Sichern von Recovery Agent Encrypting File System (EFS) privaten Schlüssel in Windows

Dieser Artikel beschreibt das Sichern des privaten EFS-Schlüssel (Encrypting File System, EFS) für die Wiederherstellung in Windows Server 2003, in Windows 2000, Windows XP, in Windows Vista, in Windows 7, in Windows Server 2008 und in Windows Server 2008 R2. Privaten Schlüssel des Wiederherstellungs-Agenten können Sie die Wiederherstellung von Daten in Situationen, wenn die Kopie des privaten EFS-Schlüssels auf dem lokalen Computer verloren gegangen ist.

EFS können Sie Dateien verschlüsseln um unbefugten Zugriff zu verhindern. EFS verwendet einen Chiffrierschlüssel, der dynamisch ist. zum Verschlüsseln der Datei generiert. File Encryption Key (FEK) wird mit verschlüsselt. die öffentlichen EFS-Schlüssel und die Datei als EFS-Attribut mit dem Namen hinzugefügt wird Datenentschlüsselungsfeld (DDF). Um den FEK zu entschlüsseln, müssen Sie die entsprechenden privaten EFS-Schlüssel aus dem öffentlich-Private Schlüsselpaar. Nachdem Sie Entschlüsseln des Dateiverschlüsselungsschlüssels, können Sie den Dateiverschlüsselungsschlüssel Entschlüsseln der Datei.

Wenn Ihr EFS private Schlüssel verloren ist, können Sie einen Wiederherstellungs-Agent verschlüsselten Dateien wiederherzustellen. Jedes Mal, die eine Datei verschlüsselt ist, der auch FEK wird mit der Öffentlichen Schlüssel des Wiederherstellungsagenten. Der verschlüsselte FEK gehört zu der Datei mit der Kopie, die mit Ihrem öffentlichen EFS-Schlüssel im Feld Recovery verschlüsselt ist (DRF). Wenn Sie die privaten Schlüssel des Wiederherstellungsagenten verwenden, können Sie den FEK zu entschlüsseln, und anschließend die Datei entschlüsseln.

Standardmäßig, wenn ein Computer mit Microsoft Windows 2000 Professional ist ein Mitglied einer Arbeitsgruppe oder ein Mitglied Microsoft Windows NT 4.0-Domäne, der lokale Administrator, der zum ersten Mal anmeldet mit der Computer wird als der Standardwiederherstellungs-Agent festgelegt. Standardmäßig Wenn ein Computer unter Windows XP oder Windows 2000 ist ein Mitglied einer Windows Server 2003-Domäne oder einer Windows 2000-Domäne, das integrierte Administratorkonto auf dem ersten Domänencontroller wird die Domänencontroller in der Domäne als Standard festgelegt. Wiederherstellungs-Agenten.

Beachten Sie, dass es sich bei einem Computer mit Windows XP ist und Das ist ein Mitglied einer Arbeitsgruppe nicht über einen Standardwiederherstellungsagenten verfügt. Sie Sie müssen manuell einen lokalen Wiederherstellungsagenten erstellen. Weitere Informationen Informationen, klicken Sie in folgendem Artikel in der Microsoft Knowledge Base:

Wichtig Nach dem export des privates Schlüssel auf einer Diskette oder andere Wechselmedien, werden die Diskette oder das Medium an einem sicheren Ort speichern. If ein Benutzer erhält Zugriff auf Ihren privaten EFS-Schlüssel, diese Person auf zugreifen kann Ihre verschlüsselten Daten.

Exportieren von privaten Schlüssel des Wiederherstellungs-Agenten von einem Computer, der Mitglied einer Arbeitsgruppe ist

Um den privaten Schlüssel des Wiederherstellungs-Agenten von einem Computer zu exportieren, ist ein Mitglied einer Arbeitsgruppe, gehen Sie folgendermaßen vor:

1. Melden Sie sich an den Computer mithilfe des Wiederherstellungs-Agenten der lokalen Benutzerkonto.
2. Klicken Sie auf Start, klicken Sie auf Ausführen, Typ MMC, und klicken Sie dann auf OK.
3. Auf der Datei im Menü klicken Hinzufügen/Entfernen Snap-in. Klicken Sie dann auf Hinzufügen WindowsServer 2003, Windows XP oder Windows 2000. Oder klicken Sie auf OK in Windows Vista in Windows 7, WindowsServer 2008 oder WindowsServer 2008 R2.
4. Unter Verfügbare eigenständige Snap-ins, klicken Sie aufZertifikate, und klicken Sie dann auf Hinzufügen.
5. Klicken Sie auf Mein Benutzerkonto, und klicken Sie dann aufFertig stellen.
6. Klicken Sie auf Schließen, und klicken Sie dann auf OK WindowsServer 2003, Windows XP oder Windows 2000. Oder klicken Sie auf OK in Windows Vista in Windows 7, WindowsServer 2008 oder WindowsServer 2008 R2.
7. Doppelklicken Sie auf Zertifikate - Aktueller Benutzer, Doppelklicken Sie auf Persönliche, und doppelklicken Sie dann aufZertifikate.
8. Suchen Sie das Zertifikat, das die Wörter "Datei anzeigt Recovery"(ohne Anführungszeichen) in die Bestimmt Zwecke Spalte.
9. Mit der rechten Maustaste in des Zertifikats, das Sie in Schritt 8 gefunden, , zeigen Sie auf Alle Aufgaben, und klicken Sie dann auf Exportieren. Der Zertifikatsexport-Assistent wird gestartet.
10. Klicken Sie auf Weiter.
11. Klicken Sie auf Ja, privaten Schlüssel exportieren, und Klicken Sie dann auf Weiter.
12. Klicken Sie auf Privater Informationsaustausch ? PKCS # 12 (.(PFX).
    
    Hinweis Empfohlen, dass Sie auch aktivieren Sie dieVerstärkte Sicherheit aktivieren (erfordert Internet Explorer 5.0, NT 4.0 SP4 oder höherKontrollkästchen, um Ihren privaten Schlüssel vor nicht autorisiertem Zugriff zu schützen.
    
    If Aktivieren Sie die Den privaten Schlüssel zu löschen, wenn der export erfolgreiche Kontrollkästchen, der private Schlüssel vom Computer entfernt wird und Sie werden keine verschlüsselten Dateien entschlüsseln können.
13. Klicken Sie auf Weiter.
14. Geben Sie ein Kennwort, und klicken Sie dann auf Weiter.
15. Geben Sie einen Dateinamen und einen Speicherort, in dem Sie exportieren möchten das Zertifikat und den privaten Schlüssel und klicken Sie dann aufWeiter.
    
    Hinweis Es wird empfohlen, dass Sie die Datei auf einem Datenträger oder zu sichern ein Wechselmediengerät und dann Speichern der Sicherung an einem Ort, Sie können Bestätigen Sie die physische Sicherheit der Sicherung.
16. Überprüfen Sie die Einstellungen, die auf der Seite Fertigstellen des angezeigt werden die Seite Zertifikatsexport-Assistenten, und klicken Sie dann auf Fertig stellen.

Exportieren des privaten Schlüssels des Domänenwiederherstellungsagenten

Der erste Domänencontroller in einer Domäne enthält den integrierten Administratorprofil, das öffentliche Zertifikat und den privaten Schlüssel enthält für den Standardwiederherstellungsagenten der Domäne. Das öffentliche Zertifikat ist in der Standarddomänenrichtlinie importiert und mithilfe auf Domänenclients angewendet wird Gruppenrichtlinien. Wenn das Administratorprofil oder wenn der erste Domänencontroller ist nicht mehr verfügbar ist, der privaten Schlüssel, die zum Entschlüsseln der verschlüsselten verwendet wird Dateien geht verloren, und Dateien können nicht über diese Wiederherstellungs-Agenten wiederhergestellt werden.

Um die Richtlinie für Wiederherstellung von verschlüsselten Daten zu suchen, öffnen Sie die Standardrichtlinie für Domänen Erweitern die Richtlinie im Gruppenrichtlinienobjekt-Editor-Snap-in Computer Konfiguration, erweitern Sie Windows-Einstellungen, erweitern Sie Sicherheitseinstellungen, und erweitern Sie dann Öffentlicher Schlüssel Richtlinien.

Privaten Schlüssel des Domänenwiederherstellungsagenten zu exportieren, Gehen Sie folgendermaßen vor:

1. Suchen Sie den ersten Domänencontroller, der befördert wurde die Domäne.
2. Melden Sie sich an den Domänencontroller unter Verwendung der integrierten Administratorkonto.
3. Klicken Sie auf Start, klicken Sie auf Ausführen, Typ MMC, und klicken Sie dann auf OK.
4. Auf der Datei im Menü klicken Snap-in hinzufügen/entfernen. Klicken Sie dann auf Hinzufügen in WindowsServer 2003 oder Windows 2000. Oder klicken Sie auf OK in WindowsServer 2008 oder WindowsServer 2008 R2.
5. Unter Verfügbare eigenständige Snap-ins, klicken Sie aufZertifikate, und klicken Sie dann auf Hinzufügen.
6. Klicken Sie auf Mein Benutzerkonto, und klicken Sie dann aufFertig stellen.
7. Klicken Sie auf Schließen, und klicken Sie dann auf OK in WindowsServer 2003 oder Windows 2000. Oder klicken Sie auf OK in WindowsServer 2008 oder WindowsServer 2008 R2.
8. Doppelklicken Sie auf Zertifikate - Aktueller Benutzer, Doppelklicken Sie auf Persönliche, und doppelklicken Sie dann aufZertifikate.
9. Suchen Sie das Zertifikat, das die Wörter "Datei anzeigt Recovery"(ohne Anführungszeichen) in die Bestimmt Zwecke Spalte.
10. Mit der rechten Maustaste in des Zertifikats, das Sie in Schritt 9, , zeigen Sie auf Alle Aufgaben, und klicken Sie dann auf Exportieren. Der Zertifikatsexport-Assistent wird gestartet.
11. Klicken Sie auf Weiter.
12. Klicken Sie auf Ja, privaten Schlüssel exportieren, und Klicken Sie dann auf Weiter.
13. Klicken Sie auf Privater Informationsaustausch ? PKCS # 12 (.(PFX).
    
    Hinweis Dringend empfohlen, Sie aktivieren die Aktivieren verstärkte Sicherheit (erfordert Internet Explorer 5.0, NT 4.0 SP4 oder höherdas Kontrollkästchen, um Schützen Sie Ihren privaten Schlüssel vor nicht autorisiertem Zugriff.
    
    Wenn Sie auf klicken. Wählen Sie die Löschen Sie den privaten Schlüssel, wenn der Export erfolgreichKontrollkästchen, der private Schlüssel wird vom Domänencontroller entfernt. Als eine der besten Praxis, empfehlen wir, dass Sie diese Option verwenden. Der Wiederherstellungs-Agent installieren private Schlüssel nur in Situationen, wenn Sie Dateien wiederherstellen müssen. In allen anderen Zeiten exportieren Sie und speichern Sie dann offline privaten Schlüssel des Wiederherstellungs-Agenten zu helfen Ihre Sicherheit aufrechtzuerhalten.
14. Klicken Sie auf Weiter.
15. Geben Sie ein Kennwort, und klicken Sie dann auf Weiter.
16. Geben Sie einen Dateinamen und einen Speicherort, in dem Sie exportieren möchten das Zertifikat und den privaten Schlüssel und klicken Sie dann aufWeiter.
    
    Hinweis Es wird empfohlen, dass Sie die Datei auf einem Datenträger oder zu sichern ein Wechselmediengerät und dann Speichern der Sicherung an einem Ort, Sie können Bestätigen Sie die physische Sicherheit der Sicherung.
17. Überprüfen Sie die Einstellungen, die auf der Seite Fertigstellen des angezeigt werden die Seite Zertifikatsexport-Assistenten, und klicken Sie dann auf Fertig stellen.

Weitere Informationen dazu, wie Sie Bestimmen Sie, wer der Wiederherstellungsagent für eine verschlüsselte Datei ist, klicken Sie auf die folgenden Artikelnummer, um den Artikel der Microsoft Knowledge Base anzuzeigen: Weitere Informationen Informationen über EFS finden Sie in folgendem Artikel der Artikel in der Microsoft Knowledge Base: Weitere Informationen über EFS unter Windows Server die folgende Microsoft-Website: Weitere Informationen zum Arbeiten mit EFS unter Windows Server 2003, die folgende Microsoft-Website: Weitere Informationen zu verwandten Themen finden Sie in der folgenden Microsoft-Website: