重灌系統後發現原本的 EFS 加密文件無法開啟，提示「無權限存取」。根因在於 EFS 使用「加密金鑰」而非帳號密碼加密，重灌導致用戶設定檔 (含私密金鑰) 遺失，且未預設恢復代理 (DRA)。
為何會發生？
- EFS 私密金鑰儲存在用戶設定檔
%APPDATA%\Microsoft\Crypto\RSA，重灌會清除。
- Windows 2000 預設 Administrator 為 DRA，但 XP/2003 預設無 DRA，需手動指定。
- 若無 DRA 且無金鑰備份，加密資料理論上無法恢復 (除非暴力破解私密金鑰，極不現實)。
事前必做：備份 EFS 憑證 (.pfx)
- 執行
certmgr.msc → 「憑證 - 目前使用者 - 個人 - 憑證」。
- 找「預期用途」為「加密檔案系統」的憑證 → 右鍵「所有工作」→「匯出」。
- 選「是，匯出私密金鑰」→ 格式 PKCS #12 (.PFX) → 設強密碼 → 存至安全可移動媒體。
事後補救：匯入 .pfx 恢復存取
- 重灌完成、同帳號密碼登入後，右鍵 .pfx 檔 → 「安裝 PFX」或雙擊開啟「憑證匯入精靈」。
- 輸入備份時設定的保護密碼 → 選「根據憑證類型自動選取存儲區」→ 完成。
- 即可存取原加密檔案。
企業環境：指定 DRA 才是正解
- 網域環境：透過群組原則「電腦設定 → Windows 設定 → 安全性設定 → 公開金鑰原則 → 加密檔案系統」新增 DRA 憑證。
- DRA 僅能解密「指定 DRA 後」新加密的檔案，無法追溯既有檔案。
- 獨立工作站：本地安全性原則 (secpol.msc) 同樣可指定 DRA。
給用戶的鐵律
「加密前先備份金鑰，重灌前必匯出 .pfx，企業必推 DRA 群組原則。」
資料價值遠超作業系統，金鑰管理不可馬虎。