adrms证书导出

ADRMS权限管理服务器(六)---外部客户端访问 2012-10-08 21:24:45

标签： ADRMS RMS TMG

原创作品，允许转载，转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。 http://jqq1982.blog.51cto.com/515663/1018168

在公司内部，我们在打开一份RMS权限文档时都会首先连接到RMS服务器进行身份验证，验证后方能根据自身拥有的权限对文档进行操作，可是文档一旦带离公司到了外部后，就无法联系到RMS服务器了，也就是无法打开文档，为了能使外部的用户也能像内部一样正常打开RMS权限文档，需要对RMS服务器进行一些配置，最后通过防火墙将RMS服务器发布出去

在拓扑图中，cqwin7是一台外部工作组环境中的计算机，装有Office 2010，可以看做是员工家中的一台计算机，bjtmg为防火墙，通过它发布公司内部的bjrms(RMS服务器)，本次试验将模拟这个情景，最终使员工在家中能顺利通过RMS验证并打开权限文档

 

1.配置RMS支持外部用户

打开RMS管理控制台，在bjrms上打开属性

 

切换到【群集 URL】卡片，勾选【Extranet URL】，并配置授权和认证URL地址

 

2.将RMS证书导出到TMG服务器

在TMG上发布RMS是需要用到证书的，先将bjrms上的证书导出，打开MMC，选择RMS证书，然后导出

 

一定要导出私钥

 

指定导出路径，这里导出到D:\ADRMS.pfx

 

导出完成后，将bjrms服务器D盘上的ADRMS.pfx复制到bjtmg的D盘中

在bjtmg上打开MMC，展开【证书(本地计算机)】-【个人】，在【证书】上选择导入

 

指定导入路径

 

导入成功后可以看到这张证书

 

3.创建Web侦听器

打开TMG管理控制台，在右侧工具箱中新建一个Web侦听器

指定Web侦听器名称

 

由于RMS授权认证站点是一个经过SSL加密的站点，这里要选择【需要与客户端建立 SSL 安全连接】

 

选择侦听【外部】，并选择一个IP地址(我这里TMG外部网卡绑定的IP较多，任选一个)

 

选择证书，就是刚才导入的RMS证书

 

选择【没有身份验证】

 

Web侦听器创建完成后，来创建一条网站发布规则

4.创建网站发布规则

在【防火墙策略】上新建【网站发布规则】

 

指定规则名称

 

选择【允许】

 

选择【发布单个网站或负载平衡器】

 

选择【使用 SSL 连接到发布的 Web 服务器或服务器场】

 

指定内部站点名称【bjrms.zf.com】

 

指定要发布站点下的哪些内容，这里用【/*】来表示全部

 

指定公用名称，也就是客户端打开权限文档后提交的域名，这里是【bjrms.zf.com】

 

指定Web侦听器

 

由于RMS存在身份验证，这里要选择【无委派，但是客户端可以直接进行身份验证】

 

5.配置外部客户端

首先要确保信认我们企业内部的根CA，外部客户端获取CA根证书可以从TMG发布的内部CA网站下载到，也可以在企业内部下载后通过U盘带回家再做导入，方法很多

 

确保外部客户端可以通过域名bjrms.zf.com解析到公司TMG服务器的外部网卡IP地址【222.16.2.3】，这需要在公网的DNS服务器上创建这条纪录

 

在IE浏览器中打开【Internet选项】，切换至【安全】面板，选择【本地Intranet】，将安全级别将至最低，然后打开【站点】

 

选择【高级】

 

将RMS站点的域名添至其中

 

打开我们从公司带回来的权限文档，此时会弹出身份验证框，这里我还是用IT部的jqq用户来进行验证，这份文档我在公司创建的时候应用了【IT部只读】这个权限策略模板

 

由于在TMG上发布了RMS服务器，这里顺利的下载到了权限

 

到这里我们就通过外部客户端成功的打开了RMS权限文档，我们来看看jqq有哪些权限，点击【查看权限】按钮后，发现用户jqq仅有查看权限

本文出自 “小秋的学习笔记” 博客，请务必保留此出处http://jqq1982.blog.51cto.com/515663/1018168

 

 

SharePoint 2010 与RMS集成方案

一、 环境

　　SharePoint服务器：sh-fm-app

　　RMS服务器：sh-fm-rms

　　AD服务器：sh-fm-ad

　　客户端：sh-fm-win7 

二、 AD域创建帐户

　　flowman\administrator ：SharePoint账号

　　flowman\adrmsadmin：rms服务器帐户

　　flowman\user1 ：测试只读文档库文档的帐户

　　flowman\user2 ：测试编辑文档库文档的帐户

 

　　注意flowman\administrator帐户必须要有电子邮件。

　　Flowman\adrmsadmin帐户在AD中的设置

 

 

Flowman\adrmssrvc帐户在AD域中的设置

 

 

三、 RMS服务器配置

 

1. AD域创建账号

 

　　RMS服务器需要有SQL 2008 R2数据库

　　RMS服务器的管理员是：adrmsadmin

 

2. 添加角色

 

　　打开服务器管理器

 　　添加角色

 

 

下一步

 

 

勾选Active Directory Rights Management Services

 

 

提示必要条件

 

 

点击下一步

 

 

RMS简介

 

 

选择角色服务

 

 

创建AD群

 

 

配置服务器，数据库选择装在RMS服务器上的SQL，获取数据库默认的实例，点击验证。然后下一步。

 

 

选择指定账号

 

 

添加flowman\adrmssrvc

 

 

点击下一步

 

 

选择集中管理

 

 

填写群集密钥密码

 

 

选择默认网站

 

 

选择未加密的连接，填写当前地址，点击验证。

 

 

重新给证书一个名称

 

 

默认选择立即注册服务连接点

 

 

需要iis的安装

 

 

注意一定要勾选“管理服务”

 

 

安装

 

 

等待安装进度

 

 

成功后，关闭。

 

 

验证安装的结果，可以查看数据库

 

 

查看服务器管理器的角色

 

 

四、 RMS证书配置

 

在文件夹输入C:\inetpub\wwwroot\_wmcs\certification地址，右键ServerCertification.asmx的属性。

 

 

点击添加,增加一个对象类型

 

 

勾选“计算机”，点确定

 

 

输入SharePoint服务器名称

 

 

可以看到sharepoit计算机的名称。

 

 

在“安全”页面，点击高级。

 

 

在权限页面，如果看不到，则点击：继续。

 

 

勾选“包括可从该对象的父项继承的权限”。后点击“确定”结束。

 

 

五、 RMS导出证书到SharePoint服务器

 

开始菜单运行：mmc

 

 

单击“文件”，单击“添加/删除管理单元”。

 

 

双击“证书”或点击“添加”。

 

 

单选“计算机帐户”

 

 

默认选择“本地计算机”，点完成。

 

 

完成后，点击“确定”。

 

 

继续啊在控制台：展开证书，个人，证书，选择“WMSvc-SH-FM-RMS”文件后，右键，所有任务，导出。

 

 

在“证书导出向导”点击下一步。

 

 

选择默认的“不，不要导出私钥。”

 

 

默认的导出文件模式，后点击“下一步”

 

 

单击“浏览”

 

 

将文件导入到网络上SharePoint服务器的C盘。

 

 

确定文件存放地址后点击下一步。

 

 

点击“完成”。

 

 

弹出“导出成功”提示。

 

 

六、 SharePoint服务器导入RMS的证书

 

在sharepoint的服务器,运行，敲mmc。打开控制台。

 

 

选择证书，并双击。

 

 

选择“计算机帐户”。

 

 

选择默认的“本地计算机”，点击完成。

 

 

点击“确定”

 

 

展开：控制台根节点，证书（本地计算机），个人，受信任的根证书颁发机构，证书的结点下，在右侧空白的地方右键，所有任务，导入。

 

 

打开导入证书向导。下一步。

 

 

选择刚才从RMS导入的cert.cer文件。

 

 

默认选择“下一步”。

 

 

点击“完成”。

 

 

这时，看到了rms服务器证书：WMSvc-SH-FM-RMS

 

 

七、 SharePoint管理中心配置信息策略

 

打开管理中心，点击“安全性”，点击“配置信息策略”。

 

 

选择“使用Active Directory中指定的默认RMS服务器”。点击确定。后配置结束。

 

 

八、 SharePoint建立一个受RMS控制的文档库

 

新建一个网站集，和一个rms权限管理的文档库。

 

 

在“库设置”中，点击“信息权限管理”。

 

 

勾选“下载时限制对此库中文档拥有的权限”。

填写权限策略标题，填写权限策略说明，根据需要勾选允许用户以变成方式访问内容等信息。

 

 

建立两个文档库的权限组，将两个User1和User2帐户分别放入这两个组里。User1是只读，user2是编辑。

 

 

在库权限中，重新赋予组的权限

 

 

九、 客户端验证RMS管理文档

在客户端Win7，打开SharePoint文档库：http://sh-fm-app:8000，在文档库上传一个测试文件。

用flowman\user1登陆后，看到ribbon的按钮只能查看，不能编辑。

 

 

点击文档后，第一次打开需要连接rms服务器。

 

 

打开workd后，可以看到的word文档提示的RMS权限管理的信息。

 

 

用带编辑权限的flowman\User2来打开文档。可以选择只读还是编辑。

 

 

打开word的样式可以看到允许编辑。

 

出处：http://www.cnblogs.com/flowman/archive/2012/06/26/2557535.html#2408216