加密檔案系統 (EFS) 不僅能加密資料，更提供精細的存取控制與災難恢復機制。本文詳細說明如何將授權用戶加入加密檔案，以及資料恢復代理 (DRA) 金鑰的備份與還原流程。
授權其他用戶存取加密檔案
- 於檔案總管右鍵點選加密檔案 → 「內容」 → 「一般」頁籤 → 「進階」。
- 點選「詳細資料」 → 「新增」。
- 三種新增來源：
- 本機憑證存儲區：直接選取目標用戶的 EFS 憑證。
- Active Directory：點選「尋找用戶」從 AD 選取。
- 移除：選取用戶名稱點選「移除」撤銷權限。
- 新增的憑證會自動驗證受信任 CA 簽署，並存入「其他人」憑證存儲區。
導出 DRA 金鑰 (.pfx) - 關鍵備份動作
前置條件：以首個網域控制站的 Domain Admin 身分登入，使用 MMC 憑證嵌入式管理單元。
- 執行
mmc.exe → 「檔案」→「新增/移除嵌入式管理單元」→ 新增「憑證」→「我的使用者帳戶」。
- 瀏覽至「憑證 - 目前使用者 - 個人 - 憑證」，雙擊預設網域 DRA 憑證 → 「所有工作」→「匯出」。
- 選擇「是，匯出私密金鑰」→ 格式選「個人資訊交換 PKCS #12 (.PFX)」→ 勾選「啟用增強型保護」與「匯出成功刪除私密金鑰」。
- 設定強式密碼保護 .pfx 檔案，指定儲存路徑（建議寫入加密 USB 或光碟離線保存）。
警告：匯出並刪除私密金鑰後，若無備份檔案將永無法解密該 DRA 保護的檔案！企業應建立多備份、多地點、實體管控的保存程序。
導入 DRA 金鑰 - 災難恢復時刻
- 同樣以 Domain Admin 登入，開啟 MMC 憑證嵌入式管理單元。
- 於「個人」資料夾右鍵 → 「所有工作」→「匯入」→ 選取 .pfx 檔案 → 輸入保護密碼 → 選擇「根據憑證類型自動選取存儲區」。
- 完成後即可使用該 DRA 憑證解密受保護檔案。
最佳實務摘要
- 建立至少兩組 DRA 憑證，分別離線保存於不同物理位置。
- 定期演練「導入→解密→驗證」流程，確保備份可用。
- 結合群組原則強制關鍵資料夾加密，並稽核 EFS 事件 (事件識別碼 4660, 4663)。
EFS 金鑰管理是資料機密性的最後一道防線，請視同核心資產嚴格管控。