Использование Службы управления правами на доступ к данным (IRM)

Установка Службы IRM

Если в вашей системе Служба IRM еще не была установлена, то при первом обращении к данной службе будет произведена ее установка.
Для установки Службы IRM необходимо иметь идентификатор Windows Live ID. В случае отсутствия идентификатора Windows Live ID, вам будет предложено его создать (данный идентификатор также создается бесплатно, и его создание напоминает обычную регистрацию на соответствующем сайте). Далее мы предполагаем, что идентификатор Windows Live ID у пользователя имеется.
Обращение к Службе IRM в программе Word 2010 может быть выполнено несколькими способами:
1) Через гиперссылку Ограничить разрешение в окне Ограничить форматирование и редактирование (данное окно открывается через вкладку Рецензирование (Рецензирование – Защита – Ограничить редактирование) или через вкладку Разработчик (Разработчик – группа Защита – Ограничить редактирование)).
2) Через представление Backstage (вкладка Файл – Сведения – Защитить документ – Ограничить разрешения для пользователей – Ограниченный доступ или Управление учетными данными).

В случае, если Служба IRM не установлена, то открывается окно установки Подписка на службу. В этом окне, в частности, кратко рассказывается о сущности и задачах Службы IRM и об условиях ее установки.

При выборе в данном окне гиперссылки Дополнительные сведения об этой бесплатной службе корпорации Майкрософт в браузере откроется страница сайта office.microsoft.com на русском языке «Бесплатная ознакомительная служба управления правами на доступ к данным» (адрес страницы – внешняя ссылка).
Установите переключатель на позицию Да, я хочу подписаться на эту бесплатную службу корпорации Microsoft и нажмите на кнопку Далее.

Откроется окно мастера Управление правами Windows (WRM) (WRM – это сокращение от английского выражения Windows Rights Management).

Если у вас есть идентификатор Windows Live ID, то выберите позицию переключателя Да, у меня есть идентификатор Windows Live ID. Если у вас такого идентификатора еще нет, выберите позицию Нет, я хочу получить идентификатор Windows Live ID сейчас. Мы выбираем первую опцию и нажимаем на кнопку Далее.

Открывается следующее окно мастера Управление правами Windows (WRM), которое имеет название Вход в Windows Live.

Введите логин (обычно это свой электронный адрес) и пароль Windows Live ID и нажмите на кнопку Вход.

Открывается третье окно мастера Управление правами Windows (WRM) под названием Выбор типа компьютера. Здесь можно выбрать опции Это личный компьютер или Это общедоступный или совместно используемый компьютер (во втором случае вход в систему Windows Live производится в течение ограниченного времени). Мы выбираем первую возможность.

Нажимаем кнопку Принять и затем, в следующем окне подтверждаем завершение работы мастера настройки управления правами на доступ к данным нажатием кнопки Готово.

После этого некоторое время будет выполняться проверка данных в системе Windows Live.
В диалоговом окне Выбор пользователя система Windows Live предложит выбрать свою учетную запись (в моем случае на выбор предложена только одна учетная запись). В данное окно с помощью кнопки Добавить можно ввести другие учетные записи пользователей. По окончании выбора нажмите на кнопку OK.

После этого связь с виртуальной Службой IRM будет установлена, и вы далее можете использовать ее в своей работе.

Работа с файлом документа в режиме ограниченного доступа, установленном с помощью Службы IRM

Пользователь, использующий учетную запись, от имени которой был установлен ограниченный доступ на файл, могут беспрепятственно работать с этим защищенным файлом документа. Этот пользователь может читать, изменять, печатать и копировать документ.
При сохранении документа под другим именем режим документа Ограниченный доступ сохраняется.
При этом в верхней части окна программы Word появится желтая полоса предупреждения Ограниченный доступ с надписью: «Разрешения в данный момент ограничены. Доступ к этому содержимому разрешен только указанным пользователям».

После нажатия пользователем на кнопку Изменить разрешения открывается описанное выше окно Разрешения, в котором указанный пользователь может отменить режим Ограниченный доступ, сняв флажок Ограничить разрешения на доступ к этому файлу документа и сохранив полученный документ. Пользователь может также изменить состав «доверенных лиц» в областях Чтение и Изменение.

При перенесении защищенного файла на компьютер с другой учетной записью или при попытке открытия этого файла другим пользователем файл будет недоступен.
Так, если на компьютере пользователя, пытающегося открыть защищенный файл, не установлена Служба IRM, то на экран выводится диалоговое окно предупреждения Microsoft Word: «Файл "документа" создан с ограниченными разрешениями при помощи службы управления правами на доступ к данным Microsoft Office. У вас нет учетных данных для этой службы. Получить учетные данные для этой службы?»

После нажатия кнопки Да, открывается уже знакомое нам окно Подписка на службу.

Отказ от установки Службы IRM вызывает следующее сообщение: «Нельзя использовать эту возможность без указания учетных данных».

Если Служба IRM установлена, выводится сообщение о проверке учетных данных и их соответствия установленным в файле документа разрешениям.

Если проверка окажется успешной, то зашифрованного файл документа будет открыт. В противном случае система сообщит об отсутствии прав доступа к содержимому файла.

При использовании IRM контент документа зашифрован.
Для каждой операции делается запрос на разрешение, доставляется ключ на временную расшифровку. Расшифровывается только нужная часть и только под нужную операцию.
После этого ключ удаляется, и доступ к документу прекращается.
Таким образом предотвращается целый класс атак на утечку данных (ликинг (leaking)).
Притом, когда MS Office "видит" защищенный документ, он пытается этот документ открыть и загрузить лицензию.
Специалисты утверждают, что при соответствующей настройке имеется возможность увидеть, кто именно и из какой части мира пытается это сделать.
Иначе говоря, при попытке открыть файл Word с защитой RMS программа Word обращается к URL RMS-сервера. Соответственно, на RMS-сервере имеется возможность определить время, учетную запись, с которой произведена попытка прочитать документ, имя компьютера, даже имя учетки в Mesenger и в Skype.

Принципиальная схема работы сервисов IRM и RMS совместно с SharePoint Server

1. Автор документа публикует документ на SharePoint и формирует правила доступа к документу. Правила доступа к файлу хранятся на сервере SharePoint, а правила доступа к содержимому документа – на RMS-сервере.
2. Получатель запрашивает документ с SharePoint.
3. SharePoint обрабатывает запрос и проверяет заданные разрешения на выдачу файла.
4. Если разрешения имеются, SharePoint «выдает» файл получателю.
5. Получатель пытается открыть файл. Автоматически формируется запрос к RMS-серверу. При наличии разрешения RMS-сервер высылает получателю ключ для расшифровки.
6. Получатель открывает файл и работает с ним в соответствии с предоставленными ему правами.