분실된 키 복구

사용자가 개인 키를 분실한 경우 해당 키로 암호화된 데이터를 복구할 수 없습니다. 키를 복구하여 클라이언트 컴퓨터로 복원해야 데이터를 해독하고 사용할 수 있습니다.

전체 복구 프로세스는 다음의 세 가지 절차로 이루어집니다.

이 절차를 수행하려면 최소한 Domain Admins 그룹의 구성원이거나 이와 동등한 자격이 있어야 합니다. 자세한 내용은 역할 기반 관리 구현을 참조하십시오.

보관된 인증서의 일련 번호를 얻으려면

CA(인증 기관)를 호스팅하는 컴퓨터에 로그온합니다.
인증 기관 스냅인을 엽니다.
콘솔 트리에서 CA 이름을 클릭하고 발급된 인증서를 클릭합니다.
보기 메뉴에서 열 추가/제거를 클릭합니다.
사용 가능한 열에서 보관된 키를 클릭하고 추가를 클릭합니다.

보관된 키가 이제 표시된 열에 나타납니다.
확인을 클릭하고 세부 정보 창에서 오른쪽으로 스크롤하여 사용자에게 발급된 마지막 인증서의 보관된 키 열 값이 예인지 확인합니다.
인증서를 두 번 클릭합니다.
자세히 탭을 클릭합니다. 인증서의 일련 번호를 기록합니다. 이때 숫자 부분 사이에 공백을 넣지 마십시오. 복구 절차를 완료하려면 이 정보가 필요합니다.

일련 번호는 길이가 20자인 16진수 문자열입니다. 개인 키의 일런 변호는 인증서의 일련 번호와 같습니다. 이 절차에서는 일련 번호를 serialnumber라고 합니다.
확인을 클릭하여 인증 기관 스냅인을 닫습니다.

명령 프롬프트에 다음을 입력합니다.

Certutil -getkey <serialnumber> outputblob

	참고
	이 명령의 출력 중 수신자 정보 섹션에 BLOB을 해독하고 키를 복구하는 데 필요한 개인 키를 가진 키 복구 에이전트 인증서의 일련 번호가 표시됩니다.

명령 프롬프트에 다음을 입력합니다.

dir outputblob

	참고
	outputblob 파일이 없는 경우는 인증서 일련 번호를 잘못 입력했을 수 있습니다. outputblob 파일은 키 복구 에이전트 인증서와 사용자 인증서 및 체인이 포함된 PKCS #7 파일입니다. 내부 내용은 개인 키(키 복구 에이전트 인증서로 암호화된)가 포함된 암호화된 PKCS #7 파일입니다.

도메인 관리자는 실제 복구 절차를 수행할 키 복구 에이전트에게 출력 파일을 전송해야 합니다.

이 절차를 완료하려면 CA에 등록된 키 복구 에이전트 인증서를 가진 사용자여야 합니다. 키 복구 에이전트는 키 복구 절차를 수행할 컴퓨터에 있는 키 복구 에이전트의 개인 인증서 저장소에 저장해야 합니다. 자세한 내용은 역할 기반 관리 구현을 참조하십시오.

보관된 인증서를 복구하려면

명령 프롬프트에 다음을 입력합니다.

Certutil -recoverkey outputblob <filename>.pfx

키가 복구되면 데이터가 저장된 컴퓨터로 키를 가져와야 합니다.

이 절차를 완료하려면 인증서가 발급된 대상 클라이언트이거나 클라이언트 컴퓨터의 관리자여야 합니다. 자세한 내용은 역할 기반 관리 구현을 참조하십시오.

복구된 키를 가져오려면