Lizenzfrage zu S/MIME/PGP ausgehend

[Fab03]

Hallo zusammen,

kurze Frage zur Lizenzierung und zum Zählmechanismus. Es war glaube ich mal so, dass zwar alle Postfächer Zertifikate einsammeln können, aber für den verschlüsselten Versand, genau wie für den verschlüsselten Empfang eine Encryption Lizenz benötigt wird.

Ist das weiterhin so oder gibt es inzwischen Unterschiede bei Versand und Empfang? Super wäre beispielsweise, wenn man ausgehend nicht auf die Lizenzen angewiesen wäre. Wir haben bei uns im Haus beispielsweise enorm viele User, die maximal 1-2 Mails pro Jahr verschlüsselt schicken würden, weil der jeweilige Empfänger ein hinterlegtes Zertifikat hat. Dafür lohnt es sich im Prinzip nicht, eine Lizenz zu kaufen.

Für den Empfang von verschlüsselten Mails sieht das Ganze natürlich anders aus. Hier bekommt man die Kunden doch einfacher dazu, bestimmte Postfächer zu nutzen und die Lizenzen zu bündeln.

Ich hoffe, man kann meine Frage einigermaßen nachvollziehen

 

[JanJäschke]

sry finde das grade einen sehr lustigen Anwendugsfall, aber aus kalkulatorischer Sicht natürlich verständlich.

Dein Wissen ist soweit korrekt, das signieren/verschlüsseln und entschlüsseln benötigt eine Lizenz.

Wenn du nun sagst du hast eine AD Gruppe an Postfächern die vorallem notwendig sind weil dort entschlüsselt wird und der Rest ist optional mach dir das Leben leicht und
1. duplizieret deine regel, beschränke diese nun auf die AD Gruppe/notwendigen Postfächer. Bei Bedarf schalte ausgehende signieren/verschlüsseln ab. Dann wird nur entschlüsselt
2. entferne überall die SMIME Aktion bzw besser eig stelle sie so ein, dass sie nicht signiert/verschlüsselst aber harvested und Zertifikate entfernt.

Falls notwendig kannst du mittels duplizieren auch eine Regel bauen um zu steuern wer signiert/verschlüsselt raus schicken soll.


Damit das gut funktioniert braucht es klare Anforderungen, aber dann kannst du auch als 1000 User Kunde mit 5 Encryption Lizenzen auskommen.

Würde ich das so generell empfehlen:
Ganz klares Nein. Es ist aufwendig, geht nicht überall und fühlt sich auch nicht sauber an.

Aber wir sind nicht umsonst so flexibel in der Konfiguration


Es gäbe auch noch einen weiteren vlt besseren Ansatz, aber den müsste ich erst validieren ob zu 100% funktionieren würde.
Hier würdest du global bei den Partnern Smime/PGP deaktivieren und nur noch bei bestimmten Partnern oder gar Partnerbenutzern das ganze aktivieren.
Dann würde nur an diese wenigen Benutzer eine Lizenz benötigt werden (pro User der hin verschlüsselt)
Das könnte man dann mit Regeln auch noch weiter einschränken. Ideal wenn wirklich immer abgesprochen wird, dass nur an bestimmte Postfächer eine kryptographische Operation stattfinden soll.

Lg
Jan