EFS可以设置为每个组？

只要在客户机上使用Windows XP或更高版本，服务器上使用Server 2003或更高版本，就可以让多个用户访问EFSencryption文件。 你不能为一个组做，你需要添加每个用户。

要注意的要点是，您想要访问EFSencryption文件的用户必须具有存储在Active Directory中的有效EFS证书。 然后，您可以将多个用户添加到EFSencryption文件的访问权限中：

还有其他人是否有类似的要求，如果是的话，你是怎么处理的？

如果他们不希望系统pipe理员能够访问，那么使用EFS或NTFS权限并不重要 – 最简单的答案是， 如果要备份数据，pipe理员需要访问权限 。 不可能获得你无法阅读的东西 – 所以如果他们担心你能得到什么东西的话……或许是时候聊聊他们真正害怕的东西。

或者…他们不会理解，所以你可以用一个新的缩写词来炫耀他们，EFS会照顾到这一点，Sam的答案就是修正。 ;）

这是一个很好的借口，可以确保您的环境在默认情况下是安全的。 EFS不会帮助你，除非恢复代理只是你的个人账户。 这可能是一个可以接受的业务btu风险，他们应该被意识到这一点。 如果这不是一个便携式系统（一个可移动的硬盘驱动器或笔记本电脑），常规的ACL就足够了。 其他pipe理员拒绝访问控制列表将确保他们不能读取它，如果您使用ABE其他pipe理员甚至不能看到该文件。 不要忘记也设置域和服务器隔离 。 备份操作员也可以被授权访问备份文件而不被授予访问权限来恢复文件。 这个专有权将覆盖文件的权限，因此pipe理员不必具有备份文件的权限，并且确保他们将不能读取文件，只要他们决定尝试将文件恢复到不同的系统。 （这意味着备份团队和还原团队将是两个独立的人）请注意，如果我是您域中的pipe理员，并且可以通过物理访问服务器，则可以将所有这些都排除在外。 物理访问服务器将让我绕过每一个可能的。 如果这是重要的，那么把它粘在一个锁在抽屉里的USB钥匙上实际上并不是那么糟糕的想法。 我同意卡拉的看法，坦白地说，他们害怕的是如果他们有这种偏执的话。 我怀疑，你设置域和服务器隔离，并告诉他们，即使有人拥有正确的权限，他们只能从董事会工作站的文件，这应该足以让他们觉得它是安全的。

参考见：

委派Active Directorypipe理的最佳实践

最佳安全实践