Exchange 混合部署中的 IRM

 

适用于:Exchange Online, Exchange Server 2013, Exchange Server 2016

上一次修改主题:2016-12-09

摘要:IRM 在 Exchange 混合环境中的工作方式,以及如何配置 IRM 以在 Exchange Online 和内部部署 Exchange 服务器之间工作。

信息权限管理 (IRM) 通过对电子邮件和附件提供持久联机和脱机保护来帮助防止敏感信息泄露。内部部署组织中的 Exchange 以及 Office 365 企业版中的 Exchange Online 都支持 IRM。但是,这两种实现之间有一些不同;您必须在 Exchange Online 组织中配置 IRM,然后该组织中的用户才能使用该功能。

IRM 将使用作为 Windows Server 2008 及更高版本的一个组件的 Active Directory Rights Management Services (AD RMS)。AD RMS 允许用户创建受权限保护的内容,如电子邮件和附件,并控制内容的使用方式以及分发对象。用户可以指定模板以确定内容的使用方式。例如,用户可以指定不能将某封电子邮件转发给其他收件人,或不能复制邮件中的信息。

进一步了解 Exchange 2010 中的 IRM:Understanding Information Rights Management(了解信息权限管理)。

信息权限管理进一步了解 Exchange 2013 和 Exchange 2016 中的 IRM。

有关 AD RMS 的详细信息,请参阅 Active Directory 权限管理服务

内部部署 Exchange 组织中提供的 IRM 功能可能不同于 Exchange Online 组织中提供的功能。下表汇总了在每个组织中可用的功能。(进一步了解这些功能:信息权限管理

可用的 IRM 功能

功能 在 Exchange 2007 及之前版本中可用 在 Exchange 2010 中是否可用 在 Exchange Online 和 Exchange 2013 及更高版本中可用

手动保护 Outlook 中的邮件

手动保护 Outlook Web App 中的邮件

查看 Outlook 中受 IRM 保护的邮件

查看 Outlook Web App 中受 IRM 保护的邮件

IRM 预许可代理

RMS 策略模板

传输解密

日记报告解密

Exchange 搜索和发现解密

自动 Outlook 保护规则

自动传输保护规则

Exchange 将使用安装有 Exchange 服务器的 Active Directory 林中的 AD RMS 服务器。对于内部部署 Exchange 服务器,使用内部部署 AD RMS 服务器。对于 Exchange Online 组织,使用在 Office 365 数据中心中维护的 AD RMS 服务器。每个 Exchange 组织使用的 AD RMS 配置独立于任何其他 AD RMS 部署。

AD RMS 配置不会在内部部署 Exchange 组织和 Exchange Online 组织之间自动进行复制,因而 IRM 配置也是如此。所定义的任何 AD RMS 模板不会自动复制到 Exchange Online 组织。如果希望相同的 AD RMS 模板在 Exchange Online 组织中可用,必须手动将模板从内部部署组织中导出,并将其应用于 Office 365 组织。请参阅本主题后面的在混合部署中配置 IRM

应用于用户的 IRM 配置取决于用户使用的客户端以及用户邮箱的位置。下表列出了用户可使用的 AD RMS 服务器。

Active AD RMS 服务器

客户端 内部部署邮箱 Exchange Online 邮箱

Outlook 桌面客户端

内部部署 AD RMS

内部部署 AD RMS

Web 上的 Outlook

内部部署 AD RMS

Exchange Online AD RMS

ActiveSync 设备

内部部署 AD RMS

Exchange Online AD RMS

根据在内部部署和基于 Exchange Online 组织中配置的 AD RMS 配置,使用 Outlook 2007 和 Web 上的 Outlook 的用户可能会看到不同的 AD RMS 模板。因此,我们强烈建议您对内部部署和 Exchange Online 组织应用相同的模板。

对于 Outlook 客户端用户,无论其邮箱是在内部部署组织中还是在 Exchange Online 组织中,其 IRM 体验应该没有任何差别。

其邮箱位于 Exchange 内部部署服务器上的 Web 上的 Outlook 用户在安装了用于 Internet Explorer 的权限管理外接程序后只能打开受权限保护的邮件,并且不能答复或新建受权限保护的邮件。

其邮箱位于 Exchange Online 中的 Web 上的 Outlook 用户无需任何附加软件便可打开受权限保护的邮件,并且可以答复和新建受权限保护的邮件。

内部部署 Exchange 服务器使用 AD RMS 预许可代理来解密受权限保护的邮件,这样用户不必提供凭据便可打开这些邮件。内部部署 Exchange 服务器将联系内部部署 AD RMS 服务器来核查使用策略和权限,并请求授权以解密邮件。

Exchange Online 组织还提供了几个与 IRM 相关的功能,这些功能使用了 Exchange Online AD RMS。通过这些功能(如日记报告解密),Exchange 服务可对受权限保护的邮件内容进行额外的处理。例如,可以与原始受权限保护的邮件一起保存已解密的日记邮件内容,以便更有利于发现。此外,使用 Outlook 保护规则或传输规则,IRM 模板可以自动应用于邮件,以确保邮件符合组织在信息保护方面的策略。

Exchange 中的 IRM 依赖于在 Exchange 服务器所在的 Active Directory 林中部署的 AD RMS。AD RMS 配置不会自动在内部部署组织和 Exchange Online 组织之间进行同步。您必须从内部部署 AD RMS 服务器手动导出已知是受信任发布域 (TPD) 的 AD RMS 配置,并将该配置导入到 Exchange Online 组织中。TPD 包含 Exchange Online 组织使用 IRM 时所需要的 AD RMS 配置,包括模板。

有关更多信息,请参阅 AD RMS 受信任发布域的注意事项

除了对 Exchange Online 组织应用内部部署 AD RMS 配置外,您还必须确保内部部署网络之外的 Outlook 和 ActiveSync 客户端能够联系到 AD RMS 服务器。如果您希望这些客户端能够访问内部部署网络之外的受权限保护的邮件,就必须做到这一点。

配置了内部部署网络并导出了 TPD 数据后,您需要通过导入 TPD 数据并启用 IRM 来配置 Exchange Online 组织。

注意注意:
每当修改内部部署 AD RMS 配置时,都必须手动在 Exchange Online 组织中应用新配置。为此,请从内部部署 AD RMS 服务器导出 TPD 数据,并将其导入到 Exchange Online 组织中。

如果在内部部署 Exchange 组织中使用 IRM,并且希望 Exchange Online 用户也使用 IRM,则需要执行以下操作:

  1. 配置内部部署 Active Directory Rights Management Services (AD RMS) 服务器。

  2. 在 Exchange Online 组织中启用 IRM。

  3. 将导入的 AD RMS 模板分发给 Exchange Online 组织中的用户。

若要在混合部署中配置 IRM,需要使用 Windows PowerShell 来访问内部部署 AD RMS 服务器。有关详细信息,请参阅使用 Windows PowerShell 管理 AD RMS

执行以下操作,从内部部署 AD RMS 服务器导出受信任的发布域 (TPD) 数据,然后配置外部客户端对 AD RMS 服务器的访问。

  1. 从内部部署组织导出 TPD 数据。有关详细信息,请参阅导出受信任的发布域

  2. 配置外部客户端对 AD RMS 服务器的访问。有关详细信息,请参阅添加 Extranet 群集 URL

从内部部署 AD RMS 服务器导出 TPD 数据后,需要将这些数据导入到 Exchange Online 组织中,然后启用 IRM。

  1. 在 Exchange Online 组织中,导入 TPD 数据。

    Import-RMSTrustedPublishingDomain -FileData $( [Byte[]] (Get-Content -Encoding Byte -Path "<Path to exported TPD file>" -ReadCount 0))
    
  2. 在 Exchange Online 组织中启用 IRM。

    Set-IRMConfiguration -InternalLicensingEnabled $True
    

在 Exchange Online 组织中启用了 IRM 之后,必须分发导入的 AD RMS 模板。以下 Exchange Online 用户和功能使用 AD RMS 模板:

  • Web 上的 Outlook 用户

  • Exchange ActiveSync 用户

  • 传输规则

  • 日记报告解密

  • Outlook 保护规则

  1. 在 Exchange Online 组织中,检索 AD RMS 模板的列表。

    Get-RMSTemplate -Type All
    
  2. 将 AD RMS 模板分发给 Exchange Online 组织中的用户和功能。

    Set-RMSTemplate <template name> -Type Distributed
    
    注意注意:
    无法修改“不要转发”AD RMS 模板。
  3. 对要分发的每个 AD RMS 模板重复步骤 2。

Web 上的 Outlook 用户应能够将 AD RMS 模板应用于新邮件。Web 上的 Outlook 和 Exchange ActiveSync 用户应能够阅读应用了 AD RMS 模板的邮件。此外,运行 Get-RMSTemplate cmdlet 时,应列出从内部部署组织导入的所有 AD RMS 模板。

在 Exchange Online 组织中运行以下命令。

Get-RMSTemplate 

可在以下位置了解详细信息:Outlook Web App 中的信息权限管理

 
显示: