Windows Server 上的資料加密：BitLocker 和 EFS

在 Windows Server 上，可以使用BitLocker保護整個磁碟區，或使用EFS透過使用者憑證保護選取的 NTFS 檔案。 BitLocker 可以保護鎖定或離線磁碟機；EFS 則將檔案存取權限限制為授權的憑證持有者。兩者都不能取代權限管理、經過驗證的備份或網路加密。

工具	範圍	恢復
BitLocker	整捲	解鎖方法加上單獨的恢復金鑰
EFS	選定的 NTFS 文件	用戶的 EFS 私鑰或恢復代理

在啟用加密之前做好恢復準備

啟用加密前請先制定恢復計畫。對於網域管理的伺服器，請設定固定磁碟機策略，將 BitLocker 復原資訊託管在 AD DS 中，並要求備份成功；驗證授權管理員是否可以擷取該資訊。對於獨立伺服器，請將恢復密碼儲存在與電腦分離的已核准保管庫或離線位置，並限制存取。請參閱Microsoft 的 BitLocker 復原概述。 EFS 使用不同的金鑰：請將使用者的私鑰保存在單獨儲存的受密碼保護的 PFX 檔案中。同時備份數據，並測試恢復副本的功能。

BitLocker 可在磁碟區鎖定時保護數據，但運作中的伺服器可以讀取未鎖定的磁碟機。請確保 NTFS 和共用權限與工作負載相符，並保護控製卷存取的系統。

使用 BitLocker 加密 Windows Server 卷

1. 安裝 BitLocker 功能

在伺服器管理員中，開啟“管理”>“新增角色和功能”，選擇目標伺服器，跳過“伺服器角色”，在“功能”下選取“BitLocker 磁碟機加密”，然後安裝。或者，您也可以在 Server Core 上以管理員身分執行 PowerShell 指令，或進行自動化操作：

Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementTools -Restart

安裝需要重啟，因此請安排停機時間。請參閱Microsoft 的 BitLocker 安裝指南。在桌面體驗中，也可以使用控制台小程式；Server Core 使用 PowerShell 或manage-bde.

伺服器管理員功能頁面，已選擇 BitLocker 磁碟機加密。 — 伺服器管理器，已選擇 BitLocker。

以管理員身分執行 PowerShell，執行 BitLocker 功能安裝指令，結果顯示需要重新啟動。 — 安裝 BitLocker 並重新啟動伺服器。

2. 添加解鎖和恢復保護

在進行任何變更之前，請確認磁碟機號碼。本範例使用D:固定資料磁碟區；請替換為伺服器上的正確磁碟區。新增用於日常解鎖的密碼保護程序，以及單獨的恢復密碼保護程序：

$pw = Read-Host "Enter a strong D: unlock password" -AsSecureString
Add-BitLockerKeyProtector -MountPoint "D:" -PasswordProtector -Password $pw
Add-BitLockerKeyProtector -MountPoint "D:" -RecoveryPasswordProtector

加密前，請務必確認恢復密碼已根據政策託管或保存在您已批准的保險庫中；切勿僅將其保留在加密伺服器上。 Microsoft 建議為資料磁碟區採用主解鎖方法和復原保護機制；請參閱BitLocker 操作指南。

PowerShell 指令為 D: 資料卷新增密碼保護器和復原密碼保護器。 — 增加日常和恢復解鎖方法。

3. 開始加密並檢查進度

-UsedSpaceOnly對於新磁碟區來說速度更快，但不會觸及已刪除的磁區。如果硬碟之前儲存過敏感數據，則應省略此步驟。

Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -UsedSpaceOnly
Get-BitLockerVolume -MountPoint "D:"

檢查VolumeStatus、EncryptionPercentage和ProtectionStatus；Get-BitLockerVolume等待完成。請參閱 Microsoft 的Enable-BitLocker和Get-BitLockerVolume參考文件。

BitLocker 磁碟機加密面板顯示 D: 資料磁碟區正在加密。 — 監控加密過程，直到 D: 完成。

使用 EFS 加密選定的文件

EFS 可保護NTFS 檔案系統上的單一檔案和資料夾，尤其適用於不同使用者需要獨立存取的情況。它無法加密壓縮檔案、系統檔案或目錄，也無法加密卷根目錄。請參閱Microsoft 的 EFS 檔案加密概述。

1. 確保已啟用 NTFS 加密。

在提升權限的命令提示字元中，檢查以下設定：

fsutil behavior query disableencryption

0表示已啟用；1表示已停用。如果已停用，請運行：

fsutil behavior set disableencryption 0

如果您變更了設置，請在維護視窗期間重新啟動。請參閱微軟的fsutil 行為參考文件。

管理員命令提示字元使用 fsutil 啟用 NTFS 檔案加密，並報告需要重新啟動。 — 啟用NTFS加密，然後重新啟動。

2. 加密檔案或資料夾

在檔案總管中，開啟專案的「屬性」>「一般」>「進階」。勾選“加密內容以保護資料”，按一下“確定”，然後按一下“套用”。在範圍提示符號處，選擇“僅資料夾”或“包含現有子資料夾和檔案”。同時加密檔案的父目錄，以防止後續變更導致檔案未加密。有關如何檢查 EFS 狀態的說明，請參閱密碼命令參考文件。

資料夾屬性和進階屬性對話方塊中，「加密內容以保護資料」選項已勾選。 — 在進階屬性中選擇 EFS。

「確認屬性變更」對話方塊會對資料夾、其子資料夾及其檔案套用加密。 — EFS 套用於資料夾及其內容。

3.備份EFS證書

以 EFS 使用者登入後，執行命令cipher /x EFSBackup並為匯出的 PFX 檔案設定密碼。將其與伺服器和資料分開儲存。此操作匯出的是使用者的 EFS 憑證和金鑰，而不是還原代理程式策略。如果配置了網域資料復原代理程式證書，請單獨備份該證書。請參閱 Microsoft 的密碼參考文件。