EFS Zertifikat Export

[Rumak18 11]

Hallo,

ich bin gerade in der Planung des Upgrades unserer AD Upgrades auf 2008-R2. Hierbei werde ich auch beide DCs austauschen , da ein Upgrade von Win2k8-R1-32-Bit auf Win2k8-R2 ja nicht möglich ist.

Unter anderem soll man ja das EFS Zertifikat wegsichern. Leider klappt das weder aus dem Zertifikatsmanager noch durch die "Default" GPO "Computerkonfiguration/Richtlinien/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für öffentliche Schlüssel/Verschlüsseltes Dateisystem ". Das Menü zum Export des Zertifikats mit privatem Schlüssel ist immer ausgegraut, obwohl es der erste DC und der erste User in der Domain ist, mit dem ich es versuche.

Nun zu meiner Frage: Kann es daran liegen, dass ich den privaten Schlüssel nicht exportieren kann, weil ich EFS i nder Domain noch nie eingesetzt habe? Und wenn man es noch nie im Einsatz hatte, muss man dann überhaupt den privaten Schlüssel auch exportieren? Hat Jemand darin Erfahrung?

Danke vorab.

[Rumak18 11]

Hallo,

 

ich versuchs an dieser Stell nochmals...

[*Cat* 19]

Hiho,

mal eine Gegenfrage.

Wieso möchtest du das Zertifkat mitnehmen wenn du es nie benutzt hast und demzufolge auch keine Abhängigkeiten zu diesem Zertifikat bestehen?

Ist das eine reine Verständnisfrage?

 

Grüße Cat

[Rumak18 11]

Hi,

 

weil es laut diesem Beitrag sein muss:

 

http://www.faq-o-matic.net/2003/08/18/was-muss-ich-tun-um-den-ersten-dc-zu-deinstallieren/

 

Ausserdem denke ich, dass ich so was wissen sollte/müsste ;)

 

Nur leider klaptt es eben nicht...

[*Cat* 19]

Moin

 

Ja das gilt aber nur für Jene die EFS Verschlüsselung verwenden und dazu einen Recovery Agent betreiben.

Du sagtest im ersten Beitrag, dass ihr sowas gar nicht im Einsatz habt, ergo betreibt ihr wohl auch keinen Recovery Agent.

Daher droht dir seitens fehlendem Recovery Zertifikat auch kein Datenverlust.

Grüße

[Rumak18 11]

Ja, richtig. Einen "Recovery Agent" verwenden wir nicht. Ich dachte nur, dass man das EFS Zertifikat benötigt um in Zukunft EFS überhaupt nutzen zu können. Denn nach dem Austausch der DCs wird es den ersten DC in der Domain ja nicht mehr geben...

[*Cat* 19]

Dann erzeugst du dir einfach eins wenn du es brauchst und deinen Agent anlegst

 

Grüße

bearbeitet 16. Januar 2013 von *Cat*