A conta DRA (agente de recuperação de dados) do Windows Server 2012 não consegue descriptografar arquivos

Question

Eu tenho um Windows Server 2012 R2, Hyper V VM atuando como um controlador de domínio (para o domínio parihar.local). Estou configurando o EFS (sistema de arquivos criptografados) no mesmo e estou enfrentando um problema muito específico com contas de agentes de recuperação de dados (DRA).

Estou usando 3 usuários aqui para fazer login e testar o funcionamento do EFS. 3 Os usuários são Administrador, maneesh1, deepak. Eu configurei a política de domínio padrão para adicionar certificados de Administrador e Maneesh1 como contas DRA (agentes de recuperação de dados).

Eu crio e criptografo um arquivo de texto simples com uma conta deepak e depois criptografo o mesmo. Os detalhes da criptografia mostram o administrador e maneesh1 como DRAs. Eu faço logoff da VM. Quando estou fazendo login na conta de administrador, consigo acessar os arquivos do DRA e posso até descriptografá-los.

No entanto, quando estou fazendo login na conta maneesh1, não consigo acessar ou descriptografar o arquivo usando o comando cipher ou o explorer.

Estou usando certificados autoassinados e verifiquei as impressões digitais do certificado do DRA do arquivo de texto usando comandos de criptografia. os certificados com as mesmas impressões digitais já estão instalados.

Por favor, ajude a entender e resolver por que a segunda conta DRA de maneesh1 não consegue acessar e descriptografar o arquivo criptografado.

Obrigado. Por favor, avise-me para qualquer informação adicional necessária. Não é possível anexar mais de 2 imagens. Tentarei compartilhar mais durante as respostas, se o site permitir.

Answer 1

Eu percebi o que estava errado. Eu estava importando apenas o arquivo de certificado para a conta de usuário do DRA. e o arquivo pfx que também continha a chave privada necessária para o DRA descriptografar o conteúdo criptografado.

Assim que percebi o problema. Depois refiz tudo. Usei o comando cipher /R: para exportar as chaves cert e pfx (chaves de recuperação) e depois importei/instalei o arquivo pfx (com chave privada) na conta do DRA e pronto, o usuário do DRA conseguiu acessar todo o conteúdo criptografado. Então o erro foi importar apenas o arquivo cert e não todo o pacote pfx com chave privada. Espero que possa ajudar alguém com o problema também.

O DRA é adicionado apenas com a chave de certificado (na política de grupo), mas enquanto a descriptografia exigirá definitivamente o pacote pfx importado ou instalado na conta DRA.