O documento discute o Active Directory Rights Management Service (AD RMS), que permite gerenciar permissões e direitos de arquivos. Também aborda a instalação e configuração do AD Lightweight Directory Services (AD LDS).

1. Dia 06/09/2012
MCITP-EA Active Directory
Aula 9
AD RMS
É o gerenciado de direitos do active directory, você pode utilizar um banco de dados de
terceiros baseado em SQL. E aplicativos além da Microsoft.
Ele permite que você gerencie as ACLs e o que você pode fazer dentro do arquivo, como por
exemplo, validade do arquivo, tirar um snapshot do arquivo e etc.
O maior ofensor do RMS é o trafego gerado para as autenticações.
Uma garantia de segurança é que caso o servidor de RMS esteja indisponível você não
conseguirá abrir o arquivo.
Disponível a partir do nível funcional 2000 nativo
Um recurso necessário é que exista uma conta de e-mail para que seja gerado os as chaves de
licença do arquivo, pois as chaves utilizam o nome FQDN do domínio.
Necessidades:
Criar uma conta para o serviço
Instalar um AD CS
Criar um certificado Web
A conta do Servidor de RMS deverá registrar e registrar automaticamente
Instalando
Antes de instalar
Necessidades:
Criar uma conta para o serviço
Instalar um AD CS

2. Criar um certificado Web
A conta do Servidor de RMS deverá registrar e registrar automaticamente
Para iniciar o console do AD RMS basta utilizar o seguinte comando: adrmsadmin.msc
Caso você for utilizar outro banco de dados será necessário configurar a segunda opção
Essa é a conta que gerenciará o serviço
Se estiver em um ambiente com múltiplos site escolha o que irá hospedar o serviço
Endereço que será utilizado pelo RMS para gerencia das permissões por meio externo (web) ou pela
intranet

3. Passo de configuração da CA

4. A partir desse passo é só dar NNF e fazer logoff/logon
AD LDS
Fornece serviços de diretório para aplicativos habilitados para diretório sem causar sobrecarga de
domínios e florestas e sem os requisitos de um esquema único em toda a floresta.
Ele funciona de forma completamente separada do AD DS.
Instalação
O Primeiro passo apenas instala os binários, e esse é realizado através do gerenciado de servidores
> função de servidores > AD LDS
Após a instalação siga os passos abaixo

7. O mais recomendado é trocar os valores que estão na imagem, para os de portas altas. Pois os
valores que estão apresentados na imagem são os valores padrão do AD e com isso você corre

8. o risco de se conectar a uma instância padrão do AD ao invés da instância do LDS.
Partição crida durante a instalação do LDS, as letras O e C são parâmetros da linguagem
LDAP

12. Informações que serão inportadas do AD
Sumário da instalação

13. Ele é gerenciado apenas pelo ADSI Editar (adsiedit.msc)

14. Para realizar a conexão é necessário preencher de acordo com a imagem abaixo
Para a instalação de uma replica do LDS basta seguir os passos a baixo (trago aqui apenas os

15. passos que são diferentes aos da instalação padrão)
A nova instância pode ter o mesmo nome da instancia anterior desde que elas estejam em

16. servidores diferentes

17. Script AD RMS

18. Será necessário acrescentar manualmente o endereço de e-mail dos grupos, poiso comando
dsadd não altera esse atributo.
Como recomentado os grupos estão sendo criados como o escopo UNIVERSAL
dsadd group CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local -secgrp yes -scope U
dsadd group CN=FINANCEIRO,CN=USERS,DC=DOM12,DC=local -secgrp yes -scope U
dsadd group CN=MARKETING,CN=USERS,DC=DOM12,DC=local -secgrp yes -scope U
dsadd group CN=RH,CN=USERS,DC=DOM12,DC=local -secgrp yes -scope U
dsadd USER CN=USER1,CN=USERS,DC=DOM12,DC=local -SAMID USER1 -UPN
user1@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=FINANCEIRO,CN=USERS,DC=DOM12,DC=local -email user1@DOM12.local
-DISABLED NO
dsadd USER CN=USER2,CN=USERS,DC=DOM12,DC=local -SAMID USER2 -UPN
user2@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=FINANCEIRO,CN=USERS,DC=DOM12,DC=local -email user2@DOM12.local
-DISABLED NO
dsadd USER CN=USER3,CN=USERS,DC=DOM12,DC=local -SAMID USER3 -UPN
user3@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=FINANCEIRO,CN=USERS,DC=DOM12,DC=local -email user3@DOM12.local
-DISABLED NO
dsadd USER CN=USER4,CN=USERS,DC=DOM12,DC=local -SAMID USER4 -UPN
user4@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=MARKETING,CN=USERS,DC=DOM12,DC=local -email user4@DOM12.local -DISABLED
NO
dsadd USER CN=USER5,CN=USERS,DC=DOM12,DC=local -SAMID USER5 -UPN
user5@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=MARKETING,CN=USERS,DC=DOM12,DC=local -email user5@DOM12.local -DISABLED
NO
dsadd USER CN=USER6,CN=USERS,DC=DOM12,DC=local -SAMID USER6 -UPN
user6@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=MARKETING,CN=USERS,DC=DOM12,DC=local -email user6@DOM12.local -DISABLED
NO
dsadd USER CN=USER7,CN=USERS,DC=DOM12,DC=local -SAMID USER7 -UPN
user7@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=RH,CN=USERS,DC=DOM12,DC=local -email user7@DOM12.local -DISABLED NO
dsadd USER CN=USER8,CN=USERS,DC=DOM12,DC=local -SAMID USER8 -UPN
user8@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=RH,CN=USERS,DC=DOM12,DC=local -email user8@DOM12.local -DISABLED NO
dsadd USER CN=USER9,CN=USERS,DC=DOM12,DC=local -SAMID USER9 -UPN
USER9@DOM12.local -PWD 123qwe. -memberof
CN=FUNCIONARIOS,CN=USERS,DC=DOM12,DC=local
CN=RH,CN=USERS,DC=DOM12,DC=local -email USER9@DOM12.local -DISABLED NO