Servidor Windows 2012 A conta DRA (agente de recuperação de dados) não conseguiu descriptografar os arquivos

Question

Eu tenho um Windows Server 2012 R2, a VM do Hyper V atuando como um controlador de domínio (para o domínio parihar.local). Eu estou configurando EFS (Encrypted File System) no mesmo e estou correndo em um problema muito específico com contas de Data Recovery Agents (DRA).

Estou usando 3 usuários aqui para fazer login e testar o funcionamento do EFS. 3 Usuários são Administrador, maneesh1, deepak. Eu configurei a política de domínio Padrão para adicionar certificados de Administrador e Maneesh1 como contas de DRA (agentes de recuperação de dados).

Eu crio e criptografo um arquivo de texto simples com a conta do deepak e, em seguida, criptografo o mesmo. Os detalhes de criptografia mostram o administrador e o maneesh1 como DRAs. Eu faço logoff da VM. Quando estou logando na conta de administrador eu consigo acessar os arquivos sendo o DRA e posso até descriptografar o mesmo.

No entanto, quando estou logando na conta maneesh1, não consigo acessar ou descriptografar o arquivo usando o comando cipher ou o explorer.

Estou usando certificados auto-assinados e verifiquei as impressões digitais do certificado do DRA do arquivo de texto usando comandos de criptografia. os certificados com as mesmas impressões digitais já estão instalados.

Por gentileza, ajude a entender e resolver por que a segunda conta do DRA do maneesh1 não é capaz de acessar e descriptografar o arquivo criptografado.

Obrigado. Por favor me avise para qualquer informação adicional necessária. Não é possível anexar mais de duas imagens para tentar compartilhar mais durante as respostas, se o site permitir.

    

Answer 1

Eu percebi o que estava errado. Eu estava importando apenas o arquivo de certificados para a conta de usuário do DRA. e o arquivo pfx que continha também a chave privada, que era necessário para o DRA descriptografar o conteúdo criptografado.

Uma vez percebi o problema. Então eu refiz a coisa toda. Usado cipher / R: comando para exportar as chaves cert e pfx (chaves de recuperação) e, em seguida, importou / instalou o arquivo pfx (com chave privada) na conta do DRA e voila o usuário DRA conseguiu acessar todo o conteúdo criptografado. Portanto, o erro foi importar apenas o arquivo cert e não o pacote pfx inteiro com chave privada. Espero que possa ajudar alguém a resolver o problema também.

O DRA é adicionado somente com a chave cert (na diretiva de grupo), mas, embora a descriptografia exija definitivamente o pacote pfx importado ou instalado na conta do DRA.