Windows 7 引入多項企業級安全技術，本文深度解析 UAC、BitLocker、Suite B 加密套件、DirectAccess 遠端存取四大核心功能原理與設定要點。

1. UAC（使用者帳戶控制）

• Vista 首創，Win 7 優化減少彈窗頻率，預設「僅在我嘗試變更 Windows 設定時通知我」。
• 原理：標準使用者權杖 + 管理員權杖分離，提權需使用者同意（同意提示在安全桌面）。
• 管理：secpol.msc → 本機原則 → 安全性選項 → 「使用者帳戶控制：所有管理員以管理員核准模式執行」啟用。
• 開發者：應用程式需加入 requestedExecutionLevel 清單避免虛擬化重導向。

2. BitLocker 磁碟機加密

• 全磁區加密（AES-128/256），支援 TPM 1.2+ 硬體金鑰保護，防止離線攻擊（竊取硬碟離線分析）。
• Win 7 改進：支援可移動磁碟（BitLocker To Go）、自動解鎖固定資料磁碟、網路解鎖。
• 金鑰備份：列印、儲存至檔案、USB 隨身碟、Active Directory（網域環境）。
• 啟用：控制台 → 系統與安全性 → BitLocker 磁碟機加密 → 開啟 BitLocker。

3. Suite B 密碼套件

• NSA 制定，用於機密/絕密等級通訊：AES-256（加密）、SHA-256/384（雜湊）、ECDH P-384（金鑰交換）、ECDSA P-384（數位簽章）。
• Win 7 整合至 Schannel (Security Channel) 提供 TLS/SSL/IPSec 使用，符合 FIPS 140-2 Level 1。
• 啟用 FIPS 模式：secpol.msc → 系統服務 → 「系統密碼編譯：使用相容 FIPS 140 的密碼編譯演算法」→ 啟用。

4. DirectAccess（直接存取）

• 無需 VPN 即可從網際網路安全存取企業內部資源（檔案伺服器、內部網站、管理伺服器）。
• 技術基礎：IPv6 over IPv4 (IP-HTTPS、6to4、Teredo)、IPSec 通道、NLS (Network Location Server) 判斷企業網路位置。
• 需求：Win 7 企業版/旗艦版、Windows Server 2008 R2、PKI、DNSSEC、IPv6 網路。
• 優點：使用者感覺透明、IT 可離線管理筆電、健康證明書 (NAP) 強制合規。

附：受管理服務帳戶 (Managed Service Accounts)

• 自動管理服務帳戶密碼輪換、SPN 註冊、委派，降低服務帳戶被盜用風險。
• PowerShell 建立：New-ADServiceAccount -Name SVC_App01 -Enabled $true。