EFS Windows çalıştıran bilgisayarlarda depolanan verileri korumak için güçlü bir seçenektir. EFS ücretsizdir ve windows 2000'den beri Windows işletim sistemi ile birlikte gelmektedir. Veri deoplama ortamlarında EFS kullanımı artmakla birlikte, her yerde EFS kullanımı istenmeyebilir, bu tip durumlarda nerelerde kullanılabileceğinin sınırlarını belirlemeniz gerekir. EFS yi ynetmek için Group Policyi'den yararlanabiliriz. EFS ynetimininin iki safhasıEFS konfigürasyonunun iki seviyesi vardır. Desteklenip desteklenmeyeceği ve hazır olup olmayacağının belirlendiği, ilk seviye, bilgisayar seviyesinde ayarlanır. İkinci seviye verilerde kriptolama yapılması, klasr ve dosya seviyesidir. Windows 2000 , Windows XP Professional, Windows Server 2003, Windows Vista ve Windows Server 2008 bilgisayarda tutulan verilerin kriptolanmasını destekler. Tüm bu işletim sistemleri ntanımlı olarak EFSkullanımı ile veri kriptolamayı destekler. Tabi, lojistik gibi sebeplerden dolayı bazı bilgisayarların verileri kriptolamaması gerekebilir. Lojistikten kasıt, kullanıcıların verileri kriptolayabilmesine izin vermektir. Tüm bilgisayarlar ntanımlı olarak kriptolamayı desteklediği için, ve her kullanıcının kriptolama yapmasına izin olduğu için, yerel masaüstünde ve ağda paylaşılan verileri kriptolanabilir. Aşağıdaki resimde Windows XP Professional bir bilgisayarda verilerin nereden kriptolanacağı grülüyor:Resimdeki kriptolama seçeneklerine, dosya veya klasrün üzerinde sağ tuşa tıklayarak zellikler seçildikten sonra Gelişmiş ayarların açıldığı butona tıklayarak ulaşılabilir. Active Directory Domain'deki bilgisayarlarda EFS desteği kontrolüBir bilgisayar Active Directory Domain'ine katıldığında EFS desteği kontrolü kendisinde değildir. Bu zelliği Active Directory'de tutulan ntanımlı Domain Politikası kontrol eder. Windows Active Directory domain'ine katılan tüm bilgisayarlar EFS'yi destekler. Windows 2000 domain'lerde bu konfigürasyon Windows Server 2003 ve Windows Server 2008 domain'lerden farklıdır. Windows 2000 Domain'lerde EFS KontrolüWindows 2000 bilgisayarlar EFS'yi güncel işletim sistemlerinden farklı olarak destekler ve bu sebeple ntanımlı Domain Politikasında EFS konfigürasyonu farklıdır. Windows 2000'de EFS yi aktif etme ve kapatma tümüyle EFS data recovery agent sertifikasına bağlıdır. ntanımlı olarak, Administrator kullanıcı hesabı bu sertifikaya sahiptir ve data recovery agent olarak konfigüre edilir. . Default Domain Policy'de bu konfigürasyona erişim için, Group Policy düzenleyicisinde GPO'yu düzenlerken aşağıdaki yolu takip edin:Computeri Configuration\Windows Settings\Security Settings\Public Key Policies\Encrypted DataRecovery AgentsResim 2 de grüldüğü gibi Administrator için EFS Dosya kriptolama sertifikasını grmeniz gerekir. Bu konfigürasyon tüm bilgisayarların dosyaları kriptolayabilmesini sağlar. Bu yeteneği kaldırmak için GPO dan administrator sertifikasını silebilirsiniz. Bundan sonra eğer EFS'yi active directory'deki bazı bilgisayarlar için sağlamak isterseniz aşağıdaki adımları gerçekleştirin:Yeni bir GPO yaratın ve kriptolama desteği ihtiyacı olan bilgisayarları içeren organizational unit'e link'leyin. GPO'da Encrypted Data Recovery Agents blümüne erişin ve EFS data recovery desteği olan sertifika ekleyin. Bu GPO etkisi altındaki bilgisayarlar EFS kullanabilirler. Windows 2003 ve 2008 Domain'lerde EFS kontrolüYeni domain ve işletim sistemleri (windows 2000 sonrası) EFS'yi benzer bir şekilde desteklerler fakat bazı nemli farklılıklar içerirler. Windows 2000 sonrası bilgisayarlarda kriptolama için data recovery agent gereksinimi yoktur EFS, GPO'da data recovery agent sertifikası ekleme ile kontrol edilmez. EFS, kriptolanmış dosyalara birden fazla kullanıcı erişimini destekler. Bu sebeple, Windows 2003 ve 2008 domain'lerde EFS'yi kontrol için farklı işlemler gerçekleştirmeniz gerekir. Ayarlar halen Default domain policy'de bulunmaktadır. Erişmeniz gereken yeni yol:Computer Configuration\Windows Settings\Security Settings\Public Key Policies\Encrypting File SystemBurda, data recovery agent'ta değişiklik yapmak yerine, Encrypting File System kısmında sağ tuşa tıklayıp açılan menüde zellikler seçin. Windows 2003 domainlerde "Kullanıcıların dosyaları EFS ile kriptolamasına izin verin" seçeneği greceksiniz. Windows Server 2008 domainlerde arabirim oldukça değişti ve ayarlar EFS zellikleri sayfasında aşağıdaki resimdeki gibi yapılabiliyor:Genel ayarlar kısmında "Don't allow" seçeneği domain'deki tüm bilgisayarlarda EFS'nin kapatılmasını sağlıyor. EFS ile ilgili diğer tüm seçenekler de yine bu blümde yapılabiliyor. Domain'deki spesifik bilgisayarları hedeflemek için Windows 2000 domain'inde listelenen adımlar aynı şekilde uygulanabilir. Kaynak: Derek Melberhttp://www.windowsecurity.com/articles/Controlling-Encrypting-File-System-EFS-Group-Policy.html