Quando os usuários perdem suas chaves privadas, qualquer informação criptografada de modo persistente com a chave pública correspondente fica inacessível. A utilização do arquivamento e recuperação de chave ajuda a proteger os dados criptografados contra perda permanente no caso de, por exemplo, o sistema operacional precisar ser reinstalado e a conta de usuário para a qual a chave de criptografia foi emitida originalmente não estiver mais disponível ou a chave não estiver mais acessível. Para auxiliar a proteção de chaves privadas, as autoridades de certificação corporativas da Microsoft podem arquivar as chaves de um usuário no banco de dados quando os certificados forem emitidos. Essas chaves são criptografadas e armazenadas pela autoridade de certificação.
Esse arquivo da chave privada possibilita que ela seja recuperada posteriormente. O processo de recuperação de chave exige que um administrador recupere o certificado criptografado e a chave privada e, em seguida, o agente de recuperação de chave irá descriptografá-los. Quando uma solicitação de recuperação de chave com assinatura correta é recebida, o certificado do usuário e a chave privada são fornecidos ao solicitante. O solicitante então usa a chave apropriadamente ou a transfere com segurança ao usuário para uso contínuo. Se a chave privada não estiver comprometida, o certificado não precisa ser substituído ou renovado com uma chave diferente.
O arquivamento e a recuperação de chave não estão ativados por padrão. Isso ocorre porque muitas organizações considerariam o armazenamento da chave privada em vários locais um fator de vulnerabilidade de segurança. A necessidade das organizações tomarem decisões claras sobre os certificados que comportarão o arquivamento e a recuperação de chave e sobre quem será responsável pela recuperação das chaves arquivadas ajuda a garantir que o arquivamento e recuperação de chave sejam usados para melhorar a segurança e não para prejudicá-la.
Você deve ser um administrador de autoridade de certificação para concluir este procedimento. Para obter mais informações, consulte Implementar a administração baseada em função.
 | Para configurar o ambiente de arquivamento de chave dos certificados do sistema de arquivos com criptografia (EFS) |
Crie uma conta de agente de recuperação de chave ou nomeie um usuário existente para atuar como tal.
Configure o modelo de certificado de agente de recuperação de chave e registre o agente para o certificado de agente de recuperação de chave. Para obter informações, consulte Identificar um agente de recuperação de chave.
Registre o novo agente de recuperação de chave com a autoridade de certificação. Para obter informações, consulte Habilitar arquivamento de chave para uma Autoridade de Certificação.
Configure um modelo de certificado, tal como EFS Básico, para o arquivamento de chave e registre os usuários para o certificado novo. Se os usuários já possuírem certificados EFS, confirme se o certificado novo substituirá o que não inclui o arquivamento de chave. Para obter mais informações, consulte Configurar um modelo de certificado para arquivamento de chave.
Registre os usuários para os certificados de criptografia com base no novo modelo de certificado.
Os usuários não estarão protegidos pelo arquivamento de chave até que tenham sido registrados para um certificado com a recuperação de chave habilitada. Caso eles possuam certificados idênticos emitidos antes da habilitação da recuperação de chave, os dados criptografados com esses certificados não serão cobertos pelo arquivamento de chave.
Para obter mais informações sobre o arquivamento e a recuperação de chave, consulte Arquivamento e recuperação de chave no Windows Server 2008 (