Kopia zapasowa klucza prywatnego EFS agenta odzyskiwania — Windows Server (2024)

W tym artykule opisano sposób tworzenia kopii zapasowej klucza prywatnego systemu szyfrowania plików (EFS) agenta odzyskiwania na komputerze.

Dotyczy:Windows 7 Service Pack 1, Windows Server 2012 R2
Oryginalny numer KB:241201

Streszczenie

Użyj klucza prywatnego agenta odzyskiwania, aby odzyskać dane w sytuacjach, gdy kopia klucza prywatnego EFS, który znajduje się na komputerze lokalnym, zostanie utracona. Ten artykuł zawiera informacje dotyczące sposobu używania Kreatora eksportu certyfikatów do eksportowania klucza prywatnego agenta odzyskiwania z komputera będącego członkiem grupy roboczej oraz z komputera z systemem Windows Server 2003, Windows 2000, Windows Server 2008 lub Kontroler domeny oparty na systemie Windows Server 2008 R2.

Wstęp

W tym artykule opisano sposób tworzenia kopii zapasowej klucza prywatnego systemu szyfrowania plików (EFS) agenta odzyskiwania w systemach Windows Server 2003, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows Server 2008 i Windows Server 2008 R2 . Klucza prywatnego agenta odzyskiwania można użyć do odzyskania danych w sytuacjach, gdy kopia klucza prywatnego EFS znajdującego się na komputerze lokalnym zostanie utracona.

Możesz użyć EFS do szyfrowania plików danych, aby zapobiec nieautoryzowanemu dostępowi. EFS używa klucza szyfrowania, który jest generowany dynamicznie w celu zaszyfrowania pliku. Klucz szyfrowania pliku (FEK) jest szyfrowany kluczem publicznym EFS i dodawany do pliku jako atrybut EFS o nazwie Data Decryption Field (DDF). Aby odszyfrować FEK, musisz mieć odpowiedni klucz prywatny EFS z pary kluczy publiczny-prywatny. Po odszyfrowaniu FEK możesz użyć FEK do odszyfrowania pliku.

W przypadku utraty klucza prywatnego EFS można użyć agenta odzyskiwania w celu odzyskania zaszyfrowanych plików. Za każdym razem, gdy plik jest szyfrowany, klucz FEK jest również szyfrowany kluczem publicznym agenta odzyskiwania. Zaszyfrowany FEK jest dołączany do pliku z kopią zaszyfrowaną Twoim kluczem publicznym EFS w polu odzyskiwania danych (DRF). Jeśli używasz klucza prywatnego agenta odzyskiwania, możesz odszyfrować plik FEK, a następnie odszyfrować plik.

Domyślnie, jeśli komputer z systemem Microsoft Windows 2000 Professional jest członkiem grupy roboczej lub jest członkiem domeny systemu Microsoft Windows NT 4.0, administrator lokalny, który jako pierwszy loguje się do komputera, jest wyznaczany jako domyślny agent odzyskiwania. Domyślnie, jeśli komputer z systemem Windows XP lub Windows 2000 jest członkiem domeny systemu Windows Server 2003 lub Windows 2000, wbudowane konto administratora na pierwszym kontrolerze domeny w domenie jest wyznaczane jako domyślny agent odzyskiwania .

Komputer z systemem Windows XP będący członkiem grupy roboczej nie ma domyślnego agenta odzyskiwania. Musisz ręcznie utworzyć lokalnego agenta odzyskiwania.

Wyeksportuj klucz prywatny agenta odzyskiwania z komputera, który jest członkiem grupy roboczej

Aby wyeksportować klucz prywatny agenta odzyskiwania z komputera będącego członkiem grupy roboczej, wykonaj następujące kroki:

1. Zaloguj się do komputera przy użyciu lokalnego konta użytkownika agenta odzyskiwania.

2. Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz mmc, a następnie kliknij przycisk OK.

   See Also

   How to use Cipher command line tool in Windows 11/10Jak odszyfrować plik bez hasła, certyfikatu i kluczaIn Windows, what is the Encrypting File System, and how can I use it to protect sensitive data?When multiple Encrypting File System certificates are installed, which one is used for encryption?

3. NaPlikmenu, kliknijDodaj/usuń przystawkę. Następnie kliknijDodaćw systemie Windows Server 2003, Windows XP lub Windows 2000. Lub kliknijOKw systemie Windows Vista, Windows 7, Windows Server 2008 lub Windows Server 2008 R2.

4. PodDostępne autonomiczne przystawki, KliknijCertyfikaty, a następnie kliknijDodać.

5. KliknijMoje konto użytkownika, a następnie kliknijSkończyć.

6. KliknijZamknąć, a następnie kliknijOKw systemie Windows Server 2003, Windows XP lub Windows 2000. Lub kliknijOKw systemie Windows Vista, Windows 7, Windows Server 2008 lub Windows Server 2008 R2.

7. Podwójne kliknięcieCertyfikaty — bieżący użytkownik, podwójne kliknięcieOsobisty, a następnie kliknij dwukrotnieCertyfikaty.

8. Znajdź certyfikat zawierający słowa „Odzyskiwanie plików” (bez cudzysłowów) w plikuZamierzone celekolumna.

9. Kliknij prawym przyciskiem myszy certyfikat, który znalazłeś w kroku 8, wskażWszystkie zadania, a następnie kliknijEksport. Zostanie uruchomiony Kreator eksportu certyfikatów.

10. KliknijNastępny.

11. KliknijTak, wyeksportuj klucz prywatny, a następnie kliknijNastępny.

12. KliknijWymiana danych osobowych — PKCS #12 (.PFX).

    Notatka

    Zdecydowanie zalecamy również kliknięcie w celu wybraniaWłącz silną ochronę (wymaga IE 5.0, NT 4.0 SP4 lub nowszegozaznacz pole wyboru, aby chronić swój klucz prywatny przed nieautoryzowanym dostępem.

    Jeśli klikniesz, aby wybraćUsuń klucz prywatny, jeśli eksport się powiedziezaznaczenie, klucz prywatny zostanie usunięty z komputera i nie będzie można odszyfrować żadnych zaszyfrowanych plików.

13. KliknijNastępny.

14. Określ hasło, a następnie kliknijNastępny.

15. Określ nazwę pliku i lokalizację, do której chcesz wyeksportować certyfikat i klucz prywatny, a następnie kliknijNastępny.

    Notatka

    Zalecamy wykonanie kopii zapasowej pliku na dysku lub na nośniku wymiennym, a następnie przechowywanie kopii zapasowej w miejscu, w którym można potwierdzić fizyczne bezpieczeństwo kopii zapasowej.

16. Sprawdź ustawienia wyświetlane na stronie Kończenie pracy Kreatora eksportu certyfikatów, a następnie kliknijSkończyć.

Wyeksportuj klucz prywatny agenta odzyskiwania domeny

Pierwszy kontroler domeny w domenie zawiera wbudowany profil administratora, który zawiera certyfikat publiczny i klucz prywatny dla domyślnego agenta odzyskiwania domeny. Certyfikat publiczny jest importowany do domyślnych zasad domeny i jest stosowany do klientów domeny przy użyciu zasad grupy. Jeśli profil administratora lub pierwszy kontroler domeny nie jest już dostępny, klucz prywatny używany do odszyfrowywania zaszyfrowanych plików zostaje utracony, a plików nie można odzyskać za pomocą tego agenta odzyskiwania.

Aby zlokalizować zasady odzyskiwania zaszyfrowanych danych, otwórz Domyślne zasady domeny w przystawce Edytor obiektów zasad grupy, rozwińkonfiguracja komputera, zwiększaćUstawienia systemu Windows, zwiększaćUstawienia bezpieczeństwa, a następnie rozwińZasady klucza publicznego.

Aby wyeksportować klucz prywatny agenta odzyskiwania domeny, wykonaj następujące kroki:

1. Zlokalizuj pierwszy kontroler domeny, który został awansowany w domenie.

2. Zaloguj się do kontrolera domeny przy użyciu wbudowanego konta administratora.

3. Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz mmc, a następnie kliknij przycisk OK.

4. NaPlikmenu, kliknijDodaj/usuń przystawkę. Następnie kliknijDodaćw systemie Windows Server 2003 lub Windows 2000. Lub kliknijOKw systemie Windows Server 2008 lub Windows Server 2008 R2.

5. PodDostępne autonomiczne przystawki, KliknijCertyfikaty, a następnie kliknijDodać.

6. KliknijMoje konto użytkownika, a następnie kliknijSkończyć.

7. KliknijZamknąć, a następnie kliknijOKw systemie Windows Server 2003 lub Windows 2000. Lub kliknijOKw systemie Windows Server 2008 lub Windows Server 2008 R2.

8. Podwójne kliknięcieCertyfikaty — bieżący użytkownik, podwójne kliknięcieOsobisty, a następnie kliknij dwukrotnieCertyfikaty.

9. Znajdź certyfikat zawierający słowa „Odzyskiwanie plików” (bez cudzysłowów) w plikuZamierzone celekolumna.

10. Kliknij prawym przyciskiem myszy certyfikat, który znalazłeś w kroku 9, wskażWszystkie zadania, a następnie kliknijEksport. Zostanie uruchomiony Kreator eksportu certyfikatów.

11. KliknijNastępny.

12. KliknijTak, wyeksportuj klucz prywatny, a następnie kliknijNastępny.

13. KliknijWymiana danych osobowych — PKCS #12 (.PFX).

    Notatka

    Zdecydowanie zalecamy kliknięcie w celu wybraniaWłącz silną ochronę (wymaga IE 5.0, NT 4.0 SP4 lub nowszegozaznacz pole wyboru, aby chronić swój klucz prywatny przed nieautoryzowanym dostępem.

    Jeśli klikniesz, aby wybraćUsuń klucz prywatny, jeśli eksport się powiedziezaznaczenie tego pola wyboru powoduje usunięcie klucza prywatnego z kontrolera domeny. Jako najlepszą praktykę zalecamy skorzystanie z tej opcji. Klucz prywatny agenta odzyskiwania należy instalować tylko w sytuacjach, gdy jest on potrzebny do odzyskania plików. W pozostałych przypadkach należy wyeksportować, a następnie przechowywać klucz prywatny agenta odzyskiwania w trybie offline, aby pomóc w utrzymaniu jego bezpieczeństwa.

14. KliknijNastępny.

15. Określ hasło, a następnie kliknijNastępny.

16. Określ nazwę pliku i lokalizację, do której chcesz wyeksportować certyfikat i klucz prywatny, a następnie kliknijNastępny.

    Notatka

    Zalecamy wykonanie kopii zapasowej pliku na dysku lub na nośniku wymiennym, a następnie przechowywanie kopii zapasowej w miejscu, w którym można potwierdzić fizyczne bezpieczeństwo kopii zapasowej.

17. Sprawdź ustawienia wyświetlane na stronie Kończenie pracy Kreatora eksportu certyfikatów, a następnie kliknijSkończyć.