Dela via

Scenario: Klassifikationsbaserad kryptering för dokument i Office

Skydd av känslig information handlar främst om att minska risken för organisationen. Olika efterlevnadsregler, till exempel HIPAA (Health Insurance Portability and Accountability Act) och Payment Card Industry Data Security Standard (PCI-DSS), dikterar kryptering av information, och det finns många affärsskäl till att kryptera känslig affärsinformation. Kryptering av information är dock dyrt, och det kan försämra affärsproduktiviteten. Därför tenderar organisationer att ha olika metoder och prioriteringar för att kryptera sin information.

Scenariobeskrivning

Windows Server 2012 ger möjlighet att automatiskt kryptera känsliga Microsoft Office-filer baserat på deras klassificering. Detta görs genom filhanteringsuppgifter som anropar AD RMS-skydd (Active Directory Rights Management Services) för känsliga dokument några sekunder efter att filen har identifierats som en känslig fil på filservern. Detta underlättas av kontinuerliga filhanteringsuppgifter på filservern.

AD RMS-kryptering ger ytterligare ett skyddslager för filer. Även om en person med åtkomst till en känslig fil oavsiktligt skickar filen via e-post skyddas filen av AD RMS-krypteringen. Användare som vill komma åt filen måste först autentisera sig till en AD RMS-server för att ta emot dekrypteringsnyckeln. Följande bild visar den här processen.

lösningsguider

Bild 6 Klassificeringsbaserat RMS-skydd

Stöd för filformat som inte kommer från Microsoft är tillgängligt via andra leverantörer än Microsoft. När en fil har skyddats av AD RMS-kryptering är datahanteringsfunktioner som sök- eller innehållsbaserad klassificering inte längre tillgängliga för filen.

I det här scenariot

Följande är vägledningen som är tillgänglig för det här scenariot:

Roller och funktioner som ingår i det här scenariot

I följande tabell visas de roller och funktioner som ingår i det här scenariot och beskriver hur de stöder det.

Role/feature Hur det stöder det här scenariot
Active Directory-domäntjänsterollen (AD DS) AD DS tillhandahåller en distribuerad databas som lagrar och hanterar information om nätverksresurser och programspecifika data från katalogaktiverade program. I det här scenariot introducerar AD DS i Windows Server 2012 en anspråksbaserad auktoriseringsplattform som gör det möjligt att skapa användaranspråk och enhetsanspråk, sammansatt identitet (användare plus enhetsanspråk), en ny modell för centrala åtkomstprinciper och användning av filklassificeringsinformation i auktoriseringsbeslut.
Rollen Fil- och lagringstjänster

Hanteraren för filserverresurser

 Fil- och lagringstjänster tillhandahåller tekniker som hjälper dig att konfigurera och hantera en eller flera filservrar som tillhandahåller centrala platser i nätverket där du kan lagra filer och dela dem med användare. Om dina nätverksanvändare behöver åtkomst till samma filer och program, eller om centraliserad säkerhetskopiering och filhantering är viktiga för din organisation, bör du konfigurera en eller flera datorer som en filserver genom att lägga till rollen Fil- och lagringstjänster och lämpliga rolltjänster på datorerna. I det här scenariot kan filserveradministratörer konfigurera filhanteringsuppgifter som anropar AD RMS-skydd för känsliga dokument några sekunder efter att filen har identifierats som en känslig fil på filservern (kontinuerliga filhanteringsuppgifter på filservern).
AD RMS-roll (Active Directory Rights Management Services) MED AD RMS kan enskilda användare och administratörer (via IRM-principer (Information Rights Management) ange åtkomstbehörigheter till dokument, arbetsböcker och presentationer. Detta förhindrar att känslig information skrivs ut, vidarebefordras eller kopieras av obehöriga personer. När behörigheten för en fil har begränsats med hjälp av IRM tillämpas åtkomst- och användningsbegränsningarna oavsett var informationen finns, eftersom behörigheten till en fil lagras i själva dokumentfilen. I det här scenariot ger AD RMS-kryptering ytterligare ett skyddslager för filer. Även om en person med åtkomst till en känslig fil oavsiktligt skickar filen via e-post skyddas filen av AD RMS-krypteringen. Användare som vill komma åt filen måste först autentisera sig till en AD RMS-server för att ta emot dekrypteringsnyckeln.