【IT168 专稿】Microsoft Windows Rights Management Services（权限管理服务，简称 RMS）是一种信息保护技术，它与启用 RMS 的应用程序配合以帮助保护数字信息避免未经授权的使用--不管是联机还是脱机、在防火墙内还是在防火墙外。结合 Windows Server 2003 功能、开发工具和久经考验的安全技术（包括加密、证书和身份验证），RMS 可帮助组织创建可靠的信息保护解决方案。通过持久的使用策略提供始终与信息相随（无论信息到达何处）的信息保护，RMS 扩充了组织的安全战略。

　　取消 RMS 配置

　　取消配置指的是从组织删除 RMS 服务器及其关联数据库的整个过程。此过程允许您从结构中删除 RMS，而不会失去对受 RMS 保护的信息的访问权限。以下是组织需要从其结构中删除 RMS 服务器的可能原因：

　　将概念验证 RMS 服务器从试验环境迁移到生产环境。

　　通过删除授权服务器和将授权服务器合并到根 RMS 群集中来简化结构设计。

　　通过将两个 RMS 结构集成为一个来合并 RMS 服务器（例如，由于公司合并或收购）。

　　决定停止使用 RMS 来保护内容。

　　因为活动 RMS 服务器与数据库服务器和 Active Directory 集成在一起，从而使整个集合的内容受 RMS 服务器中包含的密钥保护，所以与只是从服务器删除程序相比，从组织中删除 RMS 需要更多的步骤。本部分概述这些步骤，以便您可根据需要取消配置 RMS 服务器。

　　（一）了解取消配置过程

　　通过使用 Internet 信息服务 (IIS)，RMS 暴露它提供的各种服务。例如，认证服务注册用户及其计算机，授权服务发布内容并提供对受 RMS 保护的信息的访问。必须在 RMS 服务器上启用称作取消配置服务的附加服务，才能启动取消配置过程。当启用了取消配置服务时，该服务器提供的所有其他 RMS 服务被禁用。

　　一旦已启用 RMS 服务器取消配置，应用程序可从取消配置服务获得内容密钥，该内容密钥可供应用程序永久解密受 RMS 保护的内容。

　　当 RMS 服务器以取消配置模式运行时，任何用户，不管是否对原来受 RMS 保护的内容拥有权限，都可获得内容密钥并获得使用该内容的全部权利。

　　一旦内容被解密，以后用户保存该内容时就不应使用 RMS 保护。请注意，要使用取消配置服务，该用户必须已在 RMS 结构内注册。没有已激活的 RMS 客户端的用户不能使用取消配置服务来获得对受 RMS 保护的内容的访问。

　　（二）启用取消配置服务

　　取消 RMS 系统配置需要用于保护所有已发布信息的私钥。此私钥存储在配置数据库中，使用数据保护 API (DPAPI) 进行加密，并且基于设置期间输入的密码。如果 RMS 私钥存储在硬件安全模块 (HSM) 上，则该私钥存储在 HSM 中，而不是存储在配置数据库中。

　　注意，在取消 RMS 系统配置前，请确保知道您的私钥密码。如果不知道此密码，则应重设私钥密码，然后才取消 RMS 服务器配置。

　　删除 RMS 系统的第一步是取消对群集中服务器的配置。由于取消配置是一种授权功能，所以可以对通过注册子过程注册的仅面向 RMS 授权的群集中的服务器执行取消配置操作，而不会影响 RMS 根群集或任何其他通过注册子过程注册的仅面向 RMS 授权的群集。因此，您需要单独取消对 RMS 根群集和任何仅面向授权的群集的配置，这是因为每个仅面向授权的群集各自保留了用于创建发布许可证的单独私钥。

　　使用以下过程启用取消配置服务：

　　打开 Windows RMS 管理网站。

　　单击"在此网站上管理 RMS"，然后单击"安全设置"。

　　选择"启用取消 RMS 配置的功能"复选框。

　　出现让您确认取消配置过程的对话框时，单击"确定"。

　　取消服务器配置之后，服务器无法还原到标准的 RMS 配置。该过程不可逆。

　　取消 RMS 配置之后，在试图安装其他 RMS 实例之前，必须使用"添加/删除程序"完全删除 RMS。
 

　　（三）设置虚拟目录权限

　　取消配置被启用之后，可用作一项服务。但是，取消配置服务是具有关联访问权限的 IIS 虚拟目录。为了让用户能够使用该服务，必须设置对虚拟目录和实际文件 decommission.asmx 的权限。

　　默认情况下，对虚拟目录启用了集成的 Windows 身份验证，但是只有系统帐户和管理员帐户才能访问实际文件。当您为 decommission.asmx 文件的 DACL 指定权限时，您可以对某个受信任可以取消实际 RMS 保护的特定用户组授予访问权限，也可以允许所有人访问该服务。

　　在用户可以开始使用取消配置服务之前，需要修改用户的应用程序，以便可以将用户许可证的请求发送到这个新的取消配置管道。对于 Microsoft Office System 2003，通过在用户的计算机上添加注册表项来完成此操作。如果您正在使用 Office 2003，可以使用以下过程执行此步骤：

　　打开注册表编辑器。

　　导航到 HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Common\DRM 并添加一个名为 Decommissioning 的新项。

　　在 Decommissioning 项下面，添加以下新的"字符串值"注册表项，并将 your-license-server 替换为您的 RMS 服务器的名称：

　　http://your-license-server/_wmcs/licensing

　　然后用鼠标右键单击该注册表项，并选择"修改"以指定指向取消配置服务的值数据：

　　http://your-license-server/_wmcs/decommission

　　注意，组织内的多台 RMS 服务器处于取消配置模式时，此项可存在多个注册表项。
 

　　（四）解除对内容的 RMS 保护

　　提前决定哪些文件需要由谁在何时恢复，以便当取消配置过程完成时，将保留所有重要信息。当已从所有必要的受 RMS 保护的文件删除 RMS 保护时，可以从结构中删除服务器。

　　解除对内容的 RMS 保护的过程如下：

　　用户应从计算机删除所有现有用户许可证。这确保 RMS 客户端去访问服务器以获取打开内容所需的许可证。用户许可证存储在客户端计算机上的 %USERPROFILE%\Local Settings\Application Data\Microsoft\DRM 文件夹中，文件名的前缀为 EUL。

　　有权访问要取消配置的服务器的用户尝试打开受 RMS 保护的文件。

　　应用程序连接到要取消配置的服务器并接收到内容密钥。

　　内容被解密并可被编辑、保存、转发或打印。

　　用户在保存内容时不使用 RMS 保护。所有用户现在可以打开该内容，无需连接到 RMS 服务器。
 

　　（五）删除 Web 服务（取消设置 RMS）

　　在取消配置 RMS 服务器并删除所有 RMS 保护之后，可以按照下列步骤删除 Web 服务：

　　在"全局管理"页中，选择"从此网站删除 RMS"。

　　下一步骤取决于要删除的服务器类型，虽然在所有情况下都将从 IIS 删除 RMS。

　　如果服务器是群集的一部分（且不是该群集的最后一个服务器），则不需要任何其他步骤。

　　如果该服务器只是一个授权服务器，请删除目录服务数据库，但保留配置和日志数据库（仍在工作的认证服务器会使用它们）。

　　如果该服务器是组织中的最后一个 RMS 服务器，请保留配置和日志数据库，但删除 Active Directory 内的服务连接点 (SCP)。

　　（六）删除 RMS 程序文件

　　一旦从网站删除了 RMS 服务，请使用"添加/删除程序"来删除 RMS 程序文件。

　　如果不再需要 RMS 数据库文件（即不需要恢复此 RMS 特定安装），请从数据库服务删除 RMS 数据库文件。如果有可能需要恢复 RMS 服务器，则在删除 RMS 数据库文件之前应备份它们。

　　这样就完成了从 IT 结构中删除 RMS 的整个过程。
 

　　（七）取消 RMS 配置的替代方法

　　如果仍在规划在组织中使用 RMS，但由于某种原因需要停止使用某些 RMS 服务器，请考虑使用下列取消配置的替代方法。

　　设置可信发布域

　　所有受 RMS 保护的信息使用 RMS 服务器的私钥进行加密。可信发布域允许您将一个 RMS 服务器的私钥导入到另一个 RMS 服务器上。这使 RMS 服务器可以根据其他 RMS 服务器创建的发布许可证来颁发用户许可证。一旦导出了密钥，就可取消设置和卸载该服务器。

　　设置超级用户组

　　如果因为没有用户对内容拥有权限而无法打开受 RMS 保护的内容，可以对超级用户组授予对该服务器发布的所有受 RMS 保护的内容拥有完全控制权。在由配置了超级用户组的 RMS 服务器或群集颁发的所有用户许可证中，超级用户组的成员被授予全部所有者权限。这意味着，该组的成员可以对任何受保护的内容文件进行解密，并可解除对它们的保护。例如，该组的成员可以解除对已离职员工发布的文件的保护，以便新的所有者可以发布和管理这些文件。

　　超级用户组不能自动包括任何成员，甚至是管理员。此组必须作为分发组存在于 Active Directory 内，该分发组的电子邮件地址属性的值与组名相同，格式为"group_name@domain_name.com"。组名必须与电子邮件地址属性完全匹配且区分大小写。