PGPSymantecEncryptionDesktop使用基础手册.docx

目 录第一章概述41.1PGP介绍41.2 产品线41.2.1 服务器/网关级产品41.2.2 客户端/桌面级产品5第二章Encryption Server(Universal)的安装72.1 PGP适用的系统环境72.2 安装PGP服务器前期准备82.3 安装PGP管理服务器82.4 PGP Cluster服务器安装202.5 PGP基础策略配置272.6 客户端全盘加密、Net Share、Message相关策略创建342.6 自动添加组，并为组设置相关匹配策略442.7 客户端导出54第三章客户端安装及使用553.1客户端安装步骤553.2客户端配置及加密563.3客户端的使用613.4一般问题处理-密码忘记重置密码63第一章 概述1.1 PGP介绍PGP是现在最优异，最安全加密方法。这种软件关键思想是利用逻辑分区保护文件，比如，逻辑分区E:是受PGP保护硬盘分区，那么，每次打开这个分区时候，需要输入密码才能打开这个分区，在这个分区内文件是绝对安全。不再需要这个分区时，能够把这个分区关闭并使其从桌面上消失，当再次打开时，需要输入密码。没有密码，软件开发者本人也无法解密！PGP是全世界最流行文件夹加密软件。它源代码是公开，经受住了成千上万顶尖黑客破解挑战，事实证实PGP是现在世界上最安全加密软件。PGP 加密和解密不像其它传统加密方法，而是利用所谓公开钥匙密码学 (Public Key Cryptology) 为基础。举例来说，当您要传送一封保密信或档案笔者时，必需先取得笔者公开钥匙 (Public Key) ，而且将它加入您公开钥匙环 ( Public Keyring) 中，然后利用笔者公开钥匙将信件加密。当笔者收到您加密信件后，笔者必需利用其相正确私人钥匙 (Secret Key) 来解密。所以，除非其它人拥有笔者私人钥匙，不然无法解开您所加密信件。同时，笔者在使用私人钥匙解密 时，还必需输入通行码 (Pass Phrase)，如此又对加密后讯息多了一层保护。PGP后被赛门铁克收购后，不再发行无偿版本。1.2 产品线1.2.1 服务器/网关级产品（1）PGP Universal Server(PGP通用服务器)越来越多企业开始建置加密系统，以保护敏感企业机密，很遗憾，为了处理多种加密问题，保护邮件、硬盘、文档等等，建置了不一样平台，造成管理上困难，且浪费企业预算！PGP Universal Server经过集中操控安全策略，来保护机密数据、避免财务损失、避免衍生法律问题、避免因机密外泄而商业信誉受损。PGP加密平台PGP Universal Server，提供邮件、文档、硬盘、网络共享文件夹加密保护，并有以下特色： 密钥管理-创建，分配和存放加密密钥而保持只有组织许可授权人员访问加密数据 策略实施-传送集中操控策略配置且移除不一致或不正确策略配置危险。 汇报和统计-提供可见加密保护目前状态以帮助和满足管理员和审查员要求。 扩展架构-经过消除管理系统多出各部分未来加密软件购置费用降低时间和成本。 密钥集中管理自动生成密钥、导入/导出公钥或密钥对。 完全自主策略定制经过加密网页操控全企业策略，拥有完全自主权，最终用户完全不需要参与策略制订过程。 完善汇报及统计功效自动发送汇报数据给系统管理者，每一封邮件进出皆有具体纪录文件可供查询。（2）PGP Universal Gateway Email（PGP通用网关邮件） 简单自动操作保护敏感电子邮件，无需改变用户体验。 强制安全策略依据集中操控策略自动强制实施数据保护。 加速布署使用现有基础设施进行传送邮件加密。* PGP Universal Gateway Email是PGP Universal Server邮件插件1.2.2 用户端/桌面级产品（1）PGP Desktop Email（PGP桌面电子邮件版） 自动消息保护自动加密、解密、数字署名并校验电子邮件消息。可依据本机独立或受PGP Universal Server控制中央管理策略工作。 多重方法保护数据可使用PGP压缩包（PGPzip）、PGP自解密文档（PGP SDA，PGP Self-Decrypting Archive），和PGP虚拟磁盘（PGP Virtual Disk）保留和保护您敏感数据。 安全文件擦除从你磁盘安全且永久擦除易被发觉敏感文件全部痕迹。（2）PGP NetShare（PGP网络共享版） 远程应用程序传送支持保护Citrix 和微软终端服务（Microsoft Terminal Server）会话数据。 同时文件确保文件在网络中、服务器中、备份中全部保持加密状态。 角色分隔在确保安全性情况下为满足通常见户，文件拥有者和管理员不一样需求，将采取不一样权限分配，限制每个使用者操作能力到所需最小值。（3）PGP Whole Disk Encryption（PGP全盘加密版） 多平台磁盘加密为Mac OS和Windows（两种系统针对性PGP软件是需要分别购置）提供包含预引导认证全盘加密（开机便要求验证密钥密码，不然整个磁盘数据全部被PGP加密后保护着） 扩展国际键盘支持使用超出30个国际键盘预引导认证。 单点登录使用目前已经存在Windows密码进行验证以简化登录操作 多重方法保护数据可使用PGP压缩包（PGPzip）、PGP自解密文档（PGP SDA，PGP Self-Decrypting Archive），和PGP虚拟磁盘（PGP Virtual Disk）保留和保护您敏感数据。（3）PGP Desktop Professional（PGP桌面专业版） 此版本功效等于：Desktop Email+Whole Disk Encryption（4）PGP Desktop Storage（PGP桌面存放版） 此版本功效等于：Desktop Email+NetShare（5）PGP Desktop Corporate（PGP桌面企业版） 此版本功效等于：Desktop Email+Whole Disk Encryption+NetShare（6）PGP Endpoint Device Control（PGP终端设备控制） 简单、自动操作保护特殊许可和授权移动存放使用安全，不改变用户体验或降低生产力。 强制安全策略经过USB、火线、Wi-Fi和蓝牙连接设备强制实施安全策略。自动以加密移动存放策略为基础；还能够统计使用情况和遵守安全审计验证。 加速布署降低了安装时间和速度企业保护，无需用户干预，并可利用现有企业目录中基础设施。（7）PGP Endpoint Application Control（PGP终端应用程序控制） 降低数据突破口风险确保敏感企业数据没有因未同意和恶意软件减弱。 前端自动保护降低帮助台和行政负担。提供自动零日防护，免受已知和未知应用威胁。 支持服从具体应用程序实施审计，帮助示范服从制度。 业务连续性预防商业停机时间恶意软件扩散造成危害。 透明用户体验自动后台操作，确保用户工作效率不受影响。（8）PGP Portable（PGP便携加密） 保护全部设备或全部介质适适用于可移动存放设备或光学介质基于软件加密技术。 使用了正在申请专利扩展验证和可信赖AES 256位PGP®虚拟磁盘技术。 共享，分发，协作可用Microsoft® Windows和Apple® Mac OS X访问被加密数据，无需安装另外软件。 提供就地阅读和编辑，无需更改当地用户体验。 轻松整合企业工作步骤为自动化和供给提供支持和口令管理，使企业取得数据安全且不中止用户工作效率策略。（9）PGP Mobile（Window Moblie 6、7、8专用，另有BlackBerry手机使用支持包） PGP虚拟磁盘自动加密解密存放在磁盘卷内内容。和PGP Desktop用户端兼容。 PGP 压缩包简单创建加密数据文件。使用密码或证书对多个用户保护正在传送数据。和PGP Desktop用户端兼容。 自解密文档许可快速加密存放为Windows下可实施文件包，以用于没有运行PGP软件数据交换环境。第二章 Encryption Server(Universal)安装 本文只介绍Symantec Encryption Server (UNIVERSAL SERVER)产品WDE（Whole Disk Encryption）安装和使用方法。2.1 PGP适用系统环境 PGP Encryption Desktop Corporate使用于目前全部Windows操作系统： Windows 8.1 Enterprise (32- and 64-bit editions)Windows 8.1 Pro (32- and 64-bit editions)Windows 8 Enterprise (32- and 64-bit editions)Windows 8 Pro (32- and 64-bit editions)Windows 7 (all 32- and 64-bit editions, including Service Pack 1)Windows Vista (all 32- and 64-bit editions, including Service Pack 2)Windows XP Professional (32-bit edition, including Service Pack 2 or 3)Windows XP Professional (64-bit edition, Service Pack 2)Windows XP Home Edition (32-bit edition, including Service Pack 2 or 3)Windows Server R2 (64-bit edition)Windows Server (64-bit edition)Windows Server R2 (64-bit edition)Windows Server (32-bit edition)Windows Server (32- and 64-bit editions, including Service Pack 1 or 2)用户端需要硬件环境最低为 512 MB of RAM124 MB hard disk space2.2 安装PGP服务器前期准备1、系统配置要求及命名规范2、准备PGP系统安装光盘；2.3 安装PGP管理服务器在虚拟机环境中安装SEPM管理服务器。设置虚拟机为Redhat Linux6 64位系统。1. 将PGP光盘设置为第一开启次序，从CD 或ISO开启开始安装Symantec PGP Universal Server支持物理和虚拟机安装，分别从Symantec PGP Universal serverCD 或ISO镜像开启即开始安装，以下图： 系统默认采取“customnet”方法进行安装，回车即可。2.接收安装协议该步骤提醒用户安装过程将擦除硬盘中全部数据，选择“Continue”即可，以下图所表示：3. 配置网络配置 Symantec PGP Universal ServerIP 地址和掩码信息，以下图所表示：。注意：假如是多网卡安装环境下，会跳出以下选择网卡向导界面：选择好需要网卡以后，点击“OK”进入到以下图所表示确实定界面：配置 Symantec PGP Universal Server网关和DNS信息，以下图所表示：4. 配置主机名配置 Symantec PGP Univeral Server完整主机名（FQDN），以下图所表示：5. 安装完成一旦指定上述网络和主机名等信息，Symantec PGP Universal Server即开始安装过程，以下图所表示：安装完成后，Symantec PGP Universal Server会自动重启并出现以下界面，即表示Symantec PGP Univesal Server 安装完成。注意：该登陆界面是无法登陆，除非取得了Symantec 官方授权。6. 登陆Symantec PGP Universal Server:打开浏览器,输入https:/ipaddress:9000或https:/hostname:9000, 接收最终用户许可协议初始安装将出现以下欢迎界面：以下图所表示：7. 点击，即出现以下界面：8. 选择PGP Universal Server安装类型，点击上图中按钮，选择Symantec PGP Universal Server安装类型，以下图所表示：第一次安装PGP Universal时，选择“New Installation”，9. 选定安装类型后点击，配置Symantec PGP Universal Server时区、时间格式和NTP 服务器等信息，以下图所表示： 依据时区，选择Asia/Shanghai，时间格式为24-hour。10. 配置网络参数。配置好时区和时间格式等信息后，点击，出现以下网络配置信息界面：11. 确定网络配置无误后，点击，进入最终配置确定界面，以下图所表示：12. 假如确定配置无误，则点击，则出现下面实施界面，等全部配置实施结束。13. 当配置实施完成会自动跳装到以下Symantec PGP Universal Serverlicense界面,以下图所表示：因为只购置了Desktop相关功效，此处不选择Enable Mail Proxies选项。14. 输入正确License 信息后，点击即进行入配置Symantec PGP Universal Server超级管理员界面，以下图所表示: 正确设置admin密码及adminEmail Address，点击，设置关键Domain，15. 在Primary Domain中输入，以下图所表示：16. 点击，进入“Ignition Key”配置界面，选择Soft-Ignition Key With Passphrase模式，以下图所表示：17. 点击设置Ignition Key名称及密码， 以下图所表示“18. 点击，设置Orgranization Key，注：此处设置密码在以后运维中会数次用到，关键保留，设置完成后，点击，将Orgranization Key保留到特殊目录下。以下图所表示：备份完成以后，点击进入配置确定界面，以下图：19. 点击 即全部完成Symantec PGP Universal Server 初始配置了，浏览器会自动跳装到Symantec PGP Universal Server登陆界面。2.4 PGP Cluster服务器安装1. 假如采取两台PGP Universal服务器Cluster功效，当一台出现问题，第二台会自动接管第一台工作。第二台Cluster PGP Universal服务器安装步骤同第一台安装步骤，在正常安装完成后，第一次登录后，选择Symantec PGP Universal Server安装为Cluster Member类型，以下图所表示：2. 点击，设置时区，以下图所表示：3. 设置IP地址，点击，以下图所表示：4. 点击，确定配置服务器配置，点击，以下图所表示：5. 等候大约2-5分钟后，以下图所表示：6. 当第二台PGP服务器正常开启后，自动进入Licensee注册页面，正确输入相关信息，以下图所表示：7. 点击，进入加入Cluster模式，在红色方框中输入第一台已安装完成PGP Universal服务器IP地址，以下图所表示：8. 确定已正常和第一台PGP Universal服务器通信，会出现以下所表示页面，9. 点击按钮，出现以下所表示页面，等候第一台PGP Universal服务器对应，以下图所表示：10. 登录第一台已安装完成PGP Universal服务器，以下图所表示：11. 登录到第一台服务器页面后，选择“system”按钮，选择“Clustering”，点击“Add Clustering Member”按钮，以下图所表示：12. 输入第二台安装PGP Universal服务器IP地址，以下图所表示：13. 添加完成后，点击Save按钮，以下图所表示界面：14. 点击Contact按钮，开始将第二台PGP Universal服务器加入到Cluster中，以下图所表示：15. 在第二台PGP Universal服务器上显示以下图所表示页面，表示这两台服务器正在同时相关信息，以下图所表示：16. 两台服务器同时完成后，登录第一台PGP Universal服务器，点击System，Clustering，按钮，以下图所所表示页面，表示两台PGP服务器已正常同时成功。2.5 PGP基础策略配置1. 登录PGP Universal服务器，点击然后选择，以下图所表示：2. 点击，启用Symantec PGP Universal Server 目录同时功效，并点击按钮，添加目录服务器，以下图所表示：注意：其中 LDAP Credentials Bind DN和Passphrase是需要提前在AD建立用于SymantecPGP Universal Server 和AD之间进行通讯验证域帐户和密码。Hostname字段填入FQDN，且要确保能正确解析。在下述页面中，输入名称、类型和Bind DN和passphrase、主机名和端口等信息以后，点击，以下图所表示：3. 点击，以下图所表示：4. 点击Ok按钮，返回到2所表示界面，点击,以下图所表示：点击DC=YTPU，DC=COM前加号，以下图所表示：5. 在CN=中央研究院、CN=信息中心。注：此处可依据AD架构，只支持AD中Group导入，可依据现有AD架构，将相关用户加入到相关组，比如：创建出差组，将出差用户加入到此组，并导入。6. 导入AD中GROUP后，以下图所表示：7. 点击Save按钮。将上述配置全部保留以后跳转到以下页面：点击Settings按钮，再出现界面中选择，并选择严禁使用证书登入，因为启用了Cluster功效，选择同时LDAP查找功效，其它配置如上图所表示。8. 系统备份设置，点击，选择，以下图所表示：PGP Universal服务器支持两种备份方法，一个备份方法是直接备份到PGP Universal服务器上，不过拷贝出来比较麻烦，另外一个是将备份文件备份到FTP服务器上，在内网架构一台FTP服务器，设置用户名及密码。以下是以备份到FTP服务器为例做相关操作说明。9. 点击按钮，出现以下所表示界面，在此界面中输入FTP主机IP地址，FTP用户名、密码、FTP目录，以下图所表示：设置Backup Name，并选择，点击Save按钮，在出现页面中选择，设置备份调度，可依据每七天备份一次备份调度，对PGP进行备份，以下图所表示：点击Save按钮，对于第一次安装，提议点击，开始数据备份，备份成功后，在FTP服务器上就会出现已经备份成功PGP文件，在界面上也会显示成功备份相关统计，以下图所表示：在FTP上备份成功后图以下所表示：在PGP界面上也会显示成功统计，以下图所表示：10. 在备份了PGP数据后，还需要备份Orgranization Key，方可正常进行PGP服务器恢复。点击，选择，点击，以下图所表示：11. 在出现页面中点击Export按钮，以下图所表示：在新出现页面中选择Export Keypair按钮，并输入密码，此密码为安装PGP服务器时所设置密码，具体信息请查看2.2章第18所列内容。点击Export，以下图所表示;2.6 用户端全盘加密、Net Share、Message相关策略创建1. 点击，选择，点击，以下图所表示：2. 在新页面中选择Clone From Default，并对策略命名，以下是以信息中心为例，以下图所表示：3. 点击Save按钮，新策略被创建，以下图所表示：4. 点击已创建完成策略，开始编辑策略，以下图所表示：5. 点击General，选择Edit，以下图所表示：选择选项，点击Save按钮。6. 在Key处选择Edit按钮，在出现页面中，选择以下图所表示：如上所表示，选择加密类型RSA，加密Size为2048，取消ZLIB加密方法，在Key Renewal处选择Never renew和Never stop renewing选项，7. 点击Management，以下图所表示：只选择Server Key Mode。8. 点击Certificates按钮，全部设置根据默认设置即可。9. 点击Options按钮，可依据需求，强制用户使用强密码。以下图所表示：10. 在PGP Desktop列中选择Desktop选项，对于中选项，假如选择，则许可用户端用户去设置相关加密策略等，提议不选择。对于和选项，假如在用户端启用Messaging功效，此选项必需选择，假如不启用Messaging功效，则不需要选择此选项，在此文档中，为了验证用户端Messaging功效，故启用和这两个功效，对于功效，许可用户在终端进行文档加密及ZIP文件等加密，提议选择。在选项中，选择功效，用户端自动从PGP SERVER上同时Key。选择许可用户静默方法接入PGP服务器。为了管理方便，提议终端在开启选项及Windows开始菜单栏显示图标。在PGP管理界面隐藏Exit PGP Services。具体内容以下所表示。以下图所表示：11. 对于这两个选项，可依据需求，自定义调整，提议第一次安装，调整为2小时发送一次日志，2小时下载一次策略。12. 点击Messaging&Key，勾选以下选项，在用户端启用MAIL加密及聊天工具加密功效。 对于选项，不提议选择，当启用了终端Messaging功效后，用户可在终端自定义Mail策略。对于功效，假如启用Messaging功效，此选项必需选择。用于对mail Key管理工作。13. 点击File Encryption选项，选择许可用户自定义创建和打开PGP ZIP加密文件，并在终端启用PGP粉碎机功效。通常提议选择粉碎次数为3次，以下所表示：14. 点击NetShare，选择，强制将存放在此加密目录下文件进行加密，注：要对终端上目录进行加密，必需确保此终端盘符后文件夹处于共享状态，盘符默认共享不支持。而且确保目前登录用户可访问此盘符或文件夹。在空格中输入需要加密文件夹名称，此文件夹不需要在终端创建，以下图所表示：15. 点击Disk Encryption选项，选择选项，则许可终端用户创建PGP虚拟磁盘；选择，许可用户创建PGP 标签盘符，自动对移动硬盘进行加密。以下图所表示，具体信息请参考16. 对于全盘加密选项，以下图所表示：对于用户是否可对全盘加密管理，假如选择Allow User Managenment和internal Disks，则许可终端登录用户添加和删除其它用户名。假如选择Allow Encryption，则许可用户加密，假如选择Allow Decryption，则许可用户对整盘进行解密。相关选项说明：假如启用SSO，提议设置为Force模式，并自动加密开启盘；对于在首次安装完成PGP desktop后加密整个磁盘时，能够进行断电保护，加密性能不会受影响。该选项表示启用WDRT,即管理员远程恢复WDE密码。17. WDE Administrator用户创建此选项在终端全盘加密用户管理中添加WDE Administrator管理，经过此用户可对和登录用户进行添加和删除管理，一旦终端将全部和登录用户全部删除或第一次使用终端添加用户时，勾选此选项，并设置密钥，以下图所表示：当终端使用WDE Administrator登录时，在用户端输入用户名为WDE Administrator，并输入密码，在Domain处选择This Computer。18. WDE BootGuard自定义设置。以下图所表示：2.6 自动添加组，并为组设置相关匹配策略19. 假如在终端启用了Net Share功效，所以需要使用Group Key功效，便于对Net Share访问权限管理，点击Keys，选择Managed Keys，点击Add Managed Keys，以下图所表示：20. 在出现对话框中选择对应组，以下图所表示，并勾选所选择组，注：在AD中只支持Group， 组选择完成后，点击下一步，出现以下页面，点击完成，创建Group Keys会自动出现在管理Keys页面，以下图所表示：21. 设置完成Group Keys后，点击，选择，刚才在Group keys中所导入组会自动进入Group中，以下图所表示：22. 点击信息中心组，对此组制订相关策略，以下图所表示：选择，并将以创建信息中心策略指定到此组，当AD中信息中心用户登录到终端后，就会自动实施信息中心相关策略。其它组创建同上，先创建策略，然后创建Group Keys，在给Group制订相关策略。23. 登录用户管理，当一个AD用户属于多个组，而且这些组已同时到PGP服务器上时，PGP会以Policy Group Order排序为此用户指派相关策略，以AD上CC用户为主，当CC用户即属于产品部，有属于市场部时，此CC用户登录到终端，当市场部在Policy Group Order排在产品部前时，此时CC实施市场部策略，以下图所表示：当在Policy Group Order将产品部调整到市场部前时，此时CC用户就会实施产品部策略，以下图所表示：24. 用户端启用Messaging功效后，以下图所表示，终端用户可设置外部邮件或内部邮件发送加密方法，详见手册。25. PGP用户端导出。点击，选择，点击Download Client，出现以下页面，选择用户端自动识别Policy Group方法以下图所表示：26. 用户端Net Share功效验证，aa用户属于信息中心，www用户属于中央研究院组，当以aa用户登录终端时，自动会在终端所共享D盘上创建一个信息中心加密文件夹，可在此文件夹中创建或拷贝文件，以下图所表示：当以WWW用户登录此终端时，此WWW用户无法访问信息中心这个目录，以下图所表示：27. 用户端虚拟磁盘验证。以下图所表示，终端用户可手工创建新虚拟盘，可设置如上图所设参数。并依据需求添加相关用户访问权限，以下图所表示：点击Add User Key，选择相关用户，点击Ok，开始创建虚拟盘，2.7 用户端导出 策略设置完成，能够点击ConsumersGroups-Download Client按钮，在用户端导出页面，设置需要导出用户端安装类型，注意勾选auto-detect policy group点击Download即可将用户端安装包下载下来。 注意：能够依据不一样操作系统类型选择不一样32bit和64bit安装包。第三章 用户端安装及使用3.1用户端安装步骤1. 点击PGP用户端安装包：2. 选择接收，点击下一步，3. 选择不显示产品公布信息，点击下一步，4. 开始用户端安装，在安装过程中不能重启电脑或关闭电脑，5. 安装完成后重启电脑， 点击YES，用户端安装成功，计算机会自动重新开启。3.2用户端配置及加密1. 电脑重启后，出现以下界面，选择2. 下一步，输入用户端本人用户域帐号密码3. 下一步，开始加密，桌面右下角出现加密图标，4. 右键选择“Open PGP Desktop”选项，打开PGP图标，5. 在PGP DISKEncrpt Whole Disk中能够看到加密进度和需要加密剩下时间。6. 等候加密完成，能够浏览显示当地加密拥有权限账户，7. 加密完成，重新开启计算机即可。加密完成后，右下角PGP图标会变为小锁状。8. 也能够添加一个当地账号，在域登录失败情况下，使用自行创建账号登录。9. 下一步，创建添加一个新用户10. 下一步选择密码方法创建11. 下一步，填写用户名和密码12. 下一步，完成账户添加13. 点击完成即可。3.3用户端使用加密完成后用户端，重新开启时，需要输入域账号密码 在域Domain部分选择ytpu域，用户名密码填写本人域帐号登录即可。也能够输入创建当地账号，当地账号就需要在Domain中选择“This Computer”，输入创建当地账号密码即可登录系统。3.4通常问题处理-密码忘记重置密码 （1） 假如域账号密码忘记，需要将笔记本拿到信息中心进行处理。使用PGP WDRTToken码能够解锁。（2）假如管理员在PGP服务器上设置了许可用户端创建问题进行回复找回密码，在用户端安装完成，能够自定义设置5个问题，下一步设置第二个问题，依次进行设置。当密码忘记时，按F4依次回复5个问题即可登录系统，选择“answer my questions to log into the system”输入自定义设置问题答案即可进入系统回复正确即可进入系统进入系统后，PGP用户端要求立即进行密码重置输入新密码，AD上密码也会同时更新点击OK，完成密码重置