我被要求为我们的主管创建一些包含敏感信息的文件存储。他们要求其他管理员不能读取这些数据。
我立即想到了 EFS，但我似乎记得这只能基于每个用户进行。
我们目前正在运行 Server 2003，但是在不久的将来我们可能会迁移到 Server 2008（可能是 R2）。
有没有其他人被要求执行类似的请求？如果是，您是如何处理？
答案1
只要您在客户端上使用 Windows XP 或更高版本，在服务器上使用 Server 2003 或更高版本，就可以让多个用户访问 EFS 加密文件。您无法为组执行此操作，您需要添加每个单独的用户。
需要注意的要点是，您要授予 EFS 加密文件访问权限的用户必须拥有存储在 Active Directory 中的有效 EFS 证书。然后，您可以将多个用户添加到 EFS 加密文件的访问权限：
答案2
有没有其他人被要求执行类似的请求？如果是，您是如何处理？
如果他们不希望系统管理员拥有访问权限，那么使用 EFS 或 NTFS 权限其实并不重要 - 简而言之如果你希望备份数据，管理员需要访问权限. 你不可能获得你无法获得的东西读- 所以如果他们真的那么关心你能得到什么...也许现在是时候聊聊他们真正害怕什么了。
或者...他们无论如何都不会理解，所以你可以用一个新的缩写词让他们眼花缭乱，EFS 会处理好这个问题，而 Sam 的答案就是解决方案。;)
答案3
这是一个很好的理由，可以开始确保您的环境默认是安全的。除非恢复代理只是您的个人帐户，否则 EFS 不会帮助您。这对企业来说可能是一个可以接受的风险，但他们应该意识到这一点。如果这不是便携式系统（可移动硬盘或笔记本电脑），常规 ACL 就足够了。其他管理员的拒绝 ACL 将确保他们无法读取它，如果您雇用安倍晋三其他管理员甚至看不到该文件。别忘了设置 域和服务器隔离也可以。备份操作员也可以被授予备份文件的权限，但不能被授予恢复文件的权限。此权限将覆盖文件的权限，因此管理员不必具有备份文件的权限，并确保如果他们决定尝试将其恢复到其他系统，他们将无法读取该文件。（这意味着备份团队和恢复团队将是两个独立的人）请注意，如果我是您域中的管理员，可以物理访问服务器，您可以将所有这些都抛到九霄云外。物理访问服务器将使我能够绕过所有可能的事情。如果这是那如果文件很重要，那么把它放在一个上锁的抽屉里的 USB 钥匙上其实并不是一个坏主意。我同意 Kara 的观点，如果他们真的那么偏执，就应该坦率地讨论他们害怕什么。我怀疑，一旦你设置了域和服务器隔离，并向他们展示，即使有人拥有正确的权限，他们也只能从董事工作站访问文件——这应该足以让他们相信它是安全的。
参考资料请参阅：