24、Windows 8 远程访问、移动性及设备安全配置指南

Windows 8 远程访问、移动性及设备安全配置指南

1. Windows 8 基础特性概述

Windows 8 具备一系列实用的功能和特性，为用户的使用和管理提供了便利。
- 电源计划 ：提供了三种预配置的电源计划，分别是平衡、节能和高性能。用户可以根据自己的需求选择合适的电源计划，以平衡性能和能耗。
- 电源方案导入导出 ：系统可以通过 .pow 文件保存的配置设置来导入和导出电源方案，方便在不同设备或场景下使用相同的电源配置。
- 离线文件同步 ：本地缓存的离线文件会在 Windows 8 恢复与原始文件的网络连接时进行同步，确保文件始终保持最新状态。
- Windows To Go ：这是 Windows 8 企业版的一个特性，允许从可移动 USB 驱动器运行完整可用的 Windows 8 系统。
- 同步功能 ：使用 Microsoft 账户登录受信任的 Windows 8 计算机后，Windows 可以在共享设备之间同步个人资料设置，包括密码、桌面个性化设置和浏览器设置等。
- Wi - Fi Direct ：提供高带宽的无线网络连接。

2. 移动性选项配置

2.1 电源相关问题

在 Windows 8 中，电源相关的操作和设置有多种选择。在配置和使用过程中，可能会遇到一些问题，以下是一些常见问题及解答：
|问题|选项|答案|
| ---- | ---- | ---- |
|Power Off 按钮的三个标准选择|A. Hibernate
B. Hybrid Sleep
C. Restart
D. Sleep
E. Shut Down|A、D、E|
|睡眠模式下创建的文件|A. Hiberfil.sys
B. Pagefile
C. Dumpfile
D. BCDBoot|A|
|导出当前自定义电源选项的命令行选项|A. powercfg -import C:\customscheme.pow < >
B. powercfg –L
C. powercfg -export C:\customescheme.pow < >
D. powercfg -getactivescheme|C|

2.2 离线文件缓存选项

Windows 8 提供了多种离线文件缓存选项，但其中有一个不是有效的选项：
|选项|是否有效|
| ---- | ---- |
|A. Encrypt Offline Files|是|
|B. No Files Or Programs From The Shared Folder Are Available Offline|是|
|C. All Files And Programs That Users Open From The Shared Folder Are Automatically Available Offline|是|
|D. Only The Files And Programs That Users Specify Are Available Offline|是|

2.3 Windows To Go 注意事项

Windows To Go 有一些需要注意的地方：
|选项|描述|
| ---- | ---- |
|A. If the USB drive becomes corrupt, you can run the Windows Recovery Environment|如果 USB 驱动器损坏，可以运行 Windows 恢复环境|
|B. BitLocker can’t be used|错误，BitLocker 可以使用|
|C. Windows 8 Enterprise and Professional editions support Windows To Go|只有 Windows 8 企业版支持 Windows To Go，专业版不支持|
|D. Hibernate and Sleep are disabled|错误，休眠和睡眠功能未被禁用|

2.4 同步设置

Sync 功能可以同步以下设置：
- A. Password（密码）
- B. Language Preferences（语言偏好）
- C. Spelling Dictionary（拼写词典）
- D. Shared pictures（共享图片）

2.5 Wi - Fi Direct 启用命令

通过命令行使用 netsh 命令启用 Wi - Fi Direct 的正确语法是：

netsh wlan set hostednetwork mode=allow ssid=wifidirect key=passphrase

3. 移动设备安全配置 - BitLocker 概述

在移动设备使用过程中，数据安全至关重要。Windows 8 的 BitLocker 功能为用户提供了强大的加密保护。
- 适用版本 ：只有 Windows 8 专业版和企业版支持 BitLocker。
- 加密原理 ：BitLocker 加密的驱动器只能由拥有解密密钥（即全卷加密密钥 FVEK）的人解密。Windows 8 将 FVEK 存储在驱动器的卷元数据中，该元数据再使用卷主密钥（VMK）进行加密。FVEK 和 VMK 都使用 256 位高级加密标准（AES）进行加密，而卷加密的密码强度使用 128 位 AES 加扩散器（AES256 位也可使用，但会影响性能）。
- 启动流程 ：

graph LR
    A[系统完整性验证（若有 TPM）] --> B[用户认证（可选）]
    B --> C[检索 VMK 并请求 TPM 解密]
    C --> D[操作系统启动]
    D --> E[将 VMK 传递给操作系统加载器]
    E --> F[Windows 使用 VMK 解密 FVEK]
    F --> G[Windows 使用 FVEK 解密 BitLocker 加密卷]

• 锁定情况 ：如果出现以下任何一种情况，卷及其数据仍将保持加密且不可读：
  • TPM 在 BIOS 中被禁用。
  • TPM 损坏。
  • 磁盘移动到另一台计算机。
  • Windows 启动文件被更改。
  • 未提供 PIN 或 USB 闪存驱动器。
  • 如果驱动器被锁定，必须输入恢复密钥才能让 Windows 访问数据。如果没有提供恢复密钥，磁盘将保持加密状态。

4. BitLocker 的改进

自 Windows Vista 首次引入 BitLocker 以来，微软不断对其进行改进，以下是不同操作系统中 BitLocker 的改进情况：
|操作系统|BitLocker 改进|
| ---- | ---- |
|Vista|仅能加密一个卷|
|Vista SP1|可加密数据卷|
|Windows 7|引入 BitLocker To Go|
|Windows 8|BitLocker 预配置、仅加密已使用磁盘空间、标准用户 PIN 和密码选择、网络解锁、扩展存储支持|

5. Windows 8 中 BitLocker 的新特性

5.1 BitLocker 预配置

在 Windows 8 中，管理员可以在安装操作系统之前为卷启用 BitLocker，这大大节省了用户和管理员的时间，并简化了 BitLocker 的部署。
- 操作步骤 ：管理员可以在 Windows 预安装环境（WinPE）中使用 manage - bde 命令行实用程序来启用 BitLocker 预配置。例如，要在 D 驱动器上预配置 BitLocker，在 WinPE 命令提示符下输入以下命令：

manage - bde - on d:

注意：需要创建自定义的 WinPE 映像才能使 manage - bde 在 WinPE 中工作，因为标准的 WinPE 映像不包含 manage - bde 或 WMI 工具。
- 解锁方法选择 ：预配置完成后，必须选择一种 BitLocker 解锁方法。对于操作系统卷，可以选择以下解锁方法：
- 仅使用可信平台模块（TPM）
- TPM + PIN
- TPM + 启动密钥
- TPM + PIN + 启动密钥
- 仅使用启动密钥
对于数据驱动器或可移动驱动器，可以选择以下解锁方法：
- 密码
- 智能卡
- 自动解锁

5.2 仅加密已使用磁盘空间

Windows 8 的 BitLocker 支持一种新的加密选项，即仅加密受保护卷上已使用的空间。这种加密方式使卷的加密速度大大加快。
- 使用建议 ：微软建议仅在新 PC 和新卷上使用仅加密已使用磁盘空间的方法。对于已经有数据的卷，建议使用全加密，因为以前使用过的卷上的空闲空间可能仍然包含用户数据，只有全加密才能确保所有数据都被加密和保护。
- 命令行设置 ：当通过命令行使用 manage - bde 并使用 -on 开关启用 BitLocker 时，BitLocker 使用全加密。如果需要使用仅加密已使用磁盘空间的选项，必须在 -on 开关后添加 -usedspaceonly 开关。

5.3 标准用户 PIN 和密码更改

Windows 8 允许标准用户更改以下内容：
- 系统驱动器的 BitLocker 解锁 PIN
- 固定数据驱动器的 BitLocker 解锁密码
这一功能使得管理员可以更轻松地在所有部署的 PC 映像上设置默认的初始个人识别码（PIN）或密码值。用户部署后可以自行更改初始值。
- 注意事项 ：标准用户只有在知道当前 PIN 或密码的情况下才能更改密码或 PIN。用户有五次尝试输入正确当前 PIN 或密码的机会，超过五次将被阻止进一步尝试。当管理员重置卷 PIN 或密码或系统重启时，重试计数可以重置为零。

5.4 网络解锁

网络解锁是一种用于 BitLocker 保护的系统卷的新解锁方法。它允许加入 Windows 域的桌面或服务器在启动时自动解锁 BitLocker 保护的系统卷，无需用户干预。
- 工作原理 ：网络解锁仍然使用 TPM 来保护卷，但不是从 USB 驱动器获取启动密钥，而是使用与计算机 TPM 芯片绑定的解锁密钥以及从受信任网络上的 Windows Server 2012 Windows 部署服务服务器接收的密钥。如果 Windows 部署服务服务器不可用，BitLocker 将恢复到标准的启动密钥解锁屏幕。
- 配置要求 ：
- 客户端和 Windows 部署服务服务器之间的密钥交换使用 DHCP。Windows 部署服务服务器角色必须安装可选的 BitLocker 网络解锁功能，以便服务器能够处理传入的网络解锁 DHCP 请求。
- 客户端硬件需要在统一可扩展固件接口（UEFI）中实现 DHCP 驱动程序，这在现代主板上很常见。
- Windows 部署服务服务器和客户端需要相互信任，这可以通过安装特殊的 X.509 证书和关联的私钥来实现。

5.5 扩展存储支持

Windows 8 的 BitLocker 支持一种新的提供硬件加密的磁盘驱动器：加密硬盘驱动器（EHDs）。可以通过同一个 BitLocker 驱动器加密控制面板小程序来管理 EHDs 和 BitLocker。
|加密方式|描述|
| ---- | ---- |
|BitLocker|使用卷级和基于软件的加密来保护系统和数据卷|
|Encrypted Hard Drives|提供全磁盘加密（FDE）和基于硬件的加密。FDE 在磁盘级别进行，硬件加密由驱动器的存储控制器完成，使加密操作更高效|
在 Windows 8 中，设备管理器可以识别 EHDs 并将其集成到操作系统中。

6. BitLocker 配置步骤

如果你的计算机没有 TPM 芯片，仍然可以使用 BitLocker，但需要使用仅启动密钥的身份验证方法，并启用相应的组策略设置以允许在没有 TPM 芯片的情况下使用 BitLocker。以下是启用 BitLocker 的详细步骤：
1. 使用具有管理员权限的账户登录到 Windows 8 计算机。
2. 搜索 “bitlocker” 并选择 “BitLocker 驱动器加密”。
3. 在 C: 驱动器的 “BitLocker 关闭” 图标旁边，点击 “启用 BitLocker”。
4. 如果系统有 TPM 芯片，在接下来的三个窗口中点击 “下一步”。
5. 在接下来的窗口中选择在启动时如何解锁驱动器。
6. 如果系统没有 TPM 芯片，会出现两个选项，选择 “输入密码” 并输入一个复杂的密码。
7. 系统会提示备份恢复密钥，提供了四种存储恢复密钥的选项：
- 保存到你的 Microsoft 账户
- 保存到 USB 闪存驱动器
- 保存到文件
- 打印出来
选择 “保存到文件” 并将文件保存到安全的位置。
8. 选择要加密的驱动器空间大小，然后点击 “下一步”。
9. 在 “你准备好加密磁盘驱动器了吗？” 窗口中，保持所有设置为默认值，然后点击 “继续”。
10. 点击 “立即重启” 以重启计算机。
11. 计算机重启后，输入之前指定的 BitLocker 密码，然后启动 Windows 8。
登录到 Windows 8 后，BitLocker 开始加密驱动器，加密所需的时间取决于驱动器上的数据量，在加密过程中你可以继续使用系统。

7. 其他注意事项

• 使用 USB 驱动器解锁 BitLocker ：如果要将 BitLocker 启动密钥存储在 USB 闪存驱动器上，需要在驱动器初始加密时提供该 USB 闪存驱动器。BitLocker 会将解锁密钥复制到 USB 驱动器，此后每次启动系统时都必须插入该 USB 闪存驱动器。
• 维护期间暂停 BitLocker ：如果 BitLocker 已启用，并且需要对 BIOS 进行任何维护或进行硬件升级，在进行更改之前应使用 “暂停保护” 选项。

通过以上对 Windows 8 远程访问、移动性及设备安全配置的介绍，希望能帮助用户更好地使用和管理 Windows 8 系统，保障数据的安全和使用的便捷性。

Windows 8 远程访问、移动性及设备安全配置指南

8. 隐私同步思考实验

在考虑实施 Windows 8 同步选项时，可能会遇到员工对隐私问题的担忧。例如，员工 Hilary 对共享个人信息感到不安。以下是关于哪些区域可以同步以及如何消除 Hilary 隐私担忧的分析。

8.1 可同步区域

Sync 功能可以同步以下设置：
- 密码 ：方便用户在不同设备上使用相同的密码登录各种服务。
- 语言偏好 ：确保用户在不同设备上都能使用自己习惯的语言环境。
- 拼写词典 ：使拼写检查功能在不同设备上保持一致。
- 共享图片 ：方便用户在多台设备上访问自己的共享图片。

8.2 消除隐私担忧的方法

• 数据加密 ：Windows 8 的同步功能在传输和存储数据时采用了加密技术，确保用户数据的安全性。例如，BitLocker 可以对整个驱动器进行加密，即使设备丢失或被盗，数据也不会轻易泄露。
• 用户控制 ：用户可以自主选择要同步的内容，例如可以只选择同步部分设置或不进行同步。同时，用户还可以随时停止同步或更改同步设置。
• 安全存储 ：恢复密钥等重要信息可以存储在多个安全位置，如 Microsoft 账户、USB 闪存驱动器或文件中，并且可以与受保护的计算机分开保存，进一步保障数据的安全性。

9. 移动性选项配置总结

Windows 8 的移动性选项配置提供了丰富的功能和灵活的设置，以满足不同用户的需求。以下是对移动性选项配置的总结：
|配置类型|要点|
| ---- | ---- |
|电源计划|提供平衡、节能和高性能三种预配置选项，可通过 .pow 文件导入导出|
|离线文件同步|本地缓存的离线文件在恢复网络连接时自动同步|
|Windows To Go|企业版特性，可从 USB 驱动器运行完整的 Windows 8 系统|
|同步功能|使用 Microsoft 账户可在共享设备间同步密码、桌面设置等|
|Wi - Fi Direct|提供高带宽无线网络连接|

10. BitLocker 功能总结

BitLocker 是 Windows 8 中一项重要的安全功能，为用户提供了强大的磁盘加密保护。以下是 BitLocker 功能的总结：
|功能特性|描述|
| ---- | ---- |
|适用版本|仅 Windows 8 专业版和企业版支持|
|加密原理|使用 FVEK 和 VMK 进行加密，采用 256 位 AES 加密算法|
|启动流程|包括系统完整性验证、用户认证、检索和解密密钥等步骤|
|锁定情况|在多种异常情况下，驱动器保持加密状态，需恢复密钥解锁|
|改进特性|预配置、仅加密已使用磁盘空间、标准用户 PIN 和密码更改、网络解锁、扩展存储支持|

11. 配置建议与最佳实践

为了更好地使用 Windows 8 的远程访问、移动性和安全功能，以下是一些配置建议和最佳实践：
- 电源管理 ：根据实际使用场景选择合适的电源计划。例如，在外出使用笔记本电脑时，可选择节能模式以延长电池续航时间；在需要高性能计算时，可选择高性能模式。
- 离线文件 ：合理设置离线文件缓存选项，根据文件的使用频率和重要性选择不同的缓存方式。对于经常使用且重要的文件，可选择自动缓存；对于不常用的文件，可选择手动指定缓存。
- BitLocker 加密 ：
- 对于新设备和新卷，建议使用仅加密已使用磁盘空间的选项，以提高加密速度。
- 定期备份恢复密钥，并将其存储在多个安全位置，如 USB 闪存驱动器和云存储中。
- 在进行 BIOS 维护或硬件升级前，暂停 BitLocker 保护，避免数据丢失。
- 网络解锁 ：如果组织中有大量使用 BitLocker 保护的设备，并且需要频繁重启和安装软件，可以考虑配置网络解锁功能，以提高管理效率。

12. 常见问题解答

以下是一些关于 Windows 8 远程访问、移动性和安全配置的常见问题解答：
|问题|解答|
| ---- | ---- |
|没有 TPM 芯片能否使用 BitLocker？|可以，但需要启用组策略设置 “Require Additional Authentication At Startup” 并勾选 “Allow BitLocker Without A Compatible TPM”。同时，需要使用仅启动密钥的身份验证方法|
|如何导出当前自定义电源选项？|使用命令行选项 powercfg -export C:\customescheme.pow <<GUID>> |
|网络解锁功能需要哪些配置？|客户端和服务器之间的密钥交换使用 DHCP，服务器需要安装可选的 BitLocker 网络解锁功能，客户端硬件需要在 UEFI 中实现 DHCP 驱动程序，并且服务器和客户端需要相互信任，通过安装特殊的 X.509 证书和关联的私钥来实现|
|标准用户能否更改 BitLocker 密码或 PIN？|可以，但需要知道当前的 PIN 或密码，并且有五次尝试机会。重试计数可在管理员重置或系统重启时归零|

13. 总结

Windows 8 提供了丰富的远程访问、移动性和安全功能，通过合理配置这些功能，可以提高用户的使用体验和数据安全性。电源计划、离线文件同步、Windows To Go、同步功能和 Wi - Fi Direct 等移动性选项为用户提供了便捷的使用方式；而 BitLocker 加密功能则为用户的数据提供了强大的保护。在配置过程中，用户需要根据自己的需求和实际情况选择合适的设置，并注意保护好恢复密钥等重要信息。同时，对于隐私问题，用户可以通过加密技术、用户控制和安全存储等方式来消除担忧。希望本文的介绍和建议能帮助用户更好地使用 Windows 8 系统，保障数据的安全和使用的便捷性。

graph LR
    A[移动性选项配置] --> B[电源管理]
    A --> C[离线文件同步]
    A --> D[Windows To Go]
    A --> E[同步功能]
    A --> F[Wi - Fi Direct]
    G[安全配置] --> H[BitLocker 加密]
    G --> I[隐私保护]
    B --> J[选择合适电源计划]
    C --> K[设置缓存选项]
    H --> L[预配置]
    H --> M[仅加密已使用空间]
    H --> N[标准用户更改 PIN/密码]
    H --> O[网络解锁]
    H --> P[扩展存储支持]
    I --> Q[数据加密]
    I --> R[用户控制]
    I --> S[安全存储]

通过以上的配置和管理，用户可以充分发挥 Windows 8 的优势，实现远程访问、移动办公和数据安全的完美结合。