本主題包含帳戶和群組、記錄檔，以及 UE-V) 使用者體驗虛擬化的其他安全性相關考量 (簡要概觀。 如需詳細資訊，請追蹤此處提供的連結。
UE-V 設定的安全性考量
重要
當您建立設定儲存共用時，請將共用存取權限制為需要存取權的使用者。
由於設定套件可能包含個人資訊，因此應盡可能注意保護它們。 一般而言，請執行下列步驟：
- 將共用限制為僅限需要存取的使用者。 為在特定共用上重新導向資料夾的使用者建立安全性群組，並將存取權限限制為僅限這些使用者。
- 當您建立共用時，請在共用名稱後面加上 $ 來隱藏共用。 這項新增功能會向一般瀏覽器隱藏共用，且在 My Network Places 中看不到共用。
- 只提供使用者必須擁有的最低權限數量。 下表顯示必要的權限。
設定儲存位置資料夾的下列共用層級 SMB 權限。
使用者帳戶 建議的權限 所有人 沒有權限 UE-V 的安全性群組 完全控制 設定設定儲存位置資料夾的下列 NTFS 檔案系統權限。
使用者帳戶 建議的權限 資料夾 建立者/擁有者 沒有權限 沒有權限 網域管理員 完全控制 此資料夾、子資料夾和檔案 UE-V 使用者的安全性群組 列出資料夾/讀取資料、建立資料夾/附加資料 僅限此資料夾 所有人 移除所有權限 沒有權限 為設定範本目錄資料夾設定下列共用層級 SMB 權限。
使用者帳戶 建議權限 所有人 沒有權限 網域電腦 讀取權限等級 管理員 讀取/寫入權限等級 針對設定範本目錄資料夾設定下列 NTFS 權限。
使用者帳戶 建議的權限 套用至 建立者/擁有者 完全控制 此資料夾、子資料夾和檔案 網域電腦 列出資料夾內容和讀取權限 此資料夾、子資料夾和檔案 所有人 沒有權限 沒有權限 管理員 完全控制 此資料夾、子資料夾和檔案
從 Windows Server 2003 開始使用 Windows Server 來託管重新導向的檔案共用
使用者設定套件檔案包含會在用戶端電腦及儲存設定套件的伺服器之間傳輸的個人資訊。 由於此過程，您應該確保資料在通過網路傳輸時受到保護。
使用者設定資料很容易受到這些潛在威脅：透過網路傳輸的資料遭到攔截、透過網路傳輸的資料遭到竄改，以及詐騙裝載資料的伺服器。
從 Windows Server 2003 開始，Windows Server 作業系統的數個功能可以幫助保護使用者資料：
Kerberos - 從 Windows Server 2001 開始，Kerberos 是所有 Microsoft Windows 2000 Server 和 Windows Server 的標準配置。 Kerberos 可確保網路資源的最高層級安全性。 NTLM 只會驗證用戶端;Kerberos 會驗證伺服器和用戶端。 使用 NTLM 時，用戶端並不知道伺服器是否有效。 如果用戶端與伺服器交換個人檔案，這種差異非常重要，就像漫遊使用者設定檔的情況一樣。 Kerberos 提供比 NTLM 更好的安全性。 Kerberos 不適用於 Microsoft Windows NT Server 4.0 或更舊版的作業系統。
IPsec - IPsec (IPsec) 的 IP 安全性通訊協定可提供網路層級驗證、資料完整性和加密。 IPsec 可確保：
- 漫遊資料在傳送途中不會修改資料。
- 漫遊資料不會遭到攔截、檢視或複製。
- 漫遊資料不會被未經驗證的各方存取。
SMB 簽章 – 伺服器訊息區 (SMB) 驗證通訊協定支援訊息驗證，可防止主動訊息和「中間人」攻擊。 SMB 簽章會在每個 SMB 中放置數位簽章，以提供此驗證。 然後，用戶端和伺服器都會驗證數位簽章。 若要使用 SMB 簽章，您必須先啟用它，或者您必須在 SMB 用戶端和 SMB 伺服器上都要求它。 SMB 簽約會造成效能懲罰。 它不會耗用更多的網路頻寬，但它會在用戶端和伺服器端使用更多的 CPU 週期。
一律針對保存使用者資料的磁碟區使用 NTFS 檔案系統
為了達到最安全的設定，請將裝載 UE-V 設定檔案的伺服器設定為使用 NTFS 檔案系統。 與 FAT 檔案系統不同，NTFS 支援 DACL) (自由存取控制清單，以及 SACL) (系統存取控制清單。 DACL 和 SACL 可控制誰可以在檔案上執行作業，以及哪些事件會觸發對檔案執行的動作記錄。
透過網路傳輸使用者檔案時，不依賴 EFS 來加密使用者檔案
當您使用加密檔案系統 (EFS) 加密遠端伺服器上的檔案時，加密的資料在透過網路傳輸期間不會加密;只有當它儲存在磁碟上時才會加密。
當您的系統包含網際網路通訊協定安全性 (IPsec) 或 WebDAV) (Web 分散式創作和版本控制時，不適用此加密程序。 透過 TCP/IP 網路傳輸資料時，IPsec 會對其進行加密。 如果檔案在複製或移動到伺服器上的 WebDAV 資料夾之前已加密，則在傳輸期間以及儲存在伺服器上時，該檔案會保持加密狀態。
讓 UE-V 服務為每個使用者建立資料夾
若要確保 UE-V 以最佳狀態運作，請只在伺服器上建立根共用，並讓 UE-V 服務為每個使用者建立資料夾。 UE-V 會以適當的安全性建立這些使用者資料夾。
此權限組態可讓使用者建立設定儲存空間的資料夾。 UE-V 服務會在使用者內容中執行時，建立並保護設定套件資料夾。 使用者可以取得其設定套件資料夾的完整控制權。 其他使用者不會繼承此資料夾的存取權。 您不需要建立和保護個別使用者目錄。 在使用者內容中執行的 UE-V 服務會自動執行此動作。
注意
將 Windows Server 用於設定儲存共用時，可以設定額外的安全性。 您可以將 UE-V 設定為確認本機 Administrators 群組或目前使用者是儲存設定套件之資料夾的擁有者。 若要啟用額外的安全性，請使用下列命令：
- 將REG_DWORD登錄機碼 RepositoryOwnerCheckEnabled 新增到
HKEY_LOCAL_MACHINE\Software\Microsoft\UEV\Agent\Configuration。 - 將登錄機碼值設為 1。
具備此組態設定時，UE-V 服務會驗證本機系統管理員群組或目前使用者是設定套件資料夾的擁有者。 否則 UE-V 服務不會授與資料夾的存取權。
如果您必須為使用者建立資料夾，請確定您已設定正確的權限。
強烈建議您不要預先建立資料夾。 而是讓 UE-V 服務為使用者建立資料夾。
確保擁有正確的權限，以將 UE-V 2 設定儲存在主目錄或自訂目錄中
如果將 UE-V 設定重新導向至使用者的主目錄或自訂 Active Directory (AD) 目錄，請確定已為您的組織適當地設定目錄的權限。
檢閱設定位置範本的內容，並視需要控制對它們的存取權
建立設定位置範本時，UE-V 產生器會使用輕量型目錄存取通訊協定 (LDAP) 查詢，以取得目前登入使用者的使用者名稱和電子郵件地址。 此資訊會以範本作者名稱和範本作者電子郵件的形式儲存在範本中。 (此任何資訊都不會傳送至 Microsoft.)
如果您打算與組織外部的任何人共用設定位置範本，您應該檢閱所有設定位置，並確保設定位置範本不包含任何個人或公司資訊。 您可以使用任何 XML 檢視器開啟設定位置範本檔案，以檢視內容。 以下是在與公司外部的任何人共用之前，可先從設定位置範本檔案中檢視和移除任何個人或公司資訊的方法：
- 範本作者名稱 — 為範本作者名稱指定一般的非識別名稱，或從範本中排除此資料。
- 範本作者Email - 指定一般、非識別式範本作者電子郵件，或從範本中排除此資料。
若要移除範本作者名稱或範本作者電子郵件，您可以使用 UE-V 產生器應用程式。 從產生器中，選取 [編輯設定位置範本]。 從最近使用的範本中選取要編輯的設定位置範本，或瀏覽至設定範本檔案。 選取 [下一步 ] 以繼續。 在 屬性 頁面上，移除 範本作者名稱 或 範本作者電子郵件文字欄位中的資料。 儲存設定位置範本。