Windows 7“加密运算符”

Question 1

我自己找到了答案，所以我将把它发布在这里。

TechNet 文章Netsh AdvFirewall MainMode 命令解释：

mainmode在上下文中键入命令netsh advfirewall将切换到上下文netsh advfirewall mainmode，您可以在其中查看、创建和修改主模式规则，这些规则指定 IPsec 如何协商网络上计算机之间的主模式安全关联。此上下文具有无等价物在具有高级安全 MMC 管理单元的 Windows 防火墙中。

而且：

本netsh上下文受通用标准模式。如果启用，则管理员可以创建主模式规则，但他们不能指定mmsecmethods或mmkeylifetime参数。只有加密运算符组可以设置或修改这些参数。有关通用标准模式及其启用方法的信息，请参阅加密操作员安全组描述 (http://go.microsoft.com/fwlink/?linkid=147070）。

我编造了下面的例子，以阐明这一点。

启用System cryptography: Use FIPS compliant algorithms for encryption, hashing, and signing，如问题所述。
以群组成员身份登录Cryptographic Operators。
打开命令提示符，以管理员身份提升权限，然后键入以下命令：

netsh advfirewall mainmode add rule name="TestRule" auth1=computercert auth1ca="CN=Microsoft Root Certificate Authority 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US" profile=domain

（可选）您可以通过以下方式检查刚刚创建的规则：

netsh advfirewall mainmode show rule name="TestRule"

您现在可以尝试设置加密算法或密钥有效期。但是，由于系统处于通用标准模式，管理员无法访问以下选项：

netsh advfirewall mainmode set rule name="TestRule" new mmkeylifetime=20min Mmsecmethods=dhgroup2:3des-sha256,ecdhp384:3des-sha384

-->拒绝访问。

现在，打开一个新的命令提示符，以当前用户的身份提升权限，该用户是组的成员Cryptographic Operators（重要的）。
再次尝试上述命令，它将成功执行。

不要忘记删除刚刚创建的规则，否则可能会对您的网络策略产生不利影响：

netsh advfirewall mainmode delete rule name="TestRule"

PS：虽然该netsh命令阻止管理员更改 IPsec 加密设置（在 Windows 通用标准模式下），但管理员可以使用以下注册表项轻松更改设置：

HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\Phase1CryptoSet\{规则的 GUID}

看2.2.5 加密集了解更多信息。

Answer