Possibilitando a Proteção da Informação no MicrosoftOffice 2003 com os Serviços de Gerenciamento de Direitos e o Gerenciamento de Direitos de InformaçãoMicrosoft Corporation

Resumo

Resumo: O Gerenciamento de Direitos de Informação (IRM) é uma tecnologia persistente de proteção em nível de arquivo, que ajuda a proteger a propriedade intelectual digital e as informações confidenciais contra o uso não autorizado. O IRM amplia o Microsoft® Windows®Rights Management Services (RMS) para o Window Server™ 2003 no Microsoft Office 2003 Editionse no Microsoft Internet Explorer. Este documento fornece uma visão geral dos benefícios, implementação e considerações sobre a implantação do IRM. Para obter informações mais recentes acesse http://www . m i c r osoft . com/b r a s il /off i c e .

As informações contidas neste documento representam a visão atual da Microsoft Corporation sobre as questões discutidas até a data de publicação. Como a Microsoft deve responder às condições modificáveis do mercado, elas não devem ser interpretadas como compromisso por parte da Microsoft, e a Microsoft não pode garantir a precisão das informações apresentadas depois da publicação.

Este White Paper é apenas para fins informativos. A MICROSOFT NÃO FAZ GARANTIA, EXPRESSA, IMPLÍCITA OU ESTATUTÁRIA, QUANTO ÀS INFORMAÇÕES DESTE DOCUMENTO.

A conformidade com todas as leis aplicáveis de direitos autorais é de responsabilidade do usuário. Sem limitar os direitos protegidos pelos direitos autorais, nenhuma parte deste documento pode ser reproduzida, armazenada ou apresentada a um sistema de recuperação, ou transmitida, de qualquer forma ou por qualquer meio (eletrônico, mecânico, fotocopiador, gravador ou outros), ou por qualquer finalidade, sem a permissão expressa por escrito da Microsoft Corporation.

A Microsoft pode possuir patentes, aplicações patentes, marcas registradas, direitos autorais ou outros direitos de propriedade intelectual que abordem os assuntos deste documento. Excetuando-se o que se encontra expressamente fornecido em qualquer contrato de licença por escrito, os complementos deste documento não provêm quaisquer licenças a essas patentes, marcas registradas, direitos autorais ou outra propriedade intelectual.

A menos que seja notificado, os exemplos de empresas, organizações, produtos, nomes de domínios, endereços de e-mail, logotipos, pessoas, locais e eventos aqui descritos são fictícios e não estão associados a qualquer empresa, organização, produto, nome de domínio, endereço dee-mail, logotipo, pessoa, local e evento reais.© 2007 Microsoft Corporation. Todos os direitos reservados. Microsoft, Excel, SharePoint, Visual Studio e Windows são marcasregistradas ou apenas marcas da Microsoft Corporation nos EstadosUnidos e/ou outros países.

Todas as outras marcas registradas pertencem a seus respectivos proprietários.

Traduzido por Francisco Baddini, Junho de 2007.

Conteúdos

Principais Conceitos .................................................................................... 4Resumo Executivo ...................................................................................... 4Visão Geral do IRM e do RMS ....................................................................... 4

Funções Típicas do IRM e do RMS.............................................................. 5Visão Geral Técnica do IRM e do RMS ........................................................ 9Arquitetura do IRM e do RMS.................................................................... 9Usando o RMS/IRM: Conseqüências......................................................... 14

Requisitos de Implantação do IRM e do RMS ................................................ 16Implantando o IRM e o RMS....................................................................... 18

A Topologia Padrão do Sistema RMS ........................................................ 18Instalando o Software de Servidor RMS ................................................... 19Inscrevendo os Servidores e um Sistema RMS .......................................... 20Registre a URL de Servidor ..................................................................... 22Configurando os Computadores Clientes .................................................. 22Certificando os Usuários RMS.................................................................. 23Inscrevendo os Computadores Clientes para Publicação Offline ................... 23

Gerenciando o Ambiente IRM/RMS.............................................................. 24Cenários de Uso do IRM/RMS.................................................................. 25Modelos de Diretivas de Direitos ............................................................. 26Lista de Revogação................................................................................ 29Diretivas de Exclusão............................................................................. 30Login ................................................................................................... 31Diretivas de Confiança ........................................................................... 32

Conclusão................................................................................................ 33Informações Adicionais.............................................................................. 33

Suporte ao Produto ............................................................................... 33

Principais ConceitosMicrosoft® Windows® Rights Management Services (RMS) para Windows Server™ 2003– O Microsoft Windows Rights Management Services (RMS) para Windows Server 2003 é atecnologia de proteção de informações que trabalha com aplicações habilitadas ao RMS, tal como o Microsoft Office 2003 Editions para ajudar a proteger as informações digitais contra o uso não autorizado – tanto online como offline, dentro e fora do firewall. Combinando os recursos doWindows Server 2003, as ferramentas de desenvolvedor e as tecnologias de segurança domercado – incluindo criptografia, certificados baseados em eXtensible rights Markup Language (XrML) e autenticação – o RMS aumenta a estratégia de segurança da organização, fornecendo a proteção das informações através de persistentes diretivas de uso que permanecem com a informação aonde quer que ela vá.Gerenciamento de Direitos de Informação (Information Rights Management - IRM) – OGerenciamento de Direitos de Informação (IRM) estende-se ao RMS nos programas MicrosoftOffice 2003 Editions e Microsoft Internet Explorer. Os profissionais do conhecimento agora podem estipular como abrir um documento e especificar quais destinatários podem usar aqueledocumento; por exemplo, eles podem conceder direitos para abrir, modificar, imprimir, enviar ou para tomar outras atitudes. As organizações podem criar modelos personalizados de diretivas de uso, tal como “Confidencial – Somente para Leitura”, que podem ser aplicados diretamente aos relatórios financeiros, especificações de produto, dados do cliente, mensagens de e-mail e outros documentos confidenciais.

Resumo ExecutivoUm dos aspectos da Computação Confiável (Trustworthy Computing) é a disponibilidade datecnologia que pode confiantemente proteger o conteúdo e manter confidencial as informações digitais. O Gerenciamento dos Direitos de Informação (IRM) no Microsoft Office System fornece às empresas e aos profissionais do conhecimento outro mecanismo para ajudar a proteger as informações confidenciais.Este documento trata do funcionamento do RMS dentro de uma infra-estrutura da empresa e de como ela suporta o IRM e amplia as capacidades de proteção das informações no Microsoft Office2003 Editions. O propósito principal deste documento é fornecer um recurso exclusivo para compreender as decisões e as tarefas relacionadas com a proteção da informação através do IRMe do RMS. Embora o documento não seja abrangente em cada tópico, nele são fornecidos detalhes suficientes para a implantação e o gerenciamento de uma configuração típica e o documentomostra os tópicos relevantes do arquivo RMS Help e o site da Web do RMS para se obter maisdetalhes. Esses recursos fornecem maiores detalhes sobre os tópicos, como os benefícios corporativos do RMS e do IRM, a arquitetura, as possibilidades de topologia e mais, e eles deveriam fazer parte de qualquer plano de implantação.

Visão Geral do IRM e do RMSO RMS é um recurso de proteção das informações do Windows, que trabalha com aplicações habilitadas ao RMS para ajudar a proteger as informações confidenciais e importantes contra o uso desautorizado - não importa onde elas estejam. Em resposta às demandas dos clientes por melhor proteção do conteúdo, a Microsoft projetou o RMS para integrá-lo aos recursos do Windows Server2003, as ferramentas de desenvolvedor e as tecnologias de segurança do mercado – incluindo acriptografia, os certificados baseados em XrML e a autenticação – para ajudar as empresas a criarem confiáveis soluções de proteção à informação. Para obter mais informações sobre a

importância e os benefícios do IRM e do RMS, veja o site principal do RMS emh t tp:/ / w w w . m i c r o s o f t . c o m/ w i n d o w ss e r v e r 20 0 3 / t e c h n o l o gi e s / r i g h t sm g m t / d e f a u l t . ms p x . O IRM estende as capacidades de proteção das informações do RMS às estações de trabalho. O IRM é uma persistente tecnologia de proteção em nível de arquivo, que permite que os profissionais do conhecimento especifiquem quem pode acessar e usar os documentos ou os e- mails, e ajuda a proteger essa propriedade intelectual digital contra a cópia, o envio ou a impressão não autorizadas. Note que o IRM não é igual a nova funcionalidade de Proteger Documento do Microsoft Office Word 2003, a qual permite que os profissionais do conhecimento estabeleçam restrições de formatação e seletivamente concedam permissões de edição para seções específicas de um documento aos usuários e grupos.Como as proteções do IRM trafegam com o arquivo, uma vez que um documento ou e-mail esteja protegido com esta tecnologia, os direitos de uso são cumpridos aonde quer que a informação vá, mesmo se o arquivo for enviado fora do firewall. Para obter uma visão geral de como o IRM e oRMS funcionam juntos, veja o documento entitulado Gerenciamento de Direitos de Informação no Microsoft Office 2003 em h t tp:/ / w w w . m i c r o s o f t . c o m/ t e c hn e t / p r o d t e c h n ol / o f f i c e/ o f f i c e 2 003 / op e r a t e / o f 03 i r m . ms p x .

Uma vez que os profissionais do conhecimento tenham concedido diretivas de uso para um arquivo, a aplicação da interface do usuário (UI) e o modelo de objeto cumprem as restrições ouos direitos concedidos a esse usuário (não copiar, por exemplo). Entretanto, o IRM não é umrecurso de segurança – como outras ferramentas de política, estas restrições não podem impedir todo tipo de abuso.

Funções Típicas do IRM e do RMSO IRM pode ajudar a proteger as informações em vários cenários. Há duas experiências básicas de usuário ao usar o IRM no Office 2003 Editions:E-Mail - O e-mail é dos principais métodos de comunicação dentro e entre as empresas. Osprofissionais do conhecimento usam o e-mail para se comunicarem com os membros da equipe, outros grupos, clientes e fabricantes. As equipes de vendas utilizam o e-mail para se comunicareme colaborarem com o escritório da empresa nos novos planos de estimativa de preços eatualizações de produtos. A gerência usa o e-mail para se comunicar com uma empresa. O e-mail pode ver visualizado offline nos aviões e em hotéis, tornando fácil para que um funcionário móvel leia e redija os documentos mesmo quando ele está fora do escritório. Há a facilidade de comunicação, porém isto aumenta o risco de vazamento de informações. Os e-mails que contém informações confidenciais (por exemplo, um novo plano de produto ou uma fusão pendente)podem ser facilmente encaminhados, mesmo que acidentalmente, a um concorrente, fabricante oupara a mídia. O impacto negativo da divulgação de tais informações pode incluir a perda da vantagem competitiva, perda de receita e perda da confiança do cliente. O e-mail protegido por direitos ajuda a proteger contra a divulgação, envio acidental e, no mínimo, torna difícil para o ofensor alegar ignorância. A figura abaixo mostra um e-mail protegido com a opção Não Encaminhar. Os destinatários deste e-mail não podem encaminhar a mensagem e não podem copiar ou imprimir seu conteúdo.

Figura 1: E-mail protegido com a opção de IRM Não Encaminhar

Documentos - A grande maioria das informações criadas e utilizadas pelos profissionais do conhecimento está contida em documentos de aplicações cotidianas das estações de trabalho. A gerência, vendas, financeiro, recursos humanos, equipes de produto e equipes de pesquisa usamos programas do Office 2003 Editions para criar previsões financeiras, planos de vendas, projeçõesde receita, avaliações dos funcionários, planos de ciclo de vida do produto e análises de pesquisas– informações que poderiam comprometer uma organização se elas fossem parar em mãos erradas. O IRM dá aos profissionais do conhecimento uma ferramenta fácil dentro do programa Office 2003 Editions para estabelecer a proteção de direitos às informações confidenciais, ajudando assim a controlar quem pode abrir ou modificar o documento dentro de um prazo específico.O ponto de entrada para o IRM é um botão na barra de ferramentas principal, como mostrado na figura abaixo:

Figura 2: O botão Permissão nos programas do Office 2003 EditionsAo clicar no botão, uma vez que o RMS tenha sido implantado na empresa, aparece o diálogoPermissão mostrado abaixo:

Figura 3: Diálogo de Permissão para os usuários com direitos atribuídos

A caixa de permissão principal fornece uma maneira rápida e fácil de conceder permissões deLeitura e de Alteração para diferentes usuários. Os usuários devem ser especificados por endereçode e-mail armazenado no Windows Server Active Directory e isto pode incluir listas de distribuição de grupo. Ele também pode incluir endereços externos, se a organização permitiu a política de confiança que inclui os endereços externos. Ao clicar em Mais Opções aparece o diálogomostrado na figura 4.

Figure 4: Mais opções

A primeira opção adicional é a configuração de expiração para o documento. Após a dataespecificada, aqueles que tinham permissões antes da expiração não mais serão capazes de abriro documento. Além da expiração, o diálogo Mais Opções permite que os autores seletivamente concedam outros direitos para imprimir o conteúdo, copiar o conteúdo e para acessar o conteúdo programaticamente. Por padrão, o campo Configurações adicionais é preenchido com oendereço de e-mail do autor para permitir que os destinatários solicitem direitos adicionais para odocumento (o link Solicitar permissões adicionais é mostrado na figura 5). Os autores também podem escolher permitir ou não permitir as permissões de leitura para aqueles que possuem as versões anteriores do Office. Finalmente, os autores podem requer uma conexão toda vez que o arquivo é aberto. Por padrão, um destinatário somente precisa se conectar ao servidor RMS umavez (em uma determinada máquina) para verificar a permissão.Quando Vitória, a quem foi dada permissão de Leitura, recebe este documento e o abre, o Word2003 irá se conectar ao servidor corporativo RMS dela e verificar se ela tem direitos. Ele abre o documento (pode não ser aberto caso ela não tenha os direitos). Ela não pode copiar, imprimir ou modificar o documento. Ela pode visualizar suas permissões clicando no painel de tarefas:

Figura 5: Visualizando as permissões em um arquivo protegido por direitos

Com o IRM, os direitos de uso sempre permanecerão com a informação, mesmo após ela deixar a rede. Isto significa que os direitos de uso irão se aplicar à informação protegida, mesmo que o profissional do conhecimento abra o e-mail ou o documento offline, ou que o tenha salvo em um disco.

Visão Geral Técnica do IRM e do RMSNo lado servidor, o Windows RMS controla o licenciamento do núcleo, a ativação de máquina, o registro e as funções administrativas. O RMS conta com o serviço de diretório do Windows Server Active Directory® (Windows Server 2000 ou posterior) e usa um banco de dados SQL, como o Microsoft SQL Server™, para armazenar os dados de configuração.No lado servidor, a criação e a visualização do conteúdo protegido por direitos requer um programa habilitado ao RMS. O Microsoft Office 2003 Editions possui os primeiros programas habilitados ao RMS disponíveis através da Microsoft. Para a criação ou visualização de planilhas, apresentações, mensagens de e-mail e documentos protegidos por direito do Microsoft Office,exige-se o Microsoft Office Professional Edition 2003. Outros Office 2003 Editions permitem que osdestinatários designados trabalhem com documentos protegidos por direitos (mas não permite que criem conteúdo) se a eles foram dados esses direitos pelo autor. O complemento de gerenciamento de direitos para Internet Explorer permite que os profissionais do conhecimento designados visualizem as informações protegidas por direitos se eles não tiverem um Microsoft Office 2003 Edition.

Arquitetura do IRM e do RMSO RWS é um Web Service que disponibiliza implementação ASP.NET, protocolo de solicitação/resposta HTTP SOAP e XrML para permitir que as organizações criem e implantem

soluções personalizadas de proteção da informação. Com alta escalabilidade, topologias flexíveis,administração simples e fácil de usar, o RMS foi desenvolvido para satisfazer as necessidades de qualquer organização interessada em proteção da informação.O fundamental para a tecnologia Windows RMS são as persistentes diretivas de uso (tambémconhecidas como direitos de uso e condições). Os autores das informações podem estabelecer persistentes diretivas de uso em nível de arquivo. Após o autor ou proprietário aplicar essas diretivas a um arquivo, elas permanecem com aquele arquivo mesmo quando o arquivo trafega para fora da rede da corporação.Um sistema RMS alcança o cumprimento da política persistente estabelecendo os seguinteselementos essenciais:

• Entidades confiáveis. As organizações podem especificar as entidades, incluindo pessoas, grupos de profissionais do conhecimento, computadores ou aplicações que sejam participantes confiáveis em um sistema RMS. Ao estabelecer as entidades confiáveis, um sistema RMS pode proteger as informações permitindo acesso somente aos participantes devidamenteautenticados.

• Direitos de uso e condições. As organizações e as pessoas podem conceder direitos de uso e condições definindo como uma específica entidade confiável pode usar as informaçõesprotegidas. Exemplos de direitos nomeados são: visualizar, copiar, imprimir, salvar, armazenar, encaminhar ou modificar. Os direitos de uso também podem especificar quando essaspermissões expiram e quais aplicações e entidades são excluídas (não confiáveis) de acessar asinformações protegidas.

• Criptografia. A criptografia é o processo pelo qual os dados são bloqueados com chaves eletrônicas. O sistema RMS criptografa as informações, tornando seu acesso e seu usocondicionais ao sucesso da autenticação das entidades confiáveis e ao cumprimento das diretivas de uso especificadas. Depois que as informações são bloqueadas, somente as entidades confiáveis que tiveram os direitos de uso concedidos sob as condições especificadas (se houverem) podem desbloquear ou descriptografar as informações e exercer os direitos de uso concedidos.

Noções Básicas: Como Funciona o RMSA tecnologia Windows RMS, que inclui componentes de servidor e de cliente, fornece os seguintes recursos:

• Criar recipientes e arquivos protegidos por direitos. Os profissionais do conhecimento designados como entidades confiáveis em um sistema RMS podem facilmente criar e gerenciararquivos protegidos usando familiares programas de criação e ferramentas que incorporam os recursos de tecnologia do Windows RMS. Por exemplo, usando familiares barras de ferramentas de aplicações os profissionais do conhecimento podem conceder direitos de uso e condições às informações, tais como mensagens de e-mail e documentos.Além disso, as aplicações permitidas ao RMS podem usar opções de política de direitosautorizadas oficialmente e definidas centralmente para ajudar os profissionais do conhecimentoa aplicarem eficientemente um conjunto pré-definido de diretivas de uso organizacionais.

• Licenciar e distribuir as informações protegidas por direitos . Os certificados baseadosem XrML emitidos por um sistema RMS identificam as entidades que podem publicar asinformações protegidas por direitos. Os profissionais do conhecimento designados como entidades confiáveis em um sistema RMS podem conceder direitos de uso e condições àsinformações que eles querem proteger. Estas diretivas de uso especificam quem pode acessar e usar a informação.Em um processo que é transparente para os profissionais do conhecimento, o sistema RMS

valida as entidades confiáveis e emite as licenças de publicação que contêm os direitos de uso eas condições especificadas pelo autor da informação. As informações são encriptadas usando as chaves eletrônicas das aplicações e dos certificados baseados em XrML das entidadesconfiáveis. Depois que as informações são bloqueadas por este mecanismo, somente asentidades confiáveis especificadas nas licenças de publicação podem desbloquear e usar essas informações.Os profissionais do conhecimento podem, então, distribuir as informações protegidas pordireitos aos outros da sua organização ou para um usuário externo confiável através de e-mail, de um compartilhamento de arquivo em um servidor ou de um disquete.

• Adquirir licenças para descriptografar as informações protegidas por direitos e exigiro cumprimento das diretivas de uso. Os profissionais do conhecimento que são entidadesconfiáveis podem abrir as informações protegidas por direitos usando os clientes confiáveis. Esses clientes são computadores e aplicações habilitadas ao RMS que permitem aos profissionais do conhecimento visualizarem e interagirem com as informações protegidas por direitos, exigindo o cumprimento das diretivas de uso.Em um processo que é transparente ao destinatário, o servidor RMS, que tem a chave públicaque foi usada para criptografar a informação, valida as credenciais do destinatário e, então,emite uma licença de uso que contém os direitos de uso e as condições que foram especificadas na licença de publicação. As informações são descriptogradas usando as chaves eletrônicas da licença de uso e dos certificados baseados em XrML das entidades confiáveis. Os direitos de usoe as condições são, então, utilizados pela aplicação habilitada ao RMS. Os direitos de uso e as condições são persistentes e aplicáveis aonde quer que a informação vá.

Partes do Componente do RMSA tecnologia RMS inclui os seguintes softwares de cliente e de servidor com SDKs:

• Software de servidor Windows RMS é um serviço da web para o Windows Server 2003 que controla a certificação baseada em XrML das entidades confiáveis, licenciamento de informações protegidas por direitos, inscrição de servidores e usuários e funções administrativas.

• Software cliente Windows Rights Management é um grupo de APIs do Windows que facilita o processo de ativação da máquina e permite que as aplicações habilitadas ao RMStrabalhem com o servidor RMS para fornecer licenças para publicar e consumir as informações protegidas por direitos.

• Software Development Kits (SDKs) para os componentes de servidor e de cliente, incluindoa documentação e o código de amostra que pertimitem que os desenvolvedores de softwarepersonalizem seus ambientes de servidor Windows RMS e criem aplicações habilitadas ao RMS.

Software de Servidor RMSNo núcleo do Windows RMS está o componente de servidor que controla a certificação das entidades confiáveis, o licenciamento das informações protegidas por direitos, a inscrição e sub-inscrição dos servidores e usuários e as funções administrativas. O software de servidor facilita asetapas de configuração, que permitem que as entidades confiáveis usem as informações protegidas por direitos. Os seguintes recursos do RMS são fornecidos pelo software de servidor:

• Configuração para as entidades confiáveis. O Windows RMS fornece as ferramentas para estabelecer e configurar os servidores, os computadores cliente e as contas de usuário para asentidades confiáveis em um sistema RMS. Este processo de configuração inclui o seguinte:

• Inscrição do servidor. A inscrição do servidor é parte do processo de provisionamento.Durante a inscrição do servidor, uma chave pública de um servidor RMS raiz da organizaçãoé enviada ao Serviço de Inscrição do Servidor RMS hospedado pela Microsoft. O serviço de inscrição cria e retorna um certificado de licenciador XrML para aquela chave pública da

organização. O Serviço de Inscrição do Servidor RMS não emite o par de chavepública/privada para um servidor raiz da organização; ele meramente atribui a chave pública.O Serviço de Inscrição do Servidor RMS não pode ser usado para desbloquear o conteúdo da organização. Não há constatação de identidade durante este processo.

• Inscrição do sub-servidor. Após uma organização configurar o servidor de instalação raiz para o seu sistema RMS, ela pode então fazer a sub-inscrição e configurar os servidoresadicionais que irão fazer parte do sistema. O processo de sub-inscrição de servidor estabelece certificados baseados em XrML, que permitem que os servidores adicionais emitam licenças confiáveis pelo sistema RMS.

• Ativação de computador cliente. Uma organização deve ativar todos os computadores clientes que serão usados para criar ou acessar as informações protegidas por direitos.Durante este processo único, ao computador cliente é emitida uma única lockbox do RMS. A lockbox do RMS é quem aplica a segurança do lado cliente. Ela é única para a máquina e não pode ser executada em outra máquina.

• Certificação do usuário. As organizações devem identificar os profissionais do conhecimento que são entidades confiáveis dentro dos seus sistemas RMS. Para isto, oWindows RMS emite certificados baseados em XrML de conta de gerenciamento de direitos(RACs) que associam as contas de usuário aos computadores específicos.

Figura 6: O processo único de obtenção de um RACEsses certificados permitem que os funcionários acessem e usem os arquivos protegidos e as informações. Cada certificado exclusivo contém uma chave pública usada para licenciar as informações destinadas ao uso daquele profissional do conhecimento.

• Inscrição de Cliente. Às vezes, os computadores clientes podem ser usados para publicaras informações protegidas por direitos quando eles não estiverem conectados à redecorporativa. Neste caso, um processo de inscrição local é necessário. Os computadoresclientes se inscrevem com o servidor de instalação raiz ou com um servidor de licenciamento do Windows RMS e recebem os certificados de licenciador do cliente de gerenciamento de direitos. Isto permite que os profissionais do conhecimento certificados publiquem asinformações protegidas por direitos através daqueles computadores sem estarem conectadosà rede corporativa.

• Licenças de publicação que definem direitos de uso e condições. As entidades confiáveis podem usar ferramentas simples nas aplicações habilitadas ao RMS para atribuir específicosdireitos de uso e condições às suas informações, consistentes com as diretivas corporativas da sua organização. Esses direitos de uso e condições são definidos dentro das licenças de publicação, especificando os funcionários autorizados que podem visualizar as informações e como essas informações podem ser usadas e compartilhadas. O RMS usa um vocabulário XML para expressar os direitos de uso e condições, o XrML (eXtensible rights Markup Language), versão 1.2.1.

• Licenças de uso que aplicam os direitos de uso e condições. Cada entidade confiável queé destinatária de informações protegidas por direitos solicita e recebe, de maneira transparente,

uma licença de uso do servidor RMS ao tentar abrir as informações. Uma licença de uso éconcedida aos destinatários autorizados , especificando os direitos de uso e condições para aquele indivíduo. Uma aplicação habilitada ao RMS usa os recursos de tecnologia do Windows RMS para ler, interpretar e aplicar os direitos de uso e condições definidos na licença de uso.

• Criptografia e chaves. As informações protegidas são sempre criptografadas. Uma aplicação habilitada ao RMS usa uma chave simétrica para criptografar as informações. Todos osservidores RMS, computadores clientes e usuários de conta têm um par público/privado dechaves RSA de 1024 bits. O Windows RMS usa estas chaves públicas/privadas para criptografara chave simétrica em licenças de publicação e de uso e para atribuir licenças e certificados baseados em XrML de gerenciamento de direitos — ajudando a assegurar o acesso somente às entidades adequadamente confiáveis.

• Modelos de política de direitos. Os administradores podem criar e distribuir modelos dediretivas de direitos oficiais, definindo direitos de uso e condições para um conjunto pré-definidode funcionários. Veja a seção “Modelos de Diretivas de Direitos de Uso” para obter mais informações. Esses modelos fornecem uma maneira gerenciável para as organizações estabelecerem hierarquias de classificação de documentos para as suas informações. Por exemplo, uma organização pode criar modelos de diretivas de direitos para seus funcionáriosque atribuem direitos de uso e condições separadas para os dados confidenciais, classificados eprivados da empresa. As aplicações habilitadas ao RMS podem usar esses modelos, fornecendo uma maneira simples e consistente de os funcionários aplicarem as diretivas pré-definidas paraas informações.

• Listas de revogação. Os administradores podem criar e distribuir listas de revogação, identificando as entidades confiáveis comprometidas que são invalidadas e removidas atravésdo sistema RMS. (As entidades confiáveis são indivíduos, grupos de profissionais do conhecimento, computadores ou programas que sejam participantes confiáveis em um sistema RMS.) Uma lista de revogação de uma organização pode invalidar os certificados para computadores específicos ou contas de usuário. Por exemplo, quando um funcionário fordemitido, as entidades confiáveis envolvidas poderão ser adicionadas à lista de revogação e não poderão mais ser usadas por nenhuma das operações relacionadas ao RMS.

• Diretivas de exclusão. Os administradores podem implementar diretivas de exclusão do lado servidor para negar solicitações de licenças baseadas no ID de usuário do solicitador (credencialde logon do Windows ou ID do .NET Passport), certificados de contas de gerenciamento dedireitos ou versões de lockbox de gerenciamento de direitos. As diretivas de exclusão negam as novas solicitações de licença feitas por entidades confiáveis comprometidas, masdiferentemente da revogação, as diretivas de exclusão não invalidam as entidades confiáveis.Os administradores podem também excluir as aplicações potencialmente prejudiciais ou comprometidas, de modo que elas não possam descriptografar o conteúdo protegido por direitos.

• Login. Os administradores podem rastrear e auditar o uso das informações protegidas pordireitos dentro de uma organização. O RMS instala o suporte para o login, de modo que asorganizações tenham um registro das atividades relacionadas ao RMS, incluindo licenças de usoe de publicação emitidas ou negadas.

RMS Software Development Kit (SDK)A tecnologia Windows RMS inclui o Windows RMS SDK, um conjunto de ferramentas,documentação e códigos de amostra que permitem às organizações personalizar o Windows RMS.O SDK inclui interfaces SOAP (simple object access protocol) que permitem que os desenvolvedores criem componentes com vários objetivos, incluindo o seguinte:

• Aplicar as diretivas de uso do Windows RMS em tempo real para quaisquer dados

• Emitir licenças aos destinatários, além da distribuição atual das informações protegidas por direitos (pré-licenciamento)

• Uma fila de pós processamento usando o Microsoft Message Queue (MSMQ) permite login, auditoria, vigilância e outros serviços administrativos. Essas interfaces e serviços fornecem osmeios para controlar, integrar e ampliar o Windows RMS.

RMS Client SDKA tecnologia Windows RMS inclui o RMS Client SDK, um conjunto de ferramentas, documentação e códigos de amostra que permite aos desenvolvedores de software criar aplicativos habilitados ao RMS. Usando o SDK e as APIs (Application Programming Interfaces) clientes que o acompanham,os desenvolvedores podem criar aplicações clientes confiáveis capazes de licenciar, publicar eutilizar as informações protegidas por direitos.

• Um módulo redistribuível que implementa as interfaces clientes

• Arquivos de cabeçalho associados ao desenvolvimento

• Um link de biblioteca

• As ferramentas para criar o(s) manifesto(s) atribuído(s) requerido(s) para as aplicações habilitadas ao RMS para carregar os módulos que implementam as interfaces clientes.

Software Cliente de RMSCada computador cliente em um sistema RMS deve ter o software cliente de Windows Rights Management instalado. Esse componente cliente, requerido para usar as aplicações habilitadas ao RMS, é um grupo de APIs do Windows Rights Management que pode ser pré-instalado ou feito oseu download através do site Web do Windows Update. O cliente de Gerenciamento de Direitos também é usado durante o processo de ativação do computador.

Partes do Componente IRMO Office 2003 Editions fornece as primeiras aplicações habilitadas ao RMS. Assim, os programas do Office 2003 Editions simplesmente ampliam as capacidades do RMS.

Usando o RMS/IRM: ConseqüênciasPara proteger os dados com o Windows RMS, os profissionais do conhecimento simplesmenteseguem o mesmo fluxo de trabalho, que eles já usaram para as suas informações, interligado lógica e fundamentalmente.O diagrama a seguir resume como o Windows RMS funciona quando os profissionais doconhecimento publicam e utilizam as informações protegidas por direitos.

Figura 7: Publicando e utilizando os dados protegidos

O processo de publicação e de utilização inclui as seguintes etapas, como enumerado na figuraabaixo:1. Antes que os autores possam proteger um documento através de direitos, eles devem

primeiro serem inscreverem no sistema RMS, recebendo uma lockbox, um RAC e um certificado de publicação de cliente em suas máquinas.

2. Usando uma aplicação habilitada ao RMS, tal como o Office Professional Edition 2003, umautor cria um arquivo e define um conjunto de direitos de uso e condições para esse arquivo.

3. A aplicação então criptografa o arquivo com uma chave simétrica, que é criptografada usandoa chave pública do servidor Windows RMS do autor. A chave é, então, inserida na licença de publicação e esta licença é vinculada ao arquivo. Somente o servidor Windows RMS do autor pode emitir as licenças de uso para descriptografar esse arquivo.A figura abaixo mostra o que está contido em um arquivo de programa protegido do Office2003 Editions, uma vez que os direitos foram atribuídos a ele.

Figura 8: O conteúdo de um arquivo protegido

4. O autor distribui o arquivo.5. Um destinatário recebe um arquivo protegido através de um canal de distribuição regular e

abre o arquivo usando uma aplicação habilitada ao RMS ou um navegador.Se o destinatário não possuir um certificado de conta no dispositivo ou computador atual,nesse momento será atribuído um (presumindo-se que o destinatário tenha acesso ao servidorRMS raiz e tenha uma conta corporativa).

6. A aplicação envia uma solicitação de uma licença de uso ao servidor que emitiu a licença de publicação para os dados protegidos. A solicitação inclui o certificado de conta do destinatário (que contém a chave pública do destinatário) e a licença de publicação (que contém a chave simétrica que criptografou o arquivo).Uma licença de publicação emitida por um certificado de licenciador cliente inclui a URL do servidor que emitiu o certificado. Neste caso, a solicitação de uma licença de uso vai para o servidor Windows RMS que emitiu o certificado de licenciador cliente e não para o real computador que emitiu a licença de publicação.

7. O servidor de licenciamento Windows RMS valida que o destinatário está autorizado, verifica se o destinatário é um usuário nomeado e cria uma licença de uso.Durante este processo, o servidor criptografa a chave simétrica usando a chave privada do servidor, a criptografa novamente usando a chave pública do destinatário e a adiciona àlicença de uso. O servidor também adiciona quaisquer condições relevantes à licença de uso, como a expiração ou uma aplicação ou exclusão do sistema operacional. Executando esta etapa, somente o destinatário pretendido poderá descriptografar a chave simétrica e,portanto, descriptografar o arquivo protegido.

8. Quando a validação estiver completa, o servidor de licenciamento retorna a licença de uso ao computador cliente do destinatário.

9. Após receber a licença de uso, a aplicação examina a licença e o certificado de conta do destinatário para determinar se qualquer certificado, em qualquer cadeia de confiança, requer uma lista de revogação.Se requerer, a aplicação verifica uma cópia local da lista de revogação que não tenha expirado. Se necessário, ela recupera uma cópia atual da lista de revogação. A aplicação, então, aplica quaisquer condições de revogação que sejam relevantes no contexto atual. Senenhuma condição de revogação bloquear o acesso ao arquivo, a aplicação renderiza os dadose o usuário pode exercer os direitos que lhe foram concedidos.

Requisitos de Implantação do IRM e do RMSO RMS é projetado para obter o máximo dos investimentos de infra-estrutura existentes, usando oActive Directory para a descoberta de serviço e a autenticação NTLM (Windows NT® LAN Manager). Com a flexibilidade da autenticação do Windows, o RMS pode utilizar dispositivos biométricos e cartões inteligentes, bem como outros métodos de autenticação alternativos suportados pelo Windows. É necessário o seguinte para executar o RMS:

Servidor:1. Windows Server 2003 com software de servidor Windows RMS. (O Windows RMS é um novo e

especial serviço para o Windows Server 2003, edições Standard, Enterprise, Web eDatacenter).

2. Internet Information Services3. Serviço de diretório do Active Directory do Windows Server (Windows Server 2000 ou

posterior). As contas do Active Directory são usadas para adquirir e usar as licenças.4. Um banco de dados, como o Microsoft SQL Server™, para armazenar os dados de

configuração.Estação de trabalho:1. Software cliente do Windows RMS.2. Uma aplicação habilitada ao RMS é requerida para criar e visualizar o conteúdo protegido por

direitos.

• O Microsoft Office 2003 Editions possui as primeiras aplicações habilitadas ao RMSdisponíveis pela Microsoft.

• O Microsoft Office Professional Edition 2003 é requerido para criar e visualizar os documentos do Microsoft Office System protegidos por direitos, tais como as planilhas, apresentações e mensagens de e-mail.

• Os outros Office 2003 Editions permitem que os usuários designados visualizem e editem os documentos protegidos por direitos se a eles tiverem sido dado aqueles direitos pelo autor.Eles não podem criar conteúdo protegido por direitos.

A tabela 1 mostra as configurações mínimas de hardware necessárias para implantar o RMS:

Tabela 1 Requisitos de hardwareRequisito RecomendaçãoProcessador único com um processador PentiumIII (800 MHz ou superior)

Computador com duplo processador com dois processadores Pentium 4 (1500 MHz ou superior)

256 MB de RAM 512 MB de RAM

20 GB de espaço livre no disco rígido 40 GB de espaço livre no disco rígido

Um cartão de interface de rede Um cartão de interface de rede

A tabela 2 mostra a plataforma de software necessária para operar o RMS.

Tabela 2 Requisitos de softwareComponente RequisitoSistema operacional Windows Server 2003, Edições Standard,

Enterprise, Web ou Datacenter

Login Fila de Mensagem (anteriormente conhecidocomo MSMQ), quando incluído no WindowsServer 2003. Para suportar o login, um bancode dados deve ser configurado.

Serviços da Web O Internet Information Services (IIS), os serviços da Web que são fornecidos com a família Windows Server 2003. O ASP.NET deve ser habilitado.

A tabela 3 mostra os elementos adicionais que devem existir na infra-estrutura para se executar oRMS.

Tabela 3 Requisitos de Infra-estruturaComponente RequisitoServiços de diretório O Active Directory que está sendo executado em

um domínio do Windows 2000 SP3 ou posterior,

Componente Requisito(o mesmo domínio no qual o RMS está instalado). Todos os usuários e grupos que usam o RMS para adquirir licenças e publicarconteúdo devem ter um endereço de e-mail queseja configurado no Active Directory.

Servidor de banco de dados Um banco de dados, como o Microsoft SQLServer 2000 (edições Standard ou Enterprise)com SP3 ou superiorOuPara teste ou outra implantação de servidorúnico, o Microsoft SQL Server Desktop Engine(MSDE) com SP3.

Implantando o IRM e o RMSComo a funcionalidade do IRM é uma extensão do RMS, a implantação do IRM é dependente da implantação do RMS. Uma vez que o RMS esteja implantado, a implantação do IRM é uma simples questão de instalação do cliente Windows Rights Management na estação de trabalho. A máquina cliente e cada profissional do conhecimento, então, recebem um certificado permitindo o uso doIRM.O processo de implantação do RMS e do IRM consiste nas seguintes etapas básicas:1. Conheça os requisitos de hardware, de software e de infra-estrutura descritos em “Requisitos de

Implantação do IRM e do RMS”2. Obtenha e instale o software de servidor do RMS3. Inscreva o servidor obtendo um Certificado de Licenciador do Windows RMS através da

Microsoft. Este certificado é exclusivo para cada organização.4. Registre a URL do servidor no Active Directory.5. Implante o software cliente de Gerenciamento de Direitos nos computadores de cada

profissional do conhecimento. O Microsoft Systems Management Server (SMS) ou os scripts deDiretiva de Grupo podem ser usados para automatizar a entrega para cada computador.

1. O processo de ativação de máquina ocorre durante a instalação do software cliente RMS. Durante este processo, uma única RMS Lockbox e certificação de máquina são emitidas para cada computador.

6. Certifique os usuários do RMS. Quando um profissional do conhecimento tentar usar o RMS (por exemplo, usando o IRM nos programas Microsoft Office 2003 Editions), ocorrerá o seguinte:

1. A máquina obtém um certificado que a ativa como um computador capaz de criar conteúdo protegido.

2. O profissional do conhecimento obtém um certificado que o associa com aquele computador e permite a criação do conteúdo protegido.

A seção final desta discussão sobre implantação aborda como permitir que as máquinas clientes façam a publicação offline.

A Topologia Padrão do Sistema RMSA topologia padrão do sistema RMS consiste em um ou mais servidores físicos que formam ocluster ou a instalação raiz do Windows RMS. A instalação raiz fornece serviços de licenciamento e

certificação. Para implantações maiores, podem existir múltiplos servidores físicos configuradoscomo um cluster por atrás de uma URL compartilhada (veja o exemplo abaixo).

Figura 9: Exemplo de topologia do RMS

Todas as solicitações para certificados e licenças são transmitidas para o cluster raiz através daURL compartilhada definida para aquele conjunto de servidores. Existem várias implementaçõesde endereço virtual, como o DNS round-robin, o Serviço de Balanceamento de Carga do Windows,as soluções de hardware e assim por diante. O endereçamento virtual fornece balanceamento de carga entre os servidores e remove a dependência de qualquer servidor para licenciamento e publicação para tolerância a falhas.O Windows RMS usa um banco de dados, como o Microsoft SQL Server 2000 com Service Pack 3

(SP3) ou o Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) com SP3 para suaconfiguração e informações de diretivas. O MSDE é recomendado somente para uma configuraçãode servidor único. O banco de dados de configuração armazena, compartilha e recupera a configuração e outros dados. Há um banco de dados de configuração para cada cluster de servidor Windows RMS. O banco de dado de configuração e o banco de dados de login podem serlocalizados em um dos servidores físicos no cluster ou em um servidor separado fornecendo umainstância remota do SQL Server.Funcionalmente, o processo principal de implantação do RMS nesta topografia de amostra é o mesmo de uma implantação de servidor único. Para clarificar, nós iremos discutir a implantação para um único servidor. Para obter mais informações sobre a escolha de uma topologia, veja o tópico Projetos de topologia no arquivo Ajuda.

Instalando o Software de Servidor RMS

Há duas etapas muito simples para a instalação do software de servidor RMS, desde que osrequisitos de hardware, software e infra-estrutura tenham sido atendidos.1. Obtenha o software RMS. Acesse

h tt p :/ / w w w . m i c r os o f t . co m / w i n d ow ss e r v e r 20 0 3 / t ec hn o l ogi e s / r ig h t sm g m t / d e f a u lt . ms p x . 2. Instale o software de servidor Windows RMS no servidor raiz.

• Um detalhado arquivo de ajuda de implantação está incluído no software de servidor RMSpara auxiliar mais na instalação e no planejamento de implantação do RMS.

Inscrevendo os Servidores e um Sistema RMSO processo de instalação do Windows RMS cria um site de Administração Global do Windows RMS, que permite que os administradores configurem os servidores e os serviços em um sistema RMS. Este site é acessível no grupo de programas do Windows RMS (Iniciar, Todos os Programas). Recomenda-se que exista somente um site da web no servidor que irá criar ou inscrever com oRMS. A página Administração Global irá mostrar todos os sites do servidor. Presumindo-se quesomente exista o site padrão do RMS, ao clicar em Criar RMS neste site inicia-se a página Criar, conforme mostrado abaixo.

Figura 10: Parte da página Criar

Após preencher as informações e clicar em Enviar, o RMS é criado. Durante este processo, o RMSdetermina se ele é o primeiro servidor RMS no sistema para configurar o cluster raiz do WindowsRMS. O servidor envia uma solicitação a um Certificado de Licenciador do Servidor RMS ao Serviçode Inscrição do RMS, um serviço da Web hospedado pela Microsoft. Esta solicitação é feita usandoa segurança Secure Socket Layer (SSL). O Serviço de Inscrição do RMS usa as informações somente para emitir o Certificado de Licenciador do Windows RMS para a organização, fazendo a solicitação.A inscrição do servidor usando o Serviço de Inscrição do RMS é necessária para pelo menos um servidor dentro de cada sistema RMS. Os servidores subseqüentes adicionados ao cluster raiz do Windows RMS usam o mesmo Certificado de Licenciador do RMS. Quando você adiciona um novo

servidor a uma instalação raiz existente ou a um cluster de servidor somente de licenciamento, onovo servidor não está explicitamente inscrito porque ele adota a configuração existente do cluster.Para obter instruções passo a passo sobre como inscrever um servidor, veja o tópico Criar oprimeiro servidor de certificação raiz no arquivo de Ajuda do RMS.

Registre a URL de ServidorOs clientes precisam saber a localização do servidor RMS. A principal maneira de fazer isso é registrar a URL do servidor como um ponto de conexão no Active Directory. Para isso, o administrador primeiro abre a página Administração Global. Depois que o servidor é provisionado (inscrito), esta página irá exibir o link Administre o RMS neste site. Ao clicar nele, abre-se a principal página de administração mostrada abaixo

Figura 11: A principal página de administração do RMS

Através da principal página de administração, o administrador simplesmente clica no link Pontode conexão do serviço RMS a partir da página Administração Global e clica em Registrar URL. Isto cria uma entrada no Active Directory, que contém a URL do servidor RMS. Nenhuma outra alteração no Active Directory é feita (tal como alterações de esquema). Por padrão, os clientesirão usar o valor publicado no Active Directory. Pode haver momentos (tais como quando hámúltiplos sites ou domínios) em que uma organização irá querer que os clientes usem um servidor específico, o servidor RMS primário. Alguns clientes podem necessitar ter uma chave de registro configurada para substituir o processo normal de conexão com a URL do servidor registrada no Active Directory. A chave de registro é:Nome do valor: CorpCertificationServerTipo do valor: REG_SZDados do valor: <URL>

Configurando os Computadores Clientes

Cada computador cliente que participa do sistema RMS deve ser configurado como uma entidadeconfiável dentro do sistema RMS. A configuração do computador cliente consiste em verificar a presença do componente cliente do Windows Rights Management e ativar o(s) computador (es) cliente(s). Depois que um computador cliente estiver configurado, a infra-estrutura está no lugar para permitir que as aplicações habilitadas ao RMS publiquem e utilizem as informaçõesprotegidas por direitos.

O software cliente de Gerenciamento de Direitos está disponível em h t tp:/ / w w w . m i c r o s o f t . c o m/ d o w n lo a d s / s e a r c h . a s p x ? di s pl a y l a n g= e n (p rocure por “Cliente de Gerenciamento de Direitos”).As organizações podem utilizar ferramentas de implantação de software padrão, como o Microsoft SMS, para assegurar que seus computadores clientes tenham o componente cliente ou possam confiar na instalação de uma aplicação habitada ao RSM para iniciar a solicitação ao site Web do Windows Update para o componente.

Certificando os Usuários RMSO processo de certificação cria um certificado de conta de gerenciamento de direitos que associauma conta de usuário a um computador específico e permite que os profissionais do conhecimento acessem e usem as informações protegidas por direitos através daquele computador. A primeiravez que um profissional do conhecimento publica as informações protegidas por direitos ou tenta acessar tais informações em um computador cliente, a aplicação habilitada ao RMS envia uma solicitação para um certificado de conta para a instalação raiz do Windows RMS.

A instalação raiz do Windows RMS valida a identidade da pessoa usando a autenticação doWindows e cria um certificado de conta, incluindo um par de chaves pública/privada, baseado nas credenciais validadas do profissional do conhecimento. Ela criptografa a chave privada do funcionário com a chave pública do certificado do computador cliente e inclui a chavecriptografada no certificado da conta do usuário. Depois, emite o certificado da conta à aplicação solicitante. A aplicação armazena o certificado da conta no computador ou no dispositivo para que ele esteja disponível para as subseqüentes solicitações de licença de uso ou publicações.

Uma vez que o certificado do computador cliente é necessário para solicitar o certificado de conta,a certificação do usuário segue a processo de ativação do computador cliente. Os profissionais do conhecimento devem adquirir um certificado de conta para cada computador que eles usam. Seum funcionário usa mais de um computador, para cada computador é emitido um único certificado de conta, mas todos eles contêm o mesmo par de chaves pública/privada exclusivo para aquele indivíduo.Quando uma aplicação solicita uma licença de uso, ela inclui o certificado de conta na solicitação.O servidor de licenciamento do Windows RMS usa a chave pública do certificado de conta para criptografar a chave simétrica na licença de publicação. Este processo assegura que somente a entidade confiável possa acessar e usar a licença de uso.

Inscrevendo os Computadores Clientes para Publicação OfflineOs computadores clientes podem se inscrever com a instalação raiz ou com um servidor delicenciamento para receber um certificado de licenciador cliente de gerenciamento de direitos. Este certificado permite que os profissionais do conhecimento publiquem as informações protegidas quando os seus computadores não estiverem conectados à rede corporativa. Nesse caso, o computador cliente, ao invés do servidor de licenciamento, assina e emite as licenças depublicação contendo os direitos de uso e condições para as informações protegidas por direitospublicadas através daquele computador.

A inscrição local inclui as seguintes etapas:1. O computador cliente envia o certificado de conta dos profissionais do conhecimento e uma

solicitação de inscrição ao servidor RMS.2. O servidor valida que a sub-inscrição seja permitida, com base nas configurações do

administrador de rede e que o certificado de conta não esteja em uma lista de exclusão no banco de dados de configuração.

3. O servidor cria um par de chaves pública/privada especialmente para conceder direitos de publicação offline para os profissionais do conhecimento fazerem a solicitação. Ele cria um certificado de licenciador cliente e coloca a chave pública naquele certificado. Depois, ele criptografa a chave privada com a chave pública do certificado de conta e coloca o resultado no certificado.

4. A instalação raiz emite um certificado de licenciador cliente para o computador local.

Gerenciando o Ambiente IRM/RMSA discussão sobre implantação fornecida nas seções anteriores tem como foco o que é necessário para executar os principais serviços do RMS e do IRM. Além da implantação, entretanto, está o gerenciamento e uso efetivo. Como em qualquer componente de infra-estrutura, há váriasmaneiras pelas quais os clientes irão usar o RMS e o IRM e há várias capacidades e configuraçõesque são relevantes aos diferentes cenários de uso. Por exemplo, alguns cenários requerem o uso das Diretivas de Exclusão ou Confiáveis, enquanto outros não.Em uma rápida visão geral, as atividades de gerenciamento disponíveis através da página deAdministração do RMS (mostrada na figura 11 acima) são:

• Estabelecer diretivas de confiança. Clique no link para abrir a página da Web Diretivas de confiança, através da qual você pode adicionar ou remover os domínios de usuários confiáveis eos domínios de publicação confiáveis. Adicione ou remova os usuários através da lista de exclusão que está em um domínio de usuário confiável. Exporte seu certificado de licenciador de servidor a um arquivo para importar através de outra instalação do RMS.

• Configurar os modelos de política de direitos. Clique no link para abrir a página da WebModelos de diretivas de direitos, através da qual você pode criar e modificar os modelos dediretivas de direitos para a empresa.

• Configurar o login. Clique no link para abrir a página da Web Configurações de Login,através da qual você pode ativar ou desativar o login e, depois, visualizar o banco de dados e oservidor de login.

• Especificar a URL de cluster da extranet. Clique no link para abrir a página da Web de configurações da URL de cluster da Extranet, através da qual você pode especificar a URL a serusada para obter acesso aos servidores de certificação e licenciamento através da extranet.

• Rastrear o número de certificados de conta RMS distribuídos. Clique no link para abrir a página da Web de rastreamento do certificado de conta RMS, através da qual você pode verquantos certificados de conta RMS o seu servidor de certificação tem distribuído, o que pode ser usado como uma maneira de calcular o número de licenças de acesso de clientes que você solicitou.

• Gerenciar configurações de segurança. Clique no link para abrir a página da Web deConfigurações de segurança, através da qual você pode adicionar ou remover os membrosdo grupo de super usuários que têm controle total sobre todo o conteúdo licenciado, bem como reiniciar a senha de chave privada.

• Visualizar e estabelecer as configurações do certificado de conta. Clique no link para abrir a página da Web de Configurações de certificação, através da qual você podeespecificar a duração da validade do certificado, bem como especificar um contato do

administrador.

• Habilitar diretivas de exclusão. Clique no link para abrir a página da Web Diretivas de exclusão, através da qual você pode habilitar diretivas de exclusão que são baseadas emversões RM Lockbox, versão Windows, certificados de conta e aplicações.

• Registrar o ponto de conexão de serviço. Clique no link para abrir a página da Web Pontode Conexão de Serviço, através da qual você pode registrar e cancelar o registro do ponto deconexão de serviço para o seu cluster.

Os administradores podem desenvolver outras tarefas, incluindo o monitoramento de eventos e o gerenciamento do Active Directory, Internet Information Services (IIS) e SQL Server, usando o Microsoft Management Console (MMC).As próximas seções descrevem essas atividades mais detalhadamente e oferecem orientações sobre quando elas precisam ser usadas, dependendo das necessidades da organização. Primeiro,entretanto, nós iremos descrever alguns cenários comuns para se obter uma melhor compreensão de como essas necessidades se traduzem em requisitos de configuração.

Cenários de Uso do IRM/RMSOs cenários aqui apresentados são meios de se entender quando a configuração acima e além da configuração base são necessárias ou recomendadas. Os cenários são apresentados de uma maneira cumulativa.Principal Cenário de UsoUsando o IRM no Microsoft Office Outlook® 2003 como exemplo, um profissional do conhecimento clica no botão vermelho “Permissão” na barra de ferramentas e seleciona a opção para adicionar direitos à sua mensagem de e-mail. Ele especifica que os empregados dentro do domínio daempresa podem abrir o anexo, bem como o e-mail. Além disso, ele adiciona uma data de validadeà mensagem. Quando os empregados abrem o e-mail, o Outlook transparentemente aplica seus direitos de uso e protege uma licença para o anexo. Após a data de validade, os empregados não serão mais capazes de abrir a mensagem ou o anexo. O mesmo padrão básico de adicionardireitos aplica-se aos outros programas do Office 2003 Editions.Os principais elementos neste cenário são que:1. Todas as partes estão dentro do esmo domínio2. Todas as partes estão usando o Office Professional Edition 20033. O profissional do conhecimento estabelece as opções manualmente (expiração, quem obtém

os direitos, etc.)Para este cenário, a implantação básica do RMS e os componentes de cliente são suficientes. Para este e todos os demais cenários, os administradores podem optar por usar modelos de diretivas, listas de revogação ou diretivas de exclusão, mas os cenários de uso não requerem explicitamenteo uso destes recursos.Nota: Os cenários descritos aqui também podem ser alcançados em um ambiente de Serviços de Terminal. A principal diferença é técnica, ao invés de funcional: os profissionais do conhecimento irão ter a experiência do IRM da mesma maneira, ainda que seus certificados de uso residamno(s) mesmo(s) servidor(es) físico(s).Cenário Entre DomíniosCom o mesmo padrão de uso básico que o acima – um profissional do conhecimento especifica os direitos para um documento ou e-mail e os envia – nós iremos adicionar o cenário em que alguns destinatários não têm contas dentro do domínio.Para este cenário, o administrador precisará estabelecer uma diretiva de confiança, como descrito nas “Diretivas de Confiança” abaixo.Cenário das Versões Anteriores do Office

Continuando no cenário entre domínios, se os profissionais do conhecimento, no domínio doparceiro confiável, estiverem usando as versões anteriores do Office, eles podem ainda utilizar o conteúdo protegido por direitos com o complemento de gerenciamento de direitos para Internet Explorer (isto ocorre por solicitação). Os administradores não precisam configurar nada.

Em se tratando do que o administrador precisa fazer, esses são os cenários básicos. As seções seguintes descrevem cada um dos recursos de gerenciamento com maiores detalhes e incluem orientações sobre como usá-los.

Modelos de Diretivas de DireitosAtravés do site de Administração no servidor Windows RMS, os administradores podem criar modelos de diretivas de direitos oficiais, excluir ou modificar os modelos existentes e especificar o local dos modelos de política de direitos no sistema RMS. Os modelos podem incluir várias condições, tais como destinatários específicos ou grupos do Active Directory, quanto tempo uma licença de uso para as informações permanece válida, por quanto tempo após a publicação as informações podem ser acessadas e até mesmo os valores personalizados que são significantespara uma determinada aplicação habilitada ao RMS.Um modelo também pode especificar uma lista de revogação (descrita na seção “Listas de Revogação” abaixo). O modelo especifica a URL para o arquivo de lista e o número de dias que a lista é válida. Quando um destinatário solicita uma licença de uso baseada no modelo, o sistemairá verificar a lista de revogação antes que o funcionário possa acessar os dados protegidos.Os modelos de diretivas estão armazenados no banco de dados de configuração e em um compartilhamento de rede. Quando um autor solicita uma licença de publicação, a aplicação habilitada ao RMS copia o modelo de política de direitos através do compartilhamento de rede. Quando um destinatário solicita uma licença de uso, o servidor de licenciamento Windows RMS aplica o modelo de política de direitos através do banco de dados; este processo assegura que os termos de uma licença de uso sempre reflitam a versão mais atual do modelo.

Criando ModelosPara adicionar um modelo de política de direitos:1 Na área Links de administração da principal página de administração, clique em Modelos. de diretivas de direitos.

Figura 12: A principal página de modelos de diretivas de direitos2 Clique em Adicionar um modelo de diretivas de direitos.

3 Na página Configurações de modelos de diretivas de direitos, você pode especificar todas as configurações para o modelo, incluindo o seu nome, que usuários ou grupos (através

de listas de distribuição) obtêm permissões, diretivas de validade e assim por diante.

Figura 13: Criando um modelo de diretivas de direitos4 Clique em Enviar.

Para obter mais detalhes sobre a criação de um modelo de diretivas de direitos, veja o arquivo deAjuda do RMS.

Tornando os Modelos Disponíveis através da Diretiva de GrupoQuando as diretivas de permissão estiverem prontas, elas devem ser postadas para um compartilhamento de servidor, onde todos os usuários possam ter acesso a elas ou elas deverãoser copiadas para uma pasta local no computador do usuário. As configurações de diretiva do IRMdisponíveis no modelo Office11.adm podem ser usadas para apontar o local onde essas diretivas de permissão estão armazenadas (tanto localmente ou em um compartilhamento de servidor disponível). Uma vez que as diretivas de permissões estejam disponíveis e as necessáriasconfigurações da Direita de Grupo estejam implementadas e difundidas aos usuários, a opção do menu Permissões do IRM irá exibir as diretivas de permissão personalizadas disponíveis em um sub-menu.Para obter mais informações sobre como usar a Diretiva de Grupo com os programas do Office2003 Editions, veja o tópico Como as Diretivas Funcionam no Office Resource Kit(h t tp:/ / w w w . m i c r o s o f t . c o m/ o f f i c e / o r k / 2 0 03 / se v e n/ c h 2 6 / s ec d0 1 . h t m ) . É possível habilitar e distribuir as diretivas configuradas fornecidas na seção GerenciarPermissões Restritas do modelo de diretiva Office11.adm. Quando a diretiva do IRMEspecificar Caminho da Diretiva de Permissão é implementada e difundida através do serviçode diretório do Microsoft Active Directory, o IRM irá automaticamente localizar quaisquer modelos disponíveis armazenados no local especificado. Os programas do Office 2003 Editions habilitadosao RMS, então, irão exibir as diretivas de permissão personalizadas.Entradas de Registro do IRMEssas são as principais entradas de registro associadas com o IRM. A maioria delas possui entradas de diretivas paralelas.

As duas entradas de registro a seguir estão sobHKLM\Software\Microsoft\Office\11.0\Common\DRM: Nome do valor: CorpLicenseServerTipo de valor: REG_SZDados do valor: <URL>Esta configuração permite que o administrador substitua o local do servidor Windows RightsManagement especificado no Active Directory. Nome do valor: CorpCertificationServerTipo de valor: REG_SZDados do valor: <URL>Esta configuração permite que o administrador substitua o local do servidor Windows RightsManagement especificado no Active Directory para certificação.As entradas de registro restantes estão sob HKCU\Software\Microsoft\Office\11.0\Common\DRM: Nome do valor: DisableTipo do valor: DWORDDados do valor: [ 0 | 1 ]Se essa chave for configurada para 1, as opções relacionadas ao Gerenciamento de Direitosdentro da interface do usuário de todos os programas do Office 2003 Editions são desabilitadas. O mesmo ocorre com a diretiva Desabilitar a Interface do Usuário de Gerenciamento de Direitos.Nome do valor: DisablePassportCertificationTipo de valor: DWORDDados do valor: [ 0 | 1 ]Se esta chave é configurada para 1, os usuários não podem abrir o conteúdo criado por uma conta autenticada pelo Passport. O mesmo ocorre com a diretiva Desabilitar o serviço do Microsoft Passport para o conteúdo com permissões restritas.Nome do valor:IncludeHTMLTipo de valor: DWORDDados do valor: [ 0 | 1 ]Se esta chave é configurada para 1,os usuários sem os programas do Office 2003 Editions podem visualizar o conteúdo no complemento de gerenciamento de direitos para Internet Explorer. O mesmo ocorre com a diretiva Permitir que usuários com versões anteriores do Office leiam com navegadores.Nome do valor: RequestPermissionURLTipo do valor: REG_SZDados do valor: <URL or e-mail address>Esta configuração permite que o administrador especifique um local onde o usuário possa obter mais informações sobre como obter acesso ao conteúdo do IRM. Pode ser tanto uma URL como um endereço de e-mail. O mesmo ocorre com a diretiva Permissões adicionais solicitam a URL.Nome do valor: RequireConnectionTipo de valor: DWORDDados do valor: [ 0 | 1 ]Se esta chave é configurada para 1, quaisquer usuários que tentarem abrir um documento doOffice que tenham permissões do IRM habilitadas irão ser forçados a se conectarem com aInternet ou com a rede de área local para terem suas licenças confirmadas pelo Passport ou RMS.O mesmo ocorre com a diretiva Sempre requerer que os usuários se conectem para verificar a permissão.

Nome do valor: AutoExpandDLsEnableTipo de valor: DWORDDados do valor: [ 0 | 1 ]Se esta chave é configurada para 1, qualquer usuário que tentar aplicar as permissões a umarquivo irá encontrar comportamento diferente quando ele selecionar um nome de grupo na caixade diálogo Permissões. Quando um grupo é selecionado, a caixa de diálogo irá automaticamente expandir para exibir todos os membros do grupo. O mesmo ocorre com a diretiva Sempre expandir grupos no Office ao restringir permissões para documentos.Nome do valor: AdminTemplatePathTipo de valor: REG_SZDados do valor: <UNC or aliased drive>Se a chave está presente, os programas do Office 2003 Editions que usam o IRM irão fazer a varredura do caminho fornecido neste registro de entrada para ver se existe qualquer modelo de diretiva de permissão. Se houver, o título para cada modelo é exibido na caixa de diálogo Permissão (menu Arquivo). O mesmo ocorre com a diretiva Especificar o Caminho da Diretiva de Permissão.

Lista de RevogaçãoOs administrares podem criar listas de revogação para especificar os profissionais doconhecimento, aplicações ou outras entidades confiáveis que não devem mais ter acesso às informações protegidas por direitos. Um ou mais certificados envolvidos no processo de emitir licenças de uso ou de publicação podem especificar uma condição da lista de revogação. As aplicações de clientes habilitados ao RMS verificam a lista de revogação sempre que a condição é especificada; e se quaisquer das entidades confiáveis solicitantes estiverem na lista de revogação,a solicitação de licença é negada.Qualquer certificado pode ser revogado. Por padrão, somente a entidade que emitiu o certificado pode revogá-lo, assim, somente uma lista de revogação assinada por aquela entidade pode revogar o certificado. Opcionalmente, um certificado também pode especificar:

• Uma entidade ou lista de entidades que pode revogá-lo. A entidade revogante poderia ser um terceiro.

• Uma chave pública vazia como a chave revogante, de modo que o certificado não pode ser revogado.

Os modelos de diretivas de direitos também podem especificar uma condição da lista de revogação. Por exemplo, uma organização pode querer verificar a lista de revogação para um modelo aplicado às informações confidencias da empresa e ignorar a verificação da lista de revogação para um modelo aplicado aos dados menos confidenciais. Para maior proteção das informações, o modelo pode especificar um período de validade para a lista de revogação. Porexemplo, o modelo pode especificar que a lista de revogação dever ser criada dentro dos últimos10 dias ou ela não será aceita.Uma lista de revogação é criada como um arquivo de texto evidente em formato XML, conforme o vocabulário XrML e assinada por uma chave pública, usando uma utilidade fornecida pelo Windows RMS. A lista pode, então, revogar quaisquer entidades confiáveis nomeadas pelo proprietário da chave pública que corresponde a chave de assinatura privada. O arquivo é colocado em um local disponível a todos os funcionários que o solicitem, tal como uma URL que é acessível através darede corporativa e da Internet. Isto irá assegurar que tanto os funcionários internos como os externos possam acessar o arquivo. Se uma condição da lista de revogação está presente e uma lista de revogação válida não pode ser localizada, o acesso às informações protegidas por direitosé negado.

Uma organização deve especificar as entidades confiáveis em uma lista de revogação para asseguintes condições:

• Uma chave privada está comprometida ou é suspeita de estar comprometida

• Um proprietário solicita a revogação de uma chave que acredita-se não estar comprometida

• Uma entidade confiável não é mais válida (por exemplo, um empregado foi demitido)

• Existe uma falha na aplicação da segurança (por exemplo, um certificado emitido a um computador cliente estava comprometido)

• A re-certificação é requerida devido a mudanças na autorizaçãoCriando e Gerenciando as Listas de RevogaçãoImplementar a revogação requer que você implante uma lista de revogação, que é um documentoXML que usa a linguagem XrML e lista as entidades confiáveis que não deveriam mais ter acessoao conteúdo protegido por direitos. Você deve criar listas de revogação que registrem a hora e que sejam assinadas adequadamente usando a ferramenta de Assinatura de Lista de Revogação, que é fornecida com o Windows RMS.Como há várias opções ao criar as Listas de Revogação, a melhor estratégia é consultar o tópicoCriando listas de revogação no arquivo de Ajuda do RMS.

Diretivas de ExclusãoAtravés do Administrator Console do Windows RMS, os administradores podem estabelecer diretivas de exclusão separadamente em cada servidor ou cluster de servidor no sistema RMS para impedir que entidades confiáveis específicas adquiram novas licenças desse servidor. Asdiretivas de exclusão interrompem as entidades confiáveis comprometidas de adquirirem licenças de uso de servidores RMS. No entanto, diferentemente da revogação, a exclusão não invalida as entidades confiáveis. Quaisquer licenças existentes associadas a entidades confiáveis excluídas ainda são válidas, mas novas solicitações de licenciamento são negadas.

• Versões do RMS lockbox. Um administrador pode especificar uma versão de lockbox atravésda qual todas as solicitações de licenciamento serão verificadas. Se uma solicitação é feitaatravés de um computador cliente com uma versão de lockbox anterior, a solicitação é negada.A exclusão de lockbox também carimba cada licença de uso com uma condição de que ela somente pode vincular se a lockbox for atual. A aplicação dessa condição na licença amplia o alcance das diretivas de exclusão aos computadores que não podem ser usados para adquirir as licenças de uso, mas que são usados para descriptografar as informações protegidas pordireitos.Quando uma organização aplica essa diretiva de exclusão, os funcionários não podem adquirir novas licenças de uso até que reativem seus computadores. Suas capacidades de acessar os arquivos licenciados anteriormente, entretanto, não serão afetadas. Para preservar aexperiência do usuário, os administradores devem implantar novas lockboxes por toda sua aorganização antes de permitir as diretivas de exclusão. As diretivas de exclusão podem, então, ser usadas como uma maneira de forçar as atualizações para quaisquer computadores que não foram afetados pela nova implantação de lockbox.

• Versões do Windows. O Windows 98 Second Edition e o Windows Millennium Edition não suportam a Autenticação NTLM. Uma organização pode impedir que esses clientes sejamcapazes de adquirir as licenças de uso.

• Certificados de conta. Se um profissional do conhecimento for uma entidade confiável, mashá razões para se acreditar que as chaves do certificado de conta do funcionário estavamcomprometidas, um administrador pode excluir a chave pública para aquele certificado de conta. Nenhuma nova licença de uso será emitida para uma chave pública excluída, assim o

funcionário deve fazer novamente a certificação e receber um novo certificado de conta com umnovo par de chaves. Este novo certificado de conta será usado para todas as atividades futuras. Entretanto, o funcionário retém o certificado de conta excluído para acessar as informações protegidas por direitos anteriormente licenciadas.

• Aplicações. Pode-se impedir que as aplicações adquiram licenças de uso. Os administradores podem especificar várias versões de aplicações.

Criando Diretivas de ExclusãoA página Diretivas de exclusão sob a página Administração Global do servidor RMS permite queos administradores configurem as diretivas para qualquer uma das quatro entidades confiáveis descritas na seção anterior.

Figura 14: A página de diretivas de exclusão

LoginO Windows RMS instala o suporte para o login durante a configuração inicial do sistema RMS. Este serviço de login é habilitado e iniciado automaticamente. Um banco de dados de login é criado na instância do SQL Server, que é também usado para o banco de dados de configuração, e uma filade mensagem privada no MSMQ é criada para transmitir as mensagens do serviço de login para o banco de dados.Os administradores podem habilitar ou desabilitar o serviço de login a qualquer momento. Quando habilitado, o serviço de login irá enviar todos os dados sobre as solicitações do RMS ao banco de dados de login. Os administradores podem escrever scripts SQL para reduzir as informações,assim, somente as informações específicas solicitadas pela organização são armazenadas. O RMS faz o log das solicitações de licença de uso bem sucedidas e das que falharam. Este, log permite que uma organização faça a gravação dos profissionais do conhecimento que acessaram comsucesso as informações protegidas por direitos e daqueles que tentaram um acesso não autorizadodas informações protegidas por direitos.

Diretivas de ConfiançaPor padrão, o Windows RMS não atende as solicitações de serviços de usuários cujos certificados de conta de gerenciamento de direitos (RACs) foram emitidos por uma instalação do WindowsRMS diferente. Entretanto, você pode adicionar domínios de usuários à lista de domínios de usuários confiáveis, que permite que o Windows RMS processe tais solicitações.Para cada domínio confiável, você também pode adicionar ou remover usuários específicos ou grupos de usuários. Além disso, você pode remover um domínio de usuário confiável, entretanto, você não pode remover o cluster de certificação raiz para esta floresta do Active Directory através dos domínios de usuários confiáveis. Cada servidor Windows RMS em uma implantação, incluindoo servidor de certificação raiz, confia o cluster de certificação raiz em sua própria floresta.

Configurando e Gerenciando as Diretivas de ConfiançaPara adicionar um domínio de usuário confiável:1 Através da principal página de administração, clique em Diretivas de confiança.

Figura 15: A página de diretivas de confiança2 Na área de Domínios de usuários confiáveis, clique em Navegar, localize e clique duas vezes no certificado de licenciador de servidor do domínio do usuário que você quer importar

para estabelecer a relação de confiança e, depois, clique em Adicionar.3 O nome do domínio aparece na lista Domínios de usuários confiáveis. 4 Para especificar quais domínios de e-mail dentro do domínio de usuário confiável são confiáveis, clique em Domínios confiáveis, próximo ao nome do certificado na lista, para

abrir a janela Domínios de e-mail confiáveis.5 Escolha uma das seguintes opções de confiança: Selecione a opção Confiar em todos os domínios de e-mail para confiar todas as contas de

usuário que são membros daquele domínio.–ou-Selecione a opção Confiar somente em domínios de e-mail especificados e, depois,digite o nome do domínio a confiar, tal com exemplo.com, e então clique em Adicionar. Isso

adiciona o domínio à lista Domínios de e-mail confiáveis. Para remover um nome da lista,selecione o nome e depois clique em Remover. Listar um domínio inclui todos os seus sub- domínios.

Para obter mais informações passo a passo sobre as Diretivas de Confiança, veja o arquivo deAjuda do RMS, que está instalado com o software de servidor RMS.

ConclusãoA real implantação do RMS, incluindo a instalação e o provisionamento, é surpreendentementefácil e simples. Como descrito neste documento, há opções de manutenção e de gerenciamento após a instalação, algumas ou todas podem ser relevantes para um determinado ambiente. Outros problemas de manutenção não tratados neste documento são mais genéricos e dizem respeito aos bancos de dados do RMS – por exemplo, os administradores irão querer instalar planos de manutenção de banco de dados para desempenharem backups de log e de banco dedados, verificações da consistência dos bancos de dados e remessa de log, conforme apropriado.Como um todo, colocar os clientes do Office 2003 Editions em execução com o IRM é uma das tarefas mais fáceis de implantação corporativa que podemos enfrentar. Os benefícios estão imediatamente disponíveis, posto que os profissionais do conhecimento podem começar incorporando a funcionalidade do IRM dentro de seus processos colaborativos existentes com um esforço muito pequeno.

Informações AdicionaisPara obter informações adicionais, acesse os seguintes sites da web:Microsoft Office System h t tp:/ / w w w . m i c r o s o f t . c o m/ b r a s il / o f f i c e Windows Rights Management Services h t tp:/ / w w w . m i c r o s o f t . c o m/ w i n d o w ss e r v e r 20 0 3 / t e c h n o l o gi e s / r i g h t sm g m t / d e f a u l t . ms p x Complemento de Gerenciamentos de Direitos para Internet Explorer h t tp:/ / w w w . m i c r o s o f t . c o m/ w i n d o w s / i e / d o w n lo a d s /a d d o n/ Infra-Estrutura de Chave Públicaht tp:// ww w. mic ro so ft .c om/w indo wss erv er 200 3/te ch nol o gies /p ki /de fa ult. m sp x

Suporte ao ProdutoUm completo e adequado suporte telefônico e online para o Windows RMS estará disponível nos Estados Unidos diariamente das 6 às 18 horas, com suporte 24/7 disponível para os clientes em situações de urgência. O suporte é oferecido ao varejo, MSDN e clientes selecionados de várias formas, incluindo o suporte pago por incidente, de preço fixo ou pacote telefônico pré- pago – e ofertas de suporte baseado na Web e serviços de suporte de consultoria disponibilizados remotamente através de especialistas autorizados. Para obter o Suporte da Microsoft, acesse o h t tp:/ / s u pp o r t . m i c r os o f t . c o m . P ara as empresa de grande porte que requerem suporte gerenciado direto da Microsoft, os contratos estão disponíveis através do Microsoft Premier Support.Para obter mais informações sobre o suporte internacional, clique no hyperlink de SuporteInternacional h tt p :/ / s u p p o r t . m i c r o s o f t . c o m . Além disso, orientações completas sobre implantação com uma extensa seção sobre resolução de problemas estão incluídas no RMS.Nota: Os serviços de suporte da Microsoft estão sujeitos aos termos, condições e preços atuais, osquais estão sujeitos a alterações sem prévio aviso.