Microsoft Windows XP操作系統(tǒng)在數(shù)據(jù)保護(hù)方面提供了眾多增強(qiáng)特性--特別是Encrypting File System（加密文件系統(tǒng)，EFS）。本文詳細(xì)描述了針對脫機(jī)文件執(zhí)行加密操作的具體方法，并力求幫助系統(tǒng)設(shè)計(jì)師和管理人員開發(fā)出借助Windows XP創(chuàng)制數(shù)據(jù)恢復(fù)與數(shù)據(jù)保護(hù)策略的最佳實(shí)現(xiàn)方式。

EFS文件共享特性 Windows XP操作系統(tǒng)中的EFS特性可在基于同一文件的多個(gè)用戶之間提供文件共享支持。而這就允許將更多用戶添加至某一加密文件，并在此基礎(chǔ)上為數(shù)據(jù)恢復(fù)創(chuàng)造條件。盡管新增用戶調(diào)用權(quán)限尚無法通過策略或其它手段得以實(shí)現(xiàn)，然而，這的確是一種無須真正使用組對象并在用戶間共享專用密鑰即可確保多個(gè)用戶對加密文件執(zhí)行恢復(fù)處理的簡便且有效的方法。

當(dāng)某一文件被初次加密后，文件共享特性即可通過用戶界面（UI）上的一個(gè)新按鈕得到激活。在添加額外用戶之前，必須先對相關(guān)文件執(zhí)行加密和保存操作。用戶應(yīng)先調(diào)出某一加密文件的Advanced PropertIEs（高級屬性）對話框，再單擊Details（詳細(xì)資料）按鈕，以便將自己添加到文件共享行列。在具備有效EFS證書的前提下，單個(gè)用戶還可從本地計(jì)算機(jī)或Active Directory將其它用戶（而非組對象）添加進(jìn)來。激活EFS文件共享特性 雖然自Windows 2000開始，操作系統(tǒng)即可通過Win32應(yīng)用編程接口（API）為借助EFS實(shí)現(xiàn)的加密文件共享提供支持，但是，直到Windows XP Professional開發(fā)完成之前，EFS特性一直沒有被呈現(xiàn)在Windows資源管理器用戶界面（UI）之上。

如需面向多個(gè)用戶而對某一文件進(jìn)行加密處理，則請依次執(zhí)行下列操作步驟： 打開 Windows資源管理器 ，并選擇需要進(jìn)行加密處理的文件。 右鍵單擊所選文件，并在隨后彈出的快捷菜單上選取 Properties（屬性） 命令。 單擊 Advanced（高級） 按鈕，以便將EFS設(shè)定為激活狀態(tài)。 如圖1所示，請選中 Encrypt contents to secure data（為保護(hù)數(shù)據(jù)而對內(nèi)容進(jìn)行加密） 復(fù)選框，并單擊 OK（確定） 。于是，所選文件即可接受加密處理。

圖1. 為保護(hù)數(shù)據(jù)資料而對相關(guān)內(nèi)容進(jìn)行加密處理 說明： 由于壓縮和加密是一對互斥屬性，因此，文件將無法同時(shí)接受壓縮和加密處理。 在文件或文件夾第一次接受加密處理時(shí)，系統(tǒng)會(huì)彈出一個(gè)對話框，以便向用戶詢問究竟是只需對所選文件進(jìn)行加密，還是希望對整個(gè)文件夾進(jìn)行加密。

請選取適當(dāng)選項(xiàng)，并單擊 OK（確定） 。于是，系統(tǒng)便會(huì)返回到初始對話框。 說明： 直到您單擊 OK（確定） 之前，所選文件尚未接受加密處理。不僅如此，直到第一個(gè)用戶對所選文件執(zhí)行加密操作之前，其他用戶均無法被添加到訪問調(diào)用行列。 單擊 OK（確定） ，以便對所選文件進(jìn)行加密處理。 請?jiān)俅瓮ㄟ^ Advanced properties（高級屬性） 按鈕打開文件屬性，并單擊 Details（詳細(xì)資料） 按鈕，以便將額外用戶添加進(jìn)來。當(dāng) Details（詳細(xì)資料） 對話框被打開時(shí)，添加用戶選項(xiàng)便會(huì)出現(xiàn)。 說明：Encryption Details（加密詳細(xì)資料） 對話框還可為您提供有助于解決疑難問題的更多相關(guān)信息。

如需添加新用戶，則請依次執(zhí)行下列操作步驟： 如圖2所示，單擊 Add（添加） 按鈕。

圖2. 添加用戶 系統(tǒng)將彈出一個(gè)新對話框，并將以緩存方式被讀入本地計(jì)算機(jī) 'Other People'（其它人員） 證書存儲(chǔ)的現(xiàn)有用戶和證書顯示出來。該對話框還允許通過單擊 Find User（查找用戶） 按鈕的方式從 Active Directory 下添加新用戶。 說明： 只有在Active Directory下具備有效EFS證書的用戶才能被添加至加密文件訪問調(diào)用行列。

如圖3所示，單擊 Find User（查找用戶） 按鈕，以便對新用戶進(jìn)行查找。

圖3. 從Active Directory中查找新用戶 系統(tǒng)將顯示一個(gè)標(biāo)準(zhǔn)對象選擇對話框，并執(zhí)行一次搜索操作。 對話框?qū)⒏鶕?jù)您所設(shè)定的搜索條件將那些在Active Directory下具備有效EFS證書的用戶顯示出來。如果未發(fā)現(xiàn)特定用戶具備有效證書，該對話框便會(huì)如圖4所示提供下列信息：

圖4. 查找用戶操作的搜索結(jié)果 如果目錄中用戶對象的userCertificate屬性包含有效證書，那么，系統(tǒng)便會(huì)將這些證書羅列在如圖5所示的證書選擇對話框內(nèi)。

圖5. 用戶證書列表 重要提示： Windows XP將在對應(yīng)于其它用戶的全部證書被添加至某一加密文件的同時(shí)，針對這些證書執(zhí)行撤銷檢查操作。出于性能表現(xiàn)方面的考慮，系統(tǒng)將不會(huì)針對持有專用密鑰的用戶執(zhí)行撤銷檢查操作。當(dāng)然，那些未包含CDP（證書吊銷列表分發(fā)點(diǎn)）擴(kuò)展的證書（例如，某些來自第三方CA的證書）則無法通過吊銷狀態(tài)檢查。如果針對某一證書的吊銷狀態(tài)檢查失敗，系統(tǒng)便會(huì)按圖6所示提供相關(guān)信息，而該證書則無法由用戶使用。

或

圖6. 證書吊銷狀態(tài)檢測失敗 如果吊銷狀態(tài)和連鎖創(chuàng)建任務(wù)順利完成，該用戶便可被添加至對話框，而相關(guān)文件也將得到更新。（如圖7所示）

單擊 OK（確定） ，以便注冊所做修改并繼續(xù)。

圖7. 成功添加新用戶 說明： 具備文件解密權(quán)限的任何用戶均可對其它用戶執(zhí)行刪除操作--只要執(zhí)行解密操作的用戶同時(shí)具備寫入權(quán)限即可。 說明： EFS元數(shù)據(jù)文件頭容量僅限于256K。而這就對可供添加的文件共享?xiàng)l目數(shù)量構(gòu)成了限制。一般情況下，可被添加至某一加密文件的用戶數(shù)量上限平均為800個(gè)。

如需查看證書所含信息，則請依次執(zhí)行下列操作步驟： 您可選取某一用戶證書，并為制定管理決策而對其所含信息進(jìn)行查看。如需查看某一證書內(nèi)容，則請按圖6所示執(zhí)行下列操作步驟： 先將對話框內(nèi)的證書設(shè)置為高亮度，再單擊 View Certificate（查看證書） 按鈕。 查看完畢后，單擊 OK（確定） 以關(guān)閉對話框。系統(tǒng)將返回先前對話框，而您則可在該對話框內(nèi)選取可供添加到加密文件的適當(dāng)用戶。 將準(zhǔn)備加以應(yīng)用的選定用戶證書設(shè)置為高亮度，并單擊 OK（確定） 。