NTFS (New Technology File System) 自 Windows NT 3.1 以來持續演進，已成為 Windows 核心檔案系統標準。相較 FAT32/exFAT，NTFS 提供**檔案級權限 (ACL)、加密檔案系統 (EFS)、磁碟配額、透明壓縮、稀疏檔案、重新導向點、交易式 NTFS (TxF)、彈性磁碟區 (Shrink/Extend)、自我修復**等企業級功能。本文聚焦最實用的四大進階功能——**EFS 加密、權限控管、磁碟配額、NTFS 壓縮**——提供圖文操作步驟、核心原理、常見陷阱與最佳實踐，助你將資料安全與儲存效率推向新高度。
一、 EFS (Encrypting File System) 透明加密：資料落地即加密
核心原理
- **對稱金鑰加密檔案內容 (FEK, File Encryption Key)**：預設 AES-256 (Win 10 1809+)，舊版 3DES/DESX。
- **非對稱金鑰保護 FEK**：用戶公開金鑰加密 FEK，儲存於檔案屬性 $EFS 串流中。
- **透明解密**：擁有私鑰的用戶讀取時，系統自動用私鑰解密 FEK → 解密內容，應用程式無感知。
- **支援資料恢復代理人 (DRA)**：企業可指定 DRA 憑證，防止員工離職/遺失私鑰導致資料永久不可讀。
啟用加密：GUI 操作 (適用單一檔案/資料夾)
- 檔案總管 → 右鍵目標檔案/資料夾 →「內容」→「一般」分頁 →「進階」。
- 勾選 「加密內容以保護資料」 →「確定」→ 選擇「僅套用到此資料夾」或「套用到此資料夾、子資料夾和檔案」。
- 加密完成後，檔名/資料夾名在檔案總管中以 **綠色** 顯示 (預設)。
命令列批次加密 (適合腳本/大量檔案)
cipher /e /s:"D:\SensitiveData" /e=加密 /s=遞迴子目錄
cipher /d /s:"D:\SensitiveData" /d=解密
cipher /u /n /u=更新用戶金鑰 /n=尋找已加密檔案
五大必知注意事項 (避坑指南)
| # |
限制/風險 |
說明與對策 |
| 1 |
**僅支援 NTFS 磁碟區** |
FAT32/exFAT/ReFS 不支援 EFS。移動加密檔至非 NTFS 磁碟會自動解密 (若有權限) 或失敗。 |
| 2 |
**壓縮檔案加密會先解壓** |
NTFS 壓縮與 EFS 互斥。加密壓縮檔案 → 系統先解壓再加密，空間佔用暴增。 |
| 3 |
**系統屬性檔案不可加密** |
C:\Windows、C:\Program Files 等系統目錄下檔案無法加密，防止系統無法啟動。 |
| 4 |
**資料夾加密 = 繼承屬性** |
新增檔案/子資料夾自動繼承加密。若需例外，需在子項目單獨解密。 |
| 5 |
**「進階」按鈕灰色不可用** |
檔案不在 NTFS 磁碟區、或磁碟區已滿、或檔案系統錯誤。執行 chkdsk /f 檢查。 |
解密操作
同樣路徑取消勾選「加密內容以保護資料」。資料夾解密時可選「僅此資料夾」或「包含子項目」。解密後新建檔案不再自動加密。
二、 NTFS 權限 (ACL) 精細存取控制
**安全性標籤 → 進階** 可設定：
- 基本權限： 讀取、寫入、列出資料夾內容、讀取/執行、修改、完全控制。
- 進階權限 (特殊權限)： 遍歷資料夾/執行檔案、列出資料夾/讀取資料、讀取屬性/擴充屬性、建立檔案/資料夾、刪除子項目/刪除、讀取/變更權限、取得擁有權等 14 項細粒度權限。
- 繼承控制： 停用繼承 → 轉換為明確權限 / 移除繼承權限，實現資料夾級隔離。
- 審核： 設定成功/失敗存取審核事件，寫入安全性事件記錄，配合 SIEM 分析。
最佳實踐： 採用 **AGDLP 原則** (帳號 → 全域群組 → 網域本機群組 → 權限)，避免直接指派用戶權限，降低管理複雜度。
三、 磁碟配額：限制用戶空間佔用
**磁碟區內容 → 配額分頁 → 啟用配額管理**
- 設定「限制磁碟空間」與「警告層級」(如 90% 警告, 100% 拒絕寫入)。
- 「記錄事件」：超過警告/限制時寫入系統事件記錄。
- **配額條目**：可針對特定用戶自訂額度 (如管理員無限制、一般用戶 10GB)。
- **限制**：僅支援本機用戶/網域用戶，不支援群組；僅限 NTFS 磁碟區；不支援 ReFS。
四、 NTFS 透明壓縮：以 CPU 換空間
**資料夾/磁碟區內容 → 一般 → 進階 → 勾選「壓縮內容以節省磁碟空間」**
- **演算法：** LZNT1 (類 LZ77)，4KB 區塊獨立壓縮，支援隨機存取。
- **適用：** 文字檔、日誌、原始碼、Office 文件、XML/JSON、資料庫匯出檔 (壓縮率 50-80%)。
- **不適用：** 已壓縮格式 (ZIP, JPG, MP4, MP3, PDF 多數)、加密檔案 (EFS)、資料庫即時檔案 (頻繁隨機寫入效能損失大)。
- **效能影響：** 讀取需解壓 (CPU)、寫入需壓縮 (CPU+I/O)。現代 CPU (SSE4.2/AVX2) 壓縮速度 > 500 MB/s，通常非瓶頸。
- **檔案總管顏色：** 藍色檔名表示壓縮檔案 (可在「資料夾選項」→「檢視」關閉顏色區分)。
五、 綜合避坑與最佳實踐清單
- EFS + 壓縮互斥： 選一項。機密文件優先加密；日誌/歸檔優先壓縮。
- 備份加密檔案： 使用支援 EFS 的備份軟體 (Windows Server Backup, Veeam, Veritas 等) 或匯出 EFS 憑證 (
cipher /x) 異地保存，**私鑰遺失 = 資料永久損失**。
- BitLocker + EFS 雙層防護： BitLocker 保護整顆磁碟離線竊取，EFS 保護線上多用戶環境下的檔案級隔離，兩者互補不衝突。
- 配額 + 資料夾重新導向： 企業環境將「文件庫/桌面」重新導向至伺服器共享，配合配額限制，防止本地 C 滿載。
- 定期
cipher /u /n 掃描： 確認無遺漏未加密的機密檔案。
結語
NTFS 進階功能非「高深莫測」，而是**觸手可及的企業級資安與儲存工具箱**。EFS 讓機密檔案「落地即加密」，ACL 實現最小權限原則，配額防止濫用資源，壓縮以極低 CPU 成本換取空間。掌握這四大功能的操作、限制與組合策略，你就能在 Windows 環境中構建**安全、合規、高效**的資料治理體系。下次右鍵「內容」→「進階」時，請記得：那裡藏著保護資料最強大的槓桿。
