Сжатие и шифрование информации
Сжатие информации
Для экономии дискового пространства можно какие-либо папки или файлы сделать сжатыми. Процесс сжатия выполняется драйвером файловой системы NTFS. При открытии файла в программе файловая система распаковывает файл, после внесения изменений в файл при сохранении на диск файл снова сжимается. Делается это совершенно прозрачно для пользователя и не доставляет пользователю никаких хлопот.
Для того, чтобы сделать папку или файл сжатым, необходимо открыть страницу Свойств соответствующей папки или файла, нажать кнопку «Другие » и поставить галочку у параметра «Сжимать содержимое для экономии места на диске » (рис. 43):
Рис. 43
Сжимать целесообразно файлы, которые при сжатии сильно уменьшаются в размере (например, документы, созданные программами из пакета MS Office). Не следует сжимать данные, которые по своей природе являются сжатыми — например, файлы графических изображений в формате JPEG, видеофайлы в формате MPEG-4, файлы, упакованные программами-архиваторами (ZIP, RAR, ARJ и другие).
Ни в коем случае не рекомендуется сжимать папки с файл-серверными базами данных, т.к. такие БД содержат большое количество файлов и при их совместном использовании многими пользователями могут возникать ощутимые задержки, неизбежные при распаковке открываемых и сжатии сохраняемых файлов.
Шифрование информации
Системы семейства Windows 2000/XP/2003 и более поздние позволяют шифровать данные, хранящиеся на томе с системой NTFS. Шифрование данные осуществляется так же легко, как и их сжатие. В примере на рис. 43 можно вместо поля «Сжимать содержимое… » отметить галочкой поле «Шифровать содержимое для защиты данных » (заметим, что эти два параметра являются взаимоисключающими — можно в данный момент времени либо сжать данные, либо их зашифровать). Шифрование является надежным средство предотвращения несанкционированного доступа к информации, даже если будет похищен компьютер с этой информацией или жесткий диск из компьютера. Если данные зашифрованы, то доступ к ним имеет (с небольшим исключением) только тот пользователь, который выполнил шифрование, независимо от установленных разрешений NTFS. Шифрование производится компонентой «Шифрованная файловая система » (EFS, Encrypted File System), являющейся составной частью файловой системой NTFS.
|
|
Процесс шифрования производится по следующей схеме:
1) при назначении файлу атрибута «Зашифрованный » драйвер системы EFS генерирует «Ключ шифрования файла » (FEK, File Encryption Key);
2) блоки данных файла последовательно шифруются по симметричной схеме (одним из алгоритмов симметричного шифрования, встроенных в систему);
3) ключ шифрования файла (FEK) шифруется по асимметричной схеме открытым ключом агента восстановления (RA, Recovery Agent);
4) зашифрованный ключ шифрования файла сохраняется в атрибуте файла, называемом «Поле восстановления данных » (DRF, Data Recovery Field).
Поле восстановления данных необходимо для защиты от потери доступа к зашифрованной информации в том случае, если будет удалена (вместе с ключом шифрования данных) учетная запись пользователя, зашифровавшего эти данные. Агент восстановления — это специальная учетная запись, для которой EFS создает т.н. «сертификат агента восстановления », в состав которого входят открытый и закрытый ключи этого агента. особенность асимметричного шифрования заключается в том, что для шифрования и дешифрования данных используются два ключа — одним ключом данные шифруются, другим дешифруются. Открытый ключ агента восстановления доступен любому пользователю, поэтому, если пользователь шифрует данные, то в зашифрованных файлах всегда присутствует поле восстановления данных. Закрытый ключ агента восстановления доступен только учетной записи этого агента. Если войти в систему с учетной записью агента восстановления зашифрованных данных, то при открытии зашифрованного файла сначала расшифровывается закрытым ключом агента восстановления, хранящийся в DRF ключ шифрования данных, а затем уже извлеченным ключом шифрования дешифруются сами данные.
|
|
По умолчанию агентом восстановления на каждом отдельно взятом компьютере является локальная учетная запись Администратор данного компьютера. В масштабах домена можно установить службу сертификатов, сгенерировать для определенных доменных учетных записей соответствующие сертификаты, назначить эти учетные записи агентами восстановления (с помощью групповых политик) и установить эти сертификаты на тех файловых серверах, на которых необходимо шифровать данные. При использовании в масштабах корпоративной сети технологии шифрования данных следует предварительно спланировать все эти действия (развертывание служб сертификатов, выдача и хранение сертификатов, назначение агентов восстановления, процедуры восстановления данных в случае удаления учетной записи, с помощью которой данные были зашифрованы).
|
|
Кроме того, во многих ситуациях необходимо также учитывать требования законодательства РФ об использовании только разрешенных на территории России алгоритмов шифрования данных. В таких случаях может потребоваться приобрести соответствующие разрешенные модули шифрования и встроить их в систему.
Следует также помнить, что данные хранятся в зашифрованном виде только на жестком диске. При передаче по сети данные передаются с сервера на ПК пользователя в открытом виде (если не включены политики IPSec).
Квоты
Квоты — это механизм ограничения доступного пользователям пространства на файловом сервере. Если в файловых хранилищах отсутствует механизм квот, то пользователи очень быстро засоряют доступное дисковое пространство файлами, не имеющими отношения к работе, или различными версиями и копиями одних и тех же документов.
В системах Windows Server используется механизм квотирования «На том/На пользователя » (Per volume/Per user). Т.е нельзя установить квоты на отдельные папки тома или для групп пользователей. Размер использованного пользователем места на диске вычисляется по атрибуту «Владелец файла ».
Механизм квот включается на закладке «Квота » Свойств тома. Если отметить галочкой поле «Включить управление квотами », то включается самый «мягкий» режим управления квотами. В этом режиме не включается запрет на использование дискового пространства сверх установленной квоты, не устанавливаются сами размеры квот, не регистрируются события, связанные с превышением пользователями квот (рис. 44).
Рис. 44
Если на этой закладке нажать кнопку «Записи квот », то можно получить информацию о том, какой объем дискового пространства использовал в данный момент каждый пользователь (рис. 45).
Рис. 45
Если включить самый жесткий механизм квот (рис. 46), то будет установлен запрет на превышение установленной квоты, в системных журналах будут регистрироваться предупреждения о превышении определенного порога, а также события, отражающие достижение пользователем допустимого предела.
Рис. 46
В этом режиме страница записей квот будет выглядеть следующим образом (рис. 47):
Рис. 47
Если на этой странице щелкнуть двойным щелчком мыши на какой-либо записи квот, то для соответствующего пользователя можно установить индивидуальную квоту, отличную от общих установок (рис. 48):
Рис. 48
Если пользователь в процессе сохранения информации на том, управляемый квотами, превысит допустимый размер, то ему будет выдано соответствующее сообщение. При этом в системном журнале данного сервера для источника данных «ntfs » и категории «Диск » появится соответствующая запись.
Дефрагментация
В процессе использования файловых ресурсов возникает фрагментация дискового пространства. Возникает она из-за того, что при удалении файлов в образовавшееся свободное место записываются новые файлы. Если в освободившемся месте новый файл целиком не помещается, то файловая система выделяет файлу кластеры в другом свободном участке. Считывание такого фрагментированного файла с диска требует большего времени. При длительном использовании тома/раздела степень фрагментации увеличивается, производительность службы доступа к файлам снижается, поэтому время от времени требуется производить дефрагментацию тома/раздела, которая заключается в том, что кластеры, выделенные файлам, перераспределяются на томе так, чтобы каждый файл занимал смежные кластеры.
Файловые системы семейства FAT сильнее подвержены фрагментации, т.к. вновь создаваемому файлу всегда выделяется первые найденные свободные кластеры (а в процессе удаления файлов, на томе создается много свободных фрагментов небольшого размера). В файловой системе NTFS новым файлам выделяются в первую очередь участки со смежными кластерами, и только в том случае, когда на томе нет непрерывного участка дискового пространства необходимого размера, тогда файлу выделяются не смежные кластеры.
Для осуществления дефрагментации дискового пространства используется оснастка «Дефрагментация диска » (которая запускается нажатием кнопки «Выполнить дефрагментацию » на закладке «Сервис », доступной в окне Свойств тома/раздела, рис. 52) или утилита командной строки defrag.exe.
Рис. 52
Оснастка «Дефрагментация диска » выполняет две операции: анализ степени фрагментации тома и сам процесс дефрагментации.
Для проведения анализа необходимо нажать кнопку «Анализ » в оснастке. В результате анализа будет выведен краткий отчет (рис. 53) о степени фрагментации.
Рис. 53
При нажатии на кнопку «Оптимизировать » начнется процесс дефрагментации, его длительность зависит от размера тома, степени его фрагментированности, степени загруженности сервера. Очень рекомендуется производить дефрагментацию в нерабочее время, т.к. фрагментация требует значительных ресурсов сервера и замедляет работу службы предоставления файлов в общее пользование.