Поделиться через

Быстрый старт: Защита сервера Active Directory Rights Management (AD RMS)

В этом кратком руководстве показано, как реализовать поддержку сервера Active Directory Rights Management (AD RMS) с помощью пакета SDK MIP.

Замечание

Шаги, описанные в этом кратком руководстве, применяются только к File SDK для C# или C++ и Protection SDK только для C++.

Предпосылки

Если вы еще не сделали этого, обязательно выполните следующие действия.

Обнаружение служб

Пакет SDK MIP автоматически обнаруживает локальную конечную точку службы для определенной FileEngine или ProtectionEngine, если URL-адрес службы не указан явным образом. Он использует удостоверение пользователя, предоставленное через FileEngineSettingsProtectionEngineSettings или с помощью имени участника-пользователя или суффикса адреса электронной почты. Сначала он выполняет поиск иерархии домена для записи _rmsdisco для MDE. Дополнительные сведения об этом процессе см. в статье "Указание записей DNS SRV" для расширения мобильного устройства AD RMS. Если эта запись SRV DNS не найдена, она по умолчанию используется в службе Microsoft Purview Information Protection в качестве расположения службы.

Настройка пакета SDK для файлов в C# для использования AD RMS

Если приложение использует библиотеку проверки подлинности Active Directory (ADAL) и пакет SDK для файлов на C#, требуются два незначительных изменения. Объект FileEngineSettings и конструктор AuthenticationContext необходимо обновить для работы с AD RMS и службами федерации Active Directory (ADFS).

Если вы развернули расширение для мобильных устройств, записав DNS SRV, и планируете передать имя пользователя или адрес электронной почты, следуйте инструкциям по использованию идентификации.

Настройки системы обработки файлов обновить для использования AD RMS с учетной записью

Если запись DNS SRV для MDE была опубликована и Microsoft.InformationProtection.Identity предоставлена в составе параметров ядра, единственное необходимое изменение кода — это установить FileEngineSettings.ProtectionOnlyEngine = true. Это свойство должно быть задано, так как операции маркировки не поддерживаются для конечных точек защиты AD RMS.

// Configure FileEngineSettings as protection only engine.
var engineSettings = new FileEngineSettings("", authDelegate, "", "en-US")
{
     // Provide the identity for service discovery.
     Identity = identity,
     // Set ProtectionOnlyEngine to true for AD RMS as labeling isn't supported
     ProtectionOnlyEngine = true
};

Обновите делегата проверки подлинности

Если вы используете ADAL в приложении .NET, необходимо внести изменения в реализацию Microsoft.InformationProtection.AuthDelegate, чтобы отключить проверку авторизации. Отключите проверку центра, установив validateAuthority в конструкторе AuthenticationContextзначение false.

AuthenticationContext authContext = new AuthenticationContext(authority, false, tokenCache);

Настройка пакета SDK для файлов в C++ для использования AD RMS

Если вы развернули расширение для мобильных устройств, записав DNS SRV, и планируете передать имя пользователя или адрес электронной почты, следуйте инструкциям по использованию идентификации.

Обновите параметры FileEngine::Settings для использования AD RMS с идентификацией

Если была опубликована запись DNS SRV для MDE, и mip::Identity указан в FileEngine::Settings, то единственным действием является установка подсистемы в режим только защиты.

FileEngine::Settings engineSettings(mip::Identity(mUsername), "");
engineSettings.SetProtectionOnlyEngine = true;

Настройка пакета SDK для защиты в C++ для использования AD RMS

Если вы развернули расширение для мобильных устройств, записав DNS SRV, и планируете передать имя пользователя или адрес электронной почты, следуйте инструкциям по использованию идентификации.

Задайте параметр ProtectionEngine::Settings для использования AD RMS с удостоверением

Если запись DNS SRV для расширения мобильного устройства была опубликована, и удостоверение предоставлено в ProtectionEngine::Settings, никаких дополнительных изменений кода для использования AD RMS не требуется. Процесс обнаружения служб найдет точку доступа AD RMS и будет использовать ее для операций защиты.

ProtectionEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");

Удаление или примечание ссылок на метки

Если вы создаете приложение из одного из кратких руководств, вы увидите, что приложение содержит ссылки на метки в виде fileEngine.SensitivityLabels или engine->ListSensitivityLabels();. Поскольку приложение работает в защитном режиме, эти блоки кода должны быть закомментированы или удалены, поскольку их выполнение приведет к исключению.

Дальнейшие шаги

Теперь, когда вы внесли изменения в поддержку AD RMS, приложение может выполнять любые операции, доступные только для защиты, с помощью службы AD RMS в качестве поставщика защиты.

  • Last updated on