加密共享文件夹：不动应用、双密码分开管的存储隔离

财务账套、人事档案这类盘内数据，公司规矩是"管理员也不该随手翻得动"。DSM 的加密共享文件夹给出一个不重构权限体系的做法：数据落盘即密文，密钥由一把独立口令掌管，挂载才能读写。

建加密文件夹三步

控制面板 → 共享文件夹 → 新增：命名后勾选"加密此共享文件夹"，输入加密密钥（口令当密钥用，也可导出密钥文件保管）；建好后文件夹处于"未挂载"状态，输入密钥挂载后才出现内容。底层是 AES-256 卷加密，性能损耗在日常文件读写场景感知不强，虚拟化与数据库高随机负载建议压测后再定。

两条使用规矩

一是"用完卸载"：下班或交接时段把敏感文件夹卸载，NAS 整机被搬走时盘内这部分就是密文，管理员账号也读不出明文；二是密钥分开管：DSM 管理员密码与文件夹加密密钥交给不同人持有，密钥记录走线下保管，二者一处失守不至于全盘失守。换机迁移时密钥文件与密钥口令必须随行——没有密钥的加密盘，神仙也救不回来，所以密钥托管记录本身要进公司的敏感信息管理。

权限与加密各管一段

加密管的是"盘被拿走读不读得懂"，共享权限管的是"谁能打开"，两层都要设：加密文件夹照常配用户与组的读写权限，内部访问控制不因加密而豁免。新人交接时把"卸载状态属正常"写进值班手册——周一早上发现文件夹打不开，先看是不是周五下班卸载了，别上来就报障。

权限与加密各管一段

加密管的是"盘被拿走读不读得懂"，共享权限管的是"谁能打开"，两层都要设：加密文件夹照常配用户与组的读写权限，内部访问控制不因加密而豁免。新人交接时把"卸载状态属正常"写进值班手册——周一早上发现文件夹打不开，先看是不是周五下班卸载了，别上来就报障。

备份怎么办

加密文件夹照常进 Hyper Backup 或 Shared Folder Sync 备份；要更严的做法是目标端也用加密共享文件夹承接，形成"两头密文"。恢复演练时别忘了一件事：目标端解密同样需要密钥，演练就把"密钥能不能找到人拿到"也验进去。小盘位机型 DS725+ 做部门级敏感数据盘时，这套加密加双密码的配置一套下来就是半天工作量。贵州诚鑫致达科技帮客户落敏感数据隔离时，验收标准只有一条：管理员登进 DSM 翻不到明文——制度写在纸上不算数，盘上见真章。

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。