计算机培训 Windows2008管理 NTFS.pdf

1、第1章 利用 NTFS 管理数据教学目标：NTFS 分区和 FAT32 分区的区别将 FAT32 分区转化成 NTFS 分区利用 NTFS 权限利用特殊的 NTFS 权限利用 EFS 保护数据安全在 NTFS 分区上压缩数据配置 NTFS 分区上的磁盘限额配置卷影副本1.1 NTFS 分区和 FAT32 分区区别FAT32：FAT32 实际上是文件分区表采取的一种形式，它是相对于 FAT16 而言的。众所周知，Dos 和 Windows95 采用的都是 FAT16 格式。那么为什么一定要推出 FAT32 呢？这主要是由其自身的优越性决定的。首先，它可以大大地节约磁盘空间。文件在磁盘上是以簇的方

2、式存放的，簇里存放了一个文件就不能再存放另外的文件。假如一个磁盘的分区大小为 512MB，基于 FAT16 的系统的簇的大小为 8KB，而 FAT32 系统的簇的大小仅是 4KB，那么，现在我们存放一个 3KB 的文件，FAT16 系统就会有 5KB 的空间被浪费，而 FAT32 的浪费则会少一些。如果分区达到1GB，FAT16 的簇为 16KB，而 FAT32 还是 4KB，节省的也就更多了。在推出 FAT32 文件系统之前，通常 PC 机使用的文件系统是 FAT16。像基于 MS-DOS，Win 95 等系统都采用了 FAT16 文件系统。在 Win 9X 下，FAT16 支持的分区最大为

3、 2GB。我们知道计算机将信息保存在硬盘上称为“簇”的区域内。使用的簇越小，保存信息的效率就越高。在 FAT16 的情况下，分区越大簇就相应的要增大，存储效率就越低，势必造成存储空间的浪费。并且随着计算机硬件和应用的不断提高，FAT16 文件系统已不能很好地适应系统的要求。在这种情况下，推出了增强的文件系统 FAT32。同 FAT16 相比，FAT32 主要具有以下特点：同 FAT16 相比 FAT32 最大的优点是可以支持的磁盘大小达到 2TB（2048GB），但是不能支持小于 512MB 的分区。基于 FAT32 的 Win 2000 可以支持分区最大为32GB；而基于 FAT16 的 W

4、in 2000 支持的分区最大为 4GB。由于采用了更小的簇，FAT32 文件系统可以更有效率地保存信息。如两个分区大小都为 2GB，一个分区采用了 FAT16 文件系统，另一个分区采用了 FAT32 文件系统。采用 FAT16 的分区的簇大小为 32KB，而 FAT32 分区的簇只有 4KB 的大小。这样 FAT32 就比 FAT16 的存储效率要高很多，通常情况下可以提高 15%。FAT32 文件系统可以重新定位根目录和使用 FAT 的备份副本。另外 FAT32 分区的启动记录被包含在一个含有关键数据的结构中，减少了计算机系统崩溃的可能性。NTFSNTFS 是 Windows NT 操作环

5、境和 Windows NT 高级服务器网络操作系统环境的文件系统。NTFS 的目标是提供：可靠性，通过可恢复能力(事件跟踪)和热定位的容错特征实现；增加功能性的一个平台；对 POSIX 需求的支持；消除 FAT 和 HPFS(High Performance File System 是微软为 os/2 1.2 设计的)，支持局域网管理的文件服务器。文件系统中的限制。NTFS 提供长文件名、数据保护和恢复，并通过目录和文件许可实现安全性。NTFS 支持大硬盘和在多个硬盘上存储文件(称为跨越分区)。例如，一个大公司的数据库可能大得必须跨越不同的硬盘。NTFS 提供内置安全性特征，它控制文件的隶属关

6、系和访问。从 DOS 或其他操作系统上不能直接访问 NTFS 分区上的文件。如果要在 DOS 下读写 NTFS 分区文件的话可以借助第三方软件；至今（2007 年 5 月）在 Linux 下一般只能读取而不能写入 NTFS分区文件。这是 Windows NT 安全性系统的一部分，但是，只有在使用 NTFS 时才是这样。NTFS 允许文件名的长度可达 256 个字符。虽然 DOS 用户不能访问 NTFS 分区，但是 NTFS 文件可以拷贝到 DOS 分区。每个 NTFS 文件包含一个可被 DOS 文件名格式认可的 DOS 可读文件名。这个文件名是 NTFS 从长文件名的开始字符中产生的。与 FA

7、T32 分区相比 NTFS 分区有以下优点：NTFS 权限加密文件系统（EFS）磁盘压缩磁盘限额卷影副本1.2 将 FAT32 分区转化成 NTFS 分区将 FAT32 文件分区转化成 NTFS 分区数据不丢失。如果转化的分区是系统分区或虚拟内存使用的磁盘分区，需要重启才能转化。下面在 FileServer 上的操作将会创建一个 FAT32的磁盘分区，然后将其转化成 NTFS 分区。在文件服务器 FileServer 计算机上，以管理员的身份登录，打开“服务器管理工具”。“存储”“磁盘管理”。右击未分配的磁盘空间，点击“新建简单卷”，在出现的向导，点击“下一步”，输入卷的大小，默认是剩余大小，

8、点击“下一步”。在出现的分配驱动器号和路径对话框中，指定驱动器号，点击“下一步”，选择“按下列设置格式化这个卷”，文件系统选择“FAT32”，选中“执行快速格式化”。完成新建简单卷向导。可以通过磁盘管理和磁盘属性查看磁盘文件系统。在命令行输入以下命令将其转化成 NTFS 分区。输入 convert e:/fs:ntfs 回车，输入卷标“新加卷”，回车。转化完成后从磁盘管理器看到 E 卷已经转化成了 NTFS 分区。1.3 NTFS 权限1.3.1 NTFS 权限介绍当一个用户试图访问一个文件或者文件夹的时候，NTFS 文件系统会检查用户使用的账户或者账户所属的组是否在此文件或者文件夹的访问控制

9、列表(ACL)中，如果存在则进一步检查访问控制项(ACE)，然后根据控制项中的权限来判断用户最终的权限。如果访问控制列表中不存在用户使用的账户或者账户所属的组，就拒绝用户访问。文件夹的 NTFS 安全权限有如下 7 种，而文件的 NTFS 安全权限有 6 种，少了列出文件夹目录权限。完全控制：对文件或者文件夹可执行所有操作。修改：可以修改、删除文件或者文件夹。读取和运行：可以读取内容，并且可以执行应用程序。列出文件夹目录：可以列出文件夹内容，此权限只针对文件夹存在。读取：可以读取文件或者文件夹的内容。写入：可以创建文件或者文件夹。特别的权限：其他不常用权限，比如删除权限的权限。所有权限都有相应

10、的“允许”和“拒绝”两种选择。文件或者文件夹的默认权限是继承上一级文件夹的权限，如果是根目录(比如 c:)下的文件夹，则权限是继承磁盘分区的权限。1.3.2 NTFS 权限的应用规则下面讲述 NTF 安全权限的应用规则。权限是累积的。当一个用户属于多个组的时候，这个用户会得到各个组的累加权限，但是一旦有一个组的相应权限被拒绝，此用户的此权限也会被拒绝，比如：假设有一个用户 USER，如果 USER 属于 A 和 B 两个组，A 组对某文件有读取权限，B组对此文件有写入权限，USER 自己对此文件有修改权限，那么 USER 对此文件的最终权限为读取+写入+修改权限。权限的继承。新建的文件或者文件

11、夹会自动继承上一级目录或者驱动器的 NTFS 权限，如图所示，但是从上一级继承下来的权限是不能直接修改的，只能在此基础上添加其他权限。也就是不能把权限上的勾去掉。当然这并不是绝对的，只要你的权限够，比如你是管理员，也可以把这个继承下来的权限修改了，或者让文件不再继承上一级目录或者驱动器的 NTFS 权限。权限的拒绝拒绝的权利优先于允许的权限。无论给用户账户什么权限，只要设置了拒绝权限，那么被拒绝的权限就绝对有效。移动和复制操作对权限的影响这里一共有 3 种情况，同一 NTFS 分区、不同 NTFS 分区以及 FAT 分区，如下表所示。同一 NTFS 分区不同 NTFS 分区FAT 分区复制继承

12、目标文件（夹）权限继承目标文件（夹）权限丢失权限移动保留原文件（夹）权限继承目标文件（夹）权限丢失权限1.3.3 显式权限和继承权限有两种类型的权限：显式权限和继承权限。显式权限是创建对象时用户操作所设置的默认权限。继承权限是从父对象传播到对象的权限。继承权限使管理权限的任务更加容易，并且确保给定容器内所有对象之间权限的一致性。默认情况下，容器内的对象从创建该对象时的容器继承权限。例如，创建名为“公共空间”的文件夹时，“公共空间”内的所有子文件夹和文件都自动从该文件夹继承权限。因此，“公共空间”文件夹有显式权限，而其内部的所有子文件夹和文件都有继承权限。实例：查看继承的权限。如下图打开在 Fi

13、leServer 服务器的“公共空间”文件夹下的记事本文件“Vista.txt”属性，点击安全标签，点击“高级”按钮，在出现的对话框，能够看到从父项继承下来的权限。注意：如果对象有显式“允许”权限项，则继承的“拒绝”权限并不会阻止对该对象的访问。显式权限的优先级高于继承权限，即使继承的是“拒绝”权限。继承的权限默认不能更改，除非阻止该文件或文件夹继承父项的权限。1.3.4 确定应用权限的位置当您在父文件夹上设置权限后，在该文件夹中创建的新文件和子文件夹将继承这些权限。如果您不想他们继承权限，则在设置父文件夹的特殊权限时选择“应用于”框中的“仅此文件夹”。示例：更改权限的应用位置。将“公共空间访

14、问组”的访问权限应用到文件夹以及子文件夹，不应用到内部的文件。1.打开“公共空间”文件夹属性，在“安全”标签，点击“高级”。2.在高级安全对话框，查看“公共文件访问组”的权限应用于：该文件夹，子文件和文件。点击“编辑”。这说明在文件夹上设置的权限默认应用到该文件夹、子文件夹和文件。3.在高级安全设置对话框中，选中“公共空间访问组”，点击“编辑”。4.在出现的权限项目对话框中，将“应用于”选择“该文件夹及子文件夹”，点击“确定”，完成更改。5.再次打开“公共空间”内的记事本文件，查看其安全属性。打开其中的文件夹查看权限的应用情况。您将发现记事本文件没有应用“公共空间访问组”的权限，而文件夹应用了

15、“公共空间访问组”的权限。1.3.5 阻止应用继承权限可以通过“权限”选项卡访问特殊权限。如果您要阻止某些文件或子文件夹继承权限，则右键单击该文件或子文件夹，单击“属性”，单击“安全”选项卡，单击“高级”，然后清除“包括可从此对象的父对象继承的权限”复选框。如果与每个权限相关联的“允许”或“拒绝”复选框显示为被阴影覆盖，则表示文件或文件夹已经从父文件夹中继承了权限。有三种方法可以更改继承的权限：选择相反的权限（“允许”或“拒绝”）替代继承的权限。示例：在 VistaSN.txt 记事本文件的安全属性上可以看到继承下来的权限，administrators组有完全控制的权限，继承下来的权限在这个地

16、方不能修改，但是您可以选中拒绝“读取和运行”，“读取”，这样就会用相反的权限替代集成的权限。清除“包括可从该对象的父对象中继承的权限。”复选框。这样，您就可以更改权限，或者从权限列表中删除用户或组。但是，文件或文件夹将不再从父文件夹继承权限。示例：去掉继承的权限如果您想完全重新设置 VistaSN.txt 记事本的权限，您可以去掉继承下来的权限。1.打开记事本 VistaSN.txt 属性对话框，点击“安全”标签，点击“高级”。2.在出现的高级安全设置对话框中，点击“编辑”。3.在出现的高级安全设置对话框中，点击“删除”。提示：点击“复制”将会将继承下来的权限保留，您可以编辑继承下来权限，如果

17、点击“删除”，将会将继承下拉的权限删除，您需要添加新的用户或组授权。4.点击“添加”，输入“hanLG”，点击“检查名称”，点击“确定”5.授予“完全控制”权限，点击“确定”。现在该文件只有“韩立刚”帐户能够完全控制了。6.现在管理员也不能打开该记事本了。对父文件夹进行更改，然后文件或文件夹将继承这些权限，即更改父对象权限的应用位置。多数情况下，除非文件夹从其他父文件夹中继承冲突设置，否则“拒绝”会替代“允许”。这种情况下，从子树中最接近该对象的父文件夹继承来的设置将具有优先权。只有可继承的权限可以由子对象继承。设置父对象上的权限时，可以确定文件夹或子文件夹是否能够使用“的高级安全设置”对话框

18、的“权限”选项卡中的“应用于”框来继承他们。1.3.6 重置文件的安全性在文件夹上可以重置其内部的文件以及子文件夹的安全设置。实例：重置安全设置“公共空间”文件夹内的文件以及子文件夹的权限设置的安全性不满足您现在的要求了，您打算重新设置以下“公共空间”文件夹权限。1.右击“公共空间”文件夹，点击“属性”，在“安全”标签下，点击“高级”按钮。2.在出现的高级安全设置对话框，点击“编辑”按钮。3.在出现的高级安全设置对话框，选中“使用可以从此对象继承的权限替换所有后代上现有所有可继承权限”，点击“确定”。4.在出现的提示对话框中，点击“是”。5.再次打开文件夹中的 VistaSN.txt，查看其安

19、全性。发现上一节去掉的继承的权限，再次被应用上，并且在上一节授权帐户“韩立刚”的访问 VistaSN.txt 文件权限也不复存在。提示：文件以及文件夹的所有者能够无条件的设置文件的安全性，或对文件以及文件夹有完全控制权限的用户能够设置安全性。如果里面的文件和子文件夹是其他用户帐户创建，会出现权限不足提示，您需要获得对象的所有权后，在重新设置其安全。关于获得对象所有权，请参照“获得对象所有权”一节。1.3.7 获得对象所有权对象所有权每个对象都有所有者，无论是在 NTFS 卷中或者在 Active Directory 中。所有者控制如何设置对象的权限以及将权限授予谁。要点需要修改或更改文件权限的

20、管理员必须首先取得文件所有权。默认情况下，所有者是创建对象的实体。所有者可始终更改对象的权限，即使已经拒绝了到对象的所有访问。如下人员可以取得所有权：管理员。默认情况下，Administrators 组拥有“取得文件或其他对象的所有权”用户权利。具有对相关对象的“取得所有权”权限的任何人或任何组。拥有“存储文件和目录”用户权利的用户。所有权可以用以下方式转换：当前的所有者可以向其他用户授予“取得所有权”权限，允许该用户随时取得所有权。该用户必须实际取得所有权才能完成所有权的转移。管理员可以取得所有权。拥有“存储文件和目录”用户权利的用户可以双击“其他用户和组”并选择任意用户或组来向其分配所有权

21、。示例：管理员获得对象的所有权1.以“韩立刚”用户帐户登录 FileServer，在公共空间创建一个文件“hanLG.txt”，阻断继承的权限，授予自己能够完全控制。2.打开高级安全设置对话框，查看记事本的所有者。先在该记事本只有“韩立刚”用户账号能够访问，所有者默认就是创建者。注意：管理员组的用户创建的对象，所有者默认是管理员组的所有成员。3.以管理员的身份登录，双击打开该记事本文件，提示拒绝访问。打开 hanLG.txt记事本文件属性，在“安全”标签，点击“继续”按钮。4.在出现的对话框，选中“administrator”账户，点击“确定”，在出现的提示对话框，点击“确定”。关闭属性对话框

22、，再次打开属性对话框。5.再次打开记事本文件属性，现在可以编辑其权限了，因为所有者已经是管理员了。示例：更改文件夹以及其内的所有对象的所有权打开“公共空间”文件夹高级安全属性，点击“所有者”标签，点击“编辑”，选中“替换子容器和对象的所有者”，点击“确定”。1.3.8 确定对象的有效权限每个对象都有与其相关联的一组有效权限。“高级安全设置”属性页的“有效权限”选项卡列出了那些将通过组成员身份直接授权权限的选定组或基于用户授权访问的权限。如果要查找用户或组对于对象具有哪些权限，可以使用有效权限工具。效权限工具可以计算指定用户或组授予的权限。计算时，将会考虑组成员身份的生效的权限，以及从父对象继承

23、的任何权限。另外，还会查找用户或组作为其成员的所有域和本地组。用于确定有效权限的因素全局组成员身份本地组成员身份本地权限本地特权通用组成员身份实例：确定对象的有效权限1.右击“公共空间”文件夹，点击“属性”，点击“安全”标签。2.点击“高级”按钮。在出现的高级安全对话框，点击“有效权限”标签。点击“选择”按钮。3.在选中用户、计算机和组对话框，输入入“hanLG”，点击“检查姓名”，点击“确定”。1.3.9 保护具有 NTFS 权限的文件的最佳操作设置 NTFS 权限时遵循以下最佳操作：将权限指派给组而不是用户。由于直接维持用户帐户效率不高，因此最好不要将权限直接指派给用户。如果可能，避免更改

24、文件系统对象的默认权限项，尤其是系统文件夹和根文件夹。更改默认权限可能会出现意外的访问问题或者降低安全性。从不拒绝 Everyone 组访问某个对象。如果拒绝 Everyone 访问某个对象，则管理员也不能访问该对象。更好的解决方案是删除 Everyone 组，只要给其他用户、组或计算机授予访问该对象的权限即可。此外，可能需要为 Administrators 组和LocalSystem 指派“完全控制”权限。如果对象具有显式允许权限，则继承的拒绝权限并不禁止访问该对象。显式权限优于继承的权限，其中包括继承的拒绝权限。拒绝权限只能用于以下特殊情形：从具有“允许”权限的组中排除部分成员。为用户或组

25、指派“完全控制”权限后排除一个特殊的权限。为网站配置 NTFS 权限时小心使用。权限设置不当可能会拒绝有效用户访问需要的文件和目录。例如，即使用户有查看和执行程序的正确权限，用户可能还是无权访问运行该程序所需的特定动态链接库(DLL)。要保证用户可以安全和不间断地访问文件，可将相关文件放在同一目录下，并为该目录指派相应的 NTFS 权限。1.3.10 NTFS 权限应用实战场景 1研发部经理，打算实现这样的功能，员工制作的图纸一旦提交之后就不允许员工再访问，防止员工不小心删除，由归档员“兰帅”来处理提交的图纸。步骤：1.创建一个“研发图纸”文件夹，在“研发图纸”高级安全对话框，去掉“包括可从该

26、对象的父项继承的权限”，在弹出的对话框，点击“删除”，点击高级安全对话框中的“添加”，输入“研发人员”，点击“检查名称”，点击“确定”。如下图，授予研发人员“列出文件夹/读取数据”和“创建文件/写入数据”的权限。点击“确定”。2.再次单击“添加”，输入“兰帅”，点击“检查名称”，如下图，授予“兰帅”完全控制的权限。场景 2“公共空间”文件夹，存储所有人的数据，为了管理方便，不允许用户随便在“公共空间”文件夹中创建文件和文件夹，管理员为每个用户创建一个文件夹，并授予用户对自己文件夹的完全控制权。步骤：1.打开“公共空间”文件夹安全属性，去掉继承下来的权限，授予管理员完全控制的权限，授予“Doma

27、in Users”列出文件夹/读取数据的权限。2.在“公共空间”文件，为每个用户创建子文件夹，点击“高级”按钮，打开高级安全设置，点击添加授予“韩立刚”帐户完全控制权。点击“确定”。1.4 加密文件系统（EFS）EFS(Encrypting File System，加密文件系统)是Windows 2000/XP/Vista/WindowsServer2008 所特有的一个实用功能，加密文件系统(EFS)提供了用于在 NTFS 文件系统卷上存储加密文件的核心文件加密技术。由于 EFS 与文件系统相集成，因此使管理更方便，使系统难以被攻击，并且对用户是透明的。此技术对于保护计算上可能易被其他用户访

28、问的数据特别有用。对文件或文件夹加密后，即可像使用任何其他文件和文件夹那样，使用加密的文件和文件夹。什么是 EFS 加密EFS 加密是基于公钥策略的。在使用 EFS 加密一个文件或文件夹时，系统首先会生成一个由伪随机数组成的 FEK(File Encryption Key，文件加密钥匙)，然后将利用 FEK 和数据扩展标准 X 算法创建加密后的文件，并把它存储到硬盘上，同时删除未加密的原始文件。随后系统利用你的公钥加密 FEK，并把加密后的 FEK 存储在同一个加密文件中。而在访问被加密的文件时，系统首先利用当前用户的私钥解密 FEK，然后利用 FEK 解密出文件。在首次使用 EFS 时，如果

29、用户还没有公钥/私钥对(统称为密钥)，则会首先生成密钥，然后加密数据。如果你登录到了域环境中，密钥的生成依赖于域控制器，否则依赖于本地机器。EFS 加密系统对用户是透明的。这也就是说，如果你加密了一些数据，那么你对这些数据的访问将是完全允许的，并不会受到任何限制。而其他非授权用户试图访问加密过的数据时，就会收到“访问拒绝“的错误提示。EFS 加密的用户验证过程是在登录 Windows 时进行的，只要登录到 Windows，就可以打开任何一个被授权的加密文件。1.4.1 EFS 加密选中 NTFS 分区中的一个文件，点击鼠标右键，选择“属性”命令，在出现的对话框中点击“常规”选项卡，然后点击“高

30、级”按钮，在出现的对话框中选中“加密内容以便保护数据”选项，点击“确定”即可。此时你可以发现，加密文件名的颜色变成了绿色，当其他用户登录系统后打开该文件时，就会出现“拒绝访问”的提示，这表示 EFS 加密成功。而如果想取消该文件的加密，只需将“加密内容以便保护数据”选项去除即可。示例：EFS 加密1.以域用户“韩立刚”登录到服务器 Research 计算机。2.右击桌面上的 IE 图标，点击“属性”，在 IE 属性对话框中，点击内容标签，点击“证书”按钮。3.可以看到没有任何个人证书。注意：EFS 使用加密密钥对数据进行加密。加密密钥与证书绑定在一起。首次加密文件或文件夹时，将为您创建加密证书

31、和密钥。4.在 E 盘上创建一个文件夹“HanLG EFS”，右击该文件夹，点击“属性”。5.在常规标签下，点击“高级”按钮，在高级属性对话框中，选中“加密内容以便保护数据”，点击“确定”。您将发现加密后的文件夹变成了绿颜色。6.再次打开 IE 属性，在“内容”标签下，点击“证书”按钮，可以看到当前用户用户用于 EFS 的数字证书。选中 hanLG 证书，点击“查看”按钮。7.可以看到证书的目的。8.在“hanLG EFS”文件夹中创建一个记事本文件 hanLG Test.txt，您发现该记事本文件自动被加密。9.换一个域帐户“韩旭”登录到 Research 计算机。发现不能访问“韩立刚”加密

32、的文件 hanLG Test.txt。注意：这里出现的拒绝访问，不是 NTFS 权限拒绝访问，而是因为韩旭帐户不能解密韩立刚帐户加密的文件。1.4.2 备份 EFS 证书如果其他人想共享经过 EFS 加密的文件或文件夹，又该怎么办呢？由于重装系统后，SID(安全标示符)的改变会使原来由 EFS 加密的文件无法打开，所以为了保证别人能共享EFS 加密文件或者重装系统后可以打开 EFS 加密文件，必须要进行备份证书。备份 EFS 证书的几种方式：通过 IE 属性备份 EFS 证书1.打开 IE 属性，点击“内容”标签，点击“证书”按钮。2.选中要导出的证书，点击“导出”，在出现的向导对话框，点击“

33、下一步”。3.在出现的导出私钥对话框，选择“是，导出私钥”，点击“下一步”。4.在出现的导出文件格式对话框，点击“下一步”。5.输入密码保护私钥，点击“下一步”。注意：该密码要牢记，以后导入该数字证书，需要用到该密码。6.输入证书的存储位置和文件名，完成证书导出向导。通过“用户帐户”备份属性1.点击“开始”“设置”“控制面板”“用户帐户”。2.点击“管理您的文件加密证书”，在出现的向导，点击“下一步”。3.选择要导出的证书，点击“下一步”，输入备份的位置和密钥，点击“下一步”。4.更新以前加密的文件，选中加密的目录，点击“下一步”。5.点击“关闭”，完成证书备份向导。这样所有的文件都使用现在的

34、证书加密，避免现在备份的证书不能解密这些加密的文件夹。通过证书管理单元备份证书1.点击“开始”“运行”菜单项，在出现的对话框中输入“certmgr.msc”，回车。2.在出现的“证书”对话框中依次双击展开“证书”“当前用户”“个人”“证书”选项，在右侧栏目里会出现以你的用户名为名称的证书。选中该证书，点击鼠标右键，选择“所有任务”“导出”命令，打开“证书导出向导”对话框。3.在向导进行过程中，当出现“是否要将私钥跟证书一起导出”提示时，要选择“是，导出私钥”选项，接着会出现向导提示要求密码的对话框。为了安全起见，可以设置证书的安全密码。4.当选择好保存的文件名及文件路径后，点击“完成”按钮即可

35、顺利将证书导出，此时会发现在保存路径上出现一个以 PFX 为扩展名的文件。当其他用户或重装系统后欲使用该加密文件时，只需记住证书及密码，然后在该证书上点击右键，选择“安装证书”命令，即可进入“证书导入向导”对话框。按默认状态点击“下一步”按钮，输入正确的密码后，即可完成证书的导入，这样就可顺利打开所加密的文件。1.4.3 导入其他用户的 EFS 证书导入其他用户的 EFS 证书，可以打开其加密的文件。示例：域帐户韩旭导入韩立刚帐户备份的 EFS 证书打开其加密的文件。1.韩立刚帐户将其导出的 EFS 证书拷贝到“公共”文件夹中“公共图片”中。提示：韩旭用户帐户没有权限访问韩立刚帐户的“我的文档

36、”，将 EFS 证书放到“公共”文件夹中的“公共图片”文件夹的目的是为了韩旭能够访问到韩立刚的 EFS 证书。2.以域帐户“韩旭”登录到 Research 计算机。打开 hanLG EFS 文件夹中 hanLG Test.txt提示“拒绝访问”。3.如下图，打开 IE 属性，点击“内容”标签，点击“证书”按钮，在出现的对话框中，点击“导入”按钮。4.浏览到“公共”文件夹中的“公用图片”，文件扩展名选中“个人信息交换*.pfx;*.p12”，选中要导入的证书，点击“打开”。5.输入私钥保护密码，选中“标志此密钥为可导出的密钥”，点击“下一步”。6.在证书存储对话框，默认为“个人”，点击“下一步”

37、，完成证书导入。您将看到两个可用的证书。7.再次打开韩立刚加密的记事本文件，发现能够打开,说明解密成功。1.4.4 共享 EFS 文件您可能需要授权其他用户帐户能访问你加密的文件，与使用同一个计算机的其他用户共享加密文件。示例：与使用同一个计算机的其他用户共享加密文件。域用户帐户韩立刚在 Research 计算机上加密的文件允许域用户兰帅帐户访问。1.以兰帅的域用户帐户登录 Research 计算机，创建一个文件夹，并将其属性设置为加密。目的是让系统给兰帅分配一个 EFS 证书。2.注销兰帅用户帐户。3.以韩立刚帐户登录 Research 计算机，右击文件夹“hanLG EFS”文件夹中的“h

38、anLG test.txt”文件，点击“属性”。提示：不能允许其他用户帐户访问整个加密的文件夹。只能针对一个文件授权其他用户访问 EFS。4.在属性对话框中，点击“高级”按钮，在出现的高级属性对话框中，点击“详细信息”按钮。5.在出现的用户访问对话框，点击“添加”按钮。6.在出现的对话框，列出了存储在本地计算机的用户配置文件中有 EFS 证书的用户的 EFS 证书。选中“兰帅”的 EFS 证书，点击“确定”。完成授权。提示：这样加密该文件的对称密钥被这两个用户的 EFS 证书中的公钥加密了，因此两个用户帐户都能够使用自己的私钥解密加密的对称密钥，使用该对称密钥再解密该文件。7.以兰帅帐户登录

39、Research 计算机，能够打开该记事本文件。1.4.5 在域环境使用 EFS在域环境中，可以安装活动目录证书服务，为域中的用户帐户颁发 EFS 证书。这样使用漫游用户配置文件的用户帐户，可以在域中的任何计算机访问自己加密的文件。实例：在域环境中使用 EFS以下操作将会完成以下目标：安装活动目录证书服务配置韩立刚用户帐户使用漫游式配置文件重新使用新证书重新加密文件在 Research 计算机上共享“hanLG EFS”文件夹韩立刚用户帐户在 Sales 计算机登录访问 Research 计算机共享的“hanLG EFS”查看活动目录域用户的 EFS 证书步骤：1.以域管理员的身份登录到 DC

40、Server 上，打开“服务器管理器”，点击“添加角色”。2.在出现的对话框，选中“Active Directory 证书服务”，点击“下一步”。3.在出现的对话框，点击“下一步”，在出现的“选择角色服务”对话框，选中“证书颁发机构”，“证书颁发机构 Web 注册”，“联机响应程序”，点击“下一步”。4.在“指定安装类型”对话框中，选择“企业”，点击“下一步”。5.在“指定 CA 类型”对话框中，选择“根 CA”，点击“下一步”。6.在“设置私钥”对话框中，选中“新建私钥”，点击“下一步”。7.在“为 CA 配置加密”对话框中，密钥长度选中“2048”，点击“下一步”。8.输入 CA 公共名称

41、，点击“下一步”。9.指定证书的有效期，点击“下一步”。10.选择证书数据库和日志的位置，点击“下一步”，完成安装向导。11.将韩立刚的用户帐户配置文件指定到 FileServer 上的 Profiles 文件夹中。注：使用用户漫游式配置文件，使得用户的 EFS 证书在域中的任何计算机都可用。12.在 Research 计算机和 Sales 计算机上运行 gpupdate/force 命令来强制计算机刷新策略，这样他们就能自动发现域中安装的证书颁发机构了，并且信任该证书颁发机构。13.以韩立刚用户帐户登录到 Research 计算机，点击“开始”“设置”“控制面板”“用户帐户”。14.在用户帐

42、户对话框中，点击“管理您的文件加密证书”。15.在加密文件系统对话框中，选择“创建新证书”，点击“下一步”。16.在出现的对话框中，选择“域证书颁发机构颁发的证书”，点击“下一步”。17.在出现的对话框，点击“稍后备份证书和密钥”，点击“下一步”。18.在更新以前加密的文件，选中“hanLG EFS”文件夹，点击“下一步”。提示：通过更新以前加密的文件夹，该文件夹中的文件将会使用新的 EFS 证书加密。19.在出现的对话框中，点击“查看证书”。在证书对话框常规标签下，可以看到颁发者是 ESS-DCSERVER-CA。注：可以看到您有一个与该证书对应的私钥。20.右击“hanLG EFS”文件夹

43、，点击“共享”，在出现对话框，点击“共享”，在出现的“用户帐户控制”对话框，输入域管理员帐号和密码。点击“确定”，完成共享。21.注销韩立刚帐户在 Research 上的登录。这样用户的帐户配置文件会存储在FileServer 服务器上的 profiles 文件夹中。22.使用韩立刚用户帐户在 Sales 计算机上登录，访问 Research 计算机上的文件夹，双击“hanLG test.txt”，发现能够打开，说明能够解密成功。23.在 DCServer 计算机上以域管理员登录，打开“Active Directory 用户和计算机”，点击查看24.双击韩立刚用户帐户，在属性对话框点击“发布的

44、证书”标签。可以看到该用户的证书。25.选中该证书，点击“查看证书”，可以看到该证书没有私钥。注：存储在活动目录中的用户证书，只是证书的公钥部分。1.4.6 指定恢复代理证书为了防止个别用户帐户的 EFS 证书丢失，造成加密的数据不可访问，您可以在创建数据恢复代理证书。该用户代理程序可以恢复该部门的或整个域的用户加密的文件。示例：给域中所有计算机指定一个数据恢复代理证书。1.以域管理员的身份登录 DCServer。2.点击“开始”“程序”“管理工具”“组策略管理”。3.在组策略管理对话框中，如图，右击“Default Domain Policy”，点击“编辑”。提示：该组策略默认连接在域级别上

45、，因此影响到域中所有的计算机，如果您想对销售部门的计算机指定数据恢复代理证书，您可以创建新的组策略，并将该组策略连接到销售部门的组织单元。4.在组策略编辑管理器对话框，如图，右击“加密文件系统”，点击“创建数据恢复代理程序”。5.您会看到 ESS-DCSERVER-CA 发给 administrator 的文件恢复证书。6.双击该证书，您会看到证书的目的：文件恢复，并且能看到您有一个域该证书对应的私钥。7.关闭组策略编辑器。8.打开 IE 属性，在内容标签下，点击“证书”按钮，在证书对话框，选中文件恢复证书，点击“导出”按钮。9.在导出向导对话框中，选择“是，导出私钥”，点击“下一步”。10.

46、在文件格式对话框，点击“下一步”。11.在密钥对话框中，输入密钥，点击“下一步”。12.再出现的对话框中，输入存储证书路径和文件名，完成导出。注：将导出的恢复代理证书妥善保存起来，为了安全期间，现在您可以删除存储在域控制器上的恢复代理证书了。13.在 Research 计算机运行 gpupdate/force 刷新组策略。14.在“hanLG EFS”文件夹中创建一个记事本文件“second test.txt”。15.切换用户，以域管理员登录 Research，双击“Seond test.txt”，您将会发现拒绝访问。16.导入从 DCServer 计算机上将恢复代理证书拷贝到 Researc

47、h 计算机。打开 IE 属性对话框，在内容标签下，点击“证书”按钮。17.在证书对话框中，点击“导入”，浏览到证书，输入密码，将恢复代理证书导入。18.双击“second test.txt”文件，您能打开。19.双击“hanLG test.txt”文件，提示拒绝访问。提示：恢复代理证书只能解密那些指定恢复代理证书的组策略应用以后的加密的文件。因此不能解密“hanLG test.txt”文件。1.4.7 应该在何时加密文件和文件夹如果您认为文件或文件夹拥有 Windows 可以提供的最强保护措施这一点非常重要，则应当对这些文件或文件夹进行加密。由于加密文件和文件夹非常容易，因此可以尝试加密所有的

48、信息。您可以这样做，但是要记住下面这些事项：需要确保备份您的加密证书和加密密钥，并将其保存在安全的位置。如果加密证书和密钥丢失或损坏，您将无法再使用已加密的文件。如果加密一个文件夹，则在该文件夹中创建的所有文件都将被自动加密。其他想要访问您加密的文件或文件夹的人员必须将其自己的加密文件系统(EFS)证书添加到这些文件中。通过此证书，他们在您的计算机上工作时即可访问加密的文件或文件夹。如果文件已共享，他们可以从另一台运行 Windows 的计算机上访问这些文件。如果将某个文件复制或移动到不使用 NTFS 文件系统的计算机或卷，该文件将被解密。1.4.8 移动或复制对加密状态的影响您可以将自己加密

49、的文件或文件夹移动或拷贝到其他目录，移动和复制操作对加密状态的影响，分以下几种情况：将文件或文件夹复制或移动到加密状态的文件夹，将会自动变成加密状态。将加密的文件或文件夹复制或移动到其他 NTFS 分区的位置，加密状态不变。将加密的文件或文件夹复制或移动到 FAT32 分区，文件变成不加密状态。1.4.9 用户密码重设对 EFS 的影响由管理员重置用户密码或使用其他工具重设计算机本地用户密码后，EFS、凭据和证书私钥将不可用。您可能会失去的访问权限给用户的：注：域用户不存在这个问题，也就是说域用户的密码如果忘了，可以找域管理员重新设置新的的密码。web 页凭据。存储的网络密码。EFS 加密文件

50、。证书与私钥（签名/加密 电子邮件）。若要恢复的所有数据，您必须下列之一：原始密码。这是与用户上次成功登录并能够访问他们的凭据和文件时的密码。密码故障恢复磁盘(PRD)。必须已在用户具有访问文件时创建该密码恢复磁盘。示例：密码重设后 EFS 不可解密本示例演示将 Research 计算机上本地用户“张帅”的密码由“pssw0rd”重设成“pssw0rd01”后，加密的文件不能访问。步骤：1.以 Research 计算机上本地管理员登录，创建一个“张帅”用户帐户，登录名 zhangS，密码“pssw0rd”。2.以张帅帐户登录 Research 计算机。3.创建一个文件夹“zhangS EFS”

51、，并将该文件夹设置成加密状态。4.在该文件夹中创建一个记事本文件。5.注销张帅用户。6.以 Research 计算机本地管理员登录，右击“张帅”用户帐户，点击“设置密码”，在出现的对话框中，点击“继续”。提示“重设此密码可能会造成不可逆的用户帐户信息丢失。由于安全原因，Windows通过相应的信息在重设用户的密码后不可访问来进行保护。在下次用户注销时将发生此数据丢失。您只有在用户忘记了密码并且没有密码重设盘的情况下才应该使用此命令。如果此用户创建了密码重设盘，他应该使用磁盘来重设密码。如果用户知道密码，只是想更改它，用户应该登录，按 CTRL+ALT+DELETE 然后单击“更改密码”。7.在

52、出现的重设密码对话框，点击输入新密码“pssw0rd01”。8.注销管理员，以张帅的帐户登录 Research。9.双击加密的文件，提示“拒绝访问”。10.按 CTRL+ALT+Delete，点击“更改密码”。输入旧密码“pssw0rd01”，新密码“pssw0rd”。点击，将密码更改为加密时的密码。注:如果加入域后的计算机,默认的安全策略不允许立即改密码,会提示不符合密码策略。您可以在 DCServer 计算机上修改组策略，允许用户能够立即更改密码。11.再次打开加密的文件，成功。1.5 压缩压缩可以对文件、文件夹或整个卷进行。NTFS 文件系统的压缩过程和解压过程对用户是完全透明的，压缩前

53、和压缩后的文件在使用上没有不同。说明：NTFS 压缩和 EFS 加密不能同时使用，所以对于需要加密的文件或文件夹不要压缩。几点说明：当把一个未压缩的文件或文件夹复制到一个压缩的文件夹或卷中时，会自动压缩。在同一个 NTFS 卷中，当把一个压缩的文件或文件夹复制到一个未压缩的文件夹或卷中时，其状态仍为压缩。在不同 NTFS 卷间，当把一个压缩的文件或文件夹复制到一个未压缩的文件夹或卷中时，会自动解压。当一个压缩的文件从 NTFS 卷移动或复制到 FAT 卷时将自动解压。1.5.1 压缩文件夹您可以将不常用的文件放到设置成压缩状态文件夹中。示例：启用对文件夹的压缩1.在 Research 计算机上

54、创建一个“安装文件”文件夹，在“安装文件”文件夹中创建一个图片文件“photo.bmp”，点击“编辑”，随便画一些内容，保存，右击“photo.bmp”文件，2.右击该文件夹，点击“属性”，在常规标签下，点击“高级”，在高级属性对话框，选中“压缩内容以便节省磁盘空间”，点击“确定”。注意：你不能同时选择压缩和加密。观察压缩的文件夹变成了蓝色。3.选择“将更改应用于此文件夹，子文件夹和文件”。点击“确定”。4.在“安装文件”文件夹中，点击“属性”，在常规标签下，注意观察查看文件的大小和占用的空间。1.5.2 压缩整个磁盘您可以将整个 NTFS 分区的磁盘设置成压缩状态。注意：如果将整个磁盘分区设

55、置成压缩状态，该磁盘分区不能有加密的文件夹和文件。示例：将磁盘分区设置压缩状态1.右击磁盘分区，点击“属性”。2.在磁盘属性对话框中的常规标签下，点击“”1.5.3 移动或复制对压缩状态的影响移动和复制操作对压缩状态的影响。只有在文件夹中创建新文件或文件夹时才继承目标文件夹的压缩状态，同分区移动，文件或文件夹没有改变在磁盘上的存储位置，只是改变了文件的访问路径，因此不继承目标文件夹的状态。不同分区移动，实际上是复制文件或文件夹到新位置后删除源文件的过程，因此继承目标文件夹的压缩状态。这里一共有 3 种情况，同一 NTFS 分区、不同 NTFS 分区以及 FAT 分区，如下表所示。同一 NTFS

56、 分区不同 NTFS 分区FAT 分区复制继承目标文件（夹）压缩状态 继承目标文件（夹）权限压缩状态丢失移动保留原文件（夹）压缩状态继承目标文件（夹）压缩状态 压缩状态丢失1.6 磁盘限额文件服务器是多用户使用，使用磁盘限额可以文件服务器的磁盘可以指定每个账号用多大磁盘空间，这样可以避免某个用户把磁盘空间耗完。1.6.1 给所有用户设置统一的磁盘配额示例：在 FileServer 上实现磁盘限额1.以域管理员的身份登录 FileServer 计算机。2.双击计算机，右击“磁盘”，点击“属性”，点击“配额”标签。3.选中“启用配额管理”，选中“拒绝将磁盘空间给超过配额限制的用户”，将磁盘空间限制

57、为 500M，警告等级设置为 450M。点击“确定”。注意：磁盘配额默认对管理员不起作用。4.注销管理员，以韩立刚用户帐户登录。双击桌面上的计算机可以看到 E 分区大小为 499M，在 E 分区属性对话框，可以看到这个用户的可用空间和已用空间。提示：用户的已用空间是根据文件的所有者来计算每个用户的已用空间的。如果有压缩的文件或文件夹，其已用空间是用未压缩状态来计算的。1.6.2 给个别的用户设置特定大小的磁盘配额设置完磁盘配额后，您可能需要给某特定的用户帐户指定特定大小的配额。示例：给韩立刚用户帐户指定 1G 的磁盘限额1.以域管理员登录 FileServer，在 E 分区属性对话框的配额标签

58、下，点击“配额项”。提示：注意观察 administrators 组无限制。2.双击“韩立刚”可以设置该用户帐户的磁盘配额。1.7 卷影副本共享文件夹的卷影副本提供位于共享资源（如，文件服务器）上的实时文件副本。通过使用共享文件夹的卷影副本，用户可以查看在过去某个时刻存在的共享文件和文件夹。访问文件的以前版本或卷影副本非常有用，原因是用户可以：恢复被意外删除的文件。如果您意外删除了某个文件，则可以打开前一版本，然后将其复制到安全的位置。恢复意外覆盖的文件。如果您意外覆盖了某个文件，则可以恢复该文件的前一版本。在处理文件的同时对文件版本进行比较。当您希望检查一个文件的两个版本之间发生的更改时，可

59、以使用以前的版本。其他注意事项：当您恢复文件时，文件权限不会更改。权限在恢复前后没有变化。当您恢复一个意外删除的文件时，文件权限将被设为该目录的默认权限。创建卷影副本不能替代创建常规备份。当存储区域达到限制值之后，将删除最旧的卷影副本，从而留出空间以便创建更多卷影副本。删除卷影副本之后，将无法检索该副本。可以调整存储位置、空间分配和计划以适合您的需要。在“本地磁盘属性”页面的“卷影副本”选项卡上，单击“设置”。每个卷上最多可以存储 64 个卷影副本。达到该限制值之后，将删除最旧的卷影副本，因此无法检索该副本。卷影副本是只读的。不能编辑卷影副本的内容。您只能针对每个卷启用共享文件夹的卷影副本，也

60、就是说，您不能在卷上选择要进行复制或不进行复制的特定共享文件夹和文件。1.7.1 启用和配置“共享文件夹的卷影副本”，您只能以卷为单位启用共享文件夹的卷影副本，也就是说，您不能单独指定要复制或不复制卷上的特定共享文件夹和文件。此外，您不应使用此功能来创建操作系统正确运行所需的文件卷影副本。启用和配置共享文件夹的卷影副本1.以管理员的帐户登录 FileServer。2.在 E 卷上创建“研发图纸”，共享，设置共享权限：Everyone 为参与者。3.依次单击“开始”、“管理工具”，然后单击“计算机管理”。4.在控制台树中，右键单击“共享文件夹”，单击“所有任务”，然后单击“配置卷影副本”。5.在

61、出现的卷影副本对话框中，单击“设置”。6.在出现的对话框中，设置卷应副本存储位置以及大小。7.点击“计划”可以新建或修改创建卷应副本的计划。8.点击“确定”，然后单击“启用”。9.在 E 盘上“研发图纸”文件夹中创建“test.bmp”文件。10.右击 E 盘，点击“属性”对话框“卷影副本”标签，点击“立即创建”。注：卷影副本会根据日程安排定时创建，现在做测试，可以通过点击“立即创建”立刻产生副本。1.7.2 在本地找到以前版本的文件或文件夹演示：还原以前版本的文件或文件夹现在对 test.bmp 进行编辑并保存，然后还原到以前的状态。1.打开“test.bmp”，如图编辑并保存。现在您想恢复

62、到以前的版本。2.右击 E 盘，点击“属性”对话框“以前的版本”标签，可以看到在刚刚创建的版本，点击“打开”。3.双击 test.bmp 可以看到以前的版本。您可以拷贝到其他地方。1.7.3 从共享文件夹中恢复数据示例：从共享文件夹中恢复数据在 Research 计算机访问 FileServer 计算机上的共享文件“研发图纸”，并能够还原到以前的版本。删除文件 test.bmp，还原删除的文件。1.以域管理员的身份登录到 Research 计算机。2.点击“开始”“运行”，输入fileServer 点击“确定”，打开共享的“研发图纸”文件夹。右击 test.bmp 点击“属性”，在属性对话框的

63、“以前的版本”标签下，可以看到以前的版本。您可以还原、复制或打开该文件。3.删除 test.bmp 文件。4.右击“研发图纸”文件夹，点击“还原以前的版本”，选中上一时间创建的副本，点击“打开”。5.能够找到以前版本的 test.bmp 文件。1.7.4 共享文件夹的卷影副本的最佳操作在另一个磁盘上选择一个单独的卷，作为卷影副本的存储区域。在未进行卷影复制的磁盘上选择一个存储区域。如果使用另一个磁盘上单独的卷，将不会发生高 I/O 负载导致卷影副本被删除，而且会大大提高性能。对于使用率高的服务器，这是推荐的配置。考虑在您启用共享文件夹的卷影副本并设置计划选项之前客户端使用共享资源的方式。调整卷

64、影副本计划以适合客户端的工作模式。不要在使用装入点的卷上启用卷影副本。当获取卷影副本时，安装的驱动器将不包括在内。仅在没有装入点的卷上启用卷影副本，或者在您不希望对安装卷上的共享资源进行卷影复制时启用卷影副本。对文件服务器执行常规备份。共享文件夹的卷影副本不能替代执行常规备份。将备份实用程序和共享文件夹的卷影副本结合使用，作为最佳恢复准备。不要将副本计划为每小时发生多次。创建卷影副本的默认计划是周一到周五的早上 7:00 和中午。如果您决定要更频繁地获取副本，请确认您已分配了足够的存储空间，以及您的复制频率不会导致服务器性能降低。另外，还有一个上限，即每个卷最多可以存储 64 个副本，达到这个

65、限制之后将删除最旧的副本。如果获取卷影副本太过频繁，可能会很快达到该限制值，时间较早的副本也会很快丢失。在删除进行卷影复制的卷之前，要先删除用于创建卷影副本的计划任务。如果在没有删除卷影副本任务的情况下删除卷，计划任务就会失败，事件日志中就会写入一个事件 ID 为 7001 的错误。在删除卷之前先删除任务，可避免事件日志中写入这些错误。在格式化将要启用共享文件夹的卷影副本的源卷时，使用 16KB 或更大的分配单元。如果您计划对启用共享文件夹的卷影副本的源卷进行磁盘碎片整理，我们建议您在初次对源卷进行格式化时，将群集分配单元的大小设为 16 KB 或更大。如果不这样做，由磁盘碎片整理导致的更改数量可能会导致以前版本的文件被删除。