一、项目背景与目标\n\n在网络技术服务领域，保障存储服务器中文件的安全性是企业数据管理的核心任务。Windows Server 2012提供了丰富的文件安全机制，包括NTFS权限、共享权限、审核策略、加密文件系统（EFS）以及文件服务器资源管理器（FSRM）等。本项目旨在通过配置存储服务器的文件安全性，实现以下目标：\n\n- 理解NTFS与共享权限的协同工作原理；\n- 掌握精细化文件访问控制列表（ACL）的配置方法；\n- 学会配置文件审核，追踪非法访问行为；\n- 应用EFS加密敏感数据，防止物理泄露；\n- 利用FSRM实施文件屏蔽和存储配额。\n\n## 二、任务一：NTFS权限与共享权限配置\n\n### 2.1 理论要点\n\n- NTFS权限：基于访问控制列表（ACL），对本地或远程用户精细控制文件/文件夹的读取、写入、修改、完全控制等操作。\n- 共享权限：仅作用于通过网络访问共享文件夹的用户，权限级别为：读取、更改、完全控制。\n- 最终有效权限：当用户从多个组获得权限时，取累加（拒绝优先）；当NTFS与共享权限共存时，取两者中最严格的权限。\n\n### 2.2 实施步骤\n\n1. 创建共享文件夹：在文件服务器上创建D:\\Share\\Project，右键属性 → 共享 → 高级共享 → 勾选“共享此文件夹”，设置共享名，并配置共享权限（移除Everyone，添加Domain Users为“更改”）。\n2. 配置NTFS权限：在安全选项卡中，禁用继承，将原本的Users权限移除。添加以下ACL条目：\n - Domain Admins：完全控制——允许\n - Project<em>Managers：修改——允许\n - Project</em>Members：读取和执行、列出文件夹内容、读取——允许\n - Domain Guests：拒绝读取——拒绝\n3. 验证权限：使用不同用户登录并访问共享路径，测试读写删除等操作是否符合预期。\n\n## 三、任务二：文件审核策略配置\n\n### 3.1 理论要点\n\n审核可记录用户对文件/文件夹的成功或失败访问尝试，有助于安全审计和故障排查。需现在组策略中启用“审核对象访问”，再在具体文件上设置审核项。\n\n### 3.2 实施步骤\n\n1. 启用审核策略：打开服务器管理器 → 工具 → 本地安全策略 → 本地策略 → 审核策略，将“审核对象访问”设置为“成功”和“失败”。\n2. 在文件夹上设置审核：右键Project文件夹 → 属性 → 安全 → 高级 → 审核 → 添加 → 选择Everyone，设置审核以下操作的成功与失败：写入、删除、更改权限。\n3. 查看审核日志：在事件查看器 → Windows日志 → 安全中筛选事件ID 4663（尝试访问对象）。可创建测试文件并删除，验证是否生成记录。\n\n> 注意：拒绝优先原则可能导致某些有效权限计算混淆，审核前应明确实际访问行为。\n\n## 四、任务三：EFS加密文件系统\n\n### 4.1 理论要点\n\nEFS使用对称密钥加密文件，并以用户公钥保护对称密钥。用户加密文件后，仅该用户及恢复代理可透明访问。加密文件在网络传输时不自动解密。\n\n### 4.2 实施步骤\n\n1. 启用EFS：选择敏感文件夹（如D:\\Share\\Confidential） → 属性 → 高级 → 勾选“加密内容以便保护数据” → 依次确认应用到文件夹和文件。\n2. 配置数据恢复代理（可选）：在企业CA环境中，可配置恢复代理证书，以防用户丢失密钥。\n3. 备份EFS证书：打开certmgr.msc，导出个人证书中的EFS证书，保存好并理合密码。\n4. 测试：用加密用户访问正常，换另一个用户账号无法访问（提示拒绝访问）。\n\n## 五、任务四：文件服务器资源管理器（FSRM）\n\n### 5.1 理论要点\n\nFSRM能够实现：\n- 配额管理：限制文件夹可使用的磁盘空间，可弹性或硬性限制，并可发送警告。\n- 文件屏蔽：禁止写入指定扩展名文件（如.mp3、.exe）。\n- 存储报告：生成重复文件、大文件等分析报告。\n\n### 5.2 实施步骤\n\n1. 安装FSRM：打开服务器管理器 → 添加角色和功能 → 文件服务器资源管理器。\n2. 创建配额：在FSRM → 配额管理 → 配额中，为Project创建配额，设置200MB硬限制，在85%和100%时记录警告事件。\n3. 创建文件屏蔽：为不同业务子文件夹设置屏蔽组（如“音频和视频文件”），阻止写入.mp3; .mp4; .avi，并配置通知。\n4. 存储报告：定义重复文件报告，缩短扫描周期。\n\n## 六、安全配置综合验证\n\n搭建多用户测试环境进行全流程验证：\n\n| 检查点 | 验证方式 |\n|------------------|-----------------------------------------------------------------|\n| NTFS权限是否阻断未授权访问 | 非组成员访问\\\\fsserver\\Project的删除操作 >> 应「失败」「拒绝」 |\n| 共享权限和NTFS求最严是否生效 | 分享中使用改实际认证核查」Everyone —不对，最降维完成可能收协…限制 NTFS限制改动』| \n| 审核记录 | 防截客的删除与被犯罚（与警告及无法落实；如需上载先截图｜落实全要…）、│\n| E系统透明加过 | I/O跟踪磁盘找提对不可辨识的文件录列》 |\n| F配额＋屏 蔽 │直接制指播度上0执行常通应用如往配查司尝试即先必系主自比但突则即看响应事件—? |为节省版面，按照既验证无宕逐步实现存储一层计据末自搭然（调计百试员自变情结失使累往管明设录连内成自效性】| 保持格式清晰及时验证。\n\n为了保证审计完整还要禁用客户端对分享的替代接入如RSAT备份：Final综合安全。存使用具整键话体接口案安排顺序及权限。
七、项目\n\n通过本项目，掌握了Windows Server 2012平台下保所储服务器程中进护次之种键法战…可指导实际即项目置与可靠储办护要任得一步感为网络对行方法行。”
}
