Windows Server 2012 AD RMS 介紹：文件權限管理利器

Active Directory Rights Management Services (AD RMS) 是 Windows Server 內建的角色服務，專為 Office 文件提供加密與權限控管。開啟受保護文件時需經身分驗證，確保文件安全性可控。可惜 RMS 與 Windows Live ID 整合功能已因故停止服務。

1. 部署概述

AD RMS 從 Windows Server 2003 引入，2008 版起整合進 Active Directory。部署通常以叢集方式運行，包含兩台伺服器實現負載平衡與容錯，透過 DNS 輪詢分流。建立叢集環境後，即可管控文件權限，即使文件被複製外傳，權限設定依然有效。

2. 原理與架構

RMS 基礎架構包含支援 RMS 的應用程式（如 Office）、RMS 伺服器、資料庫。使用者開啟文件時，應用程式連線至 RMS 伺服器驗證身分並取得授權。

運作流程說明

階段一：使用者 A 設定權限並儲存文件

• 使用者 A 首次登入 RMS，伺服器核發兩張憑證：用戶端授權憑證 (CLC) 與 權利帳戶憑證 (RAC)，儲存在資料庫與用戶端本機。
• 使用者 A 可指定特定使用者對文件擁有檢視、列印、複製等權限。

階段二：文件加密與權限清單保護

1. 文件內容使用隨機產生的 128-bit AES 金鑰加密成密文。
2. 此金鑰再由 RMS 伺服器憑證 (SLC) 加密保護。
3. 權限存取清單（誰可讀、寫、列印）同樣以 SLC 與 CLC 公開金鑰加密，隨文件一併儲存。

階段三：文件傳遞與使用者 B 開啟

• 使用者 B 取得文件，應用程式辨識出 RMS 保護，讀取 RMS 伺服器位址。
• 使用者 B 登入 RMS 取得自身 CLC 與 RAC，提交 RAC 請求開啟文件。
• RMS 伺服器解密權限清單，比對使用者 B 是否在授權名單中。
• 通過驗證後，伺服器將解密後的文件金鑰以 RAC 公開金鑰加密傳回用戶端。
• 用戶端以 RAC 私鑰解密金鑰，進而解密文件內容，依授權權限呈現。

即使文件離開企業網路，只要用戶端能連線 RMS 伺服器（或已快取授權），權限管控依然生效。