.png)
.png){kind=spacer}
动态访问控制：方案概述
发布时间: 2012年2月
更新时间: 2013年4月
应用到: Windows Server 2012
在 Windows Server 2012 中，你可以在文件服务器之间应用数据监管，以便控制有权访问信息的用户并审核已访问信息的用户。动态访问控制可用于：
-
通过使用自动和手动文件分类来识别数据。例如，你可以在整个组织内的文件服务器中标记数据。
-
通过应用采用中央访问策略的网络安全策略来控制对文件的访问。例如，你可以定义有权访问组织内健康信息的用户。
-
通过对合规性报告和取证分析使用中央审核策略，审核对文件的访问。例如，你可以确定曾访问高度敏感信息的用户。
-
通过对敏感的 Microsoft Office 文档使用自动 RMS 加密，来应用 Rights Management Services (RMS) 保护。例如，你可以配置 RMS 对包含“健康保险流通与责任法案 (HIPAA)”信息的所有文档进行加密。
动态访问控制功能基于合作伙伴和行业应用程序可进一步利用的基础结构投资，因而它可以为使用 Active Directory 的组织提供巨大的价值。该基础结构包括：
-
一种适用于 Windows 的全新授权和审核引擎，它可以处理条件表达式和中央策略。
-
用户声明和设备声明支持的 Kerberos 身份验证。
-
对文件分类基础结构 (FCI) 的改进。
-
RMS 扩展性支持，合作伙伴可以提供加密非 Microsoft 文件的解决方案。
以下方案和指南包含在内，作为此内容集的一部分：
| 方案 | 评估 | 计划 | 部署 | 操作 |
|---|---|---|---|---|
|
方案：中央访问策略 创建文件的中央访问策略允许组织集中部署和管理授权策略，包括使用用户声明、设备声明和资源属性的条件表达式。这些策略建立在合规性与业务监管要求之上。这些策略在 Active Directory 中创建与托管，因此使得管理和部署更为容易。 跨林部署声明 在 Windows Server 2012 中，AD DS 在每个林中保存有‘声明词典’，林中使用的所有声明类型都在 Active Directory 林级别定义。有许多方案，其中主体可能要遍历信任边界。此方案描述了声明如何遍历信任边界。 |
Plan for a Central Access Policy Deployment 使用用户声明的最佳实践 部署工具 |
|
||
|
方案：文件访问审核 安全审核是用来帮助维护企业安全的功能最强大的工具之一。安全审核的主要目标之一就是监管合规。例如，像 Sarbanes Oxley、HIPAA 和 Payment Card Industry (PCI) 这类的行业标准要求企业遵守与数据安全和隐私权有关的一套严格的规则。安全审核可以帮助确定此类策略是否存在；由此它们证明是否与这些标准相符。此外，通过创建可用于取证分析的用户活动记录，安全审核可帮助发现异常的行为、识别并缓和在安全策略方面的差距并阻止不负责任的行为。 |
|
|||
|
方案：拒绝访问协助 现在，当用户尝试访问文件服务器上的远程文件时，能得到的仅有指示是访问被拒绝。这将生成支持人员或 IT 管理员请求，它们需要弄清问题是什么，而管理员通常很难从用户那里得到合适的上下文，这使得解决问题更困难了。 |
|
|||
|
方案：基于分类的 Office 文档加密 敏感信息的保护主要与为组织降低风险有关。诸如 HIPAA 或支付卡行业数据安全标准 (PCI-DSS) 等各种合规性规章制度，都规定了信息加密，而且出于商业考虑也需要加密敏感的业务信息。但是，加密信息的成本比较高，这可能会损害企业的生产力。因此，对于信息加密，组织往往采用不同的方法和优先级。 |
Scenario: Classification-Based Encryption for Office Documents |
|
||
|
方案：使用分类深入了解你的数据 对数据和存储资源的依赖在大多数组织的重要性方面持续增长。IT 管理员面对着监督更大、更复杂存储基础结构的日渐增长的挑战，而同时又担负着确保所有者总开支维持在合理水平的责任。管理存储资源不再仅仅是涉及数据的量和可用性，还和公司政策的执行有关，和了解如何消耗存储来启用高效利用与合规减轻风险有关。文件分类基础结构通过自动化分类流程来让你深入了解数据，以便你可以更有效地管理数据。下列分类方法可用于文件分类基础结构：手动、编程、自动。此方案重点介绍自动文件分类方法。 |
Scenario: Get Insight into Your Data by Using Classification |
|
||
|
方案：实现文件服务器信息保留 保留期是文档过期前应保存的时间量。组织不同，保留期可能也不相同。可以将文件夹中的文件分类为具有短、中或长保留期，然后为每个保留期分配时间范围。你可能想要通过将文件合法保留来无限期保留。 |
Scenario: Implement Retention of Information on File Servers |
Deploy Implementing Retention of Information on File Servers (Demonstration Steps) |
|
 备注 |
|---|
| ReFS（弹性文件系统）不支持动态访问控制。 |
| 内容类型 | 参考 |
|---|---|
|
产品评估 |
|
|
计划 |
|
|
部署 |
|
|
操作 |
|
|
工具和设置 |
|
|
社区资源 |
