Меня попросили создать хранилище файлов для наших директоров, которое будет содержать конфиденциальную информацию. Они попросили, чтобы другие администраторы не могли читать данные.
Я сразу подумал об EFS, но, похоже, припоминаю, что это можно сделать только для каждого пользователя.
В настоящее время мы используем Server 2003, однако в ближайшем будущем мы, вероятно, перейдем на Server 2008 (возможно, R2).
Кто-нибудь еще получал подобный запрос, и если да, то как вы с ним справились?
Кто-нибудь еще получал подобный запрос, и если да, то как вы с ним справились?
Если они не хотят, чтобы системные администраторы имели доступ, на самом деле не имеет значения, используете ли вы разрешения EFS или NTFS - краткий ответ: если вы хотите, чтобы данные были скопированы, администраторам нужен доступ. Невозможно получить доступ к тому, чего не можешь читать - так что, если они так озабочены тем, что вы можете сделать ... возможно, пришло время поговорить о том, чего они на самом деле боятся.
Или ... они все равно не поймут, так что вы можете ослепить их новым акронимом, EFS позаботится об этом, и ответ Сэма - это решение. ;)
Это отличный повод убедиться, что ваша среда по умолчанию безопасна. EFS не поможет вам, если агент восстановления не является только вашей личной учетной записью. это может быть приемлемым риском для бизнеса, и они должны быть осведомлены об этом. Если это не портативная система (съемный жесткий диск или ноутбук), обычных списков ACL будет достаточно. Запретить ACL для других администраторов гарантирует, что они не смогут его прочитать, и если вы используете ABE другие админы даже не видят файл. Не забудьте также настроить изоляция домена и сервера также. Операторам резервного копирования также может быть предоставлен доступ к резервному копированию файла без разрешения на восстановление файла. Эта привилегия переопределит права доступа к файлу, поэтому администраторы не должны иметь доступ для резервного копирования файла и гарантировать, что они не смогут прочитать файл, если они решат попытаться восстановить его в другой системе. (это означает, что да, группа резервного копирования и группа восстановления будут состоять из двух отдельных людей). Обратите внимание, что если я являюсь администратором вашего домена с физическим доступом к серверу, вы можете выбросить все это в окно. Физический доступ к серверу позволит мне обойти все возможное. Если это который важно, то воткнуть его на USB-ключ в запертый ящик на самом деле не так уж и плохо. Я согласен с Кара в том, что откровенное обсуждение того, чего они боятся, уместно, если они настолько параноики в этом отношении. Я подозреваю, что вы настраиваете изоляцию домена и сервера и показываете им, что даже если у кого-то есть нужные разрешения, он может получить доступ к файлу только с рабочей станции директора - этого должно быть достаточно, чтобы убедить их в безопасности.
ссылки см .:
Рекомендации по делегированию администрирования Active Directory