次の推奨構成例は、Rights Management サービス (RMS) のセキュリティを効果的に管理するために役立つガイドラインを示しています。一般的なセキュリティ上の推奨構成例に関する情報は、マイクロソフトの Web サイト (https://go.microsoft.com/fwlink/?LinkId=49428) で公開されています。
RMS Web サービスでの SSL 証明書認証を使用します。RMS クライアントから RMS クラスタへの要求は既定では暗号化されていません。Secure Sockets Layer (SSL) 証明書をインストールし、クラス内のすべての RMS サーバーで RMS 仮想ディレクトリを要求することで、証明書とライセンス要求がネットワーク経由で送信されるときに暗号化されます。さらにセキュリティを強化するには、RMS Web サービスのスマートカード認証を有効にします。
RMS 秘密キーの保護にハードウェアベースの CSP を使用します。RMS をインストールした場合の RMS クラスタ秘密キーの既定のキー保護は、RMS クラスタのキーを暗号化し、RMS 構成データベースに格納するソフトウェアベースの暗号化サービス プロバイダ (CSP) です。ハードウェアベースの CSP またはハードウェア セキュリティ モジュールを使用すると、さらにセキュリティを強化できます。このキー保護手法では、RMS サーバーに取り付けたスマートカードにキーが格納されます。ハードウェアベースの CSP には、RMS 秘密キーがコンピュータに格納されないという利点があります。RMS での使用がテスト済みのハードウェアベースの CSP があるかどうかをハードウェア ベンダに問い合わせてください。
RMS スーパー ユーザー グループを保護します。RMS スーパー ユーザー グループは、すべての権利で保護されたコンテンツに対してフル コントロールが可能であるため、必要な場合のみ有効にして使用する必要があります。このため、RMS スーパー ユーザー グループのメンバシップを制御するときに Active Directory® で制限されたグループを使用する必要があります。
RMS サービス アカウントとして標準権限のドメイン アカウントを使用します。RMS サービス アカウントには、Active Directory の Domain Users セキュリティ グループに属するドメイン アカウントを使用する必要があります。このアカウントにその他の権限を追加しないでください。
Active Directory の電子メール アドレス属性を保護します。RMS 対応の Microsoft® Office アプリケーションでは、権利で保護されたコンテンツの証明とライセンス供与に、RMS ユーザーの一意の ID として Active Directory に格納された電子メール属性とプロキシ アドレス属性を使用します。Active Directory のこれらの属性に対するアクセス許可を信頼された管理者に限定することは非常に重要です。さらに、組織で電子メール アドレスの他者への再利用を禁止する情報セキュリティ ポリシーを適用する必要があります。
注意
あるいは、権利ポリシー テンプレート内で個々の従業員ではなくグループに対して権利を付与することで、この問題を回避できます。ライセンス要求時にグループ メンバシップが特定された場合、権利ポリシーは常に現在のグループ メンバシップを反映します。電子メール アドレスの再利用の問題は、電子メール アドレスではなく、セキュリティ識別子 (SID) に対して発行を行う RMS 対応アプリケーションを使用することで改善することもできます。
**RMS パイプラインの ACL を強化します。**RMS IIS 仮想ディレクトリのパイプラインのアクセス制御リスト (ACL) は既定で制限されています。RMS を使用できるユーザーをより詳細に制御するために、既定の Domain Users セキュリティ グループではなく、特定の Active Directory セキュリティ グループに限定することができます。
**RMS ライセンス パイプラインの匿名認証をオフにします。**Windows Live™ ID 経由でログオンするような 外部ユーザーを考慮する必要がない RMS トポロジの場合は、RMS ライセンス パイプラインで匿名認証をオフにしてください。
**すべての RMS サーバー上のサービス数を最小限にします。**サーバーのセキュリティ保護のあらゆる多層防御戦略と同様に、各 RMS クラスタの個々の RMS サーバーすべてにおいて、不必要なサービスをすべて無効にする必要があります。RMS 環境では、RMS と必要なコンポーネントは、RMS クラスタ サーバー上で実行されているサービスのみにしてください。
**エクストラネットで RMS を使用している場合は、アプリケーション レイヤ ファイアウォールを使用します。**エクストラネットで RMS を使用している場合は、アプリケーション レイヤ ファイアウォールを使用してください。Microsoft Internet Security and Acceleration (ISA) Server などのアプリケーション レイヤ ファイアウォールは、ファイアウォールで SSL 接続を終了し、トラフィックを調査し、内部で別の接続を再確立することで、RMS サーバーに送信されるライセンス要求と証明書要求を調査します。
RMS 構成データベースで SQL Server 認証モードをオフにします。メッセージ キューが RMS クラスタ サーバーからログ データベースにメッセージを送信するときに、RMS サービス アカウント資格情報がデータベースに渡されます。SQL Server 認証モードでは、資格情報が接続文字列内でプレーン テキストで渡されます。RMS は SQL 認証モードを使用しないため、このモードをオフにして、Windows 認証だけを許可するように SQL Server を構成する必要があります。
**RMS クラスタとデータベースの間の通信を暗号化します。**悪意あるユーザーがログ データにアクセスしたり、改変できないようにするには、Secure Sockets Layer (以下 SSL) またはインターネット プロトコル セキュリティ (以下 IPSec) を構成し、暗号化チャネルを実装して、RMS データベースを保護します。SQL Server との間で SSL を使用してセキュリティで保護された通信を行う方法については、https://go.microsoft.com/fwlink/?LinkID=99948 を参照してください。2 つのサーバー間で IPSec を使用してセキュリティで保護された通信を行う方法については、https://go.microsoft.com/fwlink/?LinkID=99950 を参照してください。
LDAP 署名を使用してネットワーク通信を保護します。RMS と Active Directory グローバル カタログとの間の通信には、署名を使用してください。LDAP トラフィックに署名を付けることで、パッケージ化されたデータが既知のソースから発信されたものであり、データが改ざんされていないことが保証されます。Windows Server® 2003 では、LDAP の署名と暗号化は既定で有効になっています。LDAP 署名は、Windows 2000 Server Service Pack 3 (SP3) でもサポートされています。
ログ メッセージ キューのサイズを監視します。システム モニタを使用して、発信ログ メッセージ キューのサイズを定期的に監視します。ログ サイズが非常に大きくなった場合は、ログ リスナ サービスが正常に動作していることを確認します。悪意あるユーザーによってログ リスナ サービスが停止されている場合、発信ログ メッセージ キューが肥大化し、最終的には RMS サーバーのディスク領域のサイズを超えてしまいます。そのような状況が発生すると、サーバーは要求を拒否します。ログ リスナ サービスの詳細については、このドキュメント コレクションの「RMS テクニカル リファレンス」にある「RMS ログ リスナ サービス」を参照してください。
データベース サーバーの監査を有効にします。データベース サーバー上のアクティビティを監査すると、データベースに対するアクティビティや変更が追跡されるため、RMS インストールのセキュリティを強化できます。
RMS サーバーへのネットワーク トラフィックを監視します。RMS は、他の Web ベースのサービスと同じように組織内で監視および管理します。RMS サーバーは、サービス拒否攻撃の標的となり得るので、適切に管理しなければなりません。