RMSとIRMの動作
RMSとIRMは、信頼されたエンティティの識別にデジタル証明書を用いる。以下にそのプロセスを簡単に説明しておく。
- 保護されたメッセージやドキュメントが、RMSクライアント側でRMS対応アプリケーションを用いて作成される
- メッセージやドキュメントに適用される使用権限を列挙した発行ライセンスが作成される
- RMSサーバには、この情報の暗号化に使用された公開鍵が置かれている。保護されたメッセージやドキュメントの受信者がそれらをオープンしようとすると、受信者の資格がRMSサーバによって検証される
- 発行ライセンス中で規定された使用権限を保持した使用ライセンスが、RMSサーバによって発行される
- エンドユーザーライセンス用の鍵とXrML（eXtensible rights Markup Language）証明書を用いて該当情報が復号化される
- RMS対応アプリケーションによって使用権利が強制される
RMSを導入するには
RMSを企業に導入するためには、1台以上のWindows RMSサーバが必要となる。RMSサーバのインストール時にはMicrosoft Enrollment ServiceによってルートRMSサーバの公開鍵を署名するというサーバ登録プロセスを進める。追加サーバの設定は、ルートサーバの設定後に行う。
また、SQLデータベースも必要となる。RMSはこのデータベースに、設定やポリシー情報、ログを格納する。RMSサーバが1台しかない場合、低容量環境であればMSDEを使用することも可能だ。
RMS対応アプリケーションを使用するマシンには、Windows Vistaを稼働させている場合を除き、RMSクライアントソフトウェアがインストールされていなければならない。クライアントコンポーネントは、保護されたコンテンツの作成、もしくは保護されたメッセージやドキュメントの閲覧をユーザーが最初に行おうとした際に自動的にアクティブになる。
クライアント側では、保護されたコンテンツの作成や閲覧を行うためにOffice 2003やOffice 2007といったRMS対応アプリケーションが動作していなければならない。
RMSサーバによって、ユーザーアカウントと特定のコンピュータを関連づけるXrML証明書が発行される。この証明書には、該当ユーザーに対して情報の使用を許可する際に用いられる鍵のペア（公開鍵と秘密鍵）が保持されている。
上級トピック
Microsoftは、カスタムRMSアプリケーションを開発したり既存アプリケーションにRMS機能を追加したりすることができるよう、RMS用のSoftware Development Kit（SDK）をリリースしている。
管理者は、権利ポリシーテンプレートを利用することで、受信者グループやActive Directoryグループ、ユーザーライセンスの有効期間といった条件を設定することができる。また、権利の保護されている情報に対するユーザーのアクセス権を廃止するために、管理者は失効リストを作成することもできる。
まとめ
権限を持たない人物が情報にアクセスすることを防ぐ優れたセキュリティ戦略が存在している場合であっても、承認済みユーザーが情報の取得後にそれをどう取り扱うかをコントロールする方法が必要になる場合もある。今回取り上げたような現在入手できるソフトウェアを組み合わせることで、RMSとIRMのテクノロジを使って情報の受信者による該当情報の誤用を難しくすることができる。
