Windows - 当用户帐户被销毁时解密加密文件

Question

我的 Windows Server 2008 计算机上运行着一个虚拟机，它最初是我收到的加密文件，因为 VM 的构建者是在 MAC 上进行的，默认情况下会解密文件。

我从来没有想过要解密这些文件，因为当你有权限时它们会自动“解密”，所以尽管加密了，虚拟机仍然运行了一年多。

我刚刚将我的计算机升级为域控制器（dcpromo.exe）。

现在，当我尝试访问/运行 VM 时，我无法访问/运行，因为我没有权限解密文件，因为那是在另一个登录名（本地管理员）上，而现在我是域管理员。

显然，当您升级到域控制器时，本地管理员将完全被摧毁。

我已经尝试了一切 -

• 取得文件所有权，这很管用。对我没什么用。
• 为每个人添加对文件的完全控制权。
• 我转到文件属性 > 高级 > 详细信息（加密下） > 可以访问此文件的用户。唯一的用户是管理员@本地计算机名称，并且有一个证书编号。我尝试添加新证书，但我没有权限。

我没有权限：

• 解密文件（拒绝访问）。
• 将文件复制（到另一台计算机） - 拒绝访问。

我完全被难住了，这个虚拟机是生产机器，需要立即起床。

有人有什么想法吗？

Answer 1

在使用 EFS 加密的 Windows 系统上，文件使用对称随机密码加密。这些密码使用本地用户证书加密。为了访问这些证书，您需要本地用户密码。一般来说，用户帐户不会被删除，而是被重命名，因此如果您能够从原始帐户导出加密证书并将其导入新帐户，您应该能够访问加密文件。您需要的大部分技术信息都在这里：加密文件系统恢复。另一种方法是使用商业产品，但同样，没有证书它就无法工作，因此请确保在购买前拥有证书！。我很久以前就使用过 Advanced EFS Recovery，它在磁盘上搜索证书并解密文件。EFS 恢复

希望有帮助！

Answer 2

当您安装 Active Directory 时，它不会删除本地帐户。本地 SAM 数据库（安全帐户管理器）保持不变 - 只是不再使用。

如果你将机器启动到目录服务还原模式（DSRM）在启动时（或者甚至在安全模式下）点击 F8，则不使用 AD 数据库，而是使用本地 SAM DB。在这种情况下，您仍然可以使用旧的本地管理员帐户并解密文件。

如果这不管用，旧的EFSDump 实用程序，可免费下载，可能仍可在您的平台上使用。如果可以，它会告诉您除原始所有者外，哪些用户帐户可以解密文件。另一个这样的实用程序是信息系统来自 Microsoft Windows 资源工具包。