希拓加密产品使用说明书

产品说明书希拓数据防泄密系统KDS金盾卫士V3.5南京希拓科技有限公司Nanjing Hitop Technology Co., Ltd版权声明南京希拓科技有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。

本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外,其著作权或其他相关权利均属于南京希拓科技有限公司。

未经南京希拓科技有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。

免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。

南京希拓科技有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但南京希拓科技有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。

信息反馈您可以访问希拓科技网站：获得最新技术和产品信息。

目录第一章：系统主要名词说明 (4)第二章：系统使用 (5)1、服务端的使用 (5)2、控制台的使用 (6)2.1名词说明 (6)2.2操作界面 (6)2.3基本设置 (8)2.3.1登陆控制台 (8)2.3.2修改密码 (8)2.3.3设置管理组 (8)2.3.4设置组加密信息 (9)2.3.5设置客户端权限 (10)2.3.6文件备份设置 (12)2.3.7帐号设置及管理 (13)2.3.8系统运行配置 (14)2.4文件加解密 (15)2.4.1邮件自动解密 (15)2.4.2解密审批 (16)2.4.3硬盘文件加密解密 (17)2.4.4本地文件加解密 (18)2.4.5远程文件加解密 (19)2.5客户端管理 (20)2.5.1客户端离线 (20)2.5.2生成客户端 (21)2.6日志管理 (22)2.7远程监视及远程控制 (22)2.8卸载删除客户端 (23)3、客户端的使用 (23)3.1开关客户端 (23)3.2邮件解密 (24)3.3申请解密 (25)3.4文件权限 (25)第三章：注意事项 (27)第四章：常见问题FAQ (29)第一章：系统主要名词说明1.服务端用于存放配置信息、负责网络通讯以及验证客户端的程序，运行于后台。

在系统运行过程中要确保服务端一直处于运行状态。

服务端在整个系统中有唯一性，系统的授权信息也是存放在服务端。

2.控制台控制台是用于配置系统的子程序，用户可以通过控制台配置系统，是直接面对用户的系统接口。

控制台在系统运行期间可以是关闭的，可以安装多个控制台。

3.客户端客户端是安装在涉密的计算机上，负责文档的自动加解密功能，以及执行相关操作。

4.用户组（部门）用户组是一个虚拟的名称，是由一部分客户端组成的集合。

在同一个用户组下面的文档利用该组的加密策略。

5.密钥密钥是用来加密算法使用，在系统中密钥很重要，每个用户组拥有一个唯一的密钥。

用户组建立以后密钥将会随机产生，一旦密钥启用，不要随便修改。

第二章：系统使用1、服务端的使用运行服务端，将需要添加授权文件，如果你没有授权文件，请与我们我们公司联系。

添加注册文件后系统将正常运行，不需要其他配置。

服务端要保持一直运行的状态，否则客户端和控制台将会无法正常使用，如果条件允许请保持24小时运行。

2、控制台的使用控制台是管理系统的平台，提供给管理人员使用，系统设置都需要通过控制台来完成。

2.1名词说明1.管理组：管理组是客户端的管理对象，每个管理组有不同的密钥，在同一个管理组的客户端计算机之间加密的文档能够流通。

2.加密类型：当前管理组需要自动加密的文档集合，例如OFFICE、CAD图纸等。

只有当前组选择了加密类型，这些文档才能够自动加密解密。

3.加密等级：根据保密制度和策略，通过部门、密级、文档类型的相关联，细化到各部门加密的不同文件类型，划分“公开”、“普通”、“私密”、“保密”、“机密”、“绝密”六个等级，这样，只能是具有相应访问权限的人才能访问该部门的某种类型文件。

2.2操作界面控制台操作主要分三个区域，如下图标记（A左视图，B右视图，C上视图）。

A左视图选择对象（组或客户端），鼠标左键点击，B右视图将会出现相关的操作界面或者信息。

2.3基本设置2.3.1登陆控制台首次使用控制台，系统默认管理员的帐号为admin ，密码为123456。

进入控制台后请马上修改admin帐号的密码。

服务端的IP指的是安装服务端的计算机的IP地址。

2.3.2修改密码首次登陆控制台以后，一定要修改密码，保护你的帐户安全。

“系统维护”菜单选择“修改密码”。

2.3.3设置管理组A左视图上选择组对象。

右键菜单选择“新建组”。

2.3.4设置组加密信息A左视图选中组对象，B右视图出现设置界面。

设置界面有两个部分组成，组基本信息和加密策略。

组基本信息显示组的名称及密钥。

加密策略显示组当前所应用的策略。

点击“修改信息”按钮，选择组的加密类型，这个组下面的客户端将自动加密所选的类型文件。

选择确定以后，客户端加密策略立即生效，无需重启客户端。

系统几乎支持所有的文档类型，如果列表里面没有你的需要的加密类型，请与我们联系，我们会进行配置。

2.3.5设置客户端权限安装好的客户端，将会自动上线，如果客户端在线图标就是“亮“的，如下图的客户端（192.168.1.3）。

如果客户端不在线图标就是“灰”的，如下图的客户端(192.168.1.5)。

1.修改基本信息A左视图选中客户端对象，B右视图会出现设置界面。

在“客户端基本信息”区域点击“修改信息”按钮，出现如下图的对话框，可以对客户端的外设，审计信息控制等进行管理。

其中，USB存储指的是USB存储设备；USB设备指的是USB存储、USB打印机、USB 鼠标等与USB接口有关的设备。

开关客户端，启动该功能，可以对客户端文件进行有选择的加解密。

开启加解密时，策略内的公司文件仍然自动加密；关闭加解密时，公司文件就无法打开，同时保证私人的文档不会加密。

允许剪切板，勾选表示加密文件内容可以复制到非加密文件中。

启用文件审计，当客户端机器有文件修改时候自动记录日志。

启用打印审计，在安装打印机的客户端记录下打印的信息日志。

如果选择审计功能，服务器需要有足够的存储空间，审计产生的日志数据量很大，会给服务器造成压力。

2.客户端加密等级A左视图中选中某客户端，在“系统设置”菜单里选“客户端加密等级”，就可以设置当前客户端访问策略。

如下图，设置的客户端就拥有查看开发部“公开”、“普通”等级文件的权限。

3.程序黑名单程序黑名单指的是，禁止客户端机器运行指定的程序，比如QQ、MSN等。

首先在系统设置程序黑名单里面增加你需要禁用的程序列表如下图。

增加好了以后要选择保存。

A左视图选择客户端对象，然后在“客户端程序黑名单”区域点击“修改信息”，来设置某个客户端的程序黑名单。

确定后生效，客户端计算机将无法运行这些程序。

.2.3.6文件备份设置“系统设置”菜单选择“文件备份设置”。

如下图，勾选“启用加密文件备份”，则备份功能生效。

选择需要备份的客户端，及备份的文件类型，完成设置就可以对所选类型加密文件进行备份。

2.3.7帐号设置及管理名词说明1.手工加密组：系统有自动加密的部分和手工加密的部分。

自动加密是由客户端来完成，手工加密由控制台来完成。

由于登陆控制台的是某个账号，加密是通过密钥来完成，而密钥存放在组信息里面。

所以就有了手工加密组的概念，归根到底就是获取这个组的密钥来加密文件。

2.管理组：系统可以由几个管理员来管理，管理员能够管理各个组的客户端，这样管理组的概念就产生了。

通过管理组可以设置特定的账号来分配管理的权限。

比如说财务部门有管理员，设计部有管理员，在给他们设置管理组的时候可以选择相对应的部门。

这样这个管理员只能看到自己部门的客户端，同时管理员也可以拥有不同的管理权限。

在“系统设置”菜单选择“帐号管理”，如下图：需要注意的是，如果在安装客户端的计算机使用账号登陆控制台，这个时候如果此账号的手工加密组和客户端的组不是同一个组，那么如果这个时候使用控制台来加密本地文件，这些加密文件客户端有可能无法打开，因为他们使用加密文件的密钥不同。

2.3.8系统运行配置断线运行时间：当客户端和服务端网络无法连接的时候，为了保证不影响客户端计算机的工作，可以设置在多长时间内客户端能够正常使用加密文件，一旦网络连接上以后断线时间将重新开始计算。

客户端离线使用U_KEY验证：需要出差的时候，可以通过把系统的加密以及配置信息写入到U_KEY里面，这样U_KEY就是一个简单的服务端程序，能够保证出差的客户端机器能够使用加密文件。

控制台使用U_KEY验证：用U_KEY来验证帐号的登陆身份。

如果你没有U_KEY，请不要选择这个选项，不然会造成无法登陆控制台。

2.4文件加解密2.4.1邮件自动解密邮件解密设置：“系统设置”菜单“邮件自动解密管理”选项。

B右视图出现策略列表，右键选择新增/编辑/删除策略。

通过三种控制方式：只验证发件人，只验证收件人和同时验证发件人收件人。

成功发送出去的文件就会自动解密。

1.只验证发件人，是指只要发件人在授权列表中，就可以发给任何人以进行解密。

2.只验证收件人，是指内部任何人发往授权列表中的收件人，文件将解密。

3.更为严格的方式就是同时验证收发者，两者都在授权列表才能成功发送解密。

另外还可以设置备份抄送邮箱，这样就能了解发送出去的文件，留做记录。

申请解密设置：A左视图右键需要设置的客户端对象，选择“解密审批设置”。

这里有两种方式：顺序审批和共同审批。

顺序审批就是只要某一个管理员同意即可进行文件解密；共同审批就是需要所有管理员都同意才能解密。

同时可以设置审批时间，超时则未通过审批。

客户端发送解密申请，登录控制台具有审批权限的管理员能够收到信息。

如下图，管理员可以查看申请解密的文件内容，作为审批依据。

审批结果会反馈给客户端。

2.4.3硬盘文件加密解密硬盘文件加密，对某一客户端硬盘中某一类型的所有文件加密，可以选择对客户端整个硬盘文件进行搜索加密指定的类型，目的是第一次使用本系统的时候进行初始化，加密原来的文档，安装系统以后产生的文档将会自动加密。

注意使用这个功能要谨慎，请输入确实要加密的文档类型，比如需要初始化加密CAD 图纸，可以输入dwg格式的文档类型。

不要输入一些系统文件类型，比如dll，ini等。

由于此功能需要搜索整个硬盘所以需要耐心等待，而且保证客户端在线。

在加密过程中不要关闭客户端的计算机。

一般来说加密10G的数据硬盘需要大约20分钟左右。

同时你可以通过远程文件的功能查看是否需要初始化加密的类型是否已经加密。

使用说明：“加密管理”菜单选择“硬盘文件加密”。

如下图，“选择客户端”添加需要初始化加密的客户端，所选客户端必须是在线的，输入需要加密的文档类型，点击“执行”按钮。