Domänencontroller aus Domäne entfernen

[olc 18]

Hi Langer,

 

ich weiß nicht genau, ob ich Deine Frage richtig verstehe: Aber wenn Du damit meinst, daß Du auf einem gleichnamigen DC einer anderen Domäne das Zertifikat erzeugen und dann einfach als "ersetzendes" Zertifikat auf einem anderen DC Deiner Domäne importieren kannst, um die derzeit verschlüsselten Dateien entschüsseln zu können, dann ist die Antwort nein. (was für ein Satz...)

 

Du kannst jedoch ein neues EFS Data Recovery Zertifikat erzeugen und dieses als DRA in die Default Domain Policy importieren. Danach müßtest Du EFS wieder aktivieren und auf allen Systemen, auf denen EFS läuft und die Benutzer auch noch Zugriff auf die verschlüsselten Daten haben, die verschlüsselten Dateien (automatisiert) "anfassen". So würde der neue DRA in die Dateien eingetragen werden.

 

Das Prozedere wird in dem o.g. Artikel jedoch auch angesprochen. :)

 

Viele Grüße

olc

[LangerSN 10]

Sorry aber ich habe das Prozedere leider nicht gefunden wie ein neues EFS Data Recovery Zertifikat erzeugt wird und dieses als DRA in die Default Domain Policy importiert wird.

 

Ich habe keine verschlüsselten Daten. Ich möchte nur sicher gehen das es bei mir wenn ich es vielleicht irrgendwann mal brauche auch korrekt laufen würde. Ich habe mich noch nie mit EFS beschäftigt und zur Zeit ist das auch kein Thema bei uns. Es wurde noch nie etwas verschlüsselt. Vielleicht ist das ja auch der Grund warum dort noch kein privater Schlüssel liegt.

 

Wäre über eine abschließende Antwort nochmal dankbar um das Problem für mich abschließen zu können.

[olc 18]

Hi,

 

was meinst Du mit "nicht gefunden"? Hast Du Dir das HowTo überhaupt angeschaut? In "Teil 2" (Windows Server How-To Guides: Teil 2 - Einrichtung von Data Recovery Agents - ServerHowTo.de) wird genau auf Deine Frage eingegangen.

 

Der private Schlüssel bzw. das Zertifikat wird immer auf dem ersten DC einer Domäne angelegt, egal ob Daten verschlüsselt werden oder nicht. Da dieser in der entsprechenden Policy eingetragen werden muß, pasisert dies beim DCPROMO, wenn ich mich nicht irre.

 

Viele Grüße

olc