如果您希望在Windows系统中对敏感文件实施本地化、账户绑定的透明加密，防止其他用户或离线访问者读取内容，则可启用NTFS文件系统内置的加密文件系统（EFS）。以下是多种可行的操作方法：
一、通过文件夹属性启用EFS加密
该方式直接调用系统原生EFS功能，无需第三方工具，加密后仅当前登录用户可自动解密，其他账户即使拥有管理员权限也无法打开，适用于单机多用户环境下的隐私隔离。
1、右键点击需保护的文件夹，选择“属性”。
2、在“常规”选项卡下方点击“高级”按钮。
3、勾选“加密内容以便保护数据”，点击“确定”返回属性窗口。
4、点击“应用”，在弹出对话框中选择“将更改应用于该文件夹、子文件夹和文件”，再点击“确定”。
5、若为首次使用EFS，系统将弹出证书导出向导，必须点击“是”并导出.pfx证书至U盘等离线安全位置，否则重装系统或用户配置损坏将导致数据永久不可恢复。
二、通过命令行强制启用EFS加密
当图形界面操作受限（如远程桌面无GUI响应）或需批量处理多个路径时，可使用cipher.exe命令行工具实现精确控制，支持递归加密与证书状态验证。
1、以管理员身份运行“Windows终端（管理员）”或“命令提示符（管理员）”。
2、输入命令：cipher /e /s:”D:\SensitiveFolder”（将路径替换为实际目标文件夹绝对路径）。
3、执行后系统将逐级加密该路径下所有文件与子文件夹，并显示“加密成功”提示。
4、验证加密状态：输入cipher /u /n可列出当前用户所有已加密项目；输入certmgr.msc可手动检查EFS证书是否存在于“个人→证书”存储区。
三、通过PowerShell脚本自动化部署EFS加密
适用于IT管理员在域环境中统一配置EFS策略，或需按时间/条件触发加密任务的场景。脚本可嵌入日志记录、错误捕获及证书备份逻辑，提升操作可靠性与可追溯性。
1、新建文本文件，粘贴以下内容并保存为Encrypt-EFS.ps1：
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser -Force
$folder = “C:\Confidential”
cipher /e /s:$folder /f
Write-Host “EFS加密已完成：$folder” -ForegroundColor Green
2、右键该.ps1文件，选择“使用PowerShell运行”。
3、若提示执行策略限制，先在PowerShell中执行Set-ExecutionPolicy RemoteSigned -Scope CurrentUser解除限制。
4、加密完成后，务必立即通过certmgr.msc导出当前用户的EFS证书，否则脚本无法替代人工备份环节。
四、结合组策略禁用EFS证书自动删除风险
在企业域控环境中，用户配置漫游或强制刷新可能导致EFS私钥被意外清除，从而引发解密失败。通过组策略可锁定证书生命周期，防止系统自动清理关键密钥。
1、按下Win+R，输入gpedit.msc打开本地组策略编辑器（专业版/企业版可用）。
2、导航至“计算机配置→管理模板→系统→Internet通信管理→Internet通信设置”。
3、双击“关闭Windows证书传播”，设置为“已启用”。
4、再导航至“用户配置→管理模板→Windows组件→文件资源管理器”，启用“防止从‘加密内容以便保护数据’对话框中删除加密证书”。
5、执行gpupdate /force刷新策略，重启资源管理器进程使设置生效。
评论(0)