作为系统的整个安全策略的一部分,’加密文件系统’(EFS) 的数据故障恢复是可用的。例如,如果你丢失了文件加密证书和相关的私钥(由于磁盘错误或是其他原因),还是可以通过指定的故障恢复代理来恢复数据。或者,在商业环境中,单位能够在雇员离开后恢复雇员加密的数据。

 


恢复策略

  EFS 通过实施故障恢复策略要求来提供内置数据的故障恢复。要求故障恢复策略必须在用户可以加密文件之前就位。故障恢复策略提供人员,作为被指派的故障恢复代理。当管理员第一次登录到系统上时,默认的故障恢复策略将会自动地添加进去,以便为管理员提供故障恢复代理。

  故障恢复代理拥有特殊证书和相关私钥,该私钥允许在故障恢复策略的影响范围内恢复数据。如果是故障恢复代理,请务必在 Microsoft 管理控制台 (MMC) 的证书中使用"导出"命令,将故障恢复证书和相关私钥备份到安全位置。在备份之后,应使用 MMC 中的"证书"管理单元从恢复代理的个人存储区(而不是从恢复策略)删除恢复证书。然后,当需要为用户执行故障恢复操作时,应该首先从 MMC 的"证书"管理单元中使用"导入"命令将故障恢复证书和相关的私钥还原到故障恢复代理的个人存储区。在数据恢复之后,应从恢复代理的个人存储区中再次删除恢复证书。不必重复导出过程。从计算机中删除故障恢复证书并将其保存在安全位置是用于保护敏感数据的附加安全措施。
  默认故障恢复策略在本地配置为用于单机。对于网络中的计算机,可以在域、部门或单个计算机一级配置故障恢复策略,并在所定义的影响范围内,将其应用于所有基于 Windows 2000 的计算机。恢复证书由证书颁发机构 (CA) 发布,并使用 MMC 中的证书来管理。

  在网络环境中,对于故障恢复策略影响范围中的所有计算机用户,域管理员控制如何执行 EFS。在默认的 Windows 2000 安装中,当安装第一个域控制器时,域管理员是指定的域故障恢复代理。域管理员配置故障恢复策略的方法将决定如何为本地机器上的用户执行 EFS。域管理员登录到第一域控制器以更改域的故障恢复策略。下表解释几种故障恢复策略配置对用户的影响。

空的故障恢复策略 无法使用 EFS 没有故障恢复代理 删除每个故障恢复代理
域等级中没有故障恢复策略 可以在本地使用 EFS 默认的故障恢复代理是本地计算机的管理员 在第一个域控制器上删除故障恢复策略
故障恢复策略以指定的故障恢复代理来配置。 可以在本地使用 EFS 默认的故障恢复代理是域管理员 网络环境的默认配置

  因为 Windows 2000 安全子系统处理故障恢复策略的实施、复制和缓冲,用户能够在暂时脱机的系统上执行文件加密,如便携式计算机(此过程类似于使用缓冲的凭据登录到域帐户)。

  故障恢复策略

  "故障恢复策略"指计算机环境中的用户在恢复加密的数据时所遵从的策略。故障恢复策略是一种公钥策略类型。

  安装 Windows 2000 Server 时,如果已设置第一个域控制器时,将自动对域执行故障恢复策略。域管理员被颁发自签名的证书,该证书将域管理员指派为故障恢复代理。

  EFS 通过实施故障恢复策略要求来提供内置数据的故障恢复。要求故障恢复策略必须在用户可以加密文件之前就位。故障恢复策略提供指派为故障恢复代理的人员。当管理员第一次登录到系统时,故障恢复策略将自动就位,让管理员成为故障恢复代理。

  配置恢复策略

  默认故障恢复策略是为单独的计算机在本地配置的。对于网络中的计算机,可以在域、组织单元或单独计算机级别上配置故障恢复策略,并在所定义的影响范围内将其应用到所有基于 Windows 2000 的计算机。故障恢复证书由证书颁发机构 (CA) 颁发,并用 Microsoft 管理控制台 (MMC) 中的证书来管理。

  在网络上,故障恢复策略由域管理员或故障恢复代理设置,它控制策略影响范围内所有计算机的控制恢复项。

  由于安全子系统处理故障恢复策略的实施、复制和缓存,因此用户可以在暂时脱机的系统上(如便携机)执行文件加密。(此进程类似于使用缓存的凭据登录到域帐户)。

 

  故障恢复策略的类型

  管理员可以定义三种策略中的一种:非故障恢复策略、空故障恢复策略,或者带一个或多个故障恢复代理的故障恢复策略。

  故障恢复代理策略。当管理员添加一个或多个故障恢复代理时,故障恢复代理策略生效。这些代理负责在其管理范围内恢复任何加密的数据。这是最常用的故障恢复策略类型。

  空故障恢复策略。当管理员删除所有的故障恢复代理及其公钥证书时,空故障恢复策略生效。空故障恢复策略意味着没有故障恢复代理,而且用户无法在故障恢复策略影响范围内的计算机上加密数据。空故障恢复策略的结果是完全关闭 EFS。

  非故障恢复策略。当管理员删除组故障恢复策略时,非故障恢复策略生效。由于没有组故障恢复策略,因此单个计算机上的默认本地策略被用于恢复数据。这意味着本地管理员控制其计算机上的数据恢复。

  更改故障恢复策略

  要更改域的默认故障恢复策略,请以管理员身份登录第一个域控制器。然后,必须通过’Active Directory 用户和计算机’管理单元激活’组策略’,并选择’安全设置’、’公钥策略’和’加密数据的故障恢复代理’。

  故障恢复代理

  故障恢复代理就是获得授权解密由其他用户加密的数据的管理员。例如,当雇员离开公司而其剩余数据需要解密时故障恢复代理非常有用。在添加域的故障恢复代理之前,必须确保每个故障恢复代理都已经颁发 X509 第三版的证书。

  故障恢复代理拥有特殊证书和相关私钥,允许在故障恢复策略的影响范围内恢复数据。如果你是故障恢复代理,请务必在 Microsoft 管理控制台 (MMC) 的证书中使用"导出"命令,将故障恢复证书和相关私钥备份到安全位置。备份完成后,应该使用 MMC 中的证书删除故障恢复证书。然后,在需要为用户执行故障恢复操作时,应该首先从 MMC 的证书中使用"导入"命令还原故障恢复证书和相关私钥。恢复数据之后,应该再次删除故障恢复证书。不必重复导出过程。
  要对域添加故障恢复代理,请将它们的证书添加到现有的故障恢复策略中。可以通过"Active Directory 用户和计算机"管理单元激活"添加故障恢复代理"向导来完成。

  使用证书

  证书是一种帮你申请新的公钥证书并管理现有证书的管理单元。证书由提供身份验证、数据完整性以及在不安全的网络(如 Internet)间进行安全通讯的许多公钥安全服务和应用程序所使用。管理员可以为自己或其他用户、计算机或服务管理证书。用户只管理自己的证书。 有关打开管理单元或使用 Microsoft 管理控制台 (MMC) 的信息,请参阅相关信息。

附:Cipher 命令详解

  在 NTFS 卷上显示或改变文件的加密。

cipher [/e| /d] [/s:dir] [/a][/i] [/f] [/q] [/h] [pathname [...]]

  1. 参数

  无
  不带参数使用,将显示当前文件夹和其包含文件的加密状态。

  /e
  加密指定的文件夹。文件夹将被标记,以后添加到此文件夹中的文件将被加密。

  /d
  将指定的文件夹解密。文件夹将被标记,以后将会不加密添加到此文件夹的文件。

  /s: dir
  对在给定目录及全部子目录中的文件执行指定操作。

  /a
  对带指定名称的文件执行所选操作。如果没有匹配的文件,该参数将被忽略。

  /i
  即使发生错误,系统仍然继续执行指定的操作。默认情况下,遇到错误时 cipher 会停止。

  /f
  对所有指定的对象进行加密或解密。默认情况下,已加密或解密的文件被跳过。

  /q
  只报告最基本的信息。

  /h
  显示带隐藏或系统属性的文件。默认情况下,这些文件是不加密或解密的。

  pathname
  指定样式、文件或文件夹。

  2.范例

  要使用 cipher 命令加密文件夹 MonthlyReports 中的子文件夹 May,请键入下列命令:

cipher /e monthlyreports\may

  要加密 MonthlyReports 文件夹中的 January 到 December 子文件夹以及 month 子文件夹中的 Manufacturing 子文件夹,请键入:

cipher /e /s:monthlyreports

  如果只想加 May 子文件夹中的 Marketing.xls 文件,请键入:

cipher /e /a monthlyreports\may\marketing.xls

  要加密 May 文件夹中的 Marketing.xls 文件、Maintenance.doc 文件以及 Manufacturing 子文件夹,请键入:

cipher /e /a monthlyreports\may\ma*

  要确定 May 是否已加密,请键入:

cipher monthlyreports\may

  要确定 May 文件夹中哪些文件已加密,请键入:

cipher monthlyreports\may\*

  3.注意

  加密或解密文件

  要防止加密文件在修改时变为解密,建议你将文件和其存放的文件夹两者一同加密。

  多个文件夹名称

  可以使用多个文件夹名称和通配符。

  多个参数

  每个参数之间至少有一个空格分隔。

 


评论

该日志第一篇评论

发表评论

评论也有版权!