Bryan Asked: 2009-07-06 03:10:08 +0800 CST2009-07-06 03:10:08 +0800 CST 2009-07-06 03:10:08 +0800 CST 是否可以按组设置 EFS？ 772 我被要求为我们的主管创建一些包含敏感信息的文件存储。他们要求其他管理员无法读取数据。 我立即想到了 EFS，但我似乎记得这只能在每个用户的基础上完成。 我们目前正在运行 Server 2003，但是我们很可能在不久的将来迁移到 Server 2008（可能是 R2）。 有没有其他人接到过类似的请求，如果有，你是如何处理的？ windows security encryption encrypting-file-system 3 个回答 Voted Best Answer Sam Cogan 2009-07-06T03:33:48+08:002009-07-06T03:33:48+08:00 只要您在客户端上使用 windows XP 或更高版本，在服务器上使用 server 2003 或更高版本，就可以让多个用户访问 EFS 加密文件。您不能为组执行此操作，您需要添加每个单独的用户。 对此要注意的要点是，您要授予对 EFS 加密文件的访问权限的用户必须具有存储在 Active Directory 中的有效 EFS 证书。然后，您可以将多个用户添加到 EFS 加密文件的访问权限： Kara Marfia 2009-07-06T06:50:54+08:002009-07-06T06:50:54+08:00 有没有其他人接到过类似的请求，如果有，你是如何处理的？ 如果他们不希望系统管理员拥有访问权限，那么使用 EFS 或 NTFS 权限并不重要 - 简短的回答是，如果您希望备份数据，管理员需要访问权限。无法访问您无法阅读的内容-因此，如果他们担心您可以阅读的内容……也许是时候谈谈他们真正害怕的内容了。 或者......他们无论如何都不会理解，所以你可以用一个新的首字母缩写词让他们眼花缭乱，EFS 会解决这个问题，而 Sam 的答案就是解决方案。;) Jim B 2009-07-06T08:35:26+08:002009-07-06T08:35:26+08:00 这是开始确保您的环境在默认情况下是安全的一个很好的借口。除非恢复代理只是您的个人帐户，否则 EFS 不会帮助您。这可能是业务 btu 可接受的风险，他们应该意识到这一点。如果这不是便携式系统（可移动硬盘驱动器或笔记本电脑），则常规 ACL 就足够了。其他管理员的拒绝 ACL 将确保他们无法读取它，如果您使用ABE ，其他管理员甚至看不到该文件。不要忘记还设置 域和服务器隔离也是。也可以授予备份操作员备份文件的权限，而无需授予恢复文件的权限。此权限将覆盖文件的权限，因此管理员不必有权备份文件，并确保如果他们决定尝试将文件恢复到不同的系统，他们将无法读取文件。（这意味着是的，备份团队和恢复团队将是 2 个独立的人）请注意，如果我是您域中的管理员，可以物理访问服务器，您可以将所有这些都扔到窗外。对服务器的物理访问将使我绕过一切可能的。如果是这样重要的是，然后将其粘贴在上锁抽屉中的 USB 钥匙上实际上并不是一个坏主意。我同意卡拉的观点，如果他们对此有那么偏执的话，就应该坦率地讨论他们害怕什么。我怀疑一旦您设置了域和服务器隔离并向他们展示即使有人拥有正确的权限，他们也只能从主管工作站获取文件——这足以让他们相信它是安全的。 参考见： 委派 Active Directory 管理的最佳实践 最佳安全实践
只要您在客户端上使用 windows XP 或更高版本，在服务器上使用 server 2003 或更高版本，就可以让多个用户访问 EFS 加密文件。您不能为组执行此操作，您需要添加每个单独的用户。
对此要注意的要点是，您要授予对 EFS 加密文件的访问权限的用户必须具有存储在 Active Directory 中的有效 EFS 证书。然后，您可以将多个用户添加到 EFS 加密文件的访问权限：
如果他们不希望系统管理员拥有访问权限，那么使用 EFS 或 NTFS 权限并不重要 - 简短的回答是，如果您希望备份数据，管理员需要访问权限。无法访问您无法阅读的内容-因此，如果他们担心您可以阅读的内容……也许是时候谈谈他们真正害怕的内容了。
或者......他们无论如何都不会理解，所以你可以用一个新的首字母缩写词让他们眼花缭乱，EFS 会解决这个问题，而 Sam 的答案就是解决方案。;)
这是开始确保您的环境在默认情况下是安全的一个很好的借口。除非恢复代理只是您的个人帐户，否则 EFS 不会帮助您。这可能是业务 btu 可接受的风险，他们应该意识到这一点。如果这不是便携式系统（可移动硬盘驱动器或笔记本电脑），则常规 ACL 就足够了。其他管理员的拒绝 ACL 将确保他们无法读取它，如果您使用ABE ，其他管理员甚至看不到该文件。不要忘记还设置 域和服务器隔离也是。也可以授予备份操作员备份文件的权限，而无需授予恢复文件的权限。此权限将覆盖文件的权限，因此管理员不必有权备份文件，并确保如果他们决定尝试将文件恢复到不同的系统，他们将无法读取文件。（这意味着是的，备份团队和恢复团队将是 2 个独立的人）请注意，如果我是您域中的管理员，可以物理访问服务器，您可以将所有这些都扔到窗外。对服务器的物理访问将使我绕过一切可能的。如果是这样重要的是，然后将其粘贴在上锁抽屉中的 USB 钥匙上实际上并不是一个坏主意。我同意卡拉的观点，如果他们对此有那么偏执的话，就应该坦率地讨论他们害怕什么。我怀疑一旦您设置了域和服务器隔离并向他们展示即使有人拥有正确的权限，他们也只能从主管工作站获取文件——这足以让他们相信它是安全的。
参考见：
委派 Active Directory 管理的最佳实践
最佳安全实践