

  4. Negli elenchi Autorizzazioni dei gruppi selezionare la casella di controllo Consenti per entrambe le autorizzazioni Lettura e Lettura/esecuzione e quindi fare clic su OK.

    Nota

    Se più server ospitano applicazioni server abilitate per RMS di AD, è consigliabile creare un gruppo, aggiungervi tutti gli oggetti computer e quindi aggiungere tale gruppo al DACL della pipeline di certificazione.

  5. Riavviare Internet Information Services eseguendo IISRESET al prompt dei comandi per implementare le modifiche apportate ai DACL nei servizi Web di RMS di AD.

Ulteriore riferimento

  • Amministrare certificati


Autenticare i client utilizzando smart card

Se nell'organizzazione si utilizzano smart card per offrire misure di sicurezza aggiuntive ed esercitare il controllo sulle credenziali dell'utente, è ora possibile utilizzare le smart card con credenziali di autenticazione per ottenere Certificati per account con diritti (RAC) e licenze d'uso dai server del cluster RMS di AD.

Nota

Ai fini delle operazioni illustrate in questa procedura, si presuppone che sia stato già installato un certificato SSL. Per ulteriori informazioni sull'aggiunta di certificati SSL, vedere Importare un certificato SSL utilizzando Gestione Internet Information Services (IIS).

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere un servizio ruolo Autenticazione mapping certificati client

  1. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Espandere Ruoli e quindi fare clic su Server Web (IIS).

  4. Nel riquadro dei risultati in Riepilogo ruoli fare clic su Aggiungi ruoli.

  5. Selezionare la casella di controllo Autenticazione mapping certificazione client e quindi fare clic su Avanti.

  6. Fare clic su Installa.

  7. Al termine dell'aggiunta del servizio ruolo, fare clic su Chiudi.

Configurare quindi il metodo di autenticazione in IIS:

Per configurare il metodo di autenticazione in IIS

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Internet Information Services (IIS).

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console espandere il nome del server.

  4. Nel riquadro dei risultati della pagina Home del server fare doppio clic su Autenticazione per aprire la pagina Autenticazione.

  5. Nel riquadro risultati della pagina Autenticazione fare clic con il pulsante destro del mouse su Autenticazione certificato client AD e quindi scegliere Abilita.

  6. Chiudere Gestione IIS.

Attivare infine l'autenticazione client per il sito Web che ospita RMS di AD:

Per attivare l'autenticazione client in un sito Web che ospita AD RMS

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Gestione Internet Information Services (IIS).

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console espandere il nome del server.

  4. Espandere Siti e quindi espandere il sito Web che ospita RMS di AD. Per impostazione predefinita, il nome del sito Web è Sito Web predefinito.

  5. Nell'albero della console espandere _wmcs, fare clic con il pulsante destro del mouse sulla directory virtuale certification (per il supporto di un RAC) o sulla directory virtuale licensing (per il supporto di licenze d'uso) e quindi scegliere Passa a visualizzazione contenuto.

  6. Nel riquadro dei risultati di Visualizzazione contenuto fare clic con il pulsante destro del mouse su certification.asmx o license.asmx e quindi scegliere Passa a visualizzazione funzionalità.

  7. Nel riquadro dei risultati della pagina Home fare doppio clic su Impostazioni SSL.

  8. Scegliere l'impostazione appropriata per Certificati client, ovvero Accetta o Richiedi. È consigliabile accettare i certificati client se si desidera offrire ai client la possibilità di fornire credenziali di autenticazione utilizzando un certificato smart card o un nome utente e una password. È consigliabile richiedere i certificati client quando si desidera che soltanto i client con certificati lato client, ad esempio smart card, siano in grado di connettersi al servizio.

  9. Fare clic su Applica.

  10. Se si desidera utilizzare l'autenticazione client sia per la certificazione sia per la gestione delle licenze, ripetere la procedura illustrata selezionando la directory virtuale alternativa.

  11. Chiudere Gestione Internet Information Services (IIS).

  12. Ripetere i passaggi da 1 a 10 per tutti i server del cluster RMS di AD.

Sarà quindi necessario forzare il metodo di autenticazione in modo da utilizzare Autenticazione mapping certificati client per il cluster RMS di AD.

Per forzare il metodo di autenticazione client nel file applicationhost.config

  1. Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  2. Passare a %windir%\system32\inetsrv\config.

  3. Digitare notepad applicationhost.config e quindi premere INVIO.

    Attenzione

    Prima di apportare modifiche, è consigliabile eseguire una copia di backup di questo file.

  4. Andare alla sezione simile alla sezione <location path="Default Web Site/_wmcs/certification/certification.asmx"> del file applicationhost.config.

    Nota

    Il percorso del file indicato sopra dipende dal file o dalla directory virtuale in cui si sta tentando di imporre il mapping dei certificati client.

  5. Se si desidera consentire l'autenticazione smart card oltre all'autenticazione di Windows, eseguire le operazioni seguenti:

    1. Modificare:

      <access sslFlags="Ssl, SslNegotiateCert, SslRequireCert, Ssl128" />

      In:

      <access sslFlags="Ssl, SslNegotiateCert, Ssl128" />

    2. Aggiungere una nuova riga sotto <windowsAuthentication enabled="true" /> e quindi digitare:

      <clientCertificateMappingAuthentication enabled="true" />

  6. Se si desidera consentire solo l'autenticazione smart card, eseguire le operazioni seguenti. Verificare che sia richiesta l'autenticazione client SSL con Internet Information Services.

    1. Aggiungere una nuova riga sotto <windowsAuthentication enabled="true" /> e quindi digitare:

      <clientCertificateMappingAuthentication enabled="true" />

    2. Modificare:

      <windowsAuthentication enabled="true" />

      In:

      <windowsAuthentication enabled="false" />

    3. Scegliere Salva dal menu File e quindi chiudere Blocco note.

    4. Nella finestra del prompt dei comandi digitare iisreset e quindi premere INVIO.

    Attenzione

    L'esecuzione di iisreset da un prompt dei comandi determinerà il riavvio dei servizi associati a Internet Information Services.

  7. Ripetere i passaggi da 1 a 5 per tutti i server del cluster RMS di AD.

Dopo aver configurato le queste impostazioni, a un utente che tenterà di aprire il contenuto protetto con RMS pubblicato da questo cluster RMS di AD verrà richiesto di specificare le credenziali di autenticazione prima che il cluster fornisca un RAC o una licenza d'uso all'utente.

Ulteriori riferimenti

  • Amministrare certificati

  • Importare un certificato SSL utilizzando Gestione Internet Information Services (IIS)


Attivare criteri di esclusione

In questa sezione vengono descritte procedure utili per la definizione di criteri di esclusione nel cluster RMS di AD.

In questa sezione sono contenute le procedure seguenti:

  • Informazioni sui criteri di esclusione AD RMS

  • Escludere utenti

  • Escludere applicazioni

  • Escludere versioni degli archivi protetti


Informazioni sui criteri di esclusione AD RMS

È possibile implementare criteri di esclusione per impedire ad alcune entità la possibilità di acquisire richieste di certificati e licenze. Per escludere tali entità, è possibile procedere in tre modi, ovvero in base all'utente, all'applicazione e alla versione dell'archivio protetto.

Quando un'entità viene esclusa, viene inserita nell'elenco di esclusione relativo alle licenze d'uso create dai server nel cluster RMS di AD. Se, dopo un periodo di tempo, si decide di rimuove un'entità in precedenza inclusa in un criterio di esclusione, è possibile eliminare l'entità dall'elenco di esclusione. Nelle nuove richieste di certificato o licenza l'entità non verrà pertanto considerata come esclusa.

È consigliabile non rimuovere un'entità da un criterio di esclusione finché non si è certi che tutti i certificati rilasciati prima della creazione del criterio di esclusione siano scaduti. In caso contrario, sia i vecchi certificati sia i nuovi certificati consentiranno la decrittografia del contenuto con risultati probabilmente diversi da quelli desiderati dall'organizzazione.

Ulteriore riferimento

  • Attivare criteri di esclusione


Escludere utenti

È possibile escludere un account utente dalla possibilità di ottenere licenze d'uso da un cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) specificando l'indirizzo di posta elettronica dell'utente o la stringa di chiave pubblica del certificato per account con diritti (RAC) associato al RAC dell'utente.

È consigliabile escludere in base ai relativi indirizzi di posta elettronica gli utenti ai quali non è consentito utilizzare contenuto protetto con RMS ma che dispongono di account di posta elettronica nella foresta di Servizi di dominio Active Directory.

Se un utente è considerato attendibile ma le sue credenziali RMS di AD sono compromesse, sarà possibile escludere solo il RAC compromesso escludendone la chiave pubblica. Quando si esegue questa operazione, RMS di AD nega le richieste di nuove licenze d'uso che riguardano tale RAC. Dopo aver escluso un RAC, al successivo tentativo dell'utente di acquisire una licenza d'uso per un nuovo contenuto, la richiesta verrà negata. Per acquisire una licenza d'uso, il nuovo utente dovrà recuperare un nuovo RAC con una nuova coppia di chiavi.

Se è necessario escludere utenti esterni, ad esempio utenti di Windows Live ID, utenti federati e utenti identificati da un dominio utente trusted, che non fanno parte della foresta di Servizi di dominio Active Directory, sarà inoltre possibile specificare un RAC per escludere le relative chiave pubbliche.

Se si aggiunge un utente all'elenco di esclusione del cluster radice RMS di AD, è inoltre consigliabile escludere l'utente in tutti i cluster dell'organizzazione utilizzati esclusivamente per la gestione delle licenze. Ogni cluster RMS di AD dispone di elenchi di esclusione indipendenti.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per escludere un utente

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi fare clic su Utenti.

  3. Nel riquadro Azioni fare clic su Attiva esclusione utenti.

  4. Nel riquadro Azioni fare clic su Escludi utente. Verrà visualizzata la procedura guidata Escludi account utente.

  5. Eseguire una delle operazioni seguenti:

    • Per escludere un utente in base all'indirizzo di posta elettronica, fare clic su Utilizzare questa opzione per escludere i certificati per account con diritti di utenti esterni che non dispongono di un account di Servizi di dominio Active Directory e quindi fare clic su Sfoglia per selezionare un utente o gruppo nella directory di Servizi di dominio Active Directory oppure digitare l'indirizzo di posta elettronica dell'utente da escludere.

    • Per escludere un utente in base alla chiave pubblica assegnata al certificato per account con diritti dell'utente, fare clic sull'opzione Utilizzare questa opzione per escludere i certificati per account con diritti di utenti esterni che non dispongono di un account di Servizi di dominio Active Directory e quindi nella casella Stringa chiave pubblica digitare la stringa di chiave pubblica del certificato per account con diritti appropriata.

  6. Fare clic su Fine.
Per interrompere l'esclusione di utenti

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi fare clic su Utenti.

  3. Eseguire una delle operazioni seguenti:

    • Per disattivare l'esclusione degli utenti per tutti gli account utente. Nel riquadro Azioni fare clic su Disattiva esclusione utenti. Tutti gli account utente esclusi in precedenza saranno in grado di acquisire licenze d'uso di RMS di AD.

    • Per interrompere l'esclusione di un account utente specifico. Nei riquadro dei risultati selezionare il certificato utente escluso.

  4. Nel riquadro Azioni fare clic su Elimina e quindi su Sì per confermare la rimozione.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Attivare criteri di esclusione


Escludere applicazioni

È possibile specificare la versione di un'applicazione abilitata RMS di AD rispetto alla quale viene eseguito il confronto di tutte le richieste di licenze. La funzionalità di esclusione delle applicazioni contrassegna ogni licenza d'uso con una condizione che prevede che la licenza possa essere associata solo al contenuto protetto con RMS per il quale è stata rilasciata se l'applicazione che richiede la licenza non è presente nell'elenco di esclusione.

Questa funzionalità può essere utile, ad esempio, quando un'azienda distribuisce un aggiornamento per un'applicazione abilitata RMS di AD. Gli amministratori di sistema possono utilizzare le procedure consuete per fare in modo che i computer client installino l'aggiornamento, avendo quindi la possibilità di impostare criteri di esclusione delle applicazioni definiti in base alle informazioni sulla versione dell'applicazione. Tali criteri di esclusione impediscono a RMS di AD di rilasciare licenze ai client che eseguono versioni precedenti del software.

Come per altri tipi di esclusione, è necessario configurare l'esclusione delle applicazioni in ogni cluster in cui si desidera attivare tale funzionalità.

Quando si applicano i criteri di esclusione nel cluster, i client non possono utilizzare l'applicazione esclusa per richiedere e associare nuove licenze d'uso al contenuto protetto con RMS. I client possono tuttavia continuare a utilizzare l'applicazione esclusa per utilizzare i file per i quali è stata concessa una licenza in precedenza.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per escludere applicazioni

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi fare clic su Applicazioni.

  3. Nel riquadro Azioni fare clic su Attiva esclusione applicazioni.

  4. Nel riquadro Azioni fare clic su Escludi applicazione. Verrà visualizzata la procedura guidata Escludi applicazione.

  5. In Nome file applicazione digitare il nome del file e l'estensione di file, quale esempio.exe, dell'applicazione o del componente da escludere.

  6. In Versione minima digitare il numero minimo di versione, nel formato x.x.x.x, dell'applicazione alla quale non è consentito decrittografare contenuto protetto con RMS.

  7. In Versione massima digitare il numero massimo di versione, nel formato x.x.x.x, dell'applicazione alla quale non è consentito decrittografare contenuto protetto con RMS.

  8. Fare clic su Fine.

    Nota

    RMS di AD richiede che la versione dell'applicazione venga specificata in un formato a 4 numeri separati da punti (#.#.#.# ). Le versioni di alcune applicazioni vengono tuttavia specificate con numeri a 2 o 3 cifre separate da punti. In tal caso, è consigliabile aggiungere .0 il numero di volte necessario per rendere il numero di versione corrispondente al formato richiesto RMS di AD.
Per interrompere l'esclusione di applicazioni

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi fare clic su Applicazioni.

  3. Eseguire una delle operazioni seguenti:

    • Per disattivare l'esclusione di tutte le applicazioni, nel riquadro Azioni fare clic su Disattiva esclusione applicazioni.

    • Per disattivare l'esclusione di un'applicazione specifica, nel riquadro dei risultati selezionare l'applicazione esclusa.

  4. Nel riquadro Azioni fare clic su Elimina e quindi su Sì per confermare la rimozione.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Attivare criteri di esclusione


Escludere versioni degli archivi protetti

Gli archivi protetti vengono utilizzati per archiviare la chiave privata di un utente. Se in una determinata versione di un archivio protetto viene rilevata una vulnerabilità, Microsoft rilascerà un nuovo archivio protetto. È possibile assicurarsi che i client utilizzino una versione minima del software client Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) utilizzando la versione dell'archivio protetto associata al client per escludere le versioni precedenti del software client RMS di AD. Quando si attiva questa funzionalità, è necessario specificare l'ultima versione minima dell'archivio protetto firmata dal servizio di attivazione Microsoft. Sarà quindi necessario attivare l'esclusione di archivi protetti in ogni cluster RMS di AD in cui si desidera che abbia effetto tale funzionalità. Tutte le richieste di certificazione e licenze vengono controllate per verificare che l'archivio protetto soddisfi i criteri di versione minimi.

Se è stata attivata un'esclusione in base alla versione dell'archivio protetto, i client che utilizzano una versione del software dell'archivio protetto precedente a quella specificata non saranno in grado di acquisire Certificati per account con diritti (RAC) o utilizzare licenze in quanto le loro richieste verranno negate. Affinché siano in grado di acquisire un nuovo archivio protetto che utilizza la versione corrente del software, è necessario che nei client venga installata una nuova versione del software client RMS di AD.

Se a un utente che dispone di un archivio protetto sono state rilasciate in precedenza licenze per il contenuto, l'utente sarà comunque in grado di utilizzare tale contenuto senza acquisire un nuovo archivio protetto.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per escludere versioni degli archivi protetti

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi selezionare Archivio protetto.

  3. Fare clic su Attiva esclusione archivi protetti per escludere le versioni degli archivi protetti.

  4. Fare clic su Modifica versione minima archivio protetto. Verrà visualizzata la finestra delle proprietà Archivio protetto.

  5. Fare clic su Visualizza la versione minima consigliata dell'archivio protetto per connettersi a Internet e visualizzare la versione minima dell'archivio protetto firmata dal servizio di attivazione Microsoft. Se non si dispone di una connessione a Internet nel server RMS di AD, andare direttamente al sito Web del servizio attivazione di Windows RMS di AD (http://go.microsoft.com/fwlink/?LinkID=12995) e visualizzare la versione minima dell'archivio protetto.

  6. Nella pagina Versione minima archivio protetto RM copiare il numero di versione e quindi chiudere il browser Web.

  7. Nella casella Versione minima archivio protetto incollare il numero di versione e quindi fare clic su OK.
Per interrompere l'esclusione delle versioni degli archivi protetti

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di esclusione e quindi selezionare Archivio protetto.

  3. Fare clic su Disattiva esclusione archivi protetti per interrompere l'esclusione delle versioni degli archivi protetti.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Attivare criteri di esclusione


Stabilire criteri di attendibilità

In questa sezione vengono descritte procedure utili per stabilire una relazione di trust tra il proprio cluster RMS di AD e un cluster RMS di AD che si trova in un altro dominio o che fa parte di un'organizzazione diversa.

In questa sezione sono contenute le procedure seguenti:

  • Informazioni sui criteri di attendibilità AD RMS

  • Configurare le impostazioni di Supporto identità federativa

  • Aggiungere un dominio utente trusted

  • Esportare un dominio utente trusted

  • Aggiungere un dominio di pubblicazione trusted

  • Esportare un dominio di pubblicazione trusted

  • Utilizzare Windows Live ID per stabilire i certificati per account con diritti degli utenti


Informazioni sui criteri di attendibilità AD RMS

È possibile aggiungere criteri di attendibilità in modo che RMS di AD sia in grado di elaborare le richieste di licenze per il contenuto protetto con RMS in precedenza da un cluster RMS di AD diverso. È possibile definire i criteri di attendibilità nel modo seguente:

  • Domini utente trusted. L'aggiunta di un dominio utente trusted consente al cluster RMS di AD radice di elaborare richieste per certificati concessori di licenze client o licenze d'uso di utenti i cui Certificati per account con diritti (RAC) sono stati rilasciati da un cluster RMS di AD radice. L'aggiunta di un dominio utente trusted viene eseguita importando il certificato concessore di licenze server del cluster RMS di AD da considerare attendibile.

  • Domini di pubblicazione trusted. L'aggiunta di un dominio di pubblicazione trusted consente a un cluster RMS di AD di rilasciare licenze d'uso per licenze di pubblicazione rilasciate in precedenza da un cluster RMS di AD diverso. L'aggiunta di un dominio di pubblicazione trusted viene eseguita importando il certificato concessore di licenze server e la chiave privata del server da considerare attendibile.

  • Windows Live ID. L'impostazione di un trust con il servizio RMS online di Microsoft consente a un utente di RMS di AD di inviare contenuto protetto con RMS a un utente che dispone di Windows Live ID. L'utente di Windows Live ID sarà in grado di utilizzare il contenuto protetto con RMS del cluster RMS di AD che ha considerato attendibile il servizio RMS online di Microsoft, ma l'utente di Windows Live ID non sarà in grado di creare contenuto protetto con RMS dal cluster RMS di AD.

  • Relazione di trust federativa. Una relazione di trust federativa tra due foreste viene creata tramite Active Directory Federation Services. Ciò si rivela utile se in una foresta non è installato RMS di AD e i relativi utenti hanno la necessità di utilizzare il contenuto protetto con RMS di un'altra foresta. Per ulteriori informazioni sull'impostazione del supporto federativo in RMS di AD, vedere Configurare le impostazioni di Supporto identità federativa.

Ulteriori riferimenti

  • Stabilire criteri di attendibilità

  • Configurare le impostazioni di Supporto identità federativa


Configurare le impostazioni di Supporto identità federativa

Dopo averlo attivato, Supporto identità federativa consente agli account utente di utilizzare credenziali create da una relazione di trust federativa tramite Active Directory Federation Services (AD FS) come base per ottenere un certificato per account con diritti (RAC) da un cluster RMS di AD. Ciò rappresenta un'alternativa all'impostazione di domini di pubblicazione trusted o domini utente trusted tra entità che dispongono di infrastrutture di trust create in precedenza, in modo tale che nella maggior parte dei casi il cluster supporti sia gli utenti interni all'organizzazione sia gli utenti di un'organizzazione partner.

Quando i Certificati per account con diritti (RAC) vengono rilasciati da un'identità federativa, il periodo di validità del certificato per account con diritti standard non si applica. Il periodo di validità del RAC viene invece specificato nell'impostazione Supporto identità federativa. Gli utenti con identità federate non utilizzano certificati per account con diritti temporanei.

Per impostazione predefinita, le relazioni di trust federative non sono transitive. Quando una relazione di trust federativa viene stabilita tra due organizzazioni, i domini utente trusted RMS di AD stabiliti in un'organizzazione non vengono considerati attendibili dall'altra organizzazione. Durante l'importazione di un dominio utente trusted, è tuttavia possibile utilizzare un'opzione che consente di considerare attendibili gli utenti federati del dominio importato.

È consigliabile prestare particolare attenzione quando si consentono indirizzi proxy da una relazione di trust federativa. Se si consentono indirizzi proxy da una federazione, un utente malintenzionato potrebbe acquisire tramite spoofing le credenziali di un utente autorizzato e accedere al contenuto protetto con RMS dell'utente. Se gli indirizzi proxy da una federazione costituiscono un requisito dell'organizzazione, sarà consigliabile implementare un modulo di trasformazione delle attestazioni che esaminerà un indirizzo proxy da un utente federato e verificherà che corrisponda alla foresta in cui la richiesta è stata originata. L'opzione che consente un indirizzo proxy da un utente federato è disattivata per impostazione predefinita nella console Active Directory Rights Management Services.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per attivare e configurare le impostazioni di Supporto identità federativa

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Supporto identità federativa.

  3. Nel riquadro Azioni fare clic su Attiva Supporto identità federativa per attivare Supporto identità federativa.

  4. Fare clic su Proprietà nel riquadro Azioni.

  5. Nella scheda Criteri Active Directory Federation Service in Periodo di validità certificato di identità federativa digitare il numero di giorni di validità dei certificati per account con diritti federativi.

  6. In URL servizio Certificato di identità federativa specificare il percorso del cluster radice che fornirà il RAC agli utenti esterni. Se si seleziona l'impostazione predefinita, gli utenti tenteranno di ottenere un RAC dal cluster RMS di AD che ha pubblicato il contenuto.

  7. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Stabilire criteri di attendibilità

  • Configurazione delle foreste in AD RMS


Aggiungere un dominio utente trusted

Per impostazione predefinita, in Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) non vengono elaborate le richieste provenienti da utenti il cui certificato per account con diritti (RAC) è stato rilasciato da un'installazione diversa di RMS di AD. Tuttavia, è possibile aggiungere domini utente all'elenco di domini utente trusted che consente a RMS di AD di elaborare tali richieste.

Per ogni dominio utente trusted è inoltre possibile aggiungere e rimuovere utenti o gruppi di utenti specifici. È anche possibile rimuovere un dominio utente trusted. Tuttavia, non è possibile rimuovere il cluster radice della corrispondente foresta di Active Directory dall'elenco di domini utente trusted. Ogni server RMS di AD considera attendibile il cluster radice appartenente alla propria foresta.

Per aggiungere domini utente trusted, procedere nel modo seguente:

  • Per supportare utenti esterni in generale, è possibile considerare attendibile Windows Live ID. Ciò consente a un cluster RMS di AD dell'organizzazione di elaborare le richieste di licenze che includono un RAC rilasciato dal servizio RMS online di Microsoft. Per ulteriori informazioni sull'attendibilità di Windows Live ID nell'organizzazione, vedere Utilizzare Windows Live ID per stabilire i certificati per account con diritti degli utenti.

  • Per considerare attendibili utenti esterni di un'installazione di RMS di AD di un'altra organizzazione, è possibile aggiungere l'organizzazione all'elenco di domini utente trusted. Ciò consente a un cluster RMS di AD di elaborare una richiesta di licenza che include un RAC rilasciato da un server RMS di AD presente nell'altra organizzazione.

  • Allo stesso modo, per elaborare richieste di licenza provenienti da utenti della propria organizzazione che risiedono in una foresta di Active Directory diversa, è possibile aggiungere l'installazione di RMS di AD di tale foresta all'elenco di domini utente trusted. Ciò consente a un cluster RMS di AD nella foresta corrente di elaborare una richiesta di licenza che include un RAC rilasciato da un server RMS di AD presente nell'altra foresta.

  • Per ogni dominio utente trusted è possibile specificare i domini di posta elettronica considerati attendibili. Per i siti e i servizi Windows Live ID considerati attendibili è possibile specificare gli utenti o i domini di posta elettronica che non vengono considerati attendibili.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere un dominio utente trusted

  1. È necessario che il dominio utente trusted dell'installazione di RMS di AD da considerare attendibile sia già stato esportato in precedenza e sia dunque disponibile. Per ulteriori informazioni sull'esportazione di un dominio utente trusted, vedere Esportare un dominio utente trusted.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini utente trusted.

  4. Fare clic su Importa dominio utente trusted nel riquadro Azioni.

  5. Nella casella File dominio utente trusted digitare il percorso relativo al certificato concessore di licenze server esportato del dominio utente da considerare attendibile o fare clic su Sfoglia per individuarlo.

  6. In Nome visualizzato digitare un nome per identificare il dominio utente trusted. Se si desidera estendere il trust agli utenti federati, selezionare Estendi trust agli utenti federati del server importato.

  7. Fare clic su Fine.
Nota

Le informazioni sulla chiave privata non vengono trasferiti durante la configurazione di un dominio utente trusted.

Il nome del dominio viene visualizzato nell'elenco Domini utente trusted nel riquadro risultati. Per continuare a configurare i domini di posta elettronica del dominio utente trusted, eseguire la procedura seguente:

Per specificare le proprietà del dominio utente trusted

  1. Se il dominio utente trusted è basato sul certificato concessore di licenze server di un altro cluster RMS di AD, è possibile specificare i domini di posta elettronica di tale dominio da considerare attendibili.

  2. Selezionare il nome del certificato nel riquadro risultati e quindi nel riquadro Azioni fare clic su Proprietà.

  3. Fare clic sulla scheda Domini di posta elettronica trusted e quindi scegliere una delle opzioni di trust seguenti:

    • Selezionare l'opzione Tutti i domini di posta elettronica per considerare attendibili tutti gli account utente che sono membri del dominio.

    • Selezionare l'opzione Solo i domini di posta elettronica specificati, digitare il nome del dominio da considerare attendibile, ad esempio "esempio.com" e quindi fare clic su Aggiungi. In questo modo il dominio viene aggiunto all'elenco Domini di posta elettronica trusted. Per rimuovere un nome dall'elenco, selezionarlo e quindi fare clic su Rimuovi. L'aggiunta di un dominio comporta l'aggiunta di tutti i relativi domini figlio.

  4. Se necessario, selezionare la casella di controllo Consenti concessione di licenze ai SID per questi domini di posta elettronica.

  5. Al termine, fare clic su OK.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Esportare un dominio utente trusted

  • Stabilire criteri di attendibilità

  • Utilizzare Windows Live ID per stabilire i certificati per account con diritti degli utenti


Esportare un dominio utente trusted

I domini utente trusted consentono a un cluster RMS di AD di fornire licenze agli utenti il cui certificato per account con diritti (RAC) è stato concessi da un altro server di un cluster RMS di AD. L'esportazione di un dominio utente trusted e la sua successiva importazione in un altro cluster RMS di AD consentono al cluster di elaborare richieste di licenze d'uso di utenti i cui Certificati per account con diritti (RAC) si trovano in un cluster diverso.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per esportare un dominio utente trusted

  1. Aprire la console Active Directory Rights Management Services e quindi espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini utente trusted.

  3. Nel riquadro Azioni fare clic su Esporta dominio utente trusted.

  4. Verrà visualizzata la finestra di dialogo Salva con nome. È consigliabile modificare il nome del file con estensione bin in modo che includa il nome del server, ad esempio ADRMS_Cluster1_CertConcessore.bin.

  5. Fare clic su Salva per salvare il file con il nome e il percorso specificati.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Aggiungere un dominio utente trusted

  • Stabilire criteri di attendibilità


Aggiungere un dominio di pubblicazione trusted

Per impostazione predefinita, i server in un cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) possono rilasciare licenze d'uso solo in base alle licenze di pubblicazione rilasciate dal server stesso o da un altro server nello stesso cluster. Se si dispone di contenuto pubblicato utilizzando un altro cluster radice RMS di AD all'interno dell'organizzazione, ad esempio una filiale in un'altra foresta, oppure in un'organizzazione diversa, il cluster RMS di AD può concedere licenze d'uso agli utenti di tale contenuto se viene configurato un dominio di pubblicazione trusted. Quando si aggiunge un dominio di pubblicazione trusted, viene stabilita una relazione di trust tra il cluster RMS di AD e l'altro cluster radice tramite l'importazione del certificato concessore di licenze server dell'altro cluster. Non esiste alcuna limitazione al numero di domini di pubblicazione trusted che possono essere configurati per il cluster RMS di AD.

Se la chiave del cluster è archiviata in un CSP, è necessario trasferirla dal contenitore chiavi del CSP in ogni server trusted presente nel cluster. A tale scopo, seguire le istruzioni riportate nella documentazione del produttore CSP. In base al tipo di CSP di ogni server e alla configurazione dei dispositivi del modulo di sicurezza hardware, potrebbe non essere possibile trasferire la chiave del cluster da un modulo di sicurezza hardware a un altro. Se si utilizza un CSP con un modulo di sicurezza hardware, consultare la documentazione relativa a tale modulo per determinare se è possibile trasferire la chiave del cluster senza perdere i dati presenti nel modulo di sicurezza hardware di destinazione. Se non è possibile eseguire tale operazione, non sarà possibile stabilire un dominio di pubblicazione trusted.

Nota

Se si utilizza un CSP basato su hardware, noto anche come modulo di sicurezza hardware, per proteggere la chiave del cluster RMS di AD e si desidera importare un certificato concessore di licenze server da un'installazione RMS di AD che gestisce internamente la chiave del cluster RMS di AD, è necessario specificare una password per tale chiave nelle impostazioni Criteri di sicurezza del cluster, prima di tentare di importare il certificato.

In questa procedura si presuppone che sia stato esportato il dominio di pubblicazione trusted di un altro cluster RMS di AD. Per ulteriori informazioni sull'esportazione del dominio di pubblicazione trusted, vedere Esportare un dominio di pubblicazione trusted.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere un dominio di pubblicazione trusted

  1. Aprire la console Active Directory Rights Management Services e quindi espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini di pubblicazione trusted.

  3. Fare clic su Importa dominio di pubblicazione trusted nel riquadro Azioni.

  4. In File dominio di pubblicazione trusted digitare il percorso del file del dominio di pubblicazione trusted oppure fare clic su Sfoglia per individuarlo.

    Il file contiene il certificato concessore di licenze, la chiava privata, se archiviata nel software, e i modelli di criteri per i diritti di utilizzo. Il file è crittografato.

  5. In Password digitare la password necessaria per decrittografare il file.

  6. In Nome visualizzato digitare un nome per identificare il dominio utente trusted.

    Fare clic su Fine.
Nota

È possibile rimuovere un dominio di pubblicazione trusted in qualsiasi momento rimuovendo il relativo certificato dall'elenco di certificati per domini di pubblicazione trusted nel nodo Criteri di attendibilità nella console Active Directory Rights Management Services.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Esportare un dominio di pubblicazione trusted

  • Ripristinare la password della chiave del cluster AD RMS

  • Stabilire criteri di attendibilità


Esportare un dominio di pubblicazione trusted

Utilizzare la procedura seguente per esportare un dominio di pubblicazione trusted in un file.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per esportare un dominio di pubblicazione trusted

  1. Aprire la console Active Directory Rights Management Services e quindi espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini di pubblicazione trusted.

  3. Nel riquadro dei risultati selezionare il certificato per il dominio che si desidera esportare.

  4. Nel riquadro Azioni fare clic su Esporta dominio di pubblicazione trusted.

  5. Nella casella File dominio di pubblicazione digitare il nome del file del dominio di pubblicazione da esportare oppure fare clic su Salva con nome per esportarlo in un percorso speciale. Verificare di specificare l'estensione di file xml.

  6. Nelle caselle Password e Conferma password digitare una password complessa che verrà utilizzata per crittografare il file del dominio di pubblicazione trusted. Questa password è necessaria per importare questo file in un altro cluster RMS di AD.

  7. Se il file del dominio di pubblicazione trusted verrà importato in diverse versioni di Rights Management Services (RMS), fare clic sulla casella di controllo Salvato come file di dominio di pubblicazione trusted compatibile con la versione 1.

  8. Fare clic su Fine per creare il file del dominio di pubblicazione trusted.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Aggiungere un dominio di pubblicazione trusted

  • Informazioni sui criteri di attendibilità AD RMS

  • Stabilire criteri di attendibilità


Utilizzare Windows Live ID per stabilire i certificati per account con diritti degli utenti

Microsoft offre un servizio di certificazione degli account che utilizza Windows Live ID per stabilire il certificato per account con diritti (RAC) dell'utente. Se si desidera che gli utenti con certificati per account con diritti generati da tale servizio siano in grado di ottenere licenze d'uso dal cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD), è necessario configurare un dominio utente trusted in cui vengano accettate le credenziali utente inviate dal servizio RMS online di Microsoft.

Per utilizzare questa funzionalità, è necessario configurare Internet Information Services (IIS) per consentire l'accesso al servizio di gestione licenze RMS di AD, ad esempio consentendo l'accesso anonimo. Questa operazione è fondamentale poiché per impostazione predefinita il servizio di gestione licenze è configurato per l'utilizzo dell'autenticazione integrata di Windows. Se IIS non è configurato per consentire l'accesso al servizio di gestione licenze RMS di AD, gli utenti con certificati per account con diritti basati su Windows Live ID non saranno in grado di acquisire licenze.

Se necessario, dopo averli configurati, è possibile escludere utenti specifici di tale servizio in base ai loro indirizzi di posta elettronica.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per abilitare l'accesso anonimo al servizio di gestione licenze AD RMS

  1. Accedere a un server nel cluster RMS di AD.

  2. Aprire la console Gestione Internet Information Services (IIS) ed espandere il server che ospita RMS di AD.

  3. Nell'albero della console espandere Siti Web e quindi espandere il sito Web in cui è stato configurato RMS di AD. Per impostazione predefinita, tale sito è Sito Web predefinito.

  4. Nell'albero della console espandere il sito Web _wmcs e quindi selezionare la directory virtuale Gestione licenze.

  5. Nel riquadro risultati fare doppio clic su Autenticazione per aprire la pagina Autenticazione.

  6. Selezionare Autenticazione anonima e quindi in Attività selezionare la casella di controllo Attivata e fare clic su Salva.

  7. Ripetere i passaggi da 1 a 6 per ogni server nel cluster RMS di AD.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per considerare attendibili certificati per account con diritti basati su Windows Live ID

  1. Accedere a un server nel cluster RMS di AD.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini utente trusted.

  4. Fare clic su Considera attendibile Windows Live ID nel riquadro Azioni. Il certificato Windows Live ID viene visualizzato nell'elenco Domini utente trusted nel riquadro risultati.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per specificare i domini di posta elettronica Windows Live ID da escludere

  1. Accedere a un server nel cluster RMS di AD.

  2. Aprire lo snap-in RMS di AD ed espandere il cluster RMS di AD.

  3. Nell'albero della console espandere Criteri di attendibilità e quindi fare clic su Domini utente trusted.

  4. Selezionare il certificato Windows Live ID nel riquadro risultati e quindi nel riquadro Azioni fare clic su Proprietà.

  5. Fare clic sulla scheda Domini Windows Live ID esclusi.

  6. Digitare il dominio di posta elettronica da escludere.

  7. Fare clic su Aggiungi per aggiungere l'oggetto specificato all'elenco di esclusione.

  8. Ripetere i passaggi da 5 a 7 per tutti i domini di posta elettronica che è necessario escludere.

  9. Fare clic su OK per applicare l'elenco di esclusione al cluster.

Ulteriori riferimenti

  • Stabilire criteri di attendibilità


Gestione dei database AD RMS

Gli eventi e i messaggi di RMS di AD possono essere registrati in un database nel server database. In questa sezione vengono descritte le operazioni seguenti:

  • Informazioni sui database AD RMS

  • Attivare o disattivare la registrazione

  • Monitorare la coda dei messaggi di AD RMS


Informazioni sui database AD RMS

I server inclusi nel cluster RMS di AD risultano strettamente integrati con il server database durante le normali operazioni. Nel server database RMS di AD vengono archiviate le informazioni relative alla configurazione, alla registrazione e ai servizi di directory riservate a RMS di AD.

È possibile utilizzare Database interno di Windows in Windows Server® 2008 R2 per supportare una nuova installazione di RMS di AD a server singolo.

Attenzione

Se si utilizza MSDE 2000 o Microsoft SQL Server 2000 per l'hosting dei database RMS (Rights Management Services), non sarà possibile eseguire l'aggiornamento a RMS di AD. L'aggiornamento è supportato solo se si utilizza Microsoft SQL Server 2005 o Microsoft SQL Server 2008 per l'hosting dei database RMS di AD.

È consigliabile utilizzare un server database separato, quale Microsoft SQL Server 2005 o Microsoft SQL Server 2008. RMS di AD utilizza i database seguenti:

  • Database di configurazione

    Il database di configurazione è un componente critico di un'installazione di RMS di AD poiché consente di archiviare, condividere e recuperare tutti i dati di configurazione e gli altri dati necessari per gestire i servizi di certificazione account, gestione licenze e pubblicazione per un cluster. Il modo in cui viene gestito il database di configurazione influisce direttamente sulla sicurezza e sulla disponibilità del contenuto protetto con RMS.

    Ogni cluster RMS di AD dispone di un database di configurazione. Il database di configurazione per il cluster radice contiene un elenco di identità di utenti Windows e del relativo certificato certificato per account con diritti (RAC). Se la chiave cluster viene gestita centralmente da RMS di AD, la coppia di chiavi del certificato verrà crittografata nella chiave cluster RMS di AD prima che venga archiviata nel database. I database di configurazione per cluster utilizzati esclusivamente per la gestione delle licenze non contengono queste informazioni.

  • Database di registrazione

    Per ogni cluster radice o utilizzato esclusivamente per la gestione delle licenze, RMS di AD installa per impostazione predefinita un database di registrazione nella stessa istanza del server database che ospita il database di configurazione. RMS di AD crea inoltre una coda di messaggi privati in ogni server incluso nel cluster RMS di AD per la registrazione in Accodamento messaggi. Il servizio di registrazione RMS di AD trasmette i dati da questa coda di messaggi al database di registrazione.

  • Database dei servizi directory

    Questo database contiene informazioni su utenti, identificatori (ad esempio indirizzi e-mail), ID di sicurezza (SID), appartenenza a gruppi e identificatori alternativi. Queste informazioni vengono ottenute da query LDAP (Lightweight Directory Access Protocol) eseguite sul catalogo globale di Servizi di dominio Active Directory dal servizio di gestione licenze di RMS di AD.

L'account utente con il quale è stato eseguito l'accesso al momento dell'aggiunta del ruolo server RMS di AD dispone delle autorizzazioni del proprietario del database su tutti i database.

Ulteriori riferimenti

  • Gestione dei database AD RMS


Attivare o disattivare la registrazione

È possibile attivare o disattivare la registrazione per il cluster corrente utilizzando la scheda Registrazione della scheda Proprietà cluster nello snap-in Active Directory Rights Management Services. La disattivazione della registrazione determina l'interruzione dell'invio dei dati alla coda dei messaggi di registrazione da parte dei servizi Web Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD).

I registri di RMS di AD vengono inviati al server database tramite Accodamento messaggi. Se non è presente una connessione al server database, Accodamento messaggi archivierà i registri in una cache locale fino al ripristino della connettività. La prima volta che si attiva la registrazione, è consigliabile verificare che il server RMS di AD disponga di una connessione al server database e che il servizio di database sia stato avviato. Se Accodamento messaggi non è in grado di inviare i registri al database di registrazione, i dati verranno mantenuti in una coda nel disco rigido del server RMS di AD fino a quando tutto lo spazio di archiviazione del server non sarà pieno. Quando lo spazio su disco risulta esaurito nel server, Accodamento messaggi si interrompe. RMS di AD non visualizza un errore in questo caso, perché la funzionalità è destinata a supportare la registrazione nei casi in cui la connessione al server database risulti interrotta.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Attivare o disattivare la registrazione

  1. Accedere a un server del cluster RMS di AD.

  2. Aprire la console Active Directory Rights Management Services e selezionare il cluster RMS di AD.

  3. Fare clic con il pulsante destro del mouse sul nome del cluster e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Registrazione e quindi eseguire una delle operazioni seguenti:

    • Per attivare la registrazione, selezionare la casella di controllo Abilita registrazione.

    • Per disattivare la registrazione, deselezionare la casella di controllo Abilita registrazione.

  5. Fare clic su OK.

  6. Ripetere i passaggi da 1 a 5 per ogni server del cluster RMS di AD.

Se si utilizza Microsoft SQL Server come server database, sarà possibile verificare che i registri vengano scritti nel database:

L'appartenenza al gruppo locale Administrators e al ruolo del database Amministratori di sistema del server di database in cui è ospitato il database di configurazione AD RMS, o equivalente, è il minimo indispensabile per completare questa procedura.

Per verificare che i registri vengano scritti nel database

  1. Accedere al server database che ospita il database di registrazione RMS di AD.

  2. In SQL Server Enterprise Manager espandere Database e quindi espandere il database di registrazione RMS di AD.

  3. Espandere Tabelle, fare clic con il pulsante destro del mouse su Richiesta di servizio e quindi scegliere Apri tabella - Visualizza tutte le righe. Se i file di registro vengono creati, nella tabella verranno visualizzate una o più righe.

Ulteriori riferimenti

  • Gestione dei database AD RMS


Monitorare la coda dei messaggi di AD RMS

La funzionalità di registrazione di RMS di AD utilizza l'accodamento dei messaggi per inviare eventi al database di registrazione. Ogni server del cluster RMS di AD invia messaggi alla propria coda di messaggi. Il servizio di registrazione di RMS di AD di ogni server recupera i messaggi di registrazione dalla coda Accodamento messaggi e li scrive nel database di registrazione. Se il database di registrazione o il server database non risulta disponibile oppure il servizio di registrazione di RMS di AD viene interrotto, il servizio di accodamento messaggi scriverà i messaggi nella coda. Se si prevede di arrestare temporaneamente il database di registrazione o il server database, è consigliabile innanzitutto arrestare il servizio di registrazione RMS di AD in ogni server del cluster. Quando si è pronti a riavviare il server database, riavviare il servizio di registrazione RMS di AD in ogni server del cluster RMS di AD.

Nella configurazione predefinita il servizio di accodamento messaggi archivierà tutti i messaggi in coda fino al limite di spazio di archiviazione disponibile nel server. Se il servizio di accodamento messaggi utilizza tutti lo spazio disponibile sul disco, il server RMS di AD non sarà in grado di soddisfare le richieste dei client.

L'appartenenza al gruppo AD RMS Enterprise Administrators e al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per limitare la quantità di spazio su disco utilizzata per l'accodamento dei messaggi

  1. Accedere a un server del cluster RMS di AD.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Espandere Funzionalità, espandere Accodamento messaggi e quindi fare clic su Code private.

  5. Fare clic con il pulsante destro del mouse sulla coda di registrazione di RMS di AD, scegliere Proprietà, selezionare la casella di controllo Limita archiviazione messaggi a (KB) e quindi digitare la dimensione totale in KB di tutti i messaggi archiviabili nella coda.

  6. Fare clic su OK.

  7. Ripetere i passaggi da 1 a 6 per tutti i server RMS di AD del cluster.

Ulteriori riferimenti

  • Gestione dei database AD RMS

  • Attivare o disattivare la registrazione


Configurare account

Gli account in RMS di AD vengono utilizzati per il funzionamento e la manutenzione di un cluster RMS di AD.

In questa sezione vengono descritte le procedure seguenti:

  • Informazioni sugli account utente AD RMS

  • Aggiungere utenti ai gruppi di amministrazione di AD RMS

  • Impostare un gruppo di utenti con privilegi avanzati

  • Ripristinare la password della chiave del cluster AD RMS

  • Modificare l'account del servizio AD RMS

  • Specificare il contatto amministrativo


Informazioni sugli account utente AD RMS

Servizi di dominio Active Directory assicura l'autenticazione degli utenti di RMS di AD. Tutte le richieste degli account utente ricevute dal cluster RMS di AD vengono registrate nel database di registrazione, se è attivata la registrazione.

Eliminare account dal database di configurazione

Quando un account utente viene eliminato da Servizi di dominio Active Directory, la voce del database di configurazione nella tabella chiave relativa al certificato per account con diritti (RAC) dell'utente non viene eliminata automaticamente. Di conseguenza la tabella chiave può crescere illimitatamente man mano che vengono aggiunte nuove chiavi utente, mentre le vecchie chiavi non vengono eliminate.

Esistono due approcci per gestire il database di configurazione. Innanzitutto, è possibile creare ed eseguire una stored procedure che consente di eliminare una chiave utente identificata tramite il relativo ID di sicurezza (SID) quando l'account utente associato viene eliminato da Servizi di dominio Active Directory.

In alternativa, è possibile creare ed eseguire periodicamente uno script che consente di eliminare le chiavi utente dal database di configurazione quando i SID associati non esistono più in Servizi di dominio Active Directory. Tale metodo determina tuttavia un carico elevato sia sul server database sia su Servizi di dominio Active Directory. È pertanto consigliabile pianificare l'esecuzione dello script durante periodi di scarsa attività.

Spostare account utente in un'altra foresta di Servizi di dominio Active Directory

Quando si esegue la configurazione e il provisioning di un cluster radice in un'organizzazione, è possibile disporre di un solo cluster radice per ogni foresta di Active Directory.

In genere, quando si sposta un account utente da un dominio a un altro nella stessa foresta, viene creato un nuovo SID per l'account utente nel nuovo dominio. In questo modo, quando un utente tenta di acquisire un nuovo RAC da un server nel cluster, l'utente risulta essere un nuovo utente in quanto il SID è diverso. Il cluster genera nuove chiavi per l'account utente e rilascia il nuovo RAC utilizzando l'indirizzo di posta elettronica originale dell'utente. Se l'utente tenta di utilizzare il nuovo RAC con una licenza d'uso esistente, il SID e le chiavi non corrisponderanno. L'utente deve quindi acquisire una nuova licenza d'uso. Ciò è valido anche nel caso in cui un account utente venga spostato in un dominio di una foresta diversa.

Ulteriori riferimenti

  • Configurare account


Aggiungere utenti ai gruppi di amministrazione di AD RMS

Gli account utente vengono aggiunti ai gruppi di amministrazione di RMS di AD tramite Server Manager.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere utenti ai gruppi di amministrazione di AD RMS

  1. Accedere a un server nel cluster RMS di AD.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Espandere Configurazione, espandere Utenti e gruppi locali e quindi fare clic su Gruppi.

  4. Fare doppio clic sul gruppo desiderato, ad esempio AD RMS Enterprise Administrators, AD RMS Auditors o AD RMS Template Administrators.

  5. Fare clic su Aggiungi.

  6. Nella finestra di dialogo Seleziona utenti, computer o gruppi digitare il nome utente dell'account nel formato nome_utente@nome_dominio, fare clic su OK e quindi fare di nuovo clic su OK.

  7. Ripetere i passaggi da 1 a 6 per ogni server del cluster RMS di AD.

Per ridurre il sovraccarico amministrativo, è possibile aggiungere un gruppo di sicurezza al gruppo amministrativo di RMS di AD in Servizi di dominio Active Directory e aggiungere gli account utente al gruppo di Servizi di dominio Active Directory.

Ulteriore riferimento

  • Configurare account


Impostare un gruppo di utenti con privilegi avanzati

Il gruppo di utenti con privilegi avanzati RMS di AD è un gruppo speciale che dispone del controllo completo su tutto il contenuto protetto con RMS gestito dal cluster. Ai membri vengono concessi diritti proprietario completi in tutte le licenze d'uso rilasciate dal cluster RMS di AD in cui è configurato il gruppo di utenti con privilegi avanzati. Ciò significa che i membri di tale gruppo possono decrittografare tutti i file di contenuto protetto con RMS e rimuovere la protezione.

Il gruppo di utenti con privilegi avanzati non è attivato e non viene assegnato a un gruppo per impostazione predefinita. Quando si attiva l'impostazione Utenti con privilegi avanzati nella console Active Directory Rights Management Services, è possibile specificare un gruppo universale Servizi di dominio Active Directory da utilizzare come gruppo di utenti con privilegi avanzati per RMS di AD. Il gruppo deve trovarsi nella stessa foresta dell'installazione di RMS di AD. A tutti gli account utente che sono membri del gruppo specificato come gruppo di utenti con privilegi avanzati di RMS di AD vengono automaticamente concesse le autorizzazioni del gruppo di utenti con privilegi avanzati.

Attenzione

È consigliabile attivare il gruppo di utenti con privilegi avanzati solo se necessario. Durante le normali operazioni è consigliabile disattivare il gruppo di utenti con privilegi avanzati. Tale gruppo deve essere attivato solo se può essere giustificato.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per impostare un gruppo di utenti con privilegi avanzati

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console espandere Criteri di sicurezza e quindi fare clic su Utenti con privilegi avanzati.

  3. Fare clic su Attiva utenti con privilegi avanzati nel riquadro Azioni.

  4. Nel riquadro risultati fare clic su Modifica gruppo utenti con privilegi avanzati per aprire la finestra delle proprietà Utenti con privilegi avanzati.

  5. Nella casella Gruppo utenti con privilegi avanzati digitare l'indirizzo di posta elettronica di un gruppo esistente nella foresta Active Directory oppure fare clic su Sfoglia per spostarsi all'interno della directory e visualizzare gli utenti e i gruppi definiti.

  6. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurare account


Ripristinare la password della chiave del cluster AD RMS

Quando viene eseguito il provisioning di un nuovo cluster RMS di AD, viene scelto un metodo di protezione della chiave del cluster RMS di AD. Se si sceglie l'opzione predefinita per la protezione della chiave del cluster RMS di AD, si specifica una password complessa utilizzata per crittografare la chiave del cluster nel database di configurazione. La chiave del cluster RMS di AD viene utilizzata per firmare i certificati e le licenze concessi dal cluster. La chiave del cluster viene generata e la password viene specificata durante la configurazione iniziale del ruolo server RMS di AD.

Se RMS di AD viene eseguito in un ambiente cluster e si decide di ripristinare la chiave del cluster, è necessario eseguire tale operazione in ogni server RMS di AD del cluster. In caso contrario, i server non funzioneranno in quanto non saranno in grado di decrittografare la chiave del cluster nel database di configurazione.

Importante

Questa procedura è valida solo se si utilizza RMS di AD per gestire centralmente la chiave del cluster. Se si utilizza un provider del servizio di crittografia (CSP) basato su hardware o software, consultare la documentazione del produttore CSP.

L'appartenenza al gruppo AD RMS Enterprise Administrators e al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per ripristinare la password della chiave del cluster

  1. Accedere a un server nel cluster RMS di AD.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console espandere Criteri di sicurezza e quindi fare clic su Modifica password chiave cluster.

  4. Nella procedura guidata Password chiave cluster digitare la nuova password della chiave del cluster nella casella Password.

  5. Digitare nuovamente la password nella casella Conferma password.

  6. Per completare il ripristino della password, fare clic su Applica.

  7. Ripetere i passaggi da 1 a 6 per ogni server nel cluster RMS di AD.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurare account


Modificare l'account del servizio AD RMS

Durante l'installazione di Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD), nel computer locale viene creato il gruppo AD RMS Service Group a cui vengono concesse le autorizzazioni appropriate per tutte le risorse necessarie al funzionamento di RMS di AD. Quando viene eseguito il provisioning di RMS di AD in un server, è necessario definire un account di dominio da utilizzare come account di servizio RMS di AD.

Tale account diventa membro del gruppo AD RMS Service Group e ottiene le autorizzazioni associate a tale gruppo. Durante le operazioni di routine RMS di AD viene eseguito con l'account di servizio RMS di AD.

È possibile modificare l'account di servizio RMS di AD in qualsiasi momento. In tal caso, l'account specificato in precedenza viene automaticamente rimosso da AD RMS Service Group e il nuovo account diventa un membro di tale gruppo. Se esiste più di un server nel cluster RMS di AD in cui si sta modificando l'account di servizio RMS di AD, è necessario apportare la modifica in tutti i server del cluster.

Per eseguire la procedura guidata Modifica account di servizio, è necessario aver eseguito localmente l'accesso al server RMS di AD con un account utente dotato di privilegi amministrativi per il database di configurazione.

Importante

Per motivi di sicurezza, è consigliabile creare un account utente speciale da utilizzare esclusivamente come account di servizio RMS di AD, evitando di utilizzarlo per altri scopi. Non è inoltre consigliabile concedere ulteriori autorizzazioni a questo account.

L'appartenenza al gruppo AD RMS Enterprise Administrators e al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare l'account di servizio AD RMS

  1. Aprire la console Active Directory Rights Management Services e selezionare il cluster RMS di AD.

  2. Fare clic su Modifica account di servizio nel riquadro Azioni.

  3. Nella procedura guidata Modifica account di servizio leggere il testo contenuto nella pagina Prima della modifica dell'account di servizio AD RMS e fare clic su Avanti.

  4. Nella casella Nome utente specificare il nome dell'account con il quale RMS di AD viene eseguito per la maggior parte delle operazioni. Il nome utente deve avere il formato nome_dominio\nome_utente. Nella casella Password digitare la password dell'account utente associato.

  5. Fare clic su Avanti e quindi su Fine.

  6. Ripetere i passaggi da 1 a 5 per ogni server nel cluster RMS di AD.
Importante

L'account di servizio RMS di AD non può corrispondere all'account di dominio utilizzato per installare RMS di AD.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurare account


Specificare il contatto amministrativo

Il contatto amministrativo è rappresentato dalla persona o dal gruppo di persone dell'organizzazione in grado di assistere un utente nella risoluzione dei problemi con RMS di AD.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per specificare il contatto amministrativo

  1. Aprire la console Active Directory Rights Management Services e selezionare il cluster RMS di AD.

  2. Fare clic con il pulsante destro del mouse sul cluster e quindi scegliere Proprietà.

  3. Nella scheda Generale nell'area Contatto amministrativo digitare l'indirizzo di posta elettronica dell'amministratore da contattare.

  4. Fare clic su OK per chiudere la finestra delle proprietà.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Configurare account


Configurazione di modelli di criteri per i diritti di utilizzo

I modelli di criteri per i diritti di utilizzo vengono configurati mediante la console Active Directory Rights Management Services. Dopo averli configurati, questi modelli vengono archiviati nel database di configurazione e in una cartella condivisa facoltativa.

In questa sezione vengono fornite informazioni sugli argomenti seguenti:

  • Informazioni sui modelli di criteri per i diritti di utilizzo

  • Informazioni sull'applicazione dei diritti

  • Specificare il percorso dei modelli di criteri per i diritti di utilizzo

  • Creare un nuovo modello di criteri per i diritti di utilizzo

  • Modificare un modello di criteri per i diritti di utilizzo

  • Visualizzare un riepilogo dei diritti utente per un modello di criteri per i diritti di utilizzo

  • Archiviare un modello di criteri per i diritti di utilizzo

  • Eliminare un modello di criteri per i diritti di utilizzo

  • Aggiungere una nuova lingua al modello di criteri per i diritti di utilizzo

  • Distribuire modelli di criteri per i diritti di utilizzo tramite i Criteri di gruppo

  • Distribuire manualmente i modelli di criteri per i diritti di utilizzo

  • Ripristinare modelli di criteri per i diritti di utilizzo


Informazioni sui modelli di criteri per i diritti di utilizzo

I modelli di criteri per i diritti di utilizzo consentono di controllare i diritti di cui un utente o un gruppo dispone per una determinata parte di contenuto protetto con RMS. RMS di AD archivia i modelli di criteri per i diritti di utilizzo nel database di configurazione. Facoltativamente, è possibile conservare una copia di tutti i modelli di criteri per i diritti di utilizzo in una cartella condivisa specificata dall'utente. Per informazioni sulle modalità di applicazione dei diritti, vedere Informazioni sull'applicazione dei diritti.

Nella pubblicazione di contenuto protetto l'autore seleziona il modello di criteri per i diritti di utilizzo da applicare tra i modelli disponibili nel computer locale. Per consentire l'utilizzo per la pubblicazione offline di modelli di criteri per i diritti di utilizzo, l'amministratore deve distribuire tali modelli ai computer degli utenti da una cartella condivisa. Se RMS di AD è in esecuzione in Windows Server 2008 R2 o Windows Server® 2008, i modelli di criteri per i diritti di utilizzo vengono gestiti automaticamente dal client RMS di AD. Una pipeline di distribuzione dei modelli consente al client RMS di AD di eseguire il polling per individuare gli aggiornamenti relativi ai modelli di criteri per i diritti di utilizzo. Quando un modello di criteri per i diritti di utilizzo viene aggiunto, modificato o eliminato, il client rileva tali modifiche e aggiorna i modelli di criteri per i diritti di utilizzo locali durante l'aggiornamento successivo. I modelli di criteri per i diritti di utilizzo vengono archiviati localmente nel client RMS di AD che esegue Windows Server 2008 R2, Windows 7, Windows Server 2008 o Microsoft Windows Vista nella cartella %localappdata%\Microsoft\DRM\templates. Per Windows XP, Windows 2000 e Windows Server 2003 il percorso è %appdata%\Microsoft\DRM\templates.

Nota

Il nuovo metodo di distribuzione dei modelli di criteri per i diritti di utilizzo è disponibile solo per i client RMS di AD che eseguono Windows Server 2008, Microsoft Windows Vista RC1, Windows Server 2008 R2 o Windows 7. Tutte le versioni del client Rights Management Services (RMS) utilizzano il metodo precedente per la distribuzione dei modelli di criteri per i diritti di utilizzo.

Quando si modifica un modello di criteri per i diritti di utilizzo nel server RMS di AD, il modello viene automaticamente aggiornato sia nel database di configurazione, sia nella cartella condivisa, se per il cluster RMS di AD è stato specificato un percorso di archiviazione delle copie di modelli di criteri per i diritti di utilizzo. Se si utilizzano client RMS di AD diversi da Windows Server 2008, Microsoft Windows Vista RC1, Windows 7 o Windows Server 2008 R2, è necessario ridistribuire nei client ogni modello di criteri per i diritti di utilizzo modificato, in modo che gli utenti nei propri computer dispongano sempre della versione più aggiornata. Nei client RMS di AD in esecuzione in Windows Server 2008, Microsoft Windows Vista RC1, Windows 7 o Windows Server 2008 R2 tale modifica viene rilevata automaticamente e i modelli di criteri per i diritti di utilizzo vengono opportunamente aggiornati.

Per ulteriori informazioni sulla distribuzione di modelli di criteri per i diritti di utilizzo, vedere http://go.microsoft.com/fwlink/?LinkId=81070.

Modelli di criteri per i diritti di utilizzo del client RMS

Per poter creare contenuto protetto con RMS utilizzando un modello di criteri per i diritti di utilizzo, è necessario che gli utenti dispongano dell'accesso al modello. Se i computer client sono sempre connessi alla rete interna e possono accedere a cartelle condivise, è possibile consentire agli utenti di utilizzare una cartella condivisa per accedere ai modelli. Tuttavia, la maggior parte degli amministratori sceglie di posizionare i file dei modelli nei computer client locali, in modo da consentirne l'utilizzo sia per la pubblicazione offline che per la pubblicazione online di contenuto protetto con RMS. Nei client abilitati per RMS di AD che eseguono Windows Server 2008, Microsoft Windows Vista RC1, Windows 7 o Windows Server 2008 R2 è possibile utilizzare la pipeline di distribuzione dei modelli per aggiornare automaticamente i modelli di criteri per i diritti di utilizzo.

Nota

Se un modello viene spostato in un server RMS di AD da un altro server RMS di AD, il modello dovrà successivamente essere esportato dal server e ridistribuito ai client prima di poter essere utilizzato.

Di seguito vengono riportate alcune procedure consigliate per la distribuzione di modelli di criteri per i diritti di utilizzo nelle versioni del client RMS:

  • Distribuire i file dei modelli nei computer locali degli utenti in modo da consentirne l'utilizzo anche quando i computer non sono connessi alla rete.

  • Configurare una cartella condivisa come punto di distribuzione in un server nel cluster RMS di AD. Impostare le autorizzazioni per la cartella condivisa e i file dei modelli come descritto nella tabella seguente:

Account | Autorizzazioni
AD RMS Service Group | Modifica
System | Modifica
Users | Lettura

Ulteriori riferimenti

  • Configurazione di modelli di criteri per i diritti di utilizzo


Informazioni sull'applicazione dei diritti

I diritti AD RMS (Active Directory Rights Management Services) consentono di controllare le modalità con cui un utente può accedere, utilizzare e ridistribuire il contenuto protetto con RMS. Alcuni diritti vengono applicati esclusivamente da browser o applicazioni abilitate per AD RMS, mentre altri vengono applicati principalmente dal client AD RMS, anche se le applicazioni possono applicare comunque la propria interpretazione specifica del diritto. I diritti applicati dal client AD RMS controllano la modalità di utilizzo delle informazioni sulle licenze, ad esempio se queste ultime possono essere utilizzate per ricrittografare il contenuto decrittografato in precedenza. I diritti che controllano le modalità di utilizzo del contenuto vengono interpretati e applicati dalle applicazioni abilitate per AD RMS, tra cui le applicazioni di Microsoft Office. Queste ultime ad esempio applicano il diritto di visualizzazione, consentendo di decrittografare e visualizzare il contenuto di un documento protetto se all'utente in questione è stato concesso tale diritto.

Nella tabella seguente sono riportati i diritti disponibili per impostazione predefinita quando si crea un modello di criteri per i diritti di utilizzo, insieme a una breve descrizione di come il diritto viene applicato dal client AD RMS e interpretato dalle applicazioni comuni abilitate per AD RMS.

Nota

Le applicazioni abilitate per AD RMS possono interpretare questi diritti in modo diverso. La descrizione fornita è generica e ne illustra l'utilizzo tipico. Per informazioni sull'applicazione di questi diritti, vedere la documentazione relativa all'applicazione specifica.

Diritto | Descrizione
Controllo completo | Se concesso, questo diritto consente a un utente di esercitare tutti i diritti della licenza, indipendentemente dal fatto che tali diritti siano stati o meno assegnati specificamente all'utente in questione.
Visualizza | Se questo diritto viene concesso, il client AD RMS consente la decrittografia del contenuto protetto. In tal caso, in genere l'applicazione consente all'utente di visualizzare il contenuto protetto.
Modifica | Se questo diritto viene concesso, il client AD RMS consente la decrittografia e la nuova crittografia del contenuto protetto mediante la stessa chiave contenuto. Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di modificare il contenuto protetto e quindi di salvarlo nello stesso file. Questo diritto in pratica è identico al diritto Salva.
Salva | Se questo diritto viene concesso, il client AD RMS consente la decrittografia e la nuova crittografia del contenuto protetto mediante la stessa chiave contenuto. Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di modificare il contenuto protetto e quindi di salvarlo nello stesso file. Questo diritto in pratica è identico al diritto Modifica.
Esporta (Salva con nome) | Se questo diritto viene concesso, il client AD RMS consente la decrittografia e la nuova crittografia del contenuto protetto mediante la stessa chiave contenuto. Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di utilizzare la funzionalità "Salva con nome" per salvare il contenuto protetto in un nuovo file.
Stampa | Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di stampare il contenuto protetto.
Inoltra | Quando questo diritto viene concesso, in genere l'applicazione consentirà a un destinatario di posta elettronica di inoltrare un messaggio protetto.
Rispondi | Quando questo diritto viene concesso, in genere l'applicazione consentirà a un destinatario di posta elettronica di rispondere a un messaggio protetto e di includere una copia del messaggio originale.
Rispondi a tutti | Quando questo diritto viene concesso, in genere l'applicazione consentirà a un destinatario di posta elettronica di rispondere a tutti i destinatari di un messaggio protetto e di includere una copia del messaggio originale.
Estrai | Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di copiare e incollare informazioni del contenuto protetto.
Consenti macro | Quando questo diritto viene concesso, in genere l'applicazione consentirà all'utente di eseguire macro nel documento o di utilizzare un editor per modificare le macro nel documento.
Visualizza diritti | Se questo diritto viene concesso, il client AD RMS consente a un utente di visualizzare i diritti utente assegnati dalla licenza.
Modifica diritti | Se questo diritto viene concesso, il client AD RMS consente a un utente di modificare i diritti utente assegnati dalla licenza.

Ulteriori riferimenti

  • Informazioni sui modelli di criteri per i diritti di utilizzo

  • Configurazione di modelli di criteri per i diritti di utilizzo


Specificare il percorso dei modelli di criteri per i diritti di utilizzo

Con Windows Server 2008 o Windows Server 2008 R2, è possibile ottenere automaticamente i modelli di criteri per i diritti di utilizzo da un cluster RMS di AD e mantenerli aggiornati con l'esecuzione di un'attività pianificata automatizzata. Per ulteriori informazioni sulla creazione di un'attività pianificata, vedere http://go.microsoft.com/fwlink/?LinkId=93718. Potrebbe tuttavia essere necessario continuare a esportare i modelli in una cartella per distribuirli manualmente ai client che non eseguono Windows Server 2008 o Windows Server 2008 R2. Il percorso specificato dall'utente tramite la procedura seguente consente di creare un punto da quale è possibile distribuire i modelli ai computer client.

Nota

Nella cartella condivisa vengono archiviati solo i modelli di criteri per i diritti di utilizzo. Se si utilizzano modelli di criteri per i diritti di utilizzo archiviati, sarà necessario modificarli in modelli di criteri per i diritti di utilizzo distribuiti prima di poterli visualizzare nella cartella condivisa.

Se si utilizza Microsoft Office 2003 o versioni successive come applicazione abilitata RMS di AD, il percorso in cui le applicazioni di Microsoft Office eseguiranno la ricerca dei modelli di criteri per i diritti di utilizzo è controllato dalla chiave del Registro di sistema AdminTemplatePath. È consigliabile configurare questa voce del Registro di sistema in modo che faccia riferimento a una cartella locale in cui sono archiviati i modelli di criteri per i diritti di utilizzo. Per ulteriori informazioni sulla distribuzione di modelli di criteri per i diritti di utilizzo, vedere http://go.microsoft.com/fwlink/?LinkId=81070.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per specificare il percorso dei modelli di criteri per i diritti di utilizzo

  1. Creare una cartella nel server che verrà utilizzato per archiviare i modelli di criteri per i diritti di utilizzo esportati.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  4. Nel riquadro Azioni fare clic su Proprietà e quindi selezionare la casella di controllo Consenti esportazione.

  5. Nella casella Percorso file modelli (UNC) digitare il percorso di una cartella condivisa in cui archiviare i modelli di criteri per i diritti di utilizzo per il cluster nel formato \\nome_server\nome_condivisione oppure fare clic su Sfoglia per accedere al percorso.

  6. Prima di esportare i modelli di criteri per i diritti di utilizzo, verificare che siano soddisfatti i criteri seguenti:

    • L'RMS di AD Service Group deve disporre dell'autorizzazione di scrittura sulla cartella condivisa.

    • Le cartelle condivise non devono essere create nelle cartelle principali utilizzate da RMS di AD, ad esempio la cartella _wmcs nella cartella %systemdrive%\inetpub\wwwroot.

    • Verificare che la cartella condivisa sia accessibile prima di esportarvi i modelli di criteri per i diritti di utilizzo. In caso contrario, sarà necessario deselezionare la casella Consenti esportazione, fare clic su OK, selezionare la casella Consenti esportazione, digitare di nuovo il nome della cartella condivisa e quindi fare clic su OK. Questa azione forza l'esportazione di tutti i modelli di criteri per i diritti di utilizzo nella cartella condivisa.

  7. Fare clic su OK.

  8. Dopo aver esportato i modelli di criteri per i diritti di utilizzo, renderli disponibili per gli utenti. Versioni diverse del client RMS di AD e delle applicazioni abilitate RMS di AD dispongono di metodi diversi per specificare la posizione in cui i modelli di criteri per i diritti di utilizzo devono essere archiviati nel computer client. Rivolgersi al produttore dell'applicazione abilitata RMS di AD per determinare il modo in cui i modelli di criteri per i diritti di utilizzo vengono gestiti dall'applicazione specifica.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Creare un nuovo modello di criteri per i diritti di utilizzo

Quando si crea un nuovo modello di criteri per i diritti di utilizzo, nella procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito o Crea modello di criteri per i diritti di utilizzo archiviato vengono visualizzati i passaggi relativi ai diversi elementi del modello, a seconda del tipo di modello desiderato. Tali elementi possono essere modificati in un momento successivo selezionando il modello e aprendo la relativa finestra delle proprietà. Un modello di criteri per i diritti di utilizzo distribuito consente agli utenti di pubblicare e utilizzare contenuto protetto con RMS, mentre un modello di criteri per i diritti di utilizzo archiviato consente solamente l'utilizzo dopo che il modello di criteri per i diritti di utilizzo è stato rimosso dal computer client. Le proprietà incluse in questi due modelli di criteri per i diritti di utilizzo sono le stesse e possono essere configurate eseguendo la procedura indicata di seguito.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per creare un modello di criteri per i diritti di utilizzo

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD).

  2. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  3. Fare clic su Crea modello di criteri per i diritti di utilizzo distribuito nel riquadro Azioni. Viene visualizzata la procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito.

  4. Nella pagina Aggiunta informazioni di identificazione del modello fare clic su Aggiungi.

  5. Specificare la lingua, il nome e la descrizione del modello e quindi fare clic su Aggiungi.

  6. Fare clic su Avanti.

  7. Nella pagina Aggiunta diritti utente eseguire le operazioni seguenti:

    1. Fare clic su Aggiungi. Nella finestra di dialogo Aggiungi utente o gruppo fare clic su Sfoglia per individuare un utente o un gruppo nella directory di Servizi di dominio Active Directory oppure digitare l'indirizzo di posta elettronica valido dell'utente o del gruppo che si desidera aggiungere e quindi fare clic su OK. Se necessario, ripetere le stesse operazioni per aggiungere ulteriori utenti o gruppi.

      Per specificare che qualsiasi utente può ottenere una licenza d'uso per il contenuto protetto, selezionare l'opzione Tutti che identifica un gruppo speciale riconosciuto da RMS di AD.

    2. In Utenti e diritti selezionare un utente o un gruppo a cui assegnare i diritti desiderati. Selezionare la casella di controllo di ogni diritto da assegnare all'utente o al gruppo selezionato.

      Selezionare un altro utente o gruppo e ripetere la procedura per assegnare diritti agli utenti e ai gruppi rimanenti. Se l'applicazione abilitata per RMS di AD dispone di diritti di utilizzo personalizzati, è possibile assegnare tali diritti a utenti e gruppi facendo clic su Crea diritto personalizzato. Nella finestra di dialogo Crea diritto personalizzato digitare il nome del diritto definito dall'applicazione. Nel modello sarà quindi disponibile una casella di controllo relativa a tale diritto.

    3. Nella casella URL richiesta diritti digitare l'URL da cui gli utenti possono richiedere diritti aggiuntivi per il contenuto protetto con RMS.

    4. Fare clic su Avanti.

  8. Nella pagina Impostazione criteri di scadenza:

    1. In Scadenza contenuto selezionare una delle tre opzioni relative alla scadenza:

      • Selezionare Nessuna scadenza per impedire che il contenuto scada.

      • Selezionare Data di scadenza (UTC) e quindi la data e l'ora in cui si desidera che il contenuto scada. L'ora è espressa in formato UTC (Coordinated Universal Time), ovvero come ora di Greenwich.

      • Selezionare Periodo di validità (giorni) e quindi specificare per quanti giorni il contenuto deve rimanere valido.

    2. Se necessario, in Scadenza licenza d'uso selezionare Periodo di validità (giorni) e quindi specificare per quanti giorni la licenza deve rimanere valida.

    Fare clic su Avanti.

  9. Nella pagina Impostazione criteri estesi:

    1. Fare clic su Consenti agli utenti di visualizzare il contenuto protetto in un componente aggiuntivo del browser se si desidera consentire agli utenti che non dispongono di un'applicazione abilitata per RMS di AD di visualizzare il contenuto protetto con RMS.

    2. Fare clic su Richiedi una nuova licenza d'uso per ogni utilizzo del contenuto (disattiva memorizzazione nella cache lato client) se si desidera che l'utente ripeta l'autenticazione con RMS di AD ogni volta che viene utilizzato il contenuto protetto con RMS.

    3. Fare clic su Se si desidera specificare informazioni aggiuntive per l'applicazione abilitata per AD RMS, è possibile impostarle in questa posizione in forma di coppie nome-valore, se si desidera aggiungere dati specifici dell'applicazione, ad esempio coppie nome-valore personalizzate, ai diritti XrML supportati da RMS di AD. Lo sviluppatore può aggiungere tali informazioni a un'applicazione abilitata per RMS di AD per limitare l'interazione con il contenuto protetto. I dati specifici dell'applicazione vengono imposti a livello dell'applicazione abilitata per RMS di AD e vengono applicati a tutti gli utenti che utilizzano tale applicazione.

    Fare clic su Avanti.

  10. Per implementare la revoca, nella pagina Impostazione criteri di revoca selezionare la casella di controllo Richiedi revoca e quindi eseguire la procedura seguente:

    1. In Percorso di pubblicazione dell'elenco di revoche (URL o UNC) digitare l'URL in cui è stato pubblicato il file dell'elenco di revoche. Se è necessario supportare utenti disconnessi o utenti esterni, l'URL deve essere accessibile sia tramite la rete interna dell'organizzazione sia tramite Internet.

    2. In Intervallo di aggiornamento per l'elenco di revoche (giorni) digitare il numero di giorni in cui l'elenco di revoche deve rimanere valido. Se un utente possiede una copia dell'elenco di revoche antecedente a questo valore, è necessario ottenere un elenco di revoche aggiornato per utilizzare il contenuto.

    3. In File contenente la chiave pubblica corrispondente all'elenco di revoche firmato digitare il percorso e il nome del file o fare clic su Sfoglia per individuare il file della chiave pubblica dell'elenco di revoche.

    Attenzione

    È necessario prestare particolare attenzione quando si implementa una revoca. In base all'intervallo di aggiornamento specificato, è necessario rinnovare periodicamente l'elenco di revoche. In caso contrario l'elenco scadrà automaticamente, impedendo agli utenti di utilizzare il contenuto che richiede quell'elenco. Per accertarsi di non impedire inavvertitamente agli utenti di utilizzare il contenuto, valutare attentamente l'intervallo necessario per aggiornare l'elenco di revoche.

  11. Fare clic su Fine.

È inoltre possibile creare copie dei modelli di criteri per i diritti di utilizzo. Ciò può essere utile se si desidera utilizzare un modello come base per altri modelli a cui è necessario apportare solo modifiche minori.

Per copiare un modello di criteri per i diritti di utilizzo

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  3. Nel riquadro risultati selezionare il modello di criteri per i diritti di utilizzo da copiare.

  4. Nel riquadro Azioni fare clic su Copia. Nel riquadro risultati verrà visualizzato un nuovo modello di criteri per i diritti di utilizzo.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Modificare un modello di criteri per i diritti di utilizzo

Per modificare un modello di criteri per i diritti di utilizzo esistente, utilizzare la procedura seguente.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare un modello di criteri per i diritti di utilizzo

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD).

  2. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  3. Se si modifica un modello di criteri per i diritti di utilizzo distribuito, nel riquadro Azioni fare clic su Gestisci modelli di criteri per i diritti di utilizzo distribuiti. Se si modifica un modello di criteri per i diritti di utilizzo archiviato, nel riquadro Azioni fare clic su Gestisci modelli di criteri per i diritti di utilizzo archiviati.

  4. Nel riquadro risultati fare clic sul nome del modello da modificare.

  5. Nel riquadro Azioni fare clic su Proprietà del modello di criteri per i diritti di utilizzo.

  6. Nella scheda Informazioni di identificazione modificare le informazioni presenti nelle aree Nome modello e Descrizione modello in base alle esigenze. Se necessario, è possibile aggiungere ulteriori lingue in Lingua modello.

  7. Nella scheda Diritti utente eseguire una o più delle operazioni seguenti:

    • Per aggiungere un utente o un gruppo, in Utenti e diritti fare clic su Aggiungi, digitare l'indirizzo di posta elettronica valido di un utente o gruppo specifico, selezionare Tutti per consentire a tutti gli utenti di visualizzare il contenuto e quindi fare clic su OK.

    • Selezionare il nome in Utenti e diritti. Nell'area Diritti per selezionare tutti i diritti da assegnare all'utente o al gruppo selezionato.

    • Per modificare i diritti di un utente o gruppo esistente, selezionare il nome corrispondente in Utenti e diritti e quindi selezionare o deselezionare le caselle di controllo dei diritti in base alle esigenze.

    • Per rimuovere un utente o un gruppo, selezionare il nome in Utenti e diritti e quindi fare clic su Rimuovi.

    • Per aggiungere un diritto personalizzato, fare clic su Crea diritto personalizzato e quindi digitare il nome del diritto supportato dall'applicazione abilitata all'uso di diritti.

    • Per modificare l'URL tramite cui gli utenti possono richiedere diritti aggiuntivi, in URL richiesta diritti digitare il nuovo URL.

  8. Nella scheda Criteri di scadenza modificare le informazioni relative alla scadenza e al rinnovo delle licenze per il contenuto in base alle specifiche esigenze.

    • Fare clic su Nessuna scadenza per impostare il contenuto protetto con questo modello di criteri per i diritti di utilizzo in modo che non scada mai.

    • Fare clic su Data di scadenza (UTC) per impostare una data specifica in cui il contenuto protetto con questo modello di criteri per i diritti di utilizzo scade. La data e l'ora sono espresse in formato UTC (Coordinated Universal Time), ovvero come ora di Greenwich.

    • Fare clic su Periodo di validità per impostare un numero di giorni specifico al termine dei quali il contenuto scade.

    • In Scadenza licenza d'uso impostare Periodo di validità per forzare l'utente a richiedere una nuova licenza d'uso per tutto il contenuto protetto mediante questo modello di criteri per i diritti di utilizzo.

  9. Nella scheda Criteri estesi modificare in base alle esigenze le informazioni relative alla modalità di implementazione delle licenze, ad esempio la persistenza dei diritti d'autore, il supporto di browser trusted, la persistenza delle licenze all'interno del contenuto e l'imposizione di eventuali dati specifici dell'applicazione.

    • Selezionare Consenti agli utenti di visualizzare il contenuto protetto in un componente aggiuntivo del browser se si desidera che il contenuto protetto mediante questo modello di criteri per i diritti di utilizzo sia accessibile tramite un browser Web, ad esempio Internet Explorer con il componente aggiuntivo Rights Management.

    • Selezionare Richiedi una nuova licenza d'uso per ogni utilizzo del contenuto se si desidera che gli utenti richiedano una nuova licenza d'uso ogni volta che il contenuto protetto con questo modello di criteri per i diritti di utilizzo viene aperto. Il client RMS di AD deve essere in grado di connettersi al cluster RMS di AD ogni volta che il contenuto viene utilizzato. Questa opzione non è adatta alla pubblicazione offline.

    • Per aggiungere ulteriori coppie nome-valore create con applicazioni abilitate per RMS di AD, selezionare la casella Se si desidera specificare informazioni aggiuntive per l'applicazione abilitata per AD RMS.

  10. Nella scheda Criteri di revoca specificare se per il contenuto creato con questo modello è necessario un elenco di revoche. Se si seleziona Richiedi revoca, completare le impostazioni seguenti in base alle esigenze:

    • In Percorso di pubblicazione dell'elenco di revoche digitare l'URL in cui è stato pubblicato il file dell'elenco di revoche. Se è necessario supportare utenti disconnessi o utenti esterni, l'URL deve essere accessibile sia tramite la rete aziendale sia tramite Internet.

    • In Intervallo di aggiornamento per l'elenco di revoche digitare il numero di giorni in cui l'elenco di revoche deve rimanere valido. Se un utente possiede una copia dell'elenco di revoche antecedente a questo valore, è necessario ottenere un elenco di revoche aggiornato per utilizzare il contenuto.

    • In File contenente la chiave pubblica corrispondente all'elenco di revoche firmato digitare il percorso e il nome del file della chiave pubblica dell'elenco di revoche.

    Attenzione

    È necessario prestare particolare attenzione quando si implementa una revoca. In base all'intervallo di aggiornamento specificato, è necessario rinnovare periodicamente l'elenco di revoche. In caso contrario l'elenco scadrà automaticamente, impedendo agli utenti di utilizzare il contenuto che richiede quell'elenco. Per accertarsi di non impedire inavvertitamente agli utenti di utilizzare il contenuto, valutare attentamente l'intervallo necessario per aggiornare l'elenco di revoche.

  11. Fare clic su OK.

Dopo la modifica di un modello di criteri per i diritti di utilizzo nel cluster, è necessario aggiornare anche le copie locali del modello presenti nei computer client.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Visualizzare un riepilogo dei diritti utente per un modello di criteri per i diritti di utilizzo

È possibile utilizzare il riepilogo dei diritti utente per confrontare i diritti concessi a utenti e gruppi mediante un modello specifico senza aprire le proprietà del modello di criteri per i diritti di utilizzo.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per visualizzare un sommario dei diritti utente per un modello di criteri per i diritti di utilizzo

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  3. Nel riquadro dei risultati selezionare il modello per il quale si desidera visualizzare i diritti.

  4. Nel riquadro Azioni fare clic su Visualizza riepilogo diritti. Verranno visualizzati i diritti per ogni utente e gruppo specificati per il modello.

  5. Per visualizzare i diritti utente per un altro modello di criteri per i diritti di utilizzo, ripetere i passaggi 3 e 4.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Configurazione di modelli di criteri per i diritti di utilizzo


Archiviare un modello di criteri per i diritti di utilizzo

I modelli di criteri per i diritti di utilizzo possono essere archiviati tramite la console Active Directory Rights Management Services. I modelli archiviati non vengono esportati nel relativo percorso di esportazione e non vengono distribuiti tramite la pipeline di distribuzione dei modelli. Dopo l'aggiornamento dei modelli di criteri per i diritti di utilizzo nei computer client, i modelli archiviati non possono più essere utilizzati dagli utenti per la pubblicazione di nuovo contenuto. Allo stesso tempo i modelli archiviati consentono al server di continuare a rilasciare licenze d'uso per il contenuto già pubblicato in base a tali modelli.

Nota

I modelli di criteri per i diritti di utilizzo archiviati non vengono esportati nella cartella dei modelli condivisi. Se si desidera esportare un modello archiviato, è necessario convertirlo in modello di criteri per i diritti di utilizzo distribuito.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per archiviare un modello di criteri per i diritti di utilizzo

  1. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  2. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  3. Selezionare il nome del modello di criteri per i diritti di utilizzo che si desidera archiviare e quindi nel riquadro Azioni fare clic su Archivia modello di criteri per i diritti di utilizzo.

  4. Fare clic su Sì per confermare.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Eliminare un modello di criteri per i diritti di utilizzo

Quando si elimina un modelli di criteri per i diritti di utilizzo dal cluster RMS di AD, il contenuto pubblicato utilizzando quel modello non può più essere utilizzato. In base alle procedure consigliate, è consigliabile eseguire il backup del database di configurazione prima di eliminare un modello di criteri per i diritti di utilizzo, in modo da poter recuperare il contenuto protetto con RMS in caso di necessità.

In alternativa al backup dell'intero database, è possibile archiviare il modello che non si desidera più utilizzare per aggiungere la funzionalità di protezione con RMS ai documenti. L'archiviazione di un modello di criteri per i diritti di utilizzo consentirà agli utenti di utilizzare il contenuto ma non di creare nuovo contenuto protetto con RMS con il modello. Per ulteriori informazioni sull'archiviazione di modelli, vedere Archiviare un modello di criteri per i diritti di utilizzo.

Per i client RMS di AD che non eseguono Windows Server 2008 o Windows Server 2008 R2 oppure i client per i quali non è stata attivata la distribuzione automatica dei modelli di criteri per i diritti di utilizzo, è necessario rimuovere manualmente il modello di criteri per i diritti di utilizzo dal computer di un utente. Se il modello di criteri per i diritti di utilizzo eliminato non viene rimosso e un utente lo utilizza per pubblicare contenuto, RMS di AD non sarà in grado di rilasciare licenze d'uso per il contenuto in quanto non sarà in grado di individuare il modello specificato nel database di configurazione.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per eliminare un modello di criteri per i diritti di utilizzo

  1. Accedere a un computer nel cluster RMS di AD.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  4. Selezionare il nome del modello di criteri per i diritti di utilizzo da eliminare e quindi fare clic su Elimina nel riquadro Azioni.

  5. Fare clic su Sì per confermare l'eliminazione.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Configurazione di modelli di criteri per i diritti di utilizzo

  • Archiviare un modello di criteri per i diritti di utilizzo


Aggiungere una nuova lingua al modello di criteri per i diritti di utilizzo

Quando si crea un modello di criteri per i diritti di utilizzo, si seleziona la lingua che verrà utilizzata in tale modello. Per impostazione predefinita, nei modelli di criteri per i diritti di utilizzo viene utilizzata la lingua del sistema operativo del server.

Se si dispone di client abilitati per RMS di AD che utilizzano un'impostazione di lingua diversa nei rispettivi sistemi operativi, è possibile selezionare la relativa lingua durante la creazione del modello di criteri per i diritti di utilizzo. In questo modo il modello rifletterà le preferenze per la lingua del client.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per aggiungere una nuova lingua a un modello di criteri per i diritti di utilizzo

  1. Accedere a un computer nel cluster RMS di AD.

  2. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  3. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  4. Selezionare il nome del modello di criteri per i diritti di utilizzo desiderato e quindi nel riquadro Azioni fare clic su Proprietà.

  5. Nella scheda Informazioni di identificazione fare clic su Aggiungi.

  6. Selezionare la lingua desiderata dalla casella Lingua.

  7. Nella casella Nome digitare un nome che verrà visualizzato agli utenti di RMS di AD. È consigliabile utilizzare il nome della lingua nel nome del modello in modo da distinguere facilmente i vari modelli in base agli identificatori della lingua.

  8. Nella casella Descrizione digitare una descrizione per il modello di criteri per i diritti di utilizzo.

  9. Fare clic su OK e quindi nuovamente su OK per chiudere la finestra delle proprietà.
Nota

Per selezionare una determinata lingua, è necessario che questa sia installata nel server. L'aggiunta di una nuova lingua viene eseguita selezionando Opzioni internazionali e della lingua nel Pannello di controllo. Fare clic sulla scheda Tastiere e lingue e quindi su Installa/Disinstalla lingue per avviare la procedura guidata Installa o disinstalla lingue di visualizzazione.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Distribuire modelli di criteri per i diritti di utilizzo tramite i Criteri di gruppo

Sono disponibili nuovi file modello Criteri di gruppo (file con estensione ADM) che consentono agli amministratori di Active Directory di configurare e distribuire le impostazioni per Office 2007 tramite Criteri di gruppo. Per scaricare i modelli amministrativi di Office System 2007, vedere http://go.microsoft.com/fwlink/?LinkId=80639.

I file seguenti inclusi nel pacchetto Modelli amministrativi vengono estratti in una cartella scelta dall'utente:

  • Access12.adm

  • Cpao12.adm

  • Excel12.adm

  • Groove12.adm

  • Ic12.adm

  • Inf12.adm

  • Office12.adm

  • Onent12.adm

  • Outlk12.adm

  • Ppt12.adm

  • Proj12.adm

  • Pub12.adm

  • Spd12.adm

  • Visio12.adm

  • Word12.adm

Dopo aver importato i file ADM in Criteri di gruppo (è necessario disporre almeno di Office12.adm), le impostazioni IRM saranno disponibili in Configurazione utente, Modelli amministrativi, Microsoft Office 2007 System, Gestione autorizzazioni limitate. Configurare l'impostazione Percorso dei criteri di autorizzazione in base all'archivio modelli locale nel computer client.

Ulteriore riferimento

  • Configurazione di modelli di criteri per i diritti di utilizzo


Distribuire manualmente i modelli di criteri per i diritti di utilizzo

Se si desidera configurare le impostazioni del Registro di sistema direttamente nei computer client, è necessario creare la chiave di registro seguente:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\12.0\Common\DRM\AdminTemplatePath

Attenzione

La modifica incorretta del Registro di sistema potrebbe danneggiare gravemente il sistema. Prima di apportare modifiche al Registro di sistema, si consiglia di effettuare il backup di qualsiasi dati importanti sul computer.

Come valore del Registro di sistema è necessario specificare il percorso della cartella dei modelli. È possibile creare l'impostazione del Registro di sistema utilizzando un tipo di dati REG_SZ o REG_EXPAND_SZ.

Se si crea la voce AdminTemplatePath con un tipo di dati REG_SZ, è necessario specificare il percorso esplicito della cartella dei modelli, ad esempio C:\Documents and Settings\Tutti gli utenti\Impostazioni locali\Dati applicazioni\Microsoft\DRM. Se invece si crea la voce AdminTemplatePath con un tipo di dati REG_EXPAND_SZ, è possibile specificare il percorso tramite variabili di ambiente, ad esempio %allusersprofile%\Dati applicazioni\Microsoft\DRM.

Dopo aver creato la voce del Registro di sistema, è necessario copiare manualmente i file dei modelli dal relativo percorso di esportazione. Se si utilizza Windows Server 2008, Microsoft Windows Vista, Windows Server 2008 R2 o Windows 7 come client RMS di AD, attivando l'apposita funzionalità di gestione automatica dei modelli di criteri per i diritti di utilizzo, questi verranno gestiti automaticamente. Per ulteriori informazioni sulla distribuzione di modelli di criteri per i diritti di utilizzo, vedere http://go.microsoft.com/fwlink/?LinkId=81070.

Ulteriori riferimenti

  • Configurazione di modelli di criteri per i diritti di utilizzo

  • Specificare il percorso dei modelli di criteri per i diritti di utilizzo


Ripristinare modelli di criteri per i diritti di utilizzo

Per assicurarsi che i modelli di criteri per i diritti di utilizzo siano disponibili nel percorso di esportazione dopo un ripristino di sistema del computer in cui questi sono archiviati, è necessario esportarli nuovamente dal database di configurazione.

Nota

Se in Windows Server 2008 R2 è stata attivata la distribuzione automatica dei modelli, non è necessario esportare i modelli di criteri per i diritti di utilizzo.

L'appartenenza al gruppo locale AD RMS Template Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per ripristinare un modello di criteri per i diritti di utilizzo

  1. Accedere a un computer nel cluster RMS di AD.

  2. Eliminare i modelli di criteri per i diritti di utilizzo che si trovano nella cartella di esportazione corrispondente.

  3. Aprire la console Active Directory Rights Management Services ed espandere il cluster RMS di AD.

  4. Nell'albero della console fare clic su Modelli di criteri per i diritti di utilizzo.

  5. Nel riquadro Azioni fare clic su Proprietà, deselezionare la casella di controllo Consenti esportazione e quindi fare clic su Applica.

  6. Selezionare la casella di controllo Consenti esportazione, specificare un percorso di rete valido in Percorso file modelli (UNC) e quindi fare clic su OK. Tutti i modelli di criteri per i diritti di utilizzo verranno esportati dal database di configurazione e sovrascriveranno i modelli attualmente presenti in questa cartella.

Ulteriori considerazioni

  • Per eseguire l'attività descritta in questa procedura è inoltre possibile utilizzare Windows PowerShell. Per ulteriori informazioni su Windows PowerShell per AD RMS, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=136806.

Ulteriori riferimenti

  • Specificare il percorso dei modelli di criteri per i diritti di utilizzo

  • Configurazione di modelli di criteri per i diritti di utilizzo


Configurazione delle foreste in AD RMS

Le procedure illustrate in questa sezione consentono di configurare le foreste di Active Directory in RMS di AD.

In questa sezione vengono descritti gli argomenti seguenti:

  • Informazioni sulle foreste in AD RMS

  • Configurare l'elenco di controllo di accesso (ACL) per la cartella GroupExpansion


Informazioni sulle foreste in AD RMS

Se si sta distribuendo RMS di AD in un ambiente con più foreste di Servizi di dominio Active Directory, sarà necessario stabilire quale supporto potrebbe essere necessario per gli utenti o i gruppi esterni alla foresta in cui viene distribuito RMS di AD. RMS di AD utilizza Servizi di Dominio Active Directory per identificare gli utenti e i gruppi di distribuzione. Quando la distribuzione di Servizi di dominio Active Directory di un'organizzazione include più foreste, RMS di AD utilizza gli oggetti contatto di Servizi di dominio Active Directory per ottenere le identità di utenti e gruppi che fanno parte di una foresta diversa rispetto a quella del cluster RMS di AD. Il problema è che gli oggetti utente o gruppo di altre foreste non dispongono in genere di oggetti rappresentativi nella foresta in cui risiede RMS di AD. Se si prevede di utilizzare RMS di AD per limitare le autorizzazioni a utenti o gruppi di altre foreste, sarà necessario configurare la foresta di Active Directory in modo appropriato per consentire l'espansione di gruppi tra le foreste.

È possibile implementare il supporto per l'espansione di gruppi tra le foreste di RMS di AD in due modi:

  • Distribuire un cluster RMS di AD all'interno della foresta in cui sono definiti i gruppi e dove questo verrà utilizzato per espandere l'appartenenza di tali gruppi. È consigliabile utilizzare i gruppi universali di Servizi di dominio Active Directory per fare in modo che l'appartenenza a gruppi venga replicata in ogni server di catalogo globale nella foresta. È necessario che le estensioni dello schema esistano nella foresta che contiene gli oggetti contatto che consentono alle estensioni dello schema di fare riferimento alle foreste che contengono gli oggetti effettivi. Se le estensioni dello schema non vengono utilizzate, saranno necessarie sostituzioni del Registro di sistema del client.

  • Sincronizzare le definizioni dei gruppi tra le foreste per consentire all'installazione RMS di AD locale di determinare l'appartenenza ai gruppi per gli utenti. Se un utente che richiede una licenza d'uso dispone di un account di Windows in una foresta separata, nella foresta sarà è inoltre necessario che vi sia un oggetto contatto che rappresenti l'appartenenza al gruppo di tale utente.

Ulteriori riferimenti

  • Configurazione delle foreste in AD RMS

  • Informazioni sui criteri di attendibilità AD RMS


Configurare l'elenco di controllo di accesso (ACL) per la cartella GroupExpansion

Nella procedura seguente viene descritto come impostare l'elenco di controllo di accesso (ACL) per la cartella GroupExpansion e il file GroupExpansion.asmx, presupponendo che all'interno dell'organizzazione esistano solo due foreste, ovvero Foresta1 e Foresta2. Nel caso esistano tre o più foreste, ripetere la procedura in base alle esigenze per configurare gli elenchi di controllo di accesso in tutti i server del cluster Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD).

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per impostare l'elenco di controllo di accesso per la cartella GroupExpansion e il file GroupExpansion.asmx

  1. Accedere a un server del cluster RMS di AD nella Foresta1.

  2. Fare clic sul pulsante Start e quindi scegliere Computer.

  3. Passare alla cartella %systemdrive%\inetpub\wwwroot\_wmcs.

  4. Fare clic con il pulsante destro del mouse sulla cartella GroupExpansion e quindi scegliere Proprietà.

  5. Fare clic sulla scheda Sicurezza e quindi fare clic su Modifica.

  6. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  7. Fare clic su Aggiungi, aggiungere l'account del servizio RMS di AD della Foresta2, ad esempio Foresta2\AccountServizioADRms e quindi fare clic su OK per chiudere la finestra di dialogo. Continuare a fare clic su OK fino a chiudere tutte le finestre di dialogo aperte.

  8. Ripetere i passaggi da 1 a 7 per il file GroupExpansion.asmx posto nella cartella GroupExpansion.

  9. Al prompt dei comandi digitare iisreset e quindi premere INVIO per riavviare Internet Information Services.

Ulteriore riferimento

  • Configurazione delle foreste in AD RMS


Rimozione di un cluster AD RMS

In alcuni casi è possibile che sia necessario ritirare un server Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) o rimuovere completamente un cluster RMS di AD esistente. Prima di ritirare un server, è consigliabile eseguire il backup di tutti i database RMS di AD utilizzati dal server, in particolare il database di configurazione.

Dopo aver eseguire il backup dei database, sarà possibile rimuovere il server. I requisiti per la rimozione di un server RMS di AD dipendono dal ruolo del server e dalla topologia dell'installazione di RMS di AD:

  • Rimozione di un server dal cluster. Se il server RMS di AD che si desidera ritirare è incluso in un cluster in cui altri server del cluster RMS di AD sono ancora attivi e necessari, la rimozione di un singolo server RMS di AD dal cluster richiederà l'annullamento del provisioning e la disinstallazione di RMS di AD nel server che si desidera ritirare, nonché la rimozione del server dalla rotazione di bilanciamento del carico. Per istruzioni sulla rimozione di un server, vedere la documentazione relativa al bilanciamento del carico.

    Nota

    Prima di disinstallare RMS di AD, è necessario annullare il provisioning solo dei server inclusi nel cluster radice. Questo processo non è necessario per i server inclusi in cluster utilizzati esclusivamente per la gestione delle licenze.

  • Ritiro di un server autonomo. Se il server RMS di AD da ritirare è l'unico server del cluster, eseguire la procedura seguente: rimuovere le autorizzazioni, annullare il provisioning ed eseguire la disinstallazione del server RMS di AD esistente, rimuoverlo dalla rete e quindi installare ed effettuare immediatamente il provisioning di RMS di AD nel server di sostituzione. Configurare il nuovo server RMS di AD, in modo da creare un nuovo cluster con server singolo, e utilizzare gli stessi URL e database di configurazione del server RMS di AD ritirato. Tenere presente che fino a quando il server di sostituzione non viene installato e non ne viene effettuato il provisioning, gli utenti non saranno in grado di utilizzare il contenuto protetto con RMS pubblicato dal cluster con server singolo.

    Importante

    Se il server RMS di AD da sostituire utilizza un provider del servizio di crittografia (CSP, Cryptographic Service Provider) basato sull'hardware o sul software, sarà necessario trasferire il contenitore di chiavi nel nuovo server prima di installare ed effettuare il provisioning di RMS di AD su di esso. Per informazioni sullo spostamento del contenitore di chiavi, vedere la documentazione fornita con il proprio CSP.

  • Sostituzione di un'installazione di AD RMS con un'altra installazione di AD RMS esistente. In alcuni casi potrebbe essere necessario ritirare un'installazione di RMS di AD e sostituirla con un'altra installazione di RMS di AD esistente, ad esempio nel caso di una fusione aziendale in cui entrambe le società utilizzano RMS di AD. In questo caso, è consigliabile esportare il dominio utente trusted e il dominio di pubblicazione trusted dal cluster RMS di AD che si desidera ritirare. Importare quindi il dominio utente trusted e il dominio di pubblicazione trusted nel cluster RMS di AD ancora attivo. L'importazione del dominio utente trusted e del dominio di pubblicazione trusted contribuirà a garantire che il contenuto protetto con RMS protetto in precedenza dall'installazione RMS di AD ritirata possa essere utilizzato nel cluster attivo.

Quando si esegue la rimozione delle autorizzazioni, l'annullamento del provisioning e la disinstallazione di un server RMS di AD, il server viene rimosso dalla tabella ClusterServer del database di configurazione e il database dei servizi directory viene eliminato dal server database.

In questa sezione sono contenute le procedure seguenti:

  • Rimuovere le autorizzazioni di AD RMS

  • Rimuovere il ruolo server AD RMS


Rimuovere le autorizzazioni di AD RMS

Prima di rimuovere il ruolo Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) da un server, è innanzitutto consigliabile rimuovere le autorizzazioni di RMS di AD. Quando si rimuovono le autorizzazioni di RMS di AD, il comportamento del cluster RMS di AD cambia in modo tale che possa fornire una chiave che consenta di decrittografare il contenuto protetto con RMS pubblicato in precedenza. Questa chiave consente di salvare il contenuto senza la protezione RMS di AD. Ciò può risultare utile se si è deciso di interrompere l'utilizzo della protezione RMS di AD nell'organizzazione o se le informazioni sono ancora necessarie.

È consigliabile attivare la rimozione delle autorizzazioni in ogni server del cluster per un periodo di tempo sufficiente a consentire agli utenti di salvare il proprio contenuto senza la protezione RMS di AD e agli amministratori della rete e del sistema di disattivare l'utilizzo del servizio per i client abilitati RMS di AD.

Dopo aver attivato la rimozione delle autorizzazioni, sulla console Active Directory Rights Management nel riquadro dei risultati verrà visualizzata solo la pagina con le informazioni sul server di cui sono state rimosse le autorizzazioni e non saranno supportate ulteriori operazioni di amministrazione.

Attenzione

Dopo aver rimosso le autorizzazioni di un server, non sarà più possibile ripristinare la configurazione RMS di AD standard del server. Questo processo non può essere annullato. Dopo aver rimosso le autorizzazioni di RMS di AD, sarà necessario rimuovere completamente RMS di AD tramite Server Manager prima di installare di nuovo un'altra istanza di RMS di AD.

L'appartenenza al gruppo locale AD RMS Enterprise Administratorso equivalente, è il minimo indispensabile per completare questa procedura.

Per rimuovere le autorizzazioni di AD RMS

  1. Accedere al server nel quale si desidera rimuovere le autorizzazioni di RMS di AD.

  2. Modificare l'elenco di controllo di accesso (ACL) nel file decommissioning.asmx concedendo le autorizzazioni di lettura ed esecuzione al gruppo Everyone. Il percorso predefinito di questo file è %systemdrive%\inetpub\wwwroot\_wmcs\decommission.

  3. Aprire la console Active Directory Rights Management Services e aggiungere il cluster RMS di AD.

  4. Espandere il cluster RMS di AD, espandere Criteri di sicurezza e quindi selezionare Rimozione autorizzazioni.

  5. Selezionare l'opzione Attiva rimozione autorizzazioni nel riquadro Azioni.

  6. Fare clic su Rimuovi autorizzazioni.

  7. Quando richiesto, fare clic su Sì per confermare che si desidera rimuovere le autorizzazioni dell'installazione RMS di AD in modo permanente.

  8. Ripetere i passaggi da 1 a 7 per tutti i server RMS di AD del cluster.

  9. Informare gli utenti dell'avvenuta rimozione delle autorizzazioni dell'installazione RMS di AD e invitarli a connettersi al cluster per salvare i loro contenuti senza la protezione RMS di AD. In alternativa, è possibile delegare un utente considerato attendibile alla crittografia di tutto il contenuto protetto con RMS aggiungendo temporaneamente tale utente al gruppo di utenti con privilegi avanzati di RMS di AD.

  10. Quando si ritiene che la protezione sia stata rimossa da tutto il contenuto e che questo sia stato salvato, è consigliabile esportare il certificato concessore di licenze server e quindi disinstallare RMS di AD dal server.

Ulteriori riferimenti

  • Rimozione di un cluster AD RMS

  • Esportare il certificato concessore di licenze server


Rimuovere il ruolo server AD RMS

È possibile rimuovere il ruolo server RMS di AD da un cluster RMS di AD tramite Server Manager.

Importante

Se si desidera rimuovere tutti i server presenti nel cluster RMS di AD, verificare innanzitutto di rimuovere le autorizzazioni da RMS di AD e di rimuovere la protezione da tutto il contenuto che è stato protetto con il cluster RMS di AD in questione. Se invece si desidera rimuovere solo un server RMS di AD dal cluster, non è necessario rimuovere le autorizzazioni dell'ambiente RMS di AD, poiché gli altri server continueranno a rilasciare richieste di certificazione e gestione licenze per gli utenti di RMS di AD.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per rimuovere il ruolo server AD RMS

  1. Accedere al server da cui si desidera rimuovere il ruolo server RMS di AD.

  2. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  3. Nell'albero della console fare clic su Gestisci ruoli.

  4. In Riepilogo ruoli fare clic su Rimuovi ruoli.

  5. Leggere la sezione Prima di iniziare e quindi fare clic su Avanti.

  6. Deselezionare la casella di controllo Active Directory Rights Management Services. Se per questo server non è più necessario Internet Information Services (IIS), deselezionare la casella Server Web (IIS) e quindi fare clic su Avanti.

  7. Fare clic su Rimuovi. La rimozione del ruolo server RMS di AD potrebbe richiedere alcuni minuti.

  8. Al termine della rimozione del ruolo server, fare clic su Fine.

Ulteriori riferimenti

  • Rimuovere le autorizzazioni di AD RMS

  • Rimozione di un cluster AD RMS


Utilizzare il client AD RMS

Il client Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) è incluso nei sistemi operativi Microsoft Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2. Se si utilizza Windows XP, Windows 2000 o Windows Server 2003 come sistema operativo del client, è possibile scaricare una versione compatibile del client RMS di AD dall'Area download Microsoft.

È possibile utilizzare il client RMS di AD con il ruolo server RMS di AD incluso in Windows Server 2008 o Windows Server 2008 R2 oppure con le versioni precedenti di RMS in esecuzione in Windows Server 2003.

Il client RMS di AD crea il certificato del computer utilizzato per identificare l'archivio protetto in cui viene archiviata la coppia di chiavi dell'utente corrente. È possibile verificare la presenza del client RMS di AD in un computer individuando il file msdrm.dll nel computer. Questo file è protetto da Protezione risorse di Windows in Microsoft Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 e può essere modificato solo mediante gli aggiornamenti ufficiali di Microsoft.

Le applicazioni possono utilizzare il client RMS di AD per incorporare al loro interno funzionalità di Rights Management Services. Ad esempio, in Microsoft Office 2003, Microsoft Office 2007 e Windows Mobile 6 il client RMS di AD viene utilizzato per supportare funzionalità di Information Rights Management che consentono di gestire i diritti di utilizzo di documenti, messaggi di posta elettronica, fogli di calcolo e presentazioni.

In questa sezione sono contenute le procedure seguenti:

  • Installare il client AD RMS in versioni precedenti di Windows

  • Individuazione del servizio client AD RMS


Installare il client AD RMS in versioni precedenti di Windows

A partire da Microsoft Windows Vista e Windows Server 2008, il nome del client RMS di AD è diventato client Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) ed è integrato nel sistema operativo in modo da non richiedere un'installazione separata. Nelle versioni precedenti di Windows il client è denominato client Microsoft Windows Rights Management Services (RMS) ed è disponibile nell'Area download Microsoft come componente scaricabile separato. Il client RMS può essere installato nei sistemi operativi Windows 2000, Windows XP e Windows Server 2003.

Il client RMS supporta tre diverse architetture: x86, x64 e Itanium. I percorsi di download per ogni versione del client RMS sono i seguenti:

  • Client RMS (versione x86): http://go.microsoft.com/fwlink/?LinkId=76880.

  • Client RMS (versione x64): http://go.microsoft.com/fwlink/?LinkId=76882.

  • Client RMS (versione Itanium): http://go.microsoft.com/fwlink/?LinkId=76884.

Il client RMS di AD richiede un livello minimo di interazione da parte dell'amministratore di sistema che amministra i computer client. In ambienti più complessi potrebbe tuttavia essere necessario modificare la configurazione predefinita del client RMS di AD.

Per ulteriori informazioni sulla modifica della configurazione predefinita, vedere Individuazione del servizio client AD RMS.

Ulteriori riferimenti

  • Individuazione del servizio client AD RMS

  • Utilizzare il client AD RMS


Individuazione del servizio client AD RMS

Il metodo di individuazione del servizio client Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD) consente al client RMS di AD di individuare un cluster RMS di AD. Tale individuazione può avvenire in tre modi.

  • Individuazione automatica del servizio del punto di connessione del servizio (SCP) Servizi di Dominio Active Directory. Questo è il metodo consigliato per la distribuzione di un ambiente RMS di AD. In questo scenario viene creato un punto di connessione del servizio (SCP) nella foresta di Active Directory in cui è installato il cluster RMS di AD. Quando il client RMS di AD esegue il tentativo di attivare l'utente nel computer, viene eseguita una query sul punto di connessione del servizio (SCP) per individuare il cluster RMS di AD e scaricare il certificato per account con diritti (RAC). Con l'individuazione automatica del servizio, non sono richieste configurazioni aggiuntive nel client RMS di AD.

  • Sostituzioni del Registro di sistema del client RMS di AD. In topologie di distribuzione di RMS di AD complesse, è necessario un controllo più specifico del client RMS di AD. Per le versioni del client Rights Management Services (RMS) che eseguono Windows XP, Windows 2000 o Windows Server 2003, queste sostituzioni sono necessarie per le topologie in cui vengono distribuite più foreste di Active Directory. Un altro esempio di utilizzo delle sostituzioni del Registro di sistema del client riguarda il supporto di utenti Extranet. In questi casi, le sostituzioni del Registro di sistema del client vengono create nel client RMS di AD per forzare la certificazione o la gestione delle licenze del contenuto protetto con RMS di un cluster RMS di AD diverso da quello pubblicato nel punto di connessione del servizio. Le sostituzioni del Registro di sistema del client RMS di AD utilizzate per sovrascrivere il punto di connessione del servizio vengono create in:

    HKEY_LOCAL_MACHINE\Software\Microsoft\MSDRM\ServiceLocation.

    Le chiavi delle sostituzioni del Registro di sistema del client sono le seguenti:

    • Activation. Questa chiave viene utilizzata per sovrascrivere il servizio di certificazione di RMS di AD configurato nel punto di connessione del servizio. La sintassi per questa chiave è http(s)://<cluster>/_wmcs/certification dove <cluster> corrisponde all'URL del cluster radice da utilizzare per la certificazione.

    • EnterprisePublishing. Questa chiave viene utilizzata per sovrascrivere il servizio di gestione licenze di RMS di AD al quale si connette il client RMS di AD. La sintassi per questa chiave è http(s)://<cluster>/_wmcs/licensing dove <cluster> corrisponde all'URL del cluster utilizzato esclusivamente per la gestione delle licenze.

    Nota

    Le sostituzioni del Registro di sistema del client sono configurate come chiavi del Registro di sistema. È consigliabile aggiungere il valore di queste chiavi del Registro di sistema alla voce predefinita della chiave del Registro di sistema di tipo REG_SZ.

    • Se la connessione del computer client RMS di AD viene stabilita mediante una relazione di trust federativa, sarà necessario configurare l'area di autenticazione principale federativa. La chiave del Registro di sistema è:

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSDRM\Federation

      All'interno di questa chiave del Registro di sistema creare una voce del Registro di sistema denominata FederationHomeRealm di tipo REG_SZ. Il valore di questa voce del Registro di sistema corrisponde all'URI del servizio federativo.

  • Esaminare la licenza di pubblicazione per URL Extranet. L'ultimo metodo per l'individuazione del servizio client RMS di AD consiste nell'utilizzo della licenza di pubblicazione. Quando il contenuto protetto con RMS viene pubblicato, alla licenza di pubblicazione vengono aggiunti gli URL del servizio di gestione licenze Intranet ed Extranet. Quando un client RMS di AD apre il contenuto protetto con RMS per la prima volta e gli altri metodi di individuazione del servizio non sono disponibili, il client è in grado di recuperare gli URL di gestione licenze dalla licenza di pubblicazione.

Ulteriori riferimenti

  • Utilizzare il client AD RMS

  • Configurare le impostazioni di Supporto identità federativa


Risorse di AD RMS

Per ulteriori informazioni su Servizi Microsoft Windows Rights Management di Active Directory (RMS di AD), vedere le risorse seguenti:

  • Per un'introduzione all'utilizzo di RMS di AD, visitare la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=84730.

  • Per informazioni sulla valutazione di RMS di AD, visitare la pagina all'indirizzo http://go.microsoft.com/fwlink/?LinkId=84732.

Ulteriore riferimento

  • Active Directory Rights Management Services


Interfaccia utente: AD RMS

Gli argomenti inclusi in questa sezione sono stati progettati per essere letti durante la visualizzazione della finestra associata nella console Active Directory Rights Management Services.

  • Aggiungi cluster - Procedura guidata Aggiungi cluster

  • Cluster - Riquadro risultati del cluster di server AD RMS

  • Cluster - Procedura guidata Modifica account di servizio AD RMS

  • Cluster - Scheda Proprietà cluster - Scheda Generale

  • Cluster - Proprietà del cluster - Scheda URL cluster

  • Cluster - Proprietà cluster - Scheda Server AD RMS

  • Cluster - Proprietà cluster - Scheda Certificato server

  • Cluster - Proprietà del cluster - Scheda Impostazioni proxy

  • Cluster - Proprietà cluster - Scheda Registrazione

  • Cluster - Proprietà del cluster - Scheda SCP

  • Criteri di attendibilità - Riquadro risultati dei criteri di attendibilità

  • Criteri di attendibilità - Domini utente trusted - Riquadro risultati dei domini utente trusted

  • Criteri di attendibilità - Domini utente trusted - Certificato del dominio utente trusted

  • Criteri di attendibilità - Domini utente trusted - Proprietà dei domini utente trusted

  • Criteri di attendibilità - Domini utente trusted - Procedura guidata Importa dominio utente trusted

  • Criteri di attendibilità - Domini di pubblicazione trusted - Riquadro dei risultati dei domini di pubblicazione trusted

  • Criteri di attendibilità - Domini di pubblicazione trusted - Certificato del dominio di pubblicazione trusted

  • Criteri di attendibilità - Domini di pubblicazione trusted - Proprietà dei domini di pubblicazione trusted

  • Criteri di attendibilità - Domini di pubblicazione trusted - Procedura guidata Importa dominio di pubblicazione trusted

  • Criteri di attendibilità - Domini di pubblicazione trusted - Procedura guidata Esporta dominio di pubblicazione trusted

  • Criteri di attendibilità - Supporto identità federativa - Riquadro dei risultati del supporto identità federativa

  • Criteri di attendibilità - Supporto identità federativa - Proprietà di Supporto identità federativa

  • Modelli di criteri per i diritti di utilizzo - Riquadro risultati dei modelli di criteri per i diritti di utilizzo

  • Modelli di criteri per i diritti di utilizzo - Proprietà dei modelli di criteri per i diritti di utilizzo

  • Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Aggiunta informazioni di identificazione del modello

  • Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Aggiunta diritti utente

  • Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Modello di criteri per i diritti di utilizzo - Pagina Impostazione criteri di scadenza

  • Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Impostazione criteri estesi

  • Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Impostazione criteri di revoca

  • Criteri certificato per account con diritti - Riquadro dei risultati dei criteri del certificato per account con diritti

  • Criteri certificato per account con diritti - Proprietà dei criteri di certificato per account con diritti - Scheda Certificato per account con diritti standard

  • Criteri di certificato per account con diritti - Proprietà dei criteri di certificato per account con diritti - Scheda Certificato per account con diritti temporaneo

  • Criteri di esclusione - Riquadro dei risultati dei criteri di esclusione

  • Criteri di esclusione - Utenti - Riquadro risultati dei criteri di esclusione degli utenti

  • Criteri di esclusione - Utenti - Procedura guidata Escludi utente

  • Criteri di esclusione - Applicazioni - Riquadro dei risultati dei criteri di esclusione delle applicazioni

  • Criteri di esclusione - Applicazioni - Procedura guidata Escludi applicazione

  • Criteri di esclusione - Applicazioni - Riquadro dei risultati delle applicazioni escluse

  • Criteri di esclusione - Applicazioni - Proprietà delle applicazioni escluse

  • Criteri di esclusione - Archivio protetto - Riquadro risultati dell'archivio protetto

  • Criteri di esclusione - Archivio protetto - Proprietà dell'archivio protetto

  • Criteri di sicurezza - Riquadro dei risultati dei criteri di sicurezza

  • Criteri di sicurezza - Utenti con privilegi avanzati - Riquadro risultati degli utenti con privilegi avanzati

  • Criteri di sicurezza - Utenti con privilegi avanzati - Finestra delle proprietà Utenti con privilegi avanzati

  • Criteri di sicurezza - Pannello dei risultati della password della chiave del cluster

  • Criteri di sicurezza - Password chiave cluster - Proprietà della password della chiave del cluster

  • Criteri di sicurezza - Riquadro dei risultati della rimozione delle autorizzazioni

  • Rapporti - Riquadri dei risultati dei rapporti


Aggiungi cluster - Procedura guidata Aggiungi cluster

Parametro | Dettagli
Protocollo di connessione | In quest'area è possibile definire il modo in cui la console comunicherà con il cluster RMS di AD.
Schema URI Numero porta | Se è stata abilitata la porta SSL, selezionare HTTPS nella casella Schema URI. Se IIS è stato configurato con una porta diversa dalla porta 80 (per http) o dalla porta 443 (per https), specificare il numero di porta nella casella Numero porta.
Connetti a | È possibile utilizzare quest'area per determinare se ci si sta connettendo a un cluster RMS di AD nel computer locale o in un altro computer della rete oppure a un altro cluster RMS di AD. Se ci si sta connettendo a un altro computer, digitare il nome di dominio completo o l'indirizzo IP nella casella Computer remoto.
Connetti come | Se l'account utente attualmente connesso non dispone dei requisiti necessari per modificare le impostazioni del cluster, sarà possibile specificare un nome utente e una password diversi.

Ulteriore riferimento

  • Amministrare AD RMS utilizzando la console Active Directory Rights Management Services


Cluster - Riquadro risultati del cluster di server AD RMS

Ogni cluster radice o cluster utilizzato esclusivamente per la gestione delle licenze RMS di AD può essere gestito tramite la console Active Directory Rights Management Services. La console può essere utilizzata direttamente in un server RMS di AD, tramite una connessione Desktop remoto oppure in una console MMC (Microsoft Management Console) a cui è stato aggiunto il cluster remoto.

Per ulteriori informazioni sulle attività che possono essere eseguite tramite la console Active Directory Rights Management Services, vedere Configurare un cluster AD RMS e Amministrare AD RMS utilizzando la console Active Directory Rights Management Services.

Ulteriore riferimento

  • Interfaccia utente: AD RMS


Cluster - Procedura guidata Modifica account di servizio AD RMS

Parametro | Dettagli
Account del servizio RMS di AD corrente | Dominio e nome utente specificato per l'account del servizio RMS di AD.
Nuovo account del servizio RMS di AD | L'account del servizio RMS di AD deve essere configurato come account utente di dominio.

Ulteriore riferimento

  • Modificare l'account del servizio AD RMS


Cluster - Scheda Proprietà cluster - Scheda Generale

Parametro | Dettagli
Nome visualizzato del cluster | Nome visualizzato del cluster RMS di AD
Nome effettivo del cluster | Nome effettivo del cluster RMS di AD
Punto di connessione cluster corrente | Nome del server che funge da punto di connessione del cluster.
Contatto amministrativo | Indirizzo di posta elettronica di una persona o un gruppo in grado di assistere gli utenti nella risoluzione dei problemi con RMS di AD.

Ulteriori riferimenti

  • Specificare il contatto amministrativo


Cluster - Proprietà del cluster - Scheda URL cluster

Parametro | Dettagli
URL Intranet | Questi URL vengono utilizzati dai client abilitati per RMS di AD e connessi alla rete privata dell'organizzazione per la connessione ai servizi di certificazione e gestione licenze nel cluster RMS di AD.
URL Extranet | Questi URL vengono utilizzati dai client RMS di AD che si connettono al cluster tramite Internet. Gli URL di certificazione e gestione licenze vengono creati in base a questi URL.

Ulteriore riferimento

  • Aggiungere un URL del cluster Extranet


Cluster - Proprietà cluster - Scheda Server AD RMS

Poiché RMS di AD viene gestito in base al cluster, i server individuali non vengono visualizzati nella console Active Directory Rights Management Services come oggetti amministrabili dall'utente. In questa scheda è disponibile un elenco di tutti i server membri del cluster RMS di AD.

Ulteriore riferimento

  • Interfaccia utente: AD RMS


Cluster - Proprietà cluster - Scheda Certificato server

Parametro Dettagli

Nome descrittivo

Nome del certificato concessore di licenze associato al cluster.

Gerarchia

Identifica la gerarchia di certificati a cui appartiene il cluster.

  • Produzione - Riservato ai server di cluster RMS di AD distribuiti utilizzando software rilasciato.

  • Preproduzione - Riservato ai server di cluster RMS di AD distribuiti da sviluppatori di applicazioni o servizi a supporto di un progetto di sviluppo non ancora rilasciato.

Esporta certificato

Consente di esportare il certificato concessore di licenze in un file binario che può essere utilizzato per backup o importato da un altro cluster RMS di AD.

Ulteriore riferimento

  • Esportare il certificato concessore di licenze server


Cluster - Proprietà del cluster - Scheda Impostazioni proxy

Parametro | Dettagli
Il cluster utilizza un server proxy per l'accesso a reti esterne | Se è necessario un server proxy, selezionare questa casella di controllo per consentire al cluster RMS di AD di connettersi a Internet.
Indirizzo | Indirizzo del server proxy.
Porta | Porta configurata per il server proxy.
Ignora server proxy per indirizzi locali | Selezionare questa casella di controllo per impedire la connessione al server proxy da indirizzi privi di nome di dominio completo (FQDN).
Non utilizzare il server proxy per gli indirizzi che iniziano per | In questa casella è possibile inserire gli indirizzi che non devono attraversare il server proxy.
Autenticazione richiesta per questo server proxy | Per la connessione ad alcuni server proxy è necessario disporre di credenziali specifiche. Questa casella consente di abilitare il server RMS di AD nel cluster per l'autenticazione con il server proxy.
Tipo di autenticazione | Il tipo di autenticazione utilizzato per la connessione al server proxy. Il tipo di autenticazione può essere Di base, Digest o Integrata di Windows.
Nome utente | Nome dell'utente dell'account utilizzato per l'autenticazione nel server proxy.
Password Conferma password | Password dell'account utilizzato per l'autenticazione nel server proxy.
Dominio | Nome del dominio in cui risiede l'account utente utilizzato per l'autenticazione nel server proxy.

Ulteriore riferimento

  • Modificare le impostazioni del proxy di AD RMS


Cluster - Proprietà cluster - Scheda Registrazione

Parametro | Dettagli
Abilita registrazione | Consente di abilitare o disabilitare la registrazione di RMS di AD.
Database di registrazione | Nome del database di registrazione.
Nome servizio di registrazione | Nome del servizio di Windows nel server RMS di AD che invia i messaggi di registrazione al database di registrazione. Per impostazione predefinita, questo servizio è denominato ADRmsLoggingService.
Nome coda di registrazione | Nome della coda Accodamento messaggi nel server RMS di AD in cui sono contenuti i messaggi prima che vengano inviati al database di registrazione.

Ulteriore riferimento

  • Attivare o disattivare la registrazione


Cluster - Proprietà del cluster - Scheda SCP

Parametro | Dettagli
Dominio servizio registrato | Il nome completo del dominio servito dal cluster RMS di AD.
SCP corrente | URL attualmente presente nel dominio specificato per la connessione ai servizi RMS di AD. Se nello stesso dominio è presente un'altra installazione di RMS di AD, l'oggetto può comunque essere identificato con questo URL di connessione.
Cambia SCP | Consente di cambiare o creare il punto di connessione del servizio (SCP) RMS di AD.
Imposta SCP sul cluster di certificazione corrente | Consente di aggiornare l'SCP quando i cluster RMS di AD vengono modificati oppure di registrare l'SCP per la prima volta.
Rimuovi SCP corrente | Selezionare questa opzione per rimuovere l'SCP corrente da Servizi di dominio Active Directory.

Ulteriore riferimento

  • Registrare un punto di connessione del servizio


Criteri di attendibilità - Riquadro risultati dei criteri di attendibilità

I criteri di attendibilità consentono di stabilire una relazione di trust tra l'infrastruttura RMS di AD dell'utente e un'infrastruttura RMS di AD in un altro dominio o un'altra infrastruttura dell'organizzazione.

Ulteriori riferimenti

  • Stabilire criteri di attendibilità

  • Informazioni sui criteri di attendibilità AD RMS


Criteri di attendibilità - Domini utente trusted - Riquadro risultati dei domini utente trusted

Per impostazione predefinita, in un cluster RMS di AD non vengono elaborate le richieste provenienti da utenti il cui certificato per account con diritti (RAC) è stato rilasciato da un cluster RMS di AD diverso. Tuttavia, è possibile aggiungere domini utente all'elenco di domini utente trusted che consente a RMS di AD di elaborare tali richieste.

Per ogni dominio trusted è inoltre possibile aggiungere e rimuovere utenti o gruppi di utenti specifici. È anche possibile rimuovere un dominio utente trusted. Tuttavia, non è possibile rimuovere il cluster radice relativo a questa foresta Servizi di dominio Active Directory dai domini utente trusted. Ogni server RMS di AD di una distribuzione considera attendibile il cluster radice appartenente alla propria foresta.

Nel riquadro risultati Domini utente trusted vengono elencati i domini utente trusted del cluster.

Ulteriore riferimento

  • Esportare un dominio utente trusted

  • Aggiungere un dominio utente trusted

  • Informazioni sui criteri di attendibilità AD RMS


Criteri di attendibilità - Domini utente trusted - Certificato del dominio utente trusted

Parametro | Dettagli
Esporta dominio utente trusted | Esportare un certificato concessore di licenze server in un file che può essere importato in un altro cluster RMS di AD come dominio utente trusted.
Proprietà | Configurare le proprietà del dominio utente trusted selezionato per consentire un maggior controllo del livello di trust degli account utente.
Elimina | Interrompere l'attendibilità degli utenti di un dominio. Non è possibile rimuovere il certificato concessore di licenze server principale, denominato Enterprise per impostazione predefinita.

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini utente trusted - Proprietà dei domini utente trusted

In questa finestra delle proprietà sono presenti le schede seguenti:

  • Scheda Domini utente trusted

  • Scheda Domini di posta elettronica trusted

Scheda Domini utente trusted

Parametro | Dettagli
Nome visualizzato | Visualizza il nome del dominio utente trusted. Tale nome viene assegnato quando il dominio utente trusted viene importato da un altro cluster radice.
Tipo | Identifica se il certificato è interno o esterno rispetto alla foresta di AD DS.
Scadenza | Data in cui il dominio utente trusted scade.
Consenti concessione di licenze ai SID per questi domini di posta elettronica | Consente di rilasciare licenze ai SID invece di utilizzare solo l'indirizzo di posta elettronica come attributo in AD DS.

Scheda Domini di posta elettronica trusted

Parametro | Dettagli
Tutti i domini di posta elettronica | Questa impostazione predefinita consente a tutti i domini di posta elettronica contenuti nel dominio utente trusted di acquisire licenze e certificati RMS di AD.
Solo i domini di posta elettronica specificati | Utilizzare questa opzione quando devono essere considerati attendibili solo alcuni domini di posta elettronica nel dominio utente trusted. Tutti i domini di posta elettronica trusted devono essere aggiunti a questo elenco.
Domini di posta elettronica trusted | Elenco di tutti i domini di posta elettronica trusted nel dominio utente trusted.

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini utente trusted - Procedura guidata Importa dominio utente trusted

Parametro | Dettagli
File dominio utente trusted | Percorso del file di dominio utente trusted da importare.
Nome visualizzato | Nome del dominio utente trusted che verrà visualizzato nella console Active Directory Rights Management Services.

Ulteriore riferimento

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini di pubblicazione trusted - Riquadro dei risultati dei domini di pubblicazione trusted

Un dominio di pubblicazione trusted consente a un cluster RMS di AD di rilasciare licenze d'uso per le licenze di pubblicazione rilasciate in precedenza da un cluster RMS di AD diverso. L'aggiunta di un dominio di pubblicazione trusted viene eseguita importando il certificato concessore di licenze server e la chiave privata del server da considerare attendibile.

Nel riquadro dei risultati dei domini di pubblicazione trusted vengono elencati i domini di pubblicazione trusted per il cluster.

Ulteriori riferimenti

  • Esportare un dominio di pubblicazione trusted

  • Aggiungere un dominio di pubblicazione trusted

  • Informazioni sui criteri di attendibilità AD RMS


Criteri di attendibilità - Domini di pubblicazione trusted - Certificato del dominio di pubblicazione trusted

Parametro | Dettagli
Esporta dominio di pubblicazione trusted | Consente di esportare un certificato concessore di licenze server in un file che può essere importato in un altro cluster RMS di AD come dominio di pubblicazione trusted.
Proprietà | Consente di configurare le proprietà del dominio di pubblicazione trusted selezionato.
Elimina | Consente di non considerare più attendibili i domini di pubblicazione trusted. Non è possibile rimuovere il dominio di pubblicazione trusted principale, che corrisponde per impostazione predefinita al nome del cluster RMS di AD.

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini di pubblicazione trusted - Proprietà dei domini di pubblicazione trusted

Parametro | Dettagli
Nome visualizzato | Visualizza il nome del dominio di pubblicazione trusted
CSP | Provider del servizio di crittografia (CSP) utilizzato per proteggere la chiave del cluster RMS di AD
Contenitore chiavi | Contenitore delle chiavi nel CSP in cui è archiviata la chiave del cluster RMS di AD

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini di pubblicazione trusted - Procedura guidata Importa dominio di pubblicazione trusted

Parametro | Dettagli
File dominio di pubblicazione trusted | Percorso del file del dominio di pubblicazione trusted da importare
Password | Specificare una password per decrittografare il file del dominio di pubblicazione trusted. Tale password deve corrispondere alla password specificata al momento dell'esportazione del file del dominio di pubblicazione trusted da un altro cluster RMS di AD.
Nome visualizzato | Nome del dominio di pubblicazione trusted che verrà visualizzato nella console Active Directory Rights Management Services

Ulteriore riferimento

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Domini di pubblicazione trusted - Procedura guidata Esporta dominio di pubblicazione trusted

Parametro | Dettagli
File dominio di pubblicazione | Percorso per il dominio di pubblicazione trusted che si sta esportando
Password Conferma password | Digitare una password complessa utilizzata per crittografare il file del dominio di pubblicazione trusted
Salvato come file di dominio di pubblicazione trusted compatibile con la versione 1 | Selezionare questa casella di controllo se il dominio di pubblicazione trusted verrà importato in una versione precedente di Rights Management Services (RMS).

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Supporto identità federativa - Riquadro dei risultati del supporto identità federativa

Parametro | Dettagli
Periodo di validità certificato di identità federativa (giorni) | Indica il numero di giorni di validità di un certificato per account con diritti (RAC) dopo essere stato rilasciato a identità federative.
URL servizio Certificato di identità federativa | Indica l'URL del partner risorse federativo a cui verranno indirizzate tutte le richieste di certificazione di identità federative. Se questo valore non viene impostato, la richiesta di certificazione verrà gestita dal cluster RMS di AD.
Consenti indirizzi di posta elettronica proxy | Indica se agli indirizzi di posta elettronica proxy è o meno consentito l'utilizzo di contenuto protetto con RMS.
Cambia Supporto identità federativa | Fare clic su questo collegamento per modificare le opzioni relative a Supporto identità federativa RMS di AD.

Ulteriori riferimenti

  • Interfaccia utente: AD RMS


Criteri di attendibilità - Supporto identità federativa - Proprietà di Supporto identità federativa

Parametro | Dettagli
Periodo di validità certificato di identità federativa (giorni) | Specificare i periodi di validità dei Certificati per account con diritti (RAC) di identità federativa. Il valore deve essere compreso tra 1 e 9.999 giorni.
URL servizio Certificato di identità federativa | Selezionare https:// e specificare un URL del cluster di server diverso responsabile del rilascio di RAC per tutte le identità federative che richiedono RAC dal server in questione. Selezionare Utilizza URL predefinito del servizio Certificato di identità federativa per abilitare il server al rilascio di RAC di identità federativa.
Consenti indirizzi di posta elettronica proxy | Selezionare questa casella di controllo per attivare e disattivare l'attendibilità di un indirizzo proxy di un'identità federativa.

Ulteriore riferimento

  • Interfaccia utente: AD RMS


Modelli di criteri per i diritti di utilizzo - Riquadro risultati dei modelli di criteri per i diritti di utilizzo

I modelli di criteri per i diritti di utilizzo sono documenti XML in cui viene stabilito un insieme predefinito di diritti per il contenuto protetto. Ad esempio, è possibile definire un modello utilizzato per il contenuto della proprietà intellettuale che limita la possibilità di eseguire operazioni di copia o modifica per tutti gli utenti ad eccezione del proprietario del contenuto.

Ulteriore riferimento

  • Informazioni sui modelli di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Proprietà dei modelli di criteri per i diritti di utilizzo

Il percorso di esportazione corrente dei modelli di criteri per i diritti di utilizzo relativi al cluster viene visualizzato nelle proprietà del nodo Modelli di criteri per i diritti di utilizzo nella console Active Directory Rights Management Services.

Parametro | Dettagli
Percorso corrente file modelli | Visualizza il percorso corrente in cui sono archiviati i file dei modelli di criteri per i diritti di utilizzo.
Consenti esportazione | Selezionare questa casella di controllo se si desidera esportare i modelli di criteri per i diritti di utilizzo in una cartella condivisa.
Percorso file modelli (UNC) | Digitare il percorso UNC della cartella condivisa in cui verranno archiviati i modelli di criteri per i diritti di utilizzo nel formato \\server\condivisione.

Ulteriore riferimento

  • Specificare il percorso dei modelli di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Modello

Su un modello di criteri per i diritti di utilizzo esistente è possibile eseguire le azioni seguenti:

  • Archiviazione. È possibile rendere disponibile un modello per l'utilizzo da parte dei client allo scopo di crittografare il nuovo contenuto, ma il server può continuare a utilizzare il modello per rilasciare licenze d'uso per il contenuto esistente pubblicato sulla base del modello.

  • Copia. È possibile duplicare un modello di criteri per i diritti di utilizzo esistente. Tale duplicato può quindi essere modificato come necessario.

  • Visualizzazione del riepilogo dei diritti. È possibile visualizzare i diritti definiti per gli utenti e i gruppi nel modello.

  • Eliminazione. È possibile eliminare un modello, se non viene più utilizzato. A differenza dell'archiviazione di un modello, l'eliminazione garantisce che le licenze d'uso non vengano rilasciate per il contenuto esistente pubblicato sulla base del modello.

  • Visualizzazione delle proprietà. È possibile modificare le impostazioni di un modello di criteri per i diritti di utilizzo esistente tramite le relative finestre delle proprietà. Sono modificabili tutte le impostazioni disponibili al momento della creazione del modello.

Ulteriori riferimenti

  • Archiviare un modello di criteri per i diritti di utilizzo

  • Visualizzare un riepilogo dei diritti utente per un modello di criteri per i diritti di utilizzo

  • Eliminare un modello di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Aggiunta informazioni di identificazione del modello

Nella pagina Identificazione della procedura guidata relativa al modello di criteri per i diritti di utilizzo sono disponibili le informazioni sul modello seguenti:

Parametro | Dettagli
Lingua | Un modello è in grado di supportare più lingue nel caso in cui l'organizzazione disponga di clienti in paesi diversi o di un insieme di utenti diversi che utilizzano più lingue all'interno dell'organizzazione. La lingua del modello è impostata per impostazione predefinita su quella utilizzata nel primo server RMS di AD del cluster.
Computer | Nome che viene visualizzato all'utente e all'amministratore quando il modello viene selezionato. Il modello può supportare un nome per lingua.
Descrizione | Nome descrittivo che viene visualizzato all'utente e all'amministratore quando il modello viene selezionato. Il modello può supportare una descrizione per lingua.

Ulteriore riferimento

  • Creare un nuovo modello di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Aggiunta diritti utente

Parametro | Dettagli
Utenti e diritti | Contiene gli utenti o i gruppi specificati dall'indirizzo di posta elettronica corrispondente ai quali sono stati concessi i diritti da questo modello. Gli account devono essere presenti in Servizi di dominio Active Directory con l'attributo di posta elettronica associato.
Diritti per <utenti> | Ogni utente o gruppo dispone di un insieme di diritti definiti per tale entità nel modello di criteri per i diritti di utilizzo.
Concedi al proprietario (autore) il diritto di controllo completo senza scadenza | Selezionare questa casella di controllo se non si desidera che l'autore del documento protetto con RMS disponga di una data di scadenza.
URL richiesta diritti | È possibile configurare questo URL per la concessione di diritti aggiuntivi a fronte di richieste dell'utente.

Ulteriore riferimento

  • Creare un nuovo modello di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Modello di criteri per i diritti di utilizzo - Pagina Impostazione criteri di scadenza

Parametro | Dettagli
Nessuna scadenza | Opzione predefinita. Questa opzione consente all'utente di accedere al contenuto finché è disponibile.
Data di scadenza (UTC) | È possibile specificare una data e un'ora di scadenza del contenuto, ovvero una data in cui la licenza d'uso concessa scade e dopo la quale l'utente non può acquisire un'altra licenza d'uso per lo stesso contenuto. La data e l'ora sono espresse in formato UTC (Coordinated Universal Time), ovvero come ora di Greenwich.
Periodo di validità (giorni) | È possibile specificare il numero di giorni successivi alla pubblicazione dopo i quali l'utente non può acquisire una licenza d'uso per il contenuto.
Periodo di validità (giorni) Questa opzione è relativa alle licenze d'uso. | Questa opzione viene utilizzata per assegnare una data di scadenza alla licenza d'uso. È possibile specificare il numero di giorni in cui una licenza d'uso è valida dopo che è stata concessa a un utente. Al termine di tale periodo, l'utente dovrà ottenere una nuova licenza d'uso dal server.

Ulteriore riferimento

  • Creare un nuovo modello di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Impostazione criteri estesi

Parametro Dettagli

Consente agli utenti di visualizzare il contenuto protetto in un componente aggiuntivo del browser

Questa opzione consente di controllare se il contenuto può essere o meno visualizzato in un browser in grado di visualizzare contenuto protetto con RMS. Anche se questa opzione è selezionata, l'applicazione abilitata RMS di AD utilizzata per creare il contenuto deve inoltre supportare la visualizzazione del contenuto protetto con RMS. Se questa opzione non viene selezionata, il contenuto protetto dovrà essere visualizzato utilizzando l'applicazione che lo ha creato.

Richiedi una nuova licenza d'uso per ogni utilizzo del contenuto (disattiva memorizzazione nella cache lato client)

Questa opzione consente di controllare se gli utenti devono o meno acquisire una nuova licenza d'uso per ogni tentativo di utilizzo del contenuto pubblicato utilizzando il modello di criteri per i diritti di utilizzo. Se questa opzione non è selezionata, il client potrà utilizzare una versione della licenza d'uso memorizzata nella cache per utilizzare il contenuto protetto con RMS.

Se questa opzione viene selezionata, si noti che sarà necessario che gli utenti si connettano alla rete a ogni utilizzo del contenuto pubblicato utilizzando il modello di criteri per i diritti di utilizzo.

Se si desidera specificare criteri aggiuntivi per l'applicazione abilitata RMS di AD, sarà possibile specificarli in questo punto come coppie nome-valore.

Questa opzione consente di personalizzare un criterio in base a un'applicazione abilitata RMS di AD specifica. Se si seleziona questo criterio, al modello sarà inoltre necessario aggiungere la coppia nome-valore univoca richiesta dall'applicazione.

Ulteriore riferimento

  • Creare un nuovo modello di criteri per i diritti di utilizzo


Modelli di criteri per i diritti di utilizzo - Procedura guidata Crea modello di criteri per i diritti di utilizzo distribuito - Pagina Impostazione criteri di revoca

Parametro | Dettagli
Percorso di pubblicazione dell'elenco di revoche (URL o UNC) | Consente di specificare il percorso dell'elenco di revoche. È possibile rendere disponibile l'elenco di revoche utilizzando un servizio Web al quale è possibile accedere tramite un URL. Quando un computer client tenta di aprire contenuto protetto con RMS per il quale è richiesto un elenco di revoche, l'applicazione abilitata per RMS di AD esegue una query sul computer locale per richiedere l'elenco di revoche e, nel caso in cui tale elenco non venga trovato o risulti non aggiornato, l'applicazione tenterà di connettersi all'URL specificato nelle proprietà del modello.
Intervallo di aggiornamento per l'intervallo di revoche (giorni) | Consente di specificare il numero di giorni di validità di un elenco di revoche. Se l'elenco di revoche scaricato nel computer client è più vecchio del numero di giorni specificato, verrà scaricato un nuovo elenco di revoche.
File contenente la chiave pubblica corrispondente all'elenco di revoche firmato | Consente di specificare il percorso della chiave pubblica la cui chiave privata corrispondente viene utilizzata per firmare l'elenco di revoche.

Ulteriore riferimento

  • Creare un nuovo modello di criteri per i diritti di utilizzo


Criteri certificato per account con diritti - Riquadro dei risultati dei criteri del certificato per account con diritti

Parametro | Dettagli
Periodo di validità certificati per account con diritti standard | Intervallo di validità di un RAC standard. Il valore predefinito è 365 giorni.
Periodo di validità certificati per account con diritti temporanei | Intervallo di validità di un RAC temporaneo. Il valore predefinito è 15 minuti.

Ulteriori riferimenti

  • Specificare il periodo di validità del certificato per account con diritti


Criteri certificato per account con diritti - Proprietà dei criteri di certificato per account con diritti - Scheda Certificato per account con diritti standard

Parametro | Dettagli
Periodo di validità certificato per account con diritti standard (giorni) | Digitare un valore compreso tra 1 e 9.999 giorni.

Ulteriore riferimento

  • Specificare il periodo di validità del certificato per account con diritti


Criteri di certificato per account con diritti - Proprietà dei criteri di certificato per account con diritti - Scheda Certificato per account con diritti temporaneo

Parametro | Dettagli
Periodo di validità certificato per account con diritti temporaneo (minuti) | Digitare un valore compreso tra 0 e 600.000 minuti.

Ulteriore riferimento

  • Specificare il periodo di validità del certificato per account con diritti


Criteri di esclusione - Riquadro dei risultati dei criteri di esclusione

RMS di AD consente di impedire la diffusione di informazioni a utenti non autorizzati. Uno dei rischi riguardanti i sistemi basati su certificati e licenze è che i certificati o le licenze potrebbero risultare compromessi e venire pertanto utilizzati per concedere diritti a utenti non autorizzati. I criteri di esclusione consentono di impedire che utenti, applicazioni e archivi protetti acquisiscano certificati e licenze dai server del cluster. I criteri di esclusione sono diversi dall'elenco di revoche, in quanto la revoca non consente alle licenze e ai certificati concessi in precedenza di decrittografare il contenuto protetto con RMS.

Ulteriori riferimenti

  • Informazioni sui criteri di esclusione AD RMS

  • Attivare criteri di esclusione


Criteri di esclusione - Utenti - Riquadro risultati dei criteri di esclusione degli utenti

È possibile escludere un certificato per account con diritti (RAC) specificando l'indirizzo di posta elettronica dell'utente oppure la stringa di chiave pubblica del RAC. Quando si esclude un RAC dell'utente, RMS di AD aggiunge la chiave esclusa, il nome dell'account dell'utente e la data e l'ora dell'esclusione nella tabella DRMS_GicExclusionList del database di configurazione utilizzato per il cluster radice.

Nel riquadro risultati seguente vengono elencati tutti gli utenti esclusi del cluster RMS di AD.

Ulteriori riferimenti

  • Escludere utenti

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Utenti - Procedura guidata Escludi utente

Parametro | Dettagli
Utilizzare questa opzione per escludere i certificati per account con diritti di utenti interni che dispongono di un account di Servizi di dominio Active Directory. | Selezionare questa opzione per escludere i RAC dell'utente tramite l'indirizzo di posta elettronica.
Utilizzare questa opzione per escludere i certificati per account con diritti di utenti esterni che non dispongono di un account di Servizi di dominio Active Directory. | Selezionare questa opzione per escludere i RAC dell'utente tramite la relativa chiave pubblica.
Stringa chiave pubblica | Immettere la stringa della chiave pubblica relativa al RAC che si desidera escludere.
Nota

Se si desidera escludere un utente che non dispone di un account di Servizi di dominio di Active Directory, ad esempio un dominio Windows Live ID, un'identità federativa o un utente che non fa parte della foresta di Active Directory in cui è installato RMS di AD, è necessario escludere il RAC utilizzando il valore della chiave pubblica dell'utente.

Ulteriori riferimenti

  • Escludere utenti

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Applicazioni - Riquadro dei risultati dei criteri di esclusione delle applicazioni

È possibile escludere le applicazioni abilitate RMS di AD in base al nome di file e al numero di versione corrispondenti. In questo modo è possibile assicurarsi che gli utenti installino una versione più recente di un'applicazione nel momento in cui diventa disponibile.

Ulteriori riferimenti

  • Escludere applicazioni

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Applicazioni - Procedura guidata Escludi applicazione

Parametro | Dettagli
Nome file applicazione | Nome file dell'applicazione da escludere.
Versione minima | Versione minima dell'applicazione
Versione massima | Versione massima dell'applicazione

Ulteriori riferimenti

  • Informazioni sui criteri di esclusione AD RMS

  • Escludere applicazioni


Criteri di esclusione - Applicazioni - Riquadro dei risultati delle applicazioni escluse

Parametro | Dettagli
Proprietà | Include il nome dell'applicazione, la versione minima e la versione massima. È possibile modificare il nome dell'applicazione e i numeri di versione che compongono l'intervallo di esclusione mentre i criteri di esclusione sono attivati.
Elimina | Se non si desidera più escludere un'applicazione, sarà possibile eliminarla dall'elenco di esclusione.

Ulteriori riferimenti

  • Escludere applicazioni

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Applicazioni - Proprietà delle applicazioni escluse

Parametro | Dettagli
Nome file applicazione | Nome file dell'applicazione esclusa
Versione minima | Versione minima dell'applicazione
Versione massima | Versione massima dell'applicazione

Ulteriori riferimenti

  • Escludere applicazioni

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Archivio protetto - Riquadro risultati dell'archivio protetto

Parametro | Dettagli
Visualizza versione minima consigliata archivio protetto | Questa opzione consente di connettersi al sito Web del servizio di attivazione di Windows RMS di AD (http://go.microsoft.com/fwlink/?LinkId=12995) e di visualizzare il numero della versione minima consigliata dell'archivio protetto. Questo numero può essere utilizzato per impostare la versione minima dell'archivio protetto.

Ulteriori riferimenti

  • Escludere versioni degli archivi protetti

  • Informazioni sui criteri di esclusione AD RMS


Criteri di esclusione - Archivio protetto - Proprietà dell'archivio protetto

Parametro | Dettagli
Visualizza versione minima consigliata archivio protetto | Questa opzione consente di connettersi al sito Web del servizio di attivazione di Windows RMS di AD (http://go.microsoft.com/fwlink/?LinkId=12995) e di visualizzare il numero della versione minima dell'archivio protetto consigliata. È possibile utilizzare questo numero per attivare l'esclusione degli archivi protetti.
Versione minima archivio protetto | Questa casella consente di impostare la versione minima dell'archivio protetto in base alla quale i server inclusi nei cluster RMS di AD concederanno ogni RAC e licenza d'uso ai client RMS di AD nel formato X.X.X.X, dove X corrisponde a un valore numerico.

Ulteriori riferimenti

  • Escludere versioni degli archivi protetti

  • Informazioni sui criteri di esclusione AD RMS


Criteri di sicurezza - Riquadro dei risultati dei criteri di sicurezza

Parametro | Dettagli
Modifica impostazioni utenti con privilegi avanzati | Questa opzione consente di attivare o disattivare il gruppo di utenti con privilegi avanzati di RMS di AD. È possibile utilizzare questo gruppo per decrittografare tutto il contenuto pubblicato dal cluster.
Reimposta password | La parola chiave del cluster viene utilizzata per proteggere la chiave privata del cluster RMS di AD quando la chiave privata del cluster viene gestita centralmente da RMS di AD.
Modifica impostazioni di rimozione autorizzazioni | La funzionalità di rimozione delle autorizzazioni viene utilizzata prima di rimuovere RMS di AD dall'infrastruttura ed è necessario decrittografare tutto il contenuto protetto in precedenza da RMS di AD.

Ulteriori riferimenti

  • Impostare un gruppo di utenti con privilegi avanzati

  • Ripristinare la password della chiave del cluster AD RMS

  • Rimuovere le autorizzazioni di AD RMS


Criteri di sicurezza - Utenti con privilegi avanzati - Riquadro risultati degli utenti con privilegi avanzati

Parametro | Dettagli
Modifica gruppo utenti con privilegi avanzati | Per impostazione predefinita il gruppo di utenti con privilegi avanzati non ha membri. È possibile specificare un gruppo universale di Servizi di dominio Active Directory da utilizzare come gruppo di utenti con privilegi avanzati per RMS di AD, scegliendo un gruppo di Servizi di dominio Active Directory esistente o un nuovo gruppo creato a tale scopo nella stessa foresta dell'installazione di RMS di AD. È necessario un indirizzo di posta elettronica associato al gruppo.

Ulteriori riferimenti

  • Impostare un gruppo di utenti con privilegi avanzati.


Criteri di sicurezza - Utenti con privilegi avanzati - Finestra delle proprietà Utenti con privilegi avanzati

Parametro | Dettagli
Gruppo utenti con privilegi avanzati | Indirizzo di posta elettronica del gruppo universale di utenti con privilegi avanzati di Servizi di dominio Active Directory che si trova nella stessa foresta in cui è installato RMS di AD.
Nota

Per una sicurezza ottimale, è consigliabile che il gruppo di Servizi di dominio Active Directory assegnato al gruppo di utenti con privilegi avanzati di RMS di AD sia un gruppo con restrizioni di Servizi di dominio Active Directory.

Ulteriori riferimenti

  • Impostare un gruppo di utenti con privilegi avanzati


Criteri di sicurezza - Pannello dei risultati della password della chiave del cluster

Parametro | Dettagli
Modifica password chiave cluster | Utilizzare questa opzione per reimpostare la password della chiave del cluster solo se il metodo di protezione della chiave viene gestito centralmente da AD RMS. Se si reimposta la password della chiave del cluster, sarà necessario reimpostare la password della chiave del cluster in ogni server RMS di AD del cluster. In caso contrario, i server nei quali la password della chiave del cluster non viene reimpostata non saranno in grado di decrittografare la chiave del server nel database di configurazione.

Ulteriori riferimenti

  • Ripristinare la password della chiave del cluster AD RMS

  • Informazioni sulla protezione e l'archiviazione delle chiavi di AD RMS


Criteri di sicurezza - Password chiave cluster - Proprietà della password della chiave del cluster

Parametro | Dettagli
Password Conferma password | Immettere la nuova password utilizzata per proteggere la chiave del cluster. Si consiglia di utilizzare una password complessa.

Ulteriore riferimento

  • Ripristinare la password della chiave del cluster AD RMS


Criteri di sicurezza - Riquadro dei risultati della rimozione delle autorizzazioni

La rimozione delle autorizzazioni di RMS di AD determina la modifica del comportamento del cluster RMS di AD, in modo da poter fornire una chiave che consenta di decrittografare il contenuto protetto con RMS pubblicato in precedenza dal cluster stesso. Questa chiave consente di salvare il contenuto senza la protezione RMS di AD. Ciò risulta utile se si è deciso di interrompere l'utilizzo della protezione RMS di AD nell'organizzazione.

Ulteriori riferimenti

  • Rimuovere le autorizzazioni di AD RMS

  • Rimuovere il ruolo server AD RMS


Rapporti - Riquadri dei risultati dei rapporti

Parametro | Dettagli
Rapporti statistiche | Elenca il numero totale di account, account di dominio e identità federative certificate o alle quali è stato concesso un certificato per account con diritti (RAC) dal cluster radice RMS di AD.
Rapporti di stato | Fornisce informazioni sull'integrità generale del cluster RMS di AD tramite una procedura guidata. Il rapporto Integrità sistema offre due visualizzazioni: Riepilogo tipi di richieste e Riepilogo prestazioni richieste.
Rapporti di risoluzione dei problemi | Assiste l'utente nella risoluzione dei problemi a livello di licenze RMS di AD tramite una procedura guidata.
Nota

Per accedere ai rapporti Integrità sistema e Risoluzione dei problemi, è necessario installare Microsoft Report Viewer (http://go.microsoft.com/fwlink/?LinkId=83215).

Ulteriore riferimento

  • Interfaccia utente: AD RMS