![可以按组设置 EFS 吗?](https://linux22.com/image/487158/%E5%8F%AF%E4%BB%A5%E6%8C%89%E7%BB%84%E8%AE%BE%E7%BD%AE%20EFS%20%E5%90%97%EF%BC%9F.png)
我被要求为我们的主管创建一些包含敏感信息的文件存储。他们要求其他管理员不能读取这些数据。
我立即想到了 EFS,但我似乎记得这只能基于每个用户进行。
我们目前正在运行 Server 2003,但是在不久的将来我们可能会迁移到 Server 2008(可能是 R2)。
有没有其他人被要求执行类似的请求?如果是,您是如何处理?
答案1
只要您在客户端上使用 Windows XP 或更高版本,在服务器上使用 Server 2003 或更高版本,就可以让多个用户访问 EFS 加密文件。您无法为组执行此操作,您需要添加每个单独的用户。
需要注意的要点是,您要授予 EFS 加密文件访问权限的用户必须拥有存储在 Active Directory 中的有效 EFS 证书。然后,您可以将多个用户添加到 EFS 加密文件的访问权限:
答案2
有没有其他人被要求执行类似的请求?如果是,您是如何处理?
如果他们不希望系统管理员拥有访问权限,那么使用 EFS 或 NTFS 权限其实并不重要 - 简而言之如果你希望备份数据,管理员需要访问权限. 你不可能获得你无法获得的东西读- 所以如果他们真的那么关心你能得到什么...也许现在是时候聊聊他们真正害怕什么了。
或者...他们无论如何都不会理解,所以你可以用一个新的缩写词让他们眼花缭乱,EFS 会处理好这个问题,而 Sam 的答案就是解决方案。;)
答案3
这是一个很好的理由,可以开始确保您的环境默认是安全的。除非恢复代理只是您的个人帐户,否则 EFS 不会帮助您。这对企业来说可能是一个可以接受的风险,但他们应该意识到这一点。如果这不是便携式系统(可移动硬盘或笔记本电脑),常规 ACL 就足够了。其他管理员的拒绝 ACL 将确保他们无法读取它,如果您雇用安倍晋三其他管理员甚至看不到该文件。别忘了设置 域和服务器隔离也可以。备份操作员也可以被授予备份文件的权限,但不能被授予恢复文件的权限。此权限将覆盖文件的权限,因此管理员不必具有备份文件的权限,并确保如果他们决定尝试将其恢复到其他系统,他们将无法读取该文件。(这意味着备份团队和恢复团队将是两个独立的人)请注意,如果我是您域中的管理员,可以物理访问服务器,您可以将所有这些都抛到九霄云外。物理访问服务器将使我能够绕过所有可能的事情。如果这是那如果文件很重要,那么把它放在一个上锁的抽屉里的 USB 钥匙上其实并不是一个坏主意。我同意 Kara 的观点,如果他们真的那么偏执,就应该坦率地讨论他们害怕什么。我怀疑,一旦你设置了域和服务器隔离,并向他们展示,即使有人拥有正确的权限,他们也只能从董事工作站访问文件——这应该足以让他们相信它是安全的。
参考资料请参阅: