Szybki start: ochrona serwera Active Directory Rights Management Server (AD RMS)

W tym przewodniku Szybki start pokazano, jak zaimplementować obsługę serwera Active Directory Rights Management Server (AD RMS) przy użyciu zestawu MIP SDK.

Uwaga / Notatka

Kroki opisane w tym przewodniku Szybki start mają zastosowanie wyłącznie do zestawu File SDK dla języka C# lub C++ oraz zestawu Protection SDK dla języka C++.

Wymagania wstępne

Jeśli jeszcze tego nie zrobiono, upewnij się, że:

Odnajdywanie usług

Zestaw MIP SDK automatycznie odnajduje lokalny punkt końcowy usługi dla elementu FileEngine lub ProtectionEngine , gdy jawnie nie podasz adresu URL usługi. Używa tożsamości użytkownika udostępnianej za pośrednictwem FileEngineSettings lub ProtectionEngineSettings przy użyciu sufiksu nazwy UPN lub adresu e-mail. Najpierw przeszukuje hierarchię domeny w poszukiwaniu rekordu _rmsdisco dla MDE. Aby uzyskać więcej informacji na temat tego procesu, zobacz Określanie rekordów SRV DNS dla rozszerzenia urządzenia przenośnego usługi AD RMS. Jeśli ten rekord DNS SRV nie zostanie znaleziony, jako lokalizacja usługi zostanie domyślnie użyta usługa Microsoft Purview Information Protection.

Konfigurowanie zestawu SDK plików w języku C# do korzystania z usług AD RMS

Aplikacja wymaga dwóch drobnych zmian, jeśli używa Microsoft Authentication Library (MSAL.NET) i zestawu SDK plików w języku C#. Zaktualizuj obiekt FileEngineSettings i konfigurację authority w MSAL, tak aby współpracowały z usługami AD RMS i Active Directory Federation Services (AD FS).

Uwaga / Notatka

Biblioteka Active Directory Authentication Library (ADAL) jest przestarzała. Nowe aplikacje powinny używać biblioteki MSAL. Informacje ogólne znajdziesz tutaj: Zaktualizuj aplikacje, aby korzystały z biblioteki Microsoft Authentication Library i interfejsu API Microsoft Graph.

Jeśli wdrożyłeś rekord DNS SRV rozszerzenia dla urządzeń przenośnych i planujesz przekazać nazwę główną użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Aktualizowanie ustawień modułu plików w celu korzystania z usługi AD RMS przy użyciu tożsamości

Jeśli opublikowano rekord DNS SRV dla MDE i podano Microsoft.InformationProtection.Identity jako część ustawień mechanizmu, jedyną wymaganą zmianą w kodzie jest ustawienie FileEngineSettings.ProtectionOnlyEngine = true. Tę właściwość należy ustawić, ponieważ punkty końcowe ochrony AD RMS nie obsługują operacji etykietowania (zasad).

// Configure FileEngineSettings as protection only engine.
var engineSettings = new FileEngineSettings("", authDelegate, "", "en-US")
{
     // Provide the identity for service discovery.
     Identity = identity,
     // Set ProtectionOnlyEngine to true for AD RMS as labeling isn't supported
     ProtectionOnlyEngine = true
};

Aktualizowanie delegata uwierzytelniania

Jeśli używasz biblioteki MSAL.NET w aplikacji platformy .NET, skonfiguruj publiczną aplikację kliencką tak, aby pomijała sprawdzanie authority podczas kierowania do authority usługi AD FS. Ustaw WithAuthority(authority, validateAuthority: false) na PublicClientApplicationBuilder:

var app = PublicClientApplicationBuilder
    .Create(clientId)
    .WithAuthority(authority, validateAuthority: false)
    .WithRedirectUri(redirectUri)
    .Build();

Jeśli utrzymujesz starszą aplikację, która nadal używa przestarzałej biblioteki Active Directory Authentication Library (ADAL), analogiczna zmiana polega na przekazaniu false zamiast validateAuthority do konstruktora AuthenticationContext. Zaplanuj migrację tego kodu do biblioteki MSAL.

Konfigurowanie zestawu SDK plików w języku C++ do korzystania z usług AD RMS

Jeśli wdrożyłeś rekord DNS SRV rozszerzenia dla urządzeń przenośnych i planujesz przekazać nazwę główną użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Aktualizowanie pliku FileEngine::Settings w celu korzystania z usług AD RMS przy użyciu tożsamości

Jeśli opublikowano rekord DNS SRV dla rozwiązania MDE i podano mip::Identity w elemencie FileEngine::Settings, należy jedynie ustawić silnik w tryb tylko do ochrony.

FileEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");
engineSettings.SetProtectionOnlyEngine(true);

Konfigurowanie zestawu SDK ochrony w języku C++ do korzystania z usług AD RMS

Jeśli wdrożyłeś rekord DNS SRV rozszerzenia dla urządzeń przenośnych i planujesz przekazać nazwę główną użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Ustaw ProtectionEngine::Settings tak, aby używać usługi AD RMS przy użyciu tożsamości

Jeśli opublikowałeś rekord DNS SRV dla rozszerzenia urządzeń przenośnych i podałeś identyfikator w elemencie ProtectionEngine::Settings, nie potrzebujesz dodatkowych zmian w kodzie, aby używać usługi AD RMS. Mechanizm odnajdywania usług znajduje punkt końcowy AD RMS i używa go do operacji ochrony.

ProtectionEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");

Usuń lub zakomentuj odwołania do etykiet

Jeśli utworzysz aplikację na podstawie jednego z przewodników z serii „Szybki start”, zobaczysz, że zawiera ona odniesienia do etykiet w postaci fileEngine.SensitivityLabels lub engine->ListSensitivityLabels();. Ponieważ ustawiono aplikację w tryb samej ochrony, zakomentuj lub usuń te bloki kodu. Ich uruchomienie powoduje wystąpienie wyjątku.

Następne kroki

Teraz kiedy wprowadziłeś zmiany w celu obsługi usług AD RMS, Twoja aplikacja może wykonywać dowolne operacje związane tylko z ochroną, używając usługi AD RMS jako narzędzia ochrony.

  • Ostatnia aktualizacja o