您现在正在浏览 >> 华军数据恢复中心 > 技术专题 > 行业技术 >

EFS如何生成与备份恢复密钥

2014-02-20 23:35:08　来源：华军数据恢复　作者：网站管理员　阅读：次

未备份恢复密钥可能会导致无法挽回的加密数据损失。当持有 EFS 加密证书的用户无法解密数据时，备份的恢复密钥能够确保加密数据的恢复。

要求

•	凭据：要执行此操作，必须使用恢复代理帐户，该帐户中存储有文件恢复证书和私钥。域管理员是默认的恢复代理；在家庭或非域环境中，没有默认的恢复代理，但是可以为计算机上的所有帐户创建一个本地恢复代理。在家庭设置中，更为普遍的做法是备份每个 EFS 证书持有人的私钥。
•	工具：Microsoft 管理控制台 (MMC) 的证书管理单元。

警告：在更改默认恢复策略之前，应确保已备份默认的恢复密钥。域中默认的恢复密钥存储在该域的第一个域控制器中。

•

把默认的恢复密钥备份到软盘中，需要执行以下操作

1.	单击“开始”、“运行”，键入 mmc ，然后单击“确定”按钮。打开“Microsoft 管理控制台”。
2.	在“文件”菜单中，选择“添加/删除管理单元”，然后单击“添加”按钮。
3.	在“添加独立管理单元”中，单击“证书，然后单击“添加”按钮。
4.	选择“我的用户帐户”单选项，再单击“确定”按钮。
5.	单击“关闭”按钮，再单击“确定”按钮。
6.	双击“证书－当前用户”、“个人”，然后双击“证书”。
7.	在“这个证书的目的是”一栏中单击显示字样为“文件恢复”的证书。
8.	右键单击该证书，选择“所有任务”，单击“导出”按钮。
9.	按照“证书导出向导”中的说明，导出该证书和相关的私钥，并以 .pfx 文件格式保存。

返回页首

创建基于域的恢复代理

要允许某一帐户读取或恢复 EFS 加密的数据，必须将其指定为恢复代理。在域环境中，建议使用域帐户达到这个目的。为在 Active Directory® 目录林中的所有站点、域或组织单位创建恢复代理。在默认情况下，内置的管理员帐户是域的恢复代理；这种情况就无需再创建恢复代理了。

要求

•	凭据：域管理员。
•	工具：MMC 的 Active Directory 用户与计算机管理单元。

•

创建基于域的恢复代理，需要执行以下操作

1.	单击“开始”、“控制面板”，在“控制面板”窗口中，双击“管理工具”，然后双击“Active Directory 用户与计算机”。
2.	右键单击需要更改恢复策略的域，然后单击“属性”。
3.	选择“组策略”选项卡。
4.	右键单击要更改的恢复策略，然后单击“编辑”。
5.	在控制台树（左栏）中，单击“加密文件系统”。该选项位于以下导航路径中：“计算机配置”、“Windows 设置”、“安全设置”、“公钥策略”、“加密文件系统”。
6.	在详细信息栏（右栏）中，单击右键，选择“创建数据恢复代理”。注意：按照“创建恢复代理向导”的提示，从文件或 Active Directory 中添加用户作为恢复代理。从文件添加恢复代理时，用户被标识为“未知用户”。这是因为该用户名没有存储在这个文件中。要从 Active Directory 添加恢复代理，EFS 恢复代理证书（文件恢复证书）必须在 Active Directory 中发布。但是，由于默认的 EFS 文件恢复证书模板没有发布这些证书，所以需要创建一个这样的模板。要达到这个目的，请在“证书模板”管理单元，复制默认的 EFS 文件恢复证书模板，以创建一个新模板，右键单击这个新模板，选择“属性”，并在“常规”选项卡的“属性” 对话框中找到复制的证书，然后选中“在 Active Directory 中发布证书”复选框。
7.	按照 “创建恢复代理向导”中的说明，完成创建基于域的恢复代理。

返回页首

创建本地恢复代理

在非域环境中，如在独立计算机或在工作组中，可以创建本地恢复代理。在多个用户共享一台计算机的情况下，适合创建本地恢复代理。在单用户计算机上，用户很容易直接把恢复密钥备份到可移动媒体中。

要求

•	凭据：本地计算机管理员。
•	工具：组策略对象编辑器

•

创建本地恢复代理

1.	单击“开始”、“运行”，键入 mmc ，然后单击“确定”按钮。
2.	在“文件”菜单中，选择“添加/删除管理单元”，然后单击“添加”按钮。
3.	在“添加独立管理单元”中，单击“组策略对象编辑器”，然后单击“添加”按钮。
4.	在“组策略对象”中，确定已经显示了“本地计算机”，然后单击“完成”按钮。
5.	单击“关闭”按钮，再单击“确定”按钮。
6.	在“本地计算机策略”中，导航到“本地”、“计算机策略”、“计算机配置”、“Windows 设置”、“安全设置”、“公钥策略”。
7.	在详细信息栏中，右键单击“加密文件系统”，再单击“添加数据恢复代理” 或“创建数据恢复代理”。注意：向导会提示您输入恢复代理用户名。您可提供具有发布的文件恢复证书的用户名给向导，或浏览恢复证书文件（.cer文件），此类文件中包含有关恢复代理的信息。文件恢复证书可以从证书颁发机构 (CA) 获得。要标识文件恢复证书，请在“证书”管理单元和详细信息栏中的“增强型密钥用法”字段中，查找值“文件恢复 (1.3.6.1.4.1.311.10.3.4.1)”。在本地计算机文件系统或 Active Directory 中，以 .cer 文件存储文件恢复证书。从文件中添加恢复代理时，用户被标识为“未知用户”，因为该文件中为存储此用户名。
8.	根据向导中的说明，结束该过程。

返回页首

使用 EFS

完成恢复代理的创建和恢复密钥的生成及备份后，就可以开始使用 EFS，从而更有效的保护文件和文件夹免受未授权的访问。本节提供了有关启用 EFS 的说明。

要求

•	凭据：您必须是一个持有 EFS 证书的用户，并拥有在 NTFS 卷修改文件或文件夹的权限。
•	工具：Windows 资源管理器。

•

使用 EFS 加密文件或文件夹

打开 Windows 资源管理器。

我的文档

右键单击要加密的文件或文件夹，在弹出的菜单中，选择“属性”项。

在“常规”选项卡中，单击“高级”。

新文本文件属性 .txt 属性

选中“加密内容以保护数据”复选框，单击“确定”按钮。

高级属性

在“属性” 对话框中，单击“确定”，然后执行下列步骤中之一：

•	要加密文件及其父文件夹时，请在“加密警告”对话框中，单击“加密文件与父文件夹”。
•	要想只加密文件，请在“加密警告”对话框中，单击“只加密文件”。
•	要想只加密文件夹，请在“确认属性更改”对话框中，单击“只将变化应用于此文件夹”。
•	要加密文件夹及其子文件夹与文件，在“确认属性更改”对话框中，单击 “将变化应用于该文件夹及其子文件夹与文件”。

单击“确定”按钮，确认并应用加密选项。

返回页首

启用 Windows 资源管理器菜单中的加密/解密选项

您还可以对 Windows 资源管理器进行配置，当用户右键单击文件时，在弹出的快捷菜单中，添加“加密”和“解密”选项，以执行 EFS。为此，需要编辑着Windows 注册表，添加一个的新注册项。在默认情况下，注册表中没有该注册项。

警告：注册表编辑错误可能会造成系统的严重破坏。因此，在修改注册表前，首先应备份该计算机上所有有价值的数据。formatting role="bold"/>

要求

•	凭据：由经验丰富的管理员来编辑注册表，并充分重视此操作的潜在风险。
•	工具：注册表编辑器。

•

启用 Windows 资源管理器菜单中的加密/解密选项

1.	运行“注册编辑器”，导航到以下注册表路径： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
2.	在详细信息栏（右栏）中，单击右键，在弹出的快捷菜单中，依次选择“新建”、“双字节值”。
3.	键入 EncryptionContextMenu 作为双字节值的名称，并按“回车”键确认。
4.	右键单击新建的双字节注册表项，单击“修改”。
5.	在“编辑双字节值”对话框中的“数值数据”栏中，输入一个值，然后单击“确定”按钮。
6.	单击“文件”菜单，选择“退出”，关闭“注册表编辑器”。

注意： 在 Windows Server 2003 中，也可以添加“加密详细信息”选项到资源管理器菜单中。为此，管理员需要创建一个包含以下信息的注册表批文件 (*.reg)，并为每个用户运行此文件：

[HKEY_CLASSES_ROOT\*\Shell\Encrypt To User...\Command]

@="rundll32 efsadu.dll,AddUserToObject %1"

返回页首

启用 EFS 文件共享

企业通常希望使用加密技术以帮助保护敏感数据，但同时也允许多个用户访问这些数据。借助 EFS，用户就可以对文件进行加密，然后再授予其他用户访问这个加密数据的权限。要允许几个用户访问加密的文件，这个文件的加密者就要把该文件设成共享状态，然后通过添加其他用户的 EFS 加密证书，允许他们共享访问这个加密的文件。这样，企业可以在提高安全性的同时，确保数据的可用性。

您需要了解有关共享加密数据的某些要求与限制：

•	不能将用户组添加到加密的文件中，也不能把用户添加到加密的文件夹中。
•	所有添加到加密文件中的用户，必须在加密文件所在的计算机上拥有 EFS 加密证书。通常由 Verisign 等证书颁发机构颁发证书。此外，如果用户已经登录到计算机上并对其中的加密文件实施了解密，该用户将在这台计算机上拥有一份 EFS 加密证书。要导入证书，请参阅 Microsoft TechNet 网站中的 To import a certificate（英文），其网址为 http://go.microsoft.com/fwlink/?LinkId=22846。
•	此外，所有对该文件进行解密的用户，都必须拥有读取该文件的权限。必须正确设置 NTFS 权限，以允许用户访问。如果用户因受限于 NTFS 权限而被拒绝访问，则该用户将无法读取加密文件，也不能实施解密操作。要设置文件权限，请参阅 Microsoft TechNet 网站中的 To set,view,change,or remove permissions on files and folders（英文），其网址为 http://go.microsoft.com/fwlink/?LinkId=22847。

要求

•	凭据：要求具备 EFS 证书和文件的所有权。
•	工具：Windows 资源管理器。

所有添加到文件中的用户，在加密文件所在的计算机中必须拥有加密证书。

•

允许用户加密或解密文件

打开 Windows 资源管理器。

右键单击要改变的加密文件，在弹出的快捷菜单中选择“属性”。

在“常规”选项卡中，单击“高级”。

在“高级属性”中，单击“详细信息”。

要添加用户到这个文件中，请单击“添加”，然后执行以下步骤中的一种：

•	要添加用户，而该用户的 EFS 加密证书在这台计算机上，请单击证书，再单击“确定”按钮。
•	在将证书添加到文件之前，要查看该证书，请单击证书，然后单击“查看证书”。
•	要从 Active Directory 添加用户，请单击“查找用户”，然后在列表中选择用户，并单击“确定”。
上一篇：服务器常见故障下一篇：JPG照片文件丢失或删除了如何恢复？华军行数据恢复 - 最新图文资讯东芝硬盘开盘成功恢复数据 TOSHIBA MK6008GAH 7200.4 ST9320423AS 开盘数据恢复成功硬盘跌掉到地上数据恢复解决方案固态硬盘数据恢复 intel英特尔 40G SSD 认不到盘最新资讯导读 ·Linux系统规划硬盘分区（二） ·上海数据恢复爱国者 4G 误格式化 ·数据恢复之哪些操作是引起数据丢失潜在的威胁 ·Linux操作系统中备份恢复技术（一） ·EFS如何生成与备份恢复密钥 ·ST硬盘开盘数据恢复 ST3500418AS ·数据恢复之基本SAN结构的变化（二） ·WD开盘数据恢复 WDC WD10TMVV-11TK7S1 ·数据恢复之什么是数据覆盖？ ·IBM服务器报警面板指示灯故障原因推荐内容 1、东芝硬盘开盘成功恢复数据 TO 2012/04/05 东芝硬盘开盘成功恢复数据 TOSHIBA MK6008GAH 三星原装超薄移动硬盘60G容量，用了有两... 2、系统内存总线 2013/12/28 系统内存总线很明显，系统的CPU对I/O的处理有着巨大的影响，但它不是I/O路径的必要组成... 3、金士顿16gu盘修复金士顿32gu 2013/05/08 金士顿16gu盘修复,金士顿32gu盘修复,金士顿u盘修复器,金士顿u盘在生活中应用广泛，同时金... 4、Android系统曝隐私问题：冷冻 2013/11/15 最近有报道称，德国Erlangen大学研究人员提洛穆勒(TiloMueller)和迈克尔斯普雷特增巴斯(M... 5、如何实现数据存储的管理维护 2013/12/09 如何确保所有数据能够得到可靠备份，及时进行灾难恢复是存储管理软件的核心任务。此外存... 6、教你如何恢复RAID数据（二） 2013/12/29 这时屏幕上会弹出一个窗口，让我们选择一些测试组合。我们可以参考RAID控制器的设置手动... 7、wd开盘数据恢复 WDC WD2500B 2012/04/07 wd开盘数据恢复 WDC WD2500BEVT-24A23T0 客户公司电脑，晚上加班的时候突然停电，来电... 热点内容三星移动硬盘开盘数据恢复 SAMSUNG HM502JX 350 打印机数据备份与恢复 158 西数MYBOOK移动硬盘不识别数据恢复成功 545 东芝硬盘开盘数据恢复 TOSHIBA MK3255GSXF 235 普通数据丢失自己也能做数据恢复 196 重装系统分区丢失文件修复 261 重装系统变成一个分区 411 RAID技术全程指南（二） 194 希捷开盘数据恢复成功北京数据恢复 137 硬盘开盘数据恢复 414 软件损坏恢复 ┆ Linux数据恢复 ┆ 苹果数据恢复 ┆ SCSI开盘恢复 ┆ 二次开盘恢复 ┆ 硬盘数据恢复 ┆ RAID数据恢复 ┆ 笔记本数据恢复 ┆ 服务器数据恢复 ┆ 硬件故障恢复 ┆ Unix数据恢复 ┆ 电子存储器 ┆ 手机数据恢复 ┆ 硬件维修 ┆ CopyRight2014-2016 华军数据恢复中心版权所有浙ICP备15017254号-4 成功案例 \| 华军资讯 \| 技术专题 \| RSS地图