教委教材样本~8

在独立Microsoft Windows XP环境中实现EFS
名称
实验5-2：在使用PKI的域环境中规划EFS
任务清单
在本练习中，你将规划域环境中的EFS。
要完成本练习，必须阅读场景并回答与规划EFS有关的相应问题。
你是City Power & Light的安全管理员，该公司为三个主要都市区提供电力服务。Active Directory域包含运行Windows Server 2003的域控制器、运行Windows XP Professional Service Pack 1和Windows 2000的台式机和便携式计算机。该公司有三处办公地点：Chicago、Seattle和New York。每个地点都有三名IT人员负责计算机系统的维护和管理。每个地点都使用了相同的计算机OU结构。OU结构如下图所示。
HR部门的用户需要使用漫游用户配置文件，并需要在文件服务器上有一个主目录。你将使用脚本为这些用户配置漫游用户配置文件。你将使用文件夹重定向来减少漫游用户配置文件对网络的影响。然后，你将配置文件服务器允许这些用户使用EFS加密和解密存储在服务器上的文件。
任务
具体步骤
创建并共享一个文件夹来保存用户配置文件，并充当用户的主目录。
为HR用户重新配置用户对象，以便将他们的主目录和用户配置文件存储到新建的共享文件夹。
配置组策略为HR中的用户重定向My Documents文件夹。
以HR中的用户登录，并确认漫游用户配置文件和文件夹重定向已经生效。
使用EFS在My Documents文件夹测试文件加密。
配置文件服务器允许用户使用EFS通过网络加密文件。使用EFS在My Documents文件夹测试文件加密。
组织单位。
恢复代理
组策略中禁止EFS？
加密算法
服务器
便携式计算机
台式机
Research and Development
名称
实验5-3：启用EFS文件共享
任务清单
在本练习中，你将使用EFS加密一个文件，然后在Windows资源管理器中向EFS恢复字段添加另一个用户。.
你是组织中的一个用户。你需要将其他用户的证书添加到你加密的一个文件，以便他们能在需要时将文件解密。然后你将把文件复制到服务器上，以确定标记为“敏感账户，不能被委派”的账户对EFS的影响。
以Sales部门的用户登录，并确认无法使用EFS。
练习3为漫游用户配文件实现EFS
在本练习中，你将配置一台服务器来允许用户加密存储在文件服务器上的文件。
确保已启动2823_DC1、2823_Member1和2823_Client1虚拟机。
除非另有说明，否则从2823_Client1虚拟机以用户Don Hall执行任务。Don Hall的用户名是donh@，密码是P@ssw0rd。Don Hall没有任何管理权限。通过使用RUNAS命令或secondary logon服务执行所有管理任务。在执行管理任务时应使用administrator@作为用户名，P@ssw0rd为密码。
练习1实现证书来支持EFS
在本练习中，你将配置Active Directory®和Certificate Services为人力资源部（HR）的用户自动注册EFS证书。
确保已启动2823_DC1和2823_Client1虚拟机。
除非另有说明，否则从2823_Client1虚拟机以用户Don Hall执行任务。Don Hall的用户名是donh@，密码是P@ssw0rd。Don Hall没有任何管理权限。通过使用RUNAS命令或secondary logon服务执行所有管理任务。在执行管理任务时应使用administrator@作为用户名，P@ssw0rd为密码。
Research and Development OU包含敏感数据。应该禁止本地IT人员担任恢复代理，应该只有域管理员可以担任恢复代理。
Research and Development OU必须符合FIPS-140.1标准。
由于此要求非常具体，因此你决定为每个OU创建并链接一个GPO。使用上述要求，完成下面的要求表：
2823_DC1
2823_Client1
2823_Member1
要点在开始实验之前关闭所有虚拟机。不保存对虚拟机的任何更改。
Coho Vineyard决定允许网络上的部分用户使用EFS。这些用户将被允许加密本地和网络上的文件。你将配置证书模板以支持EFS，然后你将配置组策略来为用户注册EFS证书。最后，你将配置委派来允许用户在文件服务器上使用EFS加密文件。
由于最近便携式计算机失窃增多，公司决定实现EFS。公司要求你创建一条EFS使用策略，以满足以下要求：
只有便携式计算机用户可以实现EFS。
便携式计算机所有者应该只能加密位于其本地硬盘上的文件，但不能加密所连接服务器上的文件。
因为将来会使用漫游配置文件，因此你希望使用所有操作系统都可使用的算法。
只有IT管理员才能担任恢复代理。
确保已启动2823_DC1和2823_Client1虚拟机。
除非另有说明，否则从2823_Client1虚拟机以用户Don Hall执行任务。Don Hall的用户名是donh@，密码是P@ssw0rd。Don Hall没有任何管理权限。通过使用RUNAS命令或secondary logon服务执行所有管理任务。在执行管理任务时应使用administrator@作为用户名，P@ssw0rd为密码。
任务
具体步骤
创建组策略并链接到HR组织单位。配置策略允许用户自动注册EFS证书
配置HR EFS Policy组策略对象发布一个数据恢复代理
将Client1计算机账户移动到HR OU
以HR中的一个用户登录并确认能加密文件
新建组策略对象并将其链接到Sales OU。配置策略防止Sales用户的计算机使用EFS。
为HR部门新建一个基于安全用户账户的数据恢复代理
配置支持EFS数据恢复的证书模板
以HRRecovery用户登录，并注册HR EFS Recovery证书
从客户端计算机删除数据恢复代理私钥
验证证书已随HRRecovery用户对象存储在Active Directory中
练习2配置组策略来支持EFS
在本练习中，你将配置与EFS相关的组策略设置。
启用EFS文件共享
名称
实验5-4：加密文件系统的规划、部署和故障排除
任务清单
完成本实验后，将能够：
使用证书和自动注册在域中实现EFS
配置与EFS相关的组策略设置
为漫游用户配置文件实现EFS
注意此实验在于实践本章的概念，所以可能未遵守Microsoft安全推荐做法。
在开始实验之前，你必须准备好一张已格式化的空白软盘和以下虚拟机：
实验报告
第5章
名称
实验5-1：在独立Microsoft Windows XP环境中实现EFS
任务清单
在本练习中，你将以本地用户身份登录到一台运行Windows XP的计算机，生成证书，然后加密文件。
最近你购买了一台新的便携机，从而可在家里工作。为了确保来自组织的数据被安全地存储在这台计算机中，你决定在“我的文档”文件夹上实现EFS。
只有HR部门的用户被允许使用EFS加密。这些文件只能由加密者和指定为数据恢复代理的特定用户来解密。你将新建包含数据恢复代理的组策略对象。你将防止非HR部门员工使用EFS。HR部门员工的计算机对象位于HR组织单位。HR部门的员工使用的是Windows XP Professional客户端计算机。其他员工使用的是Windows XP Professional或Windows 2000 Professional客户端计算机。你将配置组策略防止HR组织单位以外的计算机使用EFS。然后，你将使用多个用户账户登录，以确认只允许HR用户加密文件。
既定安全策略规定只有HR部的用户才应该能加密存储在其本地计算机上的文件，并且这些文件必须能由指定数据恢复代理恢复。你将配置Active Directory来允许HR部的用户自动注册文件加密系统证书。然后你将新建一个数据恢复代理，并为其注册数据恢复证书。
任务
具体步骤
配置支持EFS和自动注册的证书模板。配置该模板为仅颁发给HR的用户
完成实验练习。