Schnellstart: Schutz von Active Directory Rights Management Server (AD RMS)

In dieser Schnellstartanleitung erfahren Sie, wie Sie die Unterstützung für Active Directory Rights Management Server (AD RMS) mithilfe des MIP SDK implementieren.

Hinweis

Die in dieser Schnellstartanleitung beschriebenen Schritte gelten nur für file SDK für C# oder C++ und Protection SDK für C++.

Voraussetzungen

Falls noch nicht geschehen, stellen Sie sicher, dass Sie Folgendes tun:

Dienstermittlung

Das MIP SDK ermittelt automatisch den lokalen Dienstendpunkt für einen FileEngine oder ProtectionEngine wenn Sie keine Dienst-URL explizit bereitstellen. Sie verwendet die über FileEngineSettings oder ProtectionEngineSettings bereitgestellte Benutzeridentität unter Verwendung des UPN- oder E-Mail-Adresssuffixes. Zunächst wird die Domänenhierarchie nach dem _rmsdisco-Eintrag für MDE durchsucht. Weitere Informationen zu diesem Prozess finden Sie unter Angeben der DNS SRV-Einträge für die Erweiterung mobiler AD RMS-Geräte. Wenn dieser DNS SRV-Eintrag nicht gefunden wird, wird standardmäßig der Microsoft Purview Information Protection-Dienst als Dienstspeicherort verwendet.

Konfigurieren des Datei-SDK in C# für die Verwendung von AD RMS

Ihre Anwendung erfordert zwei kleinere Änderungen, wenn sie die Microsoft Authentication Library (MSAL) (MSAL.NET) und das File SDK unter C# verwendet. Aktualisieren Sie das FileEngineSettings Objekt und die MSAL-Autoritätskonfiguration so, dass sie mit AD RMS und Active Directory-Verbunddienste (AD FS) (AD FS) funktioniert.

Hinweis

Die Active Directory Authentifizierungsbibliothek (ADAL) ist veraltet. Neue Anwendungen sollten MSAL verwenden. Hintergrundinformationen finden Sie unter Aktualisieren Ihrer Anwendungen, um die Microsoft Authentication Library (MSAL) und Microsoft Graph-API zu verwenden.

Wenn Sie den DNS-SRV-Datensatz mit der Erweiterung für mobile Geräte bereitgestellt haben und einen Benutzerprinzipalnamen oder eine E-Mail-Adresse übergeben möchten, befolgen Sie die Anweisungen zum Verwenden einer Identität.

Aktualisieren Sie die Datei-Engine-Einstellungen für die Verwendung von AD RMS mit einer Identität

Wenn Sie den DNS SRV-Eintrag für MDE veröffentlicht und als Teil der Moduleinstellungen bereitgestellt Microsoft.InformationProtection.Identity haben, besteht die einzige erforderliche Codeänderung darin, festzulegen FileEngineSettings.ProtectionOnlyEngine = true. Sie müssen diese Eigenschaft festlegen, da AD RMS-Schutzendpunkte keine Bezeichnungsvorgänge (Richtlinien) unterstützen.

// Configure FileEngineSettings as protection only engine.
var engineSettings = new FileEngineSettings("", authDelegate, "", "en-US")
{
     // Provide the identity for service discovery.
     Identity = identity,
     // Set ProtectionOnlyEngine to true for AD RMS as labeling isn't supported
     ProtectionOnlyEngine = true
};

Aktualisieren des Authentifizierungsdelegats

Wenn Sie MSAL.NET in Ihrer .NET-Anwendung verwenden, konfigurieren Sie die öffentliche Clientanwendung so, dass die Überprüfung der Autorität übersprungen wird, wenn sie auf eine AD FS-Autorität ausgerichtet ist. Legen Sie WithAuthority(authority, validateAuthority: false) auf dem PublicClientApplicationBuilder fest:

var app = PublicClientApplicationBuilder
    .Create(clientId)
    .WithAuthority(authority, validateAuthority: false)
    .WithRedirectUri(redirectUri)
    .Build();

Wenn Sie eine ältere Anwendung verwalten, die weiterhin die veraltete Active Directory Authentication Library (ADAL) verwendet, besteht die entsprechende Änderung darin, im Konstruktor falseAuthenticationContext anstelle von validateAuthority zu übergeben. Planen Sie die Migration dieses Codes zu MSAL.

Konfigurieren des Datei-SDK in C++ für die Verwendung von AD RMS

Wenn Sie den DNS-SRV-Datensatz mit der Erweiterung für mobile Geräte bereitgestellt haben und einen Benutzerprinzipalnamen oder eine E-Mail-Adresse übergeben möchten, befolgen Sie die Anweisungen zum Verwenden einer Identität.

Aktualisieren von „FileEngine::Settings“ für die Verwendung von AD RMS mit einer Identität

Wenn Sie den DNS-SRV-Datensatz für MDE veröffentlicht und mip::Identity in den FileEngine::Settings bereitgestellt haben, müssen Sie die Engine nur als reine Engine für den Schutz festlegen.

FileEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");
engineSettings.SetProtectionOnlyEngine(true);

Konfigurieren des Protection SDK in C++ für die Verwendung von AD RMS

Wenn Sie den DNS-SRV-Datensatz mit der Erweiterung für mobile Geräte bereitgestellt haben und einen Benutzerprinzipalnamen oder eine E-Mail-Adresse übergeben möchten, befolgen Sie die Anweisungen zum Verwenden einer Identität.

Legen Sie die ProtectionEngine::Settings für die Verwendung von AD RMS mit einer Identität fest

Wenn Sie den DNS-SRV-Eintrag für die Durchwahl für mobile Geräte veröffentlicht und im ProtectionEngine::Settings eine Identität angegeben haben, benötigen Sie keine zusätzlichen Codeänderungen, um AD RMS zu verwenden. Die Dienstsuche findet den AD RMS-Endpunkt und verwendet ihn für Schutzvorgänge.

ProtectionEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");

Beschriftungsreferenzen entfernen oder auskommentieren

Wenn Sie die Anwendung mithilfe eines der Schnellstarthandbücher erstellen, werden Sie feststellen, dass Ihre Anwendung Verweise auf Labels in der Form fileEngine.SensitivityLabels oder engine->ListSensitivityLabels(); enthält. Da Sie die Anwendung nur für den Schutz konfigurieren, kommentieren Sie diese Codeblöcke aus oder entfernen Sie sie. Wenn sie ausgeführt werden, wird eine Ausnahme ausgelöst.

Nächste Schritte

Nachdem Sie die Änderungen zum Unterstützen von AD RMS durchgeführt haben, kann Ihre Anwendung alle Vorgänge zum reinen Schutz ausführen, indem sie den AD RMS-Dienst als Schutzanbieter verwendet.

  • Zuletzt aktualisiert um