关于Document Security

Document Security确保只有授权用户才能使用您的文档。 使用Document Security，您可以安全地分发以支持的格式保存的任何信息。 支持的文件格式包括：

• Adobe PDF文件
• Microsoft®Word、Excel和PowerPoint文件

有关策略如何保护支持的文件类型的详细信息，请参阅 更多文档安全信息.

使用Document Security，您可以轻松创建、存储预定义机密性设置并将其应用于文档。 为了防止信息超出您的覆盖范围，您还可以监控和控制在您分发文档后收件人如何使用您的文档。

您可以使用策略保护文档。 策略​是包含机密性设置和授权用户列表的信息的集合。您在策略中指定的机密性设置确定收件人如何使用您应用策略的文档。 例如，您可以指定收件人是否可以打印或复制文本、编辑文本或者向受保护文档添加签名和注释。

Document Security用户通过最终用户网页创建策略。 管理员使用Document Security网页创建策略集，策略集包含可供所有授权用户使用的共享策略。

虽然策略存储在Document Security中，但您可以通过客户端应用程序将它们应用到文档。 有关如何将策略应用于PDF文档的详细信息，请参见 Acrobat帮助. 有关使用其他应用程序(如Microsoft® Office)来应用策略的文档，请参见 Acrobat Reader DC扩展帮助 应用程序的。

将策略应用到文档时，策略中指定的机密性设置保护文档包含的信息。 机密性设置还可以保护PDF文档中的任何文件（文本、音频或视频）。 您可以将受策略保护的文档分发给策略授权的收件人。

文档访问控制和审核

使用策略保护文档可让您持续控制该文档，即使在分发文档之后也是如此。 您可以监视文档、更改策略、阻止用户继续访问文档，以及切换应用于文档的策略。

通过Document Security，您可以监视受策略保护的文档并跟踪事件，例如当授权或未经授权的用户尝试打开文档时。

组件

Document Security包括服务器和用户界面：

服务器： Document Security执行事务（如用户身份验证、策略的实时管理和机密性应用）的中心组件。 该服务器还为策略、审计记录和其他相关信息提供了一个中央存储库。

网页： 在该界面中，您可以创建策略、管理受策略保护的文档并监视与受策略保护的文档关联的事件。 管理员还可以为受邀用户配置全局选项，如用户身份验证、审核和消息传送，以及管理受邀用户帐户。

图中的步骤如下：

1. 文档所有者使用网页创建策略。 文档所有者可以创建仅供他们访问的个人策略。 管理员和策略集协调员可以在授权用户可访问的策略集中创建共享策略。
2. 文档所有者应用策略，然后保存并分发文档。 可以通过电子邮件、网络文件夹或网站分发文档。
3. 收件人将在相应的客户端应用程序中打开文档。 收件人可以根据其策略使用文档。
4. 文档所有者、策略集协调员或管理员可以使用网页跟踪文档并修改对文档的访问权限。

关于Document Security用户

各种类型的用户使用Document Security完成不同的任务：

• 系统管理员或其他信息系统(IS)人员安装和配置Document Security。 此人还可以负责配置服务器、网页以及策略和文档的全局设置。

  例如，这些设置可能包括基本Document Security URL、审核和隐私通知、受邀用户注册通知和默认离线租赁期。

• Document Security管理员创建策略和策略集，并根据需要管理用户受策略保护的文档。 他们还创建受邀用户帐户，并监视系统、文档、用户、策略、策略集和自定义事件。 他们可能还负责配置全局服务器，以及系统管理员的网页和策略设置。

  管理员可以在管理控制台的“用户管理”区域中为用户分配以下角色。 分配了这些角色的用户在管理控制台的Document Security用户界面区域中执行任务。

  Document Security超级管理员

  具有此角色的用户有权访问管理控制台中的所有文档安全设置。 这些权限与角色关联：

  • 管理配置
  • 管理策略
  • 管理策略集
  • 管理文档
  • 管理文档发布者
  • 管理受邀用户和本地用户
  • 查看事件
  • 委派
  • 邀请外部用户

  Document Security管理员

  具有此角色的用户可以使用管理控制台的Document Security部分中的配置页面配置Document Security服务器。 此权限与角色“管理配置”相关联。

  注意

  具有此角色的用户还必须具有管理控制台用户角色，才能登录到管理控制台并编辑任何与配置相关的设置。

  文档安全策略集管理员

  具有此角色的用户可以使用管理控制台的Document Security部分编辑其他用户的策略以及创建、编辑和删除策略集。 当策略集管理员创建策略集时，可以为该策略集分配策略集协调器。 这些权限与角色关联：

  • 管理策略
  • 管理策略集
  • 管理文档
  • 管理文档发布者
  • 查看事件
  • 委派
  注意

  具有此角色的用户还必须具有管理控制台用户角色，才能登录到管理控制台并编辑任何与配置相关的设置。

  Document Security管理受邀用户和本地用户

  具有此角色的用户可以执行在相关Document Security网页上管理所有受邀用户和本地用户所需的任务。 这些权限与角色关联：

  • 管理受邀用户和本地用户
  • 邀请外部用户
  • 访问最终用户网页
  注意

  具有此角色的用户还必须具有管理控制台用户角色，才能登录到管理控制台并编辑任何与配置相关的设置。

  Document Security邀请用户

  具有此角色的用户可以邀请用户。 这些权限与角色关联：

  • 邀请外部用户
  • 访问最终用户网页

  Document Security最终用户

  具有此角色的用户可以访问Document Security最终用户网页。 此角色也可以分配给管理员，以允许管理员使用最终用户页面创建策略。 此权限与角色访问最终用户网页相关联。

• 组织内拥有有效Document Security帐户的用户可创建自己的策略，使用策略保护文档，跟踪和管理受策略保护的文档，并监视与其文档相关的事件。

• 策略集协调员管理文档、查看事件以及（根据其权限）管理其他策略集协调员。 管理员指定用户作为特定策略集的策略集协调者。

• 组织外部的用户（例如，业务合作伙伴）可以使用受策略保护的文档，前提是这些文档位于document security目录中、管理员为他们创建了帐户，或者他们通过自动电子邮件邀请流程注册了document security。 根据管理员启用访问设置的方式，受邀用户可能还拥有将策略应用到文档的权限，创建、修改和删除其策略的权限，以及邀请其他外部用户使用其受策略保护的文档的权限。

• 开发人员使用AEM Forms SDK将自定义应用程序与Document Security集成。

Document Security管理员可以使用“用户管理”中的以下权限创建自定义角色：

• Document Security管理配置
• Document Security管理受邀用户和本地用户
• Document Security管理策略集
• Document Security管理策略集
• Document Security查看服务器事件
• Document Security更改策略所有者

策略和受策略保护的文档

A 策略 定义了一组机密性设置和用户，用户可以访问应用了该策略的文档。 策略还允许动态更改文档的权限。 它授予文档安全人员更改机密性设置的权限，以撤销对文档的访问权限或切换策略。

可以使用Adobe Acrobat®Pro和Acrobat Standard将策略保护应用于PDF文档。 使用安装了相应Acrobat Reader DC扩展的客户端应用程序，可以将策略保护应用于其他文件类型，如Microsoft®Word、Excel和PowerPoint文件。

策略的工作方式

策略包含有关授权用户的信息以及要应用于文档的机密性设置。 用户可以是贵组织中的任意用户，也可以是拥有帐户的贵组织外部人员。 如果管理员启用了用户邀请功能，则甚至可以将新用户添加到策略中，从而启动注册邀请电子邮件流程。

策略中的机密性设置确定收件人可以如何使用文档。 例如，您可以指定收件人是否可以打印或复制文本、进行更改或向受保护文档添加签名和注释。 同一策略还可以为特定用户指定不同的机密性设置。

用户和管理员通过Document Security网页创建策略。 一次只能将一个策略应用于文档。 可以使用以下方法之一应用策略：

• 在Acrobat或其他客户端应用程序中打开文档，然后选择策略以保护文档。
• 在Microsoft® Outlook中将文档作为电子邮件附件发送。 在这种情况下，您可以从策略列表中选择策略。 或者，您可以选择由Acrobat创建的自动生成的策略，该策略具有默认机密性设置集，以便仅为电子邮件收件人保护文档。

可以使用客户端应用程序从文档中删除策略。

图中的步骤如下：

1. 文档所有者使用允许在线使用的策略从受支持的客户端应用程序保护文档。
2. Document Security会创建文档许可证和文档密钥，并对策略进行加密。 文档许可证、加密策略和文档密钥将返回到客户端应用程序。
3. 使用文档密钥加密文档，并且文档密钥被丢弃。 文档现在嵌入了许可证和策略。 这些任务在支持的客户端应用程序中执行。

将策略应用到文档时，该文档中包含的信息，包括PDF文档中包含的任何文件（文本、音频或视频），均受策略中指定的机密性设置保护。 Document Security生成许可证和加密信息，然后嵌入到文档中。 当您分发文档时，document security可以对尝试打开文档的收件人进行身份验证，并根据策略中指定的权限授权访问。

如果启用了离线使用，则收件人还可以在策略指定的时间段内离线使用受策略保护的文档（没有活动的Internet或网络连接）。

受策略保护的文档的工作方式

要打开和使用受策略保护的文档，策略必须包括您的姓名作为收件人，并且您必须拥有有效的Document Security帐户。 对于PDF文档，您需要Acrobat或Adobe Reader®。 对于其他文件类型，您需要为安装了Acrobat Reader DC扩展的文件安装适当的应用程序。

当您打开受策略保护的文档时，Acrobat、Adobe Reader或Acrobat Reader DC Extensions会连接到Document Security以验证您的身份。 然后，您可以继续登录。 如果正在审核文档使用情况，则会显示通知消息。 在文档安全确定要授予哪些文档权限后，它管理文档的解密。 然后，您可以根据策略机密性设置使用该文档。

图中的步骤如下：

1. 文档用户在受支持的客户端应用程序中打开文档，并使用服务器进行身份验证。 文档标识符被发送到Document Security服务器。
2. Document Security验证用户，检查授权策略，并创建凭证。 凭证（包含文档密钥和权限）将返回到客户端应用程序。
3. 使用文档密钥解密文档，并丢弃文档密钥。 然后，可以根据策略的机密性设置使用该文档。 这些任务在支持的客户端应用程序中执行。

在以下条件下，您可以继续使用文档：

• 无限期或在策略中指定的有效期内
• 在管理员或应用策略的人撤销对文档的访问权限或更改策略之前

如果策略允许离线访问，您还可以离线使用受策略保护的文档（没有Internet或网络连接）。 首先登录Document Security以同步文档。 然后，您可以在策略中指定的脱机租赁期内使用该文档。

离线租赁期结束时，通过联机并打开受策略保护的文档或使用客户端应用程序中的命令再次将文档与Document Security同步。 请参阅 Acrobat帮助 或相应的 Acrobat Reader DC扩展帮助 以了解详细信息。

如果使用“保存”或“另存为”菜单命令保存受策略保护文档的副本，则会自动为新文档应用和实施策略。 诸如尝试打开新文档之类的事件也将被审核并记录为原始文档。

策略集

策略集 用于对具有共同业务目的的一组策略进行分组。 然后，这些策略集将提供给系统中的部分用户。

每个策略集可以有一个或多个关联的策略集协调器。 策略集协调员是管理员或具有更多权限的用户。 此 策略集协调器 通常是组织中的专家，可以最好地创作特定策略集中的策略。

策略集协调员可以执行以下任务：

• 创建策略
• 编辑和删除策略集中的任何策略
• 编辑策略集设置
• 添加和删除策略集协调器
• 查看策略集中任何策略或文档的策略和文档事件
• 撤销对文档的访问权限
• 切换文档的策略。

策略集由管理员和具有相应权限的策略集协调员在Document Security Administration网页中创建和删除。

通过指定域中哪些用户或组可以使用策略集中的策略来保护文档，策略集可供有限数量的用户使用。

安装Document Security后，将创建一个默认策略集，名为 全局策略集. 安装软件的管理员管理此策略集。

最佳实践

策略是可应用于各种文档的可重用权限和用户组集。 对于受保护的文档。 这些策略可确保只有授权用户才能使用允许的功能。 随着一个部门中不同用户角色和文档的增加，策略和策略集的数量预计会增加。 要创建和管理策略，以下是一些注意事项和最佳实践：

• 创建可重用策略： Adobe建议在各种文档中重用策略。 它有助于将策略数量保持在最小，提供最佳性能，并使策略管理更加容易。 要创建可重用策略，请执行以下操作：

1. 在部门和组织级别确定和定义访问控制要求。

2. 创建用户组并将用户添加到这些组。

3. 创建策略集。

4. 打开策略集并创建策略。 添加用户组并为策略设置机密性（访问控制）设置。

将用户组添加到策略而非单个用户。 这样可以更轻松地管理策略并将其应用到许多用户。

• 创建自定义策略集： 策略集将多个策略组合为一个可管理的实体。 为您的组织或部门创建自定义策略集，使用这些策略集对相关策略进行分组，并使这些策略集对系统中的部分用户可用。

  使用策略集可以更轻松地向组织或部门中的特定用户分配和管理相关策略。 例如，为财务和人力资源部门单独设置政策有助于轻松管理相关政策，并将其应用于为相应部门指定的文件。

• 使用外部授权程序动态应用权限： 您可以使用 外部授权程序 根据外部条件评估和动态应用权限。 在根据外部条件动态评估权限时，您可以：

  • 为组织中的文档提供集中访问控制。

  • 通过动态确定用户是否可以访问受策略保护的文档，控制对受策略保护文档的访问。 例如，动态确定用户是否可以打印受策略保护的文档。

  • 使用内容管理系统使用的访问控制机制，以及标准策略评估过程。 例如，当服务确定用户是否可以打印受策略保护的文档时，它可以使用标准策略评估过程。 此外，它还可以使用内容管理系统使用的访问控制机制。

  虽然可以使用外部授权处理程序完全替换Document Security策略评估流程，但建议您在策略评估流程中使用外部授权处理程序。 因此，可以使用与内容管理系统相同的控制机制来控制文档访问。 例如，当Document Security服务确定用户是否可以打印受策略保护的文档时，它使用标准策略评估流程。 它还使用内容管理系统使用的访问控制机制。 有关更多信息，请参阅 创建外部授权处理程序.

• 将策略集保留为有限数： 若干因素导致政策和政策组合不断增长。 一些常见因素包括：

  • 在一段时间内增加组织内的用户角色、部门和文档。
  • 组织内各部门单独工作，严格控制部门政策。 它会导致组织内出现相同的策略。

  Adobe建议将策略和策略集的数量保持为最小。 它有助于轻松管理策略和策略集并提供更好的性能。 要使数字保持最小，请执行以下操作：

  • 创建可重用策略。 这些策略可以在多个部门之间共享。
  • 如果某些策略适用于多个部门而不是每个部门的单个策略集，请考虑创建组织范围的策略集。
  • 策略集中与组相关的策略。 不要为每个策略创建单独的策略集。
  • 使用外部授权程序动态控制用户权限。
  注意

  您可以使用 getAllPolicysetnames() 用于检索最多1000个策略集名称的API。 在内部，API最多可检索1000个策略，而API调用器对这些策略具有文档发布者权限，然后可创建一组与检索到的策略关联的唯一策略集名称，并将其返回给您。 例如，当API检索1000个策略并且检索到的策略与总共200个策略集关联时，API仅返回200个策略集名称。