efs恢复代理操作

Windows NTFS 中的 EFS 恢复代理操作

 

工作组模式下的用户：
xp无默认恢复代理，所以只手动创建cipher /r:efs后，当前用户才能恢复代理，也就是他自己。
cipher /r:efs 得到二个证书文件efs.cer/efs.pfx。
在gpedit.msc中添加恢复代理，使用cer文件。
在恢复操作中，使用pfx文件，先安装后才能打开efs文件。
(可以创建efs文件，使用管理员帐户强制改密码(此后，用户自己也打不开自己的efs文件)再安装pfx证书后才能打开)

工作组模式下的恢复代理，是一对一的。

域模式下的用户：

无企业根CA：

在gpmc中没有设置恢复代理时，默认恢复代理为域默认管理员帐户(domain\administrator)。
此时要恢复efs文件，在dc上使用 domain\administrator 运行 certmgr.msc 在个人证书里有一个administrator的文件恢复代理证书，导出来得到pfx文件。
再使用这个pfx文件来去解efs文件。

使用域用户运行 cipher /r:efs，在gpmc中把efs.cer添加为域恢复代理。
此后 domain\administrator 不在是恢复代理，再也不能解开任一efs文件(这个efs没有对domain\administrator授权时)
（在添加之初有部分文件，因gpo更新的问题可能会对指定的域恢复代理作用不及时。）
可在操作前后，在efs文件属性的 常规-高级属性-详细信息 中查看到 恢复代理程序名 这一栏下面值的变化。

 

有企业根CA：

所以如果在域中使用efs的话，建议创建企业根CA。
企业根CA申请方法有三种：IIS的web手动申请/mmc的证书管理器手动申请/系统自动申请.

所以建议先安装iis(只需要安装ASP与万维网二个子组件)，再安装 证书服务 组件。
企业根CA的公用名称，为便于识别可为 <msft> Root CA

企业根CA证书获取：
在 http://localhost/certsrv/ 中 “下载 CA 证书、证书链或 CRL” 的 “下载 CA 证书链”
或在dc上打开公钥管理器，在 本地计算机证书 -- 受信任的根证书颁发机构 中的将 <msft> Root CA 导出为p7b格式。

使用要设置为efs恢复代理用户登录，打开certmgr.msc，申请一个efe恢复代理证书，再导出cer/pfx文件。
将cer文件，添加为efs恢复代理程序