Szybki start: ochrona programu Active Directory Rights Management Server (AD RMS)

W tym przewodniku Szybki start pokazano, jak zaimplementować obsługę programu Active Directory Rights Management Server (AD RMS) przy użyciu zestawu MIP SDK.

Uwaga / Notatka

Kroki opisane w tym przewodniku Szybki Start dotyczą wyłącznie SDK plików dla języka C# lub języka C++ oraz SDK ochrony wyłącznie dla języka C++.

Wymagania wstępne

Jeśli jeszcze tego nie zrobiono, upewnij się, że:

• Najpierw wykonaj Quickstart: Client application initialization (C++), co zbuduje początkowe rozwiązanie dla Visual Studio.
• Ukończ Szybki Start: wyświetlanie listy etykiet poufności (C++) lub Ukończ Szybki Start: wyświetlanie listy etykiet poufności (C#)
• Wdrażanie usług AD RMS przy użyciu rozszerzenia urządzenia przenośnego.
• Opcjonalnie upewnij się, że rekord SRV DNS dla usługi AD RMS MDE został opublikowany.

Odnajdywanie usług

Zestaw SDK wykonuje odnajdywanie usług na podstawie mip::Identity dostarczonego za pośrednictwem FileEngineSettings lub ProtectionEngineSettings, używając sufiksu UPN lub adresu e-mail. Najpierw przeszukuje hierarchię domeny w poszukiwaniu rekordu _rmsdisco dla MDE. Aby uzyskać więcej informacji na temat tego procesu, zobacz Określanie rekordów SRV DNS dla rozszerzenia urządzenia przenośnego usługi AD RMS. Jeśli rekord SRV DNS nie zostanie znaleziony, domyślnie kieruje do usługi Azure Information Protection jako lokalizacji usługi.

Konfigurowanie zestawu SDK plików w języku C# do korzystania z usług AD RMS

Jeśli aplikacja używa biblioteki Active Directory Authentication Library (ADAL) i zestawu SDK plików w języku C#, wymagane są dwie drobne zmiany. Obiekt FileEngineSettings i konstruktor AuthenticationContext muszą zostać zaktualizowane, aby funkcjonować z usługami AD RMS i Active Directory Federation Services (ADFS).

Jeśli wdrożyłeś rekord DNS SRV rozszerzenia dla urządzeń przenośnych i planujesz przekazać nazwę główną użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Zaktualizuj ustawienia silnika plików, aby korzystać z AD RMS z tożsamością

Jeśli rekord SRV SYSTEMU DNS dla rozwiązania MDE został opublikowany i Microsoft.InformationProtection.Identity został podany jako część ustawień silnika, jedyną wymaganą zmianą kodu jest ustawienie FileEngineSettings.ProtectionOnlyEngine = true. Ta właściwość musi być ustawiona, ponieważ operacje etykietowania (polityki) nie są obsługiwane w przypadku punktów końcowych ochrony usług AD RMS.

// Configure FileEngineSettings as protection only engine.
var engineSettings = new FileEngineSettings("", authDelegate, "", "en-US")
{
     // Provide the identity for service discovery.
     Identity = identity,
     // Set ProtectionOnlyEngine to true for AD RMS as labeling isn't supported
     ProtectionOnlyEngine = true
};

Aktualizowanie delegata uwierzytelniania

Jeśli korzystasz z biblioteki ADAL w swojej aplikacji .NET, będziesz musiał zmodyfikować implementację Microsoft.InformationProtection.AuthDelegate, aby wyłączyć weryfikację autorytetu. Wyłącz walidację autoryzacji, ustawiając validateAuthority w konstruktorze AuthenticationContext na false.

AuthenticationContext authContext = new AuthenticationContext(authority, false, tokenCache);

Konfigurowanie zestawu SDK plików w języku C++ do korzystania z usług AD RMS

Jeśli wdrożono rekord SRV rozszerzenia urządzenia przenośnego i planujesz przekazać główną nazwę użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Zaktualizuj FileEngine::Settings, aby używać AD RMS z tożsamością użytkownika

pl-PL: Jeśli rekord SRV DNS dla Microsoft Defender for Endpoint został opublikowany i mip::Identity jest podany w elemencie FileEngine::Settings, jedyną akcją jest ustawienie silnika na silnik tylko do ochrony.

FileEngine::Settings engineSettings(mip::Identity(mUsername), "");
engineSettings.SetProtectionOnlyEngine = true;

Konfigurowanie zestawu SDK ochrony w języku C++ do korzystania z usług AD RMS

Jeśli wdrożono rekord DNS SRV rozszerzenia dla urządzenia mobilnego i planujesz przekazać nazwę główną użytkownika lub adres e-mail, postępuj zgodnie z instrukcjami dotyczącymi używania tożsamości.

Ustaw ProtectionEngine::Settings, aby korzystać z usług AD RMS z tożsamością.

Jeśli rekord SRV systemu DNS dla rozszerzenia urządzenia przenośnego został opublikowany, a tożsamość zawarta w elemencie ProtectionEngine::Settings, nie są wymagane żadne dodatkowe zmiany kodu do korzystania z AD RMS. Wykrywanie usług znajdzie punkt końcowy AD RMS i będzie go używać do operacji ochrony.

ProtectionEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");

Usuń lub skomentuj odniesienia do etykiet

Jeśli skompilujesz aplikację z jednego z przewodników szybkiego startu, zauważysz, że Twoja aplikacja zawiera odwołania do etykiet w postaci fileEngine.SensitivityLabels lub engine->ListSensitivityLabels();. Ponieważ aplikacja została ustawiona tylko do ochrony, te bloki kodu muszą być zakomentowane lub usunięte, ponieważ ich wykonanie spowoduje wyjątek.

Dalsze kroki

Teraz kiedy wprowadziłeś zmiany w celu obsługi usług AD RMS, Twoja aplikacja może wykonywać dowolne operacje związane tylko z ochroną, używając usługi AD RMS jako narzędzia ochrony.