財務部門核心資料機密性要求極高：每位員工自行加密文件 (EFS)，確保離職時資料不外洩；但主管需具備解密權限以應對突發離職/審計場景。Windows Server 2008 域環境透過「加密檔案系統 (EFS)」結合「資料復原代理人 (DRA)」完美解決此需求。本文記錄完整部署流程與驗證步驟。

架構設計

• 域環境：xiaotang.com.cn，單一網域單一林。
• OU 結構：OU=Caiwubu,DC=xiaotang,DC=com,DC=cn 包含財務主管 (UserA)、財務專員 (UserB、UserC)。
• 目標：
  1. UserB、UserC 加密文件後，僅本人、Domain Admins、指定 DRA (UserA) 可解密。
  2. UserA (主管) 不加密自己文件，但能解密 UserB/C 文件。
  3. Domain Admins 保留緊急復原權限 (預設)。

部署步驟

步驟 1：建立域控制器並安裝 AD CS (Active Directory Certificate Services)

1. 安裝 Windows Server 2008 (Enterprise/Datacenter)，提升為域控制器 (dcpromo)，域名 xiaotang.com.cn。
2. 伺服器管理器 → 新增角色 → Active Directory 憑證服務 → 選擇 企業根憑證授權單位 → 完成安裝。
   此步驟提供企業級 PKI 基礎設施，支援 EFS 憑證自動註冊、DRA 憑證簽發、智慧卡登入等。

步驟 2：建立資料復原代理人 (DRA) 憑證並發佈群組原則

1. 以 Domain Admin 登入 DC，開啟 gpmc.msc (群組原則管理主控台)。
2. 右鍵域 xiaotang.com.cn → 建立此域中連結的 GPO → 命名 EFS_DRA_Policy → 編輯。
3. 路徑：電腦配置 → Windows 設定 → 安全性設定 → 公開金鑰原則 → 加密檔案系統 (EFS)。
4. 右鍵 EFS → 新增資料復原代理人 → 精靈選擇 瀏覽目錄 → 選取財務主管 UserA 的使用者憑證 (需具備「檔案復原」增強金鑰用法 EKU: 1.3.6.1.4.1.311.10.3.4.1) → 完成。
5. 同一節點下，確認 「允許使用者加密檔案」 設為 已啟用 (預設)。
6. 關鍵：取消勾選「此電腦上不允許使用 EFS」 (預設未勾選)。
7. 執行 gpupdate /force 於目標客戶端 (UserB/C 電腦) 生效。

步驟 3：驗證 DRA 生效與加密/解密測試

1. 以 UserB 登入客戶端 (已加域)，建立測試文件 D:\Finance\Secret_B.txt。
2. 右鍵 → 內容 → 進階 → 勾選 「加密內容以便保護資料」 → 確定 → 套用至資料夾/子資料夾/檔案。檔案名變綠色 (EFS 標識)。
3. 右鍵檔案 → 內容 → 進階 → 詳細資料 → 查看「可以透過下列憑證存取」清單，應包含：
   • UserB (加密者)
   • Domain Admins (預設 DRA)
   • UserA (財務主管，透過 GPO 指定的 DRA)
4. 跨用戶驗證：
   • 以 UserC 登入 → 嘗試開啟 Secret_B.txt → 應提示 「拒絕存取」。
   • 以 UserA (主管) 登入 → 開啟 Secret_B.txt → 成功讀取 (DRA 權限生效)。
   • 以 Domain Admin 登入 → 開啟 Secret_B.txt → 成功讀取 (內建 DRA)。

關鍵技術細節與避坑指南

項目	說明
EFS 憑證自動註冊	用戶首次加密檔案時，系統自動向企業 CA 申請「EFS 憑證」 (EKU: 1.3.6.1.4.1.311.10.3.4 - Encrypting File System)，存放於用戶設定檔 %APPDATA%\Microsoft\SystemCertificates\My。需確保 CA 模板「EFS」已發佈且用戶有「註冊」權限。
DRA 憑證要求	必須具備「檔案復原」EKU (1.3.6.1.4.1.311.10.3.4.1)。可複製「EFS」範本重命名為「DRA」，修改 EKU，發佈範本，UserA 申請/自動註冊取得。
私鑰備份至關重要	用戶私鑰遺失 (重裝系統未匯出、設定檔損毀) → 永久無法解密。必須部署「金鑰歸檔/備份」策略：GPO → 公開金鑰原則 → 「設定使用者憑證的自動註冊」啟用「備份私鑰至伺服器」或指導用戶手動 cipher /x 匯出 .pfx 妥善保管。
SYSVOL 複寫延遲	GPO 修改後需等待 FRS/DFS-R 複寫至所有 DC，客戶端 gpupdate /force 前可先 gpupdate /target:computer /force 確保電腦設定生效。
跨域/信任關係	若主管在不同域，需建立雙向信任並匯入 DRA 憑證至信任域「信任的人/企業信任」存儲區，或使用通用憑證存儲區。
BitLocker 配合	EFS 僅保護檔案層級，磁碟被物理竊取離線掛載仍可繞過。必須全盤啟用 BitLocker (TPM + PIN/USB Key)，保護靜態資料。

進階：使用 cipher.exe 命令列管理 EFS

# 查看加密狀態
cipher /u /n /h

# 加密資料夾 (含子目錄)
cipher /e /s:D:\Finance

# 解密資料夾
cipher /d /s:D:\Finance

# 建立新檔案預設加密 (目錄屬性)
cipher /a /s:D:\Finance

# 更新/移除 DRA (需管理員權限)
cipher /r:DRA_Cert_File  # 產生 .cer (公鑰) 和 .pfx (私鑰) 供 GPO 導入
cipher /u  # 更新用戶憑證快取

# 安全刪除可用空間 (防止已刪除明文檔案被恢復)
cipher /w:C:

應急預案：員工離職/私鑰遺失時的資料復原流程

1. 確認 DRA (UserA 或 Domain Admin) 憑證私鑰可用 (已匯出 .pfx 或存放於智慧卡/HSM)。
2. 以 DRA 身分登入任一已加域電腦 (或導入 DRA 憑證至當前用戶存儲區)。
3. 使用 cipher /d /s: 批次解密目標資料夾，或透過檔案總管 GUI 解密。
4. 解密後立即重新加密 (由新負責人加密) 或遷移至受控存儲 (SharePoint/受保護文件伺服器/RMS)。
5. 記錄操作日誌、簽署交接單，納入資安稽核軌跡。

EFS + DRA 是 Windows 原生、無額外授權成本、與 AD 深度整合的檔案級加密與授權分離方案。正確部署關鍵在於：PKI 基礎設施就緒 → DRA 憑證正確簽發與 GPO 發佈 → 私鑰備份機制落地 → 定期演練復原流程。將技術控制轉化為可操作、可審計、可持續的管理流程，才是資料安全的真正保障。