windows - 通过 API 以编程方式添加 EFS 数据恢复代理 (DRA) 证书

Question

我正在寻找一种以编程方式（任何语言）为 Windows 操作系统中的加密文件系统 (EFS) 添加数据恢复代理 (DRA) 证书的方法。

手动执行很容易：gpedit.msc - 安全设置 -> 公钥策略 -> 加密文件系统 -> 添加 DRA；

但我想自动化它（不使用 Active Directory 组策略！）。

命令行解决方案也是可以接受的。

Answer 1

解决方案是使用（本地）组对象策略 API 发布 MSDN 文档“[MS-GPEF]：组策略：加密文件系统扩展”（MS-GPEF）中描述的注册表项。必须创建两个主键 \EFS\!Blog 和 \EFS!EFBBlob。类似的解决方案可用于 Bitlocker。

备注： - MS-GPEF 注册表项必须根据 GPO 发布规则进行修改。直接插入会被操作系统自动移除；