Snabbstart: služba Active Directory Rights Management Server-skydd (AD RMS)

Den här snabbstarten visar hur du implementerar stöd för služba Active Directory Rights Management Server (AD RMS) med hjälp av MIP SDK.

Förutsättningar

Om du inte redan har gjort det, se till att:

• Slutför snabbstart: Initiering av klientprogram (C++) först, som skapar en Visual Studio-startlösning.
• Slutför snabbstart: Lista känslighetsetiketter (C++) eller Snabbstart: Lista känslighetsetiketter (C#).
• Distribuera AD RMS med tillägget för mobila enheter.
• Eventuellt, se till att DNS SRV-posten för AD RMS MDE publiceras.

Upptäckt av tjänster

MIP SDK identifierar automatiskt den lokala tjänstslutpunkten för en FileEngine eller ProtectionEngine när du inte uttryckligen anger en tjänst-URL. Den använder användaridentiteten som tillhandahålls via FileEngineSettings eller ProtectionEngineSettings med hjälp av UPN- eller e-postadresssuffixet. Den söker först i domänhierarkin efter _rmsdisco-posten för MDE. Mer information om den processen finns i avsnittet Ange DNS SRV-poster för AD RMS-tillägget för mobila enheter. Om den DNS SRV-posten inte hittas används Microsoft Purview Information Protection-tjänsten som standard som plats för tjänsten.

Konfigurera Fil-SDK i C# för att använda AD RMS

Programmet kräver två mindre ändringar om det använder Microsofts autentiseringsbibliotek (MSAL.NET) och File SDK på C#. Uppdatera FileEngineSettings-objektet och din MSAL-utfärdarkonfiguration så att de fungerar med AD RMS och Active Directory Federation Services (ADFS) (AD FS).

Om du har distribuerat DNS SRV-posten för mobilt enhetstillägg och planerar att skicka in ett användarnamn eller en e-postadress, följ anvisningarna för att använda en identitet.

Uppdatera inställningarna för filmotorn för att använda AD RMS med en identitet

Om du publicerade DNS SRV-posten för MDE och angav Microsoft.InformationProtection.Identity som en del av motorinställningarna är den enda nödvändiga kodändringen att ange FileEngineSettings.ProtectionOnlyEngine = true. Du måste ställa in den här egenskapen eftersom slutpunkter för AD RMS-skydd inte stöder åtgärder för etikettering (policy).

// Configure FileEngineSettings as protection only engine.
var engineSettings = new FileEngineSettings("", authDelegate, "", "en-US")
{
     // Provide the identity for service discovery.
     Identity = identity,
     // Set ProtectionOnlyEngine to true for AD RMS as labeling isn't supported
     ProtectionOnlyEngine = true
};

Uppdatera autentiseringsdelegaten

Om du använder MSAL.NET i ditt .NET program konfigurerar du det offentliga klientprogrammet så att det hoppar över utfärdarvalidering när du riktar in dig på en AD FS-utfärdare. Ange WithAuthority(authority, validateAuthority: false) på PublicClientApplicationBuilder:

var app = PublicClientApplicationBuilder
    .Create(clientId)
    .WithAuthority(authority, validateAuthority: false)
    .WithRedirectUri(redirectUri)
    .Build();

Om du underhåller en äldre applikation som fortfarande använder det utfasade služba Active Directory Authentication Library (ADAL), är motsvarande ändring att skicka false för validateAuthority till konstruktorn AuthenticationContext. Planera att migrera koden till MSAL.

Konfigurera Fil-SDK i C++ för att använda AD RMS

Om du har distribuerat DNS SRV-posten för mobilt enhetstillägg och planerar att skicka in ett användarnamn eller en e-postadress, följ anvisningarna för att använda en identitet.

Uppdatera FileEngine::Settings för att använda AD RMS med en identitet

Om du publicerade DNS SRV-posten för MDE och angav mip::Identity i FileEngine::Settings, är den enda åtgärden att ställa in motorn på endast skydd.

FileEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");
engineSettings.SetProtectionOnlyEngine(true);

Konfigurera Skydds-SDK i C++ för att använda AD RMS

Om du har distribuerat DNS SRV-posten för mobilt enhetstillägg och planerar att skicka in ett användarnamn eller en e-postadress, följ anvisningarna för att använda en identitet.

Ställ in ProtectionEngine::Settings så att AD RMS används med en identitet

Om du har publicerat DNS SRV-posten för tillägget för mobila enheter och angett en identitet i ProtectionEngine::Settingsbehöver du inga extra kodändringar för att använda AD RMS. Upptäckt av tjänster identifierar AD RMS-slutpunkten och använder den för skydd.

ProtectionEngine::Settings engineSettings(mip::Identity(mUsername), authDelegate, "");

Ta bort eller kommentera etikettreferenser

Om du skapar programmet från någon av snabbstartsguiderna upptäcker du att ditt program har referenser till etiketter i form av fileEngine.SensitivityLabels eller engine->ListSensitivityLabels();. Eftersom du endast ställer in programmet på skydd kommenterar du ut eller tar bort dessa kodblock. Att köra dem ger upphov till ett undantag.

Nästa steg

Nu när du har gjort ändringarna för att stödja AD RMS kan ditt program utföra alla skyddsåtgärder med hjälp av AD RMS-tjänsten som skyddsprovider.