Hallo,
der Default Admin kann aber geändert werden. Damit dieser entschlüsseln kann, muss das Recovery Agent Zertifikat noch da sein. Das liegt im Benutzerprofil des Administrators auf dem ersten Server (DC) der installiert wurde. Ich kenn aber ´kaum
eine Umgebung, bei der dieses Profil noch vorhanden ist ...
Um das Thema neu zu konfigurieren, brauchst du erst mal eine PKI. Mit dieser kannst du dann einen neuen Recovery Agenten festlegen und diesem Konto das passende Zertifikat ausstellen. Zur sicherheit sollte das Zertifikat nach ausstellung exportiert und extern
aufbewahrt werden. Wenn dieses Zertifikat entsprechend geschützt ist (vier-augen-kennwort etc.) kann niemand einfach so verschlüsselte Dateien öffnen. Der öffentliche Schlüssel wird dann in der GPO als Recovery Agent hinterlegt.
Dann brauchst du eine Vorlage für efs und verteilst die Zertifikate per GPO an die Benutzer. Danach können diese mit efs arbeiten.
Für eine hohe Sicherheit bietet sich an, die Zertifikate auf einer Smartcard abzulegen.
Eine mögliche alternative für den Recovery Agenten ist die Schlüsselarschivierung auf der CA. Damit können Zertifikate wiederhergestellt werden. Dafür sind aber zwei Parteien nötig. Wir haben also hier auch eine Rollentrennung
und einer alleine kann keinen Schlüessel wiederherstellen.
Viele Grüße Carsten
