Informazioni su Information Rights Management

Si applica a: Exchange Server 2010

Ultima modifica dell'argomento: 2010-02-01

Ogni giorno, gli informatici utilizzano la posta elettronica per lo scambio di informazioni sensibili come le relazioni finanziarie e dei dati, contratti legali, informazioni sui prodotti riservate, relazioni e proiezioni di vendita, analisi della concorrenza, la ricerca e le informazioni sui brevetti e informazioni su clienti e dipendenti. Perché le persone possono accedere alla propria posta elettronica da qualsiasi luogo, le cassette postali si sono trasformate in depositi contenenti grandi quantità di informazioni potenzialmente sensibili. Di conseguenza, la perdita di informazioni rappresenta una grave minaccia per la maggior parte delle organizzazioni. Per aiutare a prevenire la perdita di informazioni, Exchange 2010 include Information Rights Management (IRM) che fornisce una costante protezione online e offline dei messaggi di posta elettronica e degli allegati.

Sommario

Cosa si intende per perdita di informazioni

Soluzioni standard per affrontare la perdita di informazioni

Information Rights Management in Exchange 2010

Modelli dei criteri per i diritti AD RMS

Applicazione della protezione IRM ai messaggi

Decrittografia dei messaggi protetti tramite IRM per l'applicazione dei criteri di messaggistica

Prelicenza

Agenti IRM

Requisiti IRM

Configurazione e verifica di IRM

Cosa si intende per perdita di informazioni

La perdita di informazioni potenzialmente sensibili può essere costosa per una organizzazione impegnata su più fronti e avere un impatto negativo sull'organizzazione e sulla sua attività, sui dipendenti, sui clienti e sui partner. Inoltre, le modalità con cui determinati tipi di informazioni vengono archiviate, trasmesse e protette sono sempre più regolate da normative settoriali e locali. Per non violare le normative vigenti, le organizzazioni devono proteggersi contro la perdita intenzionale, involontaria o accidentale di informazioni.

Di seguito vengono menzionate alcune conseguenze derivanti dalla perdita di informazioni:

• Danni finanziari   A seconda della portata, del settore e delle normative locali, la perdita di informazioni può anche comportare notevoli conseguenze finanziarie dovute a mancati guadagni oppure a multe o risarcimenti disposti dai tribunali o da altre autorità competenti. Le società ad azionariato diffuso (public company) potrebbero anche rischiare la perdita di capacità di capitalizzazione sul mercato a causa di una copertura mediatica negativa.
• Danni all'immagine e alla credibilità   La perdita di informazioni può danneggiare l'immagine di un'organizzazione e la sua credibilità nei confronti dei clienti. Inoltre, a seconda della natura della comunicazione, i messaggi di posta elettronica trapelati possono essere una potenziale fonte di imbarazzo per il mittente e l'organizzazione.
• Perdita del vantaggio competitivo   Uno dei principali rischi legati alla perdita di informazioni è l'erosione del vantaggio competitivo dell'azienda nel suo mercato di riferimento. La divulgazione di informazioni inerenti i piani strategici o fusioni e acquisizioni può portare a drastiche riduzioni di fatturato o capitalizzazione. Altri rischi correlati includono la perdita di dati inerenti la ricerca o le analisi di mercato e altre proprietà intellettuali.

Soluzioni standard per affrontare la perdita di informazioni

Anche se alcune soluzioni standard per la perdita di informazioni sono in grado proteggere l'accesso iniziale ai dati, spesso non offrono una protezione costante. Ad esempio, nella tabella seguente sono elencate alcune soluzioni standard e i rispettivi limiti

Soluzione	Descrizione	Limiti
Transport Layer Security (TLS)	Il TLS è un protocollo Internet standard utilizzato per proteggere le comunicazioni in rete tramite la crittografia. In un ambiente di messaggistica, il TLS viene utilizzato per garantire le comunicazioni server-server e/o client-server. Per impostazione predefinita, Exchange 2010 utilizza il TLS per tutti i trasferimenti dei messaggi interni. Per impostazione predefinita, il protocollo TLS opportunistico è abilitato anche per le sessioni con host esterni, vale a dire che Exchange tenta prima di utilizzare la crittografia TLS per quella sessione, ma se non è possibile stabilire una connessione TLS con il server di destinazione, Exchange utilizza il protocollo SMTP. È anche possibile configurare la protezione del dominio per attivare Mutual TLS con le organizzazioni esterne. Per ulteriori informazioni, vedere Informazioni sulla protezione del dominio.	Il TLS protegge solo la sessione SMTP tra due host SMTP. In altre parole, protegge le informazioni in movimento, ma non fornisce protezione a livello di messaggio o di informazioni statiche. A meno che non vengano crittografati utilizzando un altro metodo, i messaggi nelle cassette postali del mittente e dei destinatari sono dunque senza protezione. Per la posta elettronica inviata al di fuori dell'organizzazione, è possibile richiedere il protocollo TLS solo per il primo hop. Una volta che un host SMTP remoto al di fuori dell'organizzazione ha ricevuto il messaggio, può inoltrarlo ad un altro host SMTP con una sessione in chiaro. Dal momento che il TLS è una tecnologia di trasporto, non è in grado di fornire un controllo su ciò che il destinatario fa con il messaggio.
Posta elettronica crittografata	Gli utenti possono utilizzare tecnologie quali S/MIME per crittografare i messaggi.	Sono gli utenti a decidere se crittografare un messaggio. Tuttavia, la crittografia impone i costi aggiuntivi legati alla distribuzione di una infrastruttura a chiave pubblica (PKI), con il conseguente costo indiretto della gestione dei certificati degli utenti e della protezione delle chiavi private. Inoltre, dopo che un messaggio è stato decrittografato, non esiste alcun controllo su ciò che il destinatario può fare con le informazioni. Le informazioni decrittografate possono essere tranquillamente copiate, stampante o inviate ad altri. Per impostazione predefinita, gli allegati salvati non sono protetti. L'organizzazione non è in grado di accedere ai messaggi crittografati che utilizzano tecnologie come S/MIME. L'organizzazione non può controllare il contenuto del messaggio e non può quindi applicare i propri criteri di messaggistica, eseguire la scansione dei messaggi per rilevare l'eventuale presenza di virus o contenuti dannosi oppure effettuare qualsiasi altra azione che richieda l'accesso al contenuto.

Infine, le soluzioni tradizionali spesso non dispongono di strumenti in grado di applicare criteri di messaggistica uniformi per impedire la perdita di informazioni. Ad esempio, un utente invia un messaggio contenente informazioni sensibili e lo contrassegna come riservato e da non inoltrare. Tuttavia, una volta che il messaggio è stato recapitato al destinatario, il mittente o l'organizzazione non ha più alcun controllo su quelle informazioni. Il destinatario può volontariamente o involontariamente inoltrare il messaggio (utilizzando funzionalità quali le regole di inoltro automatico) ad account di posta elettronica esterni, sottoponendo l'organizzazione a sostanziali rischi di perdita di informazioni.

Information Rights Management in Exchange 2010

In Exchange 2010, è possibile utilizzare le funzionalità di Information Rights Management (IRM) per applicare una protezione permanente ai messaggi e agli allegati. IRM utilizza Active Directory Rights Management Services (AD RMS), una tecnologia di protezione delle informazioni integrata in Windows Server 2008. Con le funzionalità di IRM in Exchange 2010, l'organizzazione e gli utenti possono controllare i diritti che i destinatari hanno su un messaggio di posta elettronica. IRM consente anche di autorizzare o limitare le azioni del destinatario, quali l'inoltro di un messaggio ad altri destinatari, la stampa di un messaggio o un allegato o l'estrazione del contenuto del messaggio o dell'allegato tramite copia/incolla. La protezione IRM può essere applicata dagli utenti di Microsoft Outlook o Outlook Web App oppure può essere basata sui criteri di messaggistica dell'organizzazione e applicata utilizzando le regole di protezione del trasporto o le regole di protezione di Outlook. A differenza di altre soluzioni di posta elettronica crittografata, IRM consente anche all'organizzazione di decrittografare il contenuto protetto per verificarne l'aderenza ai criteri di conformità.

AD RMS utilizza certificati e licenze basati sul linguaggio XrML (eXtensible Rights Markup Language) per autenticare computer e utenti e per proteggere il contenuto. Quando il contenuto, come un documento o un messaggio, è protetto utilizzando AD RMS, ad esso è associata una licenza XrML contenente i diritti che gli utenti autorizzati hanno su quel contenuto . Per accedere al contenuto protetto tramite IRM, le applicazioni abilitate per AD RMS devono procurarsi dal cluster AD RMS una licenza d'uso per l'utente autorizzato.

Nota

In Exchange 2010, l'agente di prelicenza allega una licenza d'uso ai messaggi protetti utilizzando il cluster AD RMS dell'organizzazione. Per ulteriori dettagli, vedere Prelicenza più avanti in questo argomento.

Le applicazioni utilizzate per creare il contenuto devono essere abilitate per RMS per poter garantire una protezione costante del contenuto utilizzando AD RMS. Le applicazioni di Microsoft Office, come Microsoft Word, Microsoft Excel e Microsoft PowerPoint, sono abilitate per RMS e possono essere utilizzate per creare contenuto protetto.

IRM consente di effettuare le seguenti operazioni:

• Impedire che un destinatario autorizzato di un contenuto protetto tramite IRM possa inoltrare, modificare, stampare, inviare tramite fax, salvare o tagliare e incollare tale contenuto.
• Proteggere i formati file degli allegati supportati con lo stesso livello di protezione del messaggio.
• Impostare una scadenza per i messaggi e gli allegati protetti tramite IRM, in modo che non possano più essere visualizzati dopo il periodo specificato.
• Impedire che il contenuto protetto tramite IRM possa essere copiato utilizzando lo Strumento di cattura di Windows.

Tuttavia, IRM non può impedire che le informazioni vengano copiate utilizzando i metodi riportati di seguito:

• Applicazioni di acquisizione schermate di terzi
• L'uso di dispositivi di imaging, come le fotocamere, per fotografare il contenuto protetto tramite IRM visualizzato sullo schermo
• La memorizzazione o la trascrizione manuale delle informazioni da parte degli utenti

Per ulteriori informazioni su AD RMS, vedere Active Directory Rights Management Services.

Modelli dei criteri per i diritti AD RMS

AD RMS utilizza dei modelli dei criteri per i diritti basati su XrML che consentono alle applicazioni compatibili abilitate per IRM di applicare criteri di sicurezza uniformi. In Windows Server 2008, il server AD RMS presenta un servizio Web utilizzabile per enumerare e acquisire i modelli. Exchange 2010 viene fornito con il modello Non inoltrare. Quando il modello Non inoltrare viene applicato a un messaggio, solo i destinatari specificati nel messaggio possono decrittografare il messaggio. I destinatari non possono inoltrare, copiare o stampare il messaggio. È possibile creare ulteriori modelli RMS sul server AD RMS dell'organizzazione per soddisfare le esigenze di protezione IRM.

La protezione IRM viene applicata assegnando un modello per i criteri dei diritti AD RMS. Utilizzando i modelli dei criteri, è possibile controllare le autorizzazioni che i destinatari hanno su un messaggio. Azioni come rispondere, rispondere a tutti, inoltrare, estrarre informazioni da o salvare un messaggio, stampare un messaggio possono essere controllate applicando al messaggio un adeguato modello per i criteri dei diritti.

Per ulteriori informazioni sui modelli dei criteri per i diritti, vedere Considerazioni sui modelli dei criteri per i diritti AD RMS.

Per ulteriori informazioni sulla creazione dei modelli AD RMS, vedere Guida dettagliata alla creazione e distribuzione dei modelli di criteri per i diritti di utilizzo di Active Directory Rights Management Services.

Applicazione della protezione IRM ai messaggi

In Exchange 2010, la protezione IRM può essere applicata ai messaggi nelle seguenti fasi:

1. Manualmente dagli utenti di Outlook   Gli utenti di Outlook possono proteggere i messaggi tramite IRM utilizzando i modelli dei criteri per i diritti AD RMS disponibili. Questo processo utilizza la funzionalità IRM di Outlook, non quella di Exchange. Tuttavia, è possibile utilizzare Exchange per accedere ai messaggi e intraprendere azioni (come l'applicazione di regole di trasporto) per applicare i criteri di messaggistica dell'organizzazione. Per ulteriori informazioni sull'uso di IRM in Outlook, vedere Introduzione all'uso di IRM per i messaggi di posta elettronica.

2. Manualmente dagli utenti di Outlook Web App   Quando si abilita IRM in Outlook Web App, gli utenti possono proteggere tramite IRM i messaggi inviati e visualizzare i messaggi protetti tramite IRM ricevuti. Per ulteriori informazioni su IRM in Outlook Web App, vedere Informazioni su Information Rights Management in Outlook Web App.

3. Automaticamente in Outlook 2010   È possibile creare regole di protezione di Outlook per proteggere automaticamente tramite IRM i messaggi in Outlook 2010. Le regole di protezione di Outlook vengono distribuite automaticamente ai client Outlook 2010 e la protezione tramite IRM viene applicata da Outlook 2010 quando l'utente sta componendo un messaggio. Per ulteriori informazioni sulle regole di protezione di Outlook, vedere Informazioni sulle regole di protezione di Outlook.

4. Automaticamente sui server Trasporto Hub   È possibile creare le regole di protezione del trasporto per proteggere automaticamente tramite IRM i messaggi sul server Trasporto Hub di Exchange 2010. Per ulteriori informazioni sulle regole di protezione del trasporto, vedere Informazioni sulle regole di protezione del trasporto.

   Nota

   La protezione IRM non viene applicata ai messaggi che sono già protetti tramite IRM. Ad esempio, se un utente protegge tramite IRM un messaggio in Outlook o Outlook Web App, la protezione IRM non è applicata al messaggio utilizzando una regola di protezione del trasporto.

Scenari supportati per la protezione IRM

In Exchange 2010, la protezione IRM è supportata nei seguenti scenari.

Scenario	Protezione IRM supportata
Messaggi inviati agli utenti di cassette postali all'interno dell'organizzazione Exchange	Sì
Messaggi inviati a gruppi di distribuzione all'interno dell'organizzazione	Sì Nota: Se il gruppo di distribuzione comprende destinatari esterni all'organizzazione Exchange, vedere "Messaggi inviati a destinatari esterni all'organizzazione".
Messaggi inviati a destinatari esterni all'organizzazione	No Nota: Exchange 2010 non include una soluzione per l'invio di messaggi protetti tramite IRM a destinatari esterni. AD RMS offre soluzioni basate sui criteri di attendibilità. È possibile configurare i criteri di attendibilità tra il proprio cluster AD RMS e Windows Live ID. Per i messaggi scambiati tra due organizzazioni, è possibile creare una trust federativa tra le due foreste di Active Directory utilizzando Active Directory Federation Services (AD FS). Per ulteriori informazioni, vedere Informazioni sui criteri di attendibilità AD RMS.
Messaggi inviati a gruppi di distribuzione o liste di distribuzione esterne all'organizzazione Exchange	No Nota: L'espansione della lista di distribuzione o del gruppo di distribuzione esterno non si verifica all'interno dell'organizzazione Exchange I messaggi protetti tramite IRM inviati a gruppi di distribuzione esterni contengono una licenza per il gruppo, ma non per i membri del gruppo. I membri del gruppo non potranno accedere al messaggio.

Decrittografia dei messaggi protetti tramite IRM per l'applicazione dei criteri di messaggistica

Per l'applicazione dei criteri di messaggistica e delle regole di conformità, si deve essere in grado di accedere al contenuto del messaggio crittografato. Inoltre, per soddisfare le esigenze di individuazione elettronica derivanti da contenziosi, controlli di legge o indagini interne, è necessario anche essere in grado di eseguire le ricerche nei messaggi crittografati. Per facilitare queste operazioni, Exchange 2010 include le seguenti funzionalità IRM:

1. Decrittografia di trasporto   Per applicare i criteri di messaggistica, gli agenti di trasporto, ad esempio l'agente Regole di trasporto, deve avere accesso al contenuto del messaggio. La decrittografia di trasporto consente di installare gli agenti di trasporto sui server Exchange 2010 per accedere al contenuto del messaggio. Per ulteriori informazioni, vedere Informazioni sulla decrittografia di trasporto.
2. Decrittografia dei rapporti del journal   Per soddisfare i requisiti di conformità o aziendali, le organizzazioni possono utilizzare il journal per preservare il contenuto dei messaggi. L'agente di journaling crea un rapporto del journal per i messaggi soggetti al journaling e include nel rapporto i metadati relativi al messaggio. Il messaggio originale viene allegato al rapporto del journal. Se il messaggio in un rapporto del journal è protetto tramite IRM, in fase di decrittografia al rapporto viene allegata una copia in chiaro messaggio. Per ulteriori informazioni, vedere Informazioni sulla decrittografia del report del journal.
3. Decrittografia IRM per il servizio di ricerca di Exchange   Con la decrittografia IRM per il servizio di ricerca di Exchange, il servizio di ricerca di Exchange può indicizzare il contenuto dei messaggi protetti tramite IRM. Quando un responsabile dell'individuazione utilizza la Ricerca in più cassette postali per effettuare una ricerca, i messaggi protetti tramite IRM che sono stati indicizzati vengono inclusi nei risultati della ricerca. Per ulteriori informazioni, vedere Informazioni sulla ricerca di Exchange. Per ulteriori informazioni su Ricerca in più cassette postali, vedere Informazioni sulla ricerca su più cassette postali.

Per attivare queste funzioni di decrittografia, i server di Exchange devono avere accesso al messaggio. Questo si ottiene aggiungendo la cassetta postale di recapito federativo, una cassetta postale di sistema creata dal programma di installazione di Exchange, al gruppo di utenti con privilegi avanzati nel server AD RMS. Per i dettagli, vedere Aggiunta di una cassetta postale di recapito federato per il gruppo di utenti con privilegi avanzati AD RMS.

Prelicenza

Per visualizzare i messaggi e gli allegati protetti tramite IRM, Exchange 2010 allega automaticamente una prelicenza ai messaggi protetti. Questo evita al client di doversi collegare ripetutamente al server AD RMS per recuperare una licenza d'uso e permette anche la visualizzazione offline dei messaggi e degli allegati protetti tramite IRM. La prelicenza consente inoltre di visualizzare in Outlook Web App i messaggi protetti tramite IRM. Quando si attiva la funzionalità IRM, la prelicenza è attivata per impostazione predefinita.

Agenti IRM

In Exchange 2010, la funzionalità IRM viene abilitata sul server Trasporto Hub utilizzando gli agenti di trasporto. Gli agenti IRM vengono installati dal programma di installazione di Exchange su un server Trasporto Hub. Non è possibile controllare gli agenti IRM utilizzando le attività di gestione per gli agenti di trasporto.

Nota

In Exchange 2010, gli agenti IRM sono integrati nell'applicazione. Gli agenti integrati non sono inclusi nell'elenco degli agenti restituiti dal cmdlet Get-TransportAgent. Per ulteriori informazioni, vedere Informazioni sugli agenti di trasporto.

Nella tabella riportata di seguito sono elencati gli agenti IRM implementati sui server Trasporto Hub.

Agente	Evento	Funzione
Agente di decrittografia RMS	OnEndOfData (SMTP) & OnSubmittedMessage	Decrittografa i messaggi per consentire l'accesso agli agenti di trasporto.
Agente Regole di trasporto	OnRoutedMessage	Contrassegna per la protezione IRM dell'Agente di decrittografia RMS quei messaggi che soddisfano le condizioni di una regola di protezione di trasporto.
Agente di decrittografia RMS	OnRoutedMessage	Applica la protezione IRM ai messaggi contrassegnati dall'agente Regole di trasporto e crittografa nuovamente i messaggi decrittografati dal trasporto.
Agente di prelicenza	OnRoutedMessage	Associa una prelicenza ai messaggi protetti tramite IRM.
Agente di decrittografia dei rapporti del journal	OnCategorizedMessage	Esegue la decrittografia dei messaggi protetti tramite IRM allegati ai rapporti del journal e allega le versioni in chiaro ai messaggi originali crittografati.

Per ulteriori informazioni sugli agenti di trasporto, vedere Informazioni sugli agenti di trasporto.

Requisiti IRM

Per implementare le funzionalità IRM nell'organizzazione Exchange 2010, la distribuzione deve soddisfare i seguenti requisiti:

Server	Requisito
Cluster AD RMS	Windows Server 2008 R2 Windows Server 2008 SP2 con la seguente hotfix. Punto di connessione del servizio (SCP)   Exchange 2010 e le applicazioni che supportano AD RMS utilizzano il punto SCP registrato in Active Directory per individuare il cluster e gli URL AD RMS. Il punto SCP può essere registrato durante l'installazione di AD RMS. Se l'account utilizzato per installare AD RMS non è un membro del gruppo di sicurezza Enterprise Admins, la registrazione SCP può anche essere eseguita dopo l'installazione. Esiste un solo punto SCP per AD RMS nella foresta Active Directory. Autorizzazioni   Al gruppo Exchange Server o a un singolo server Exchange devono essere assegnate le autorizzazioni Lettura/esecuzione alla pipeline di certificazione del server AD RMS (il percorso predefinito è \inetpub\wwwroot\_wmcs\certification\ServerCertification.asmx sui server AD RMS). AD RMS SuperUsers   Per abilitare la decrittografia del trasporto, la decrittografia del rapporto del journal, IRM in Outlook Web App e IRM per il servizio di ricerca di Exchange, è necessario aggiungere la cassetta postale di recapito federativo, una cassetta postale di sistema creata dal programma di installazione di Exchange 2010, al gruppo SuperUsers sul cluster AD RMS. Per i dettagli, vedere Aggiunta di una cassetta postale di recapito federato per il gruppo di utenti con privilegi avanzati AD RMS.
Exchange Server	Exchange Server 2010 Consigliato: Questa hotfix per .Net Framework 2.0 SP2
Outlook	Gli utenti possono proteggere tramite IRM i messaggi in Outlook. Modelli di AD RMS in Outlook 2003 e versioni successive per la protezione dei messaggi tramite IRM. Le regole di protezione di Outlook sono una funzionalità di Exchange 2010 e Outlook 2010. Le versioni precedenti di Outlook non supportano questa funzionalità.
Windows Mobile	Windows Mobile 6.0 o versioni successive. Per abilitare la funzionalità IRM su un dispositivo Windows Mobile, l'utente deve connettere il dispositivo al computer Windows 7, Windows Vista o Windows XP, quindi attivarlo tramite Centro gestione dispositivi Windows Mobile o Exchange ActiveSync. Per abilitare la funzionalità IRM, il computer a cui è collegato il dispositivo deve avere accesso ai controller di dominio Active Directory ed essere in grado di individuare il cluster AD RMS nell'organizzazione. Per ulteriori informazioni, vedere Panoramica di Information Rights Management. È necessario attivare la certificazione di dispositivi mobili nel cluster AD RMS. Per ulteriori informazioni, vedere Attivare la certificazione di dispositivi mobili.

Nota

ClusterAD RMS è il termine usato per una distribuzione di AD RMS in una organizzazione, tra cui una distribuzione a server singolo. AD RMS è un servizio Web. Non è necessario configurare un computer cluster di failover Windows Server 2008. Per l'elevata disponibilità e il bilanciamento del carico, è possibile distribuire più server AD RMS nel cluster e utilizzare Bilanciamento carico di rete.

Importante

In un ambiente di produzione, l'installazione di AD RMS e Exchange sullo stesso server non è supportata.

Configurazione e verifica di IRM

È necessario utilizzare Shell per configurare le funzionalità IRM in Exchange 2010. Per configurare le singole funzionalità IRM, utilizzare il cmdlet Set-IRMConfiguration. È possibile abilitare o disabilitare la funzionalità IRM per i messaggi interni, abilitare o disabilitare la decrittografia dei trasporti, la decrittografia del rapporto del journal, IRM per il servizio di ricerca di Exchange e IRM in Outlook Web App. Per ulteriori informazioni sulla configurazione delle funzionalità IRM, vedere Gestione della protezione dei diritti.

Dopo aver installato un server Exchange 2010, è possibile utilizzare il cmdlet Test-IRMConfiguration per eseguire dei test end-to-end della distribuzione di IRM. Questi test sono utili per verificare la funzionalità IRM subito dopo la configurazione iniziale e successivamente a intervalli regolari. Il cmdlet consente di eseguire i test riportati di seguito:

• Verifica la configurazione IRM per l'organizzazione Exchange 2010
• Verifica la versione e le hotfix del server AD RMS.
• Verifica se in un server Exchange può essere abilitata la funzionalità RMS tramite il recupero di un certificato per account con diritti e un certificato di concessore di licenze client (CLC)
• Acquisisce i modelli dei criteri per i diritti AD RMS dal server AD RMS
• Verifica che il mittente specificato possa inviare messaggi protetti tramite IRM
• Recupera una licenza d'uso SuperUser per il destinatario specificato
• Acquisisce un prelicenza per il destinatario specificato