Windows Server 2008 AD RMS 部署實戰：從安裝前置條件到叢集建立與用戶端整合的完整指南

前言：資訊保護從「周界」轉向「資料本身」

Windows Server 2003 RMS (權限管理服務) 需獨立下載、需連線微軟線上登錄、僅支援 Office 2003。Windows Server 2008 將其整合為角色服務，更名為 AD RMS (Active Directory Rights Management Services)，支援離線安裝、AD 整合發佈服務連接點 (SCP)、原生支援 Office 2007/2010、可擴展至第三方應用 (透過 RMS SDK)。本文記錄單一伺服器叢集部署全流程。

一、 硬體與軟體前置條件

二、 角色安裝與叢集建立 (伺服器管理員 GUI)

1. 伺服器管理員 → 角色 → 新增角色 → 勾選 Active Directory Rights Management Services。
2. 角色服務：預設勾選 AD RMS 伺服器、同盟身分驗證支援 (選用，跨組織信任需求時啟用)。
3. 叢集類型：新建 AD RMS 叢集 (首台) 或 加入現有叢集 (高可用擴展)。
4. 資料庫設定：選擇 使用其他資料庫伺服器 → 輸入 SQL 實例名稱 (如 SQL01\RMS) → 驗證連線 (需 SQL 服務帳號具備 dbcreator 權限)。
5. 服務帳號：指定專用網域帳號 (如 svc_ad_rms)，密碼永不過期，委派最小權限。
6. 叢集金鑰儲存：使用 AD RMS 集中管理的金鑰儲存 (預設，金鑰加密儲存於 AD) 或 硬體安全模組 (HSM) (高安全環境)。
7. 叢集金鑰密碼：設定高強度密碼 (用於金鑰備份/還原)。
8. 叢集網站：選擇 預設網站 (埠 80) 或建立獨立網站 (建議 HTTPS 埠 443，需預先綁定伺服器憑證)。
9. 叢集位址：輸入對外發佈 URL (如 https://rms.corp.example.com)，驗證可解析。
10. 授權伺服器憑證名稱：輸入易識別名稱 (如 Corp RMS Licensing Cert 2024)。
11. SCP 註冊：勾選 立即註冊 AD RMS 服務連接點，用戶端自動發現叢集。
12. 確認安裝選項 → 安裝 → 完成後登出再登入，開啟「Active Directory Rights Management Services」主控台開始管理。

三、 管理主控台核心操作

• 授權原則範本：建立「機密 - 唯讀」、「內部 - 可編輯」、「高度機密 - 僅擁有者」等範本，使用者右鍵檔案 →「保護」即可套用。
• 信任的使用者網域 (TUD)：新增合作夥伴組織的 AD RMS 叢集憑證，實現跨組織受保護文件無縫流轉。
• 排除原則：指定不受 RMS 保護的應用程式/副檔名 (如簽章驗證工具、舊版列印驅動)。
• 超級使用者群組：指定 IT 稽核小組帳號，擁有解除所有受保護內容權限 (合規調查、資料遺失防護)。
• 日誌與報表：啟用資料庫日誌，定期匯出「授權請求統計」、「範本使用排行」供管理審視。

四、 用戶端部署與驗證

1. 確認用戶端電腦已加入網域，安裝 Office 2007+ 企業版。
2. Word/Excel/PowerPoint →「檢閱」→「保護」→「限制權限」→ 登入網域帳號，自動從 AD 讀取 SCP 連線 RMS 叢集。
3. 建立測試文件，套用「機密 - 唯讀」範本，另存為 Test.rdocx。
4. 複製至非網域電腦 / 未安裝 Office 電腦，嘗試開啟 → 應提示需安裝 RMS 用戶端 / 無權限無法開啟。
5. 以授權使用者身分開啟 → 可閱讀、不可列印/另存/複製，驗證保護生效。

五、 高可用與災難復原要點

• 叢集擴展：第二台 RMS 伺服器安裝角色時選「加入現有叢集」，共用同一 SQL 資料庫與叢集金鑰，NLB/DNS 輪詢分流授權請求。
• 金鑰備份：主控台 →「備份金鑰」→ 輸出 .xml 加密檔案，離線儲存於異地保險箱，每季輪換驗證還原。
• 資料庫備份：SQL Agent 作業每日完整備份 + 15 分鐘交易記錄備份，RPO < 15 分鐘。
• AD 還原：RMS 叢集設定儲存於 AD (CN=RMS,CN=System,DC=...)，AD 系統狀態備份必須包含此分區。

結語： AD RMS 將資訊保護從「檔案伺服器 ACL」提升至「文件級加密 + 授權原則隨內容流動」的新高度。部署關鍵在於：SQL 可用性、叢集金鑰全生命週期管理、SCP 自動發現、用戶端 Office 版本合規。完成單叢集部署後，建議立即規劃雙節點高可用與金鑰備份演練，確保核心資產保護服務持續可用。