3.2.5 公開キーのポリシー
●暗号化されたデータの回復エージェント
「暗号化されたデータの回復」とは，暗号化されたデータの復号化を意味する。たとえば，EFSによって暗号化されたファイルは機密性が確保される半面，暗号化した当事者が退社してしまった，あるいは秘密鍵をなくしてしまったなどの理由でデータを復号化できなくなっては困る。そこで，管理権限の所有者には，データを復号化する手段が提供されている。ここでは，そのためのポリシーを設定する。
データを復号化するには，2つのコンポーネントが関係してくる。1つは，暗号化されたデータを回復するときにユーザーが従う「回復ポリシー」であり，もう1つは，ほかのユーザーによって暗号化されたデータを復号化することを許された管理者を示す「回復エージェント」である。既定の回復ポリシーは，スタンドアロンのコンピュータに対してローカルに構成される。ネットワークの一部となるコンピュータであれば，回復ポリシーは，ドメイン，組織単位，コンピュータレベルのいずれかで構成され，最終的にそこに属するすべてのコンピュータに適用される。そして，回復エージェントには，データの回復を許可されたことを示す証明書が必要になる。この証明書は証明機関によって発行されたもので，［証明書］管理ツールで管理される。ネットワーク環境における回復ポリシーは，ポリシー適用範囲内の全コンピュータの回復を管理するドメイン管理者または回復エージェントが設定する。
回復ポリシーには，Table 3-2に示すように3つの種類がある。
Table 3-2 回復ポリシー
| 回復エージェントポリシー | ローカルコンピュータで利用可 | デフォルトではドメインの管理者 | ネットワーク環境でデフォルトで採用される。回復エージェントは，管理対象のコンピュータ上にある暗号化データを復号化することができる。Windows 2000 ServerあるいはWindows 2000 Advanced Serverをインストールしたときには，最初のドメインコントローラをセットアップした時点でドメインのデフォルト回復ポリシーが自動的に実装され，ドメイン管理者には自己署名証明書が発行される。この自己署名証明書によって，ドメイン管理者が回復エージェントとして指定される。管理者は，1人以上の回復エージェントを追加することができる |
| 回復なしのポリシー | ローカルコンピュータで利用可 | ローカルコンピュータの管理者 | グループポリシーの回復ポリシーが削除された状態である。グループの回復ポリシーが存在しないので，個々のコンピュータの管理者がデフォルトのローカルポリシーを適用してデータを復号化する |
| 空の回復ポリシー | 利用不可 | 回復エージェントなし | すべての回復エージェントとその公開鍵証明書が削除された状態である。EFSは利用できなくなる |
ローカルコンピュータに定義されたポリシーがあっても，グループポリシーの設定が優先される。
EFSを利用する場合は，ユーザーがファイルを暗号化するまえに回復ポリシーを設定し，回復エージェントを指定しなければならない。
ドメインに対するデフォルトの回復ポリシーを変更する場合には，最初のドメインコントローラに管理者としてログオンし，グループポリシーエディタを利用して［セキュリティの設定］−［公開キーのポリシー］−［暗号化されたデータの回復エージェント］を選択する。
グループポリシーエディタを起動するには，まず，［Active Directoryユーザーとコンピュータ］管理ツールのコンソールツリーでポリシーを変更したいドメインを右クリックし，［プロパティ］を選択する。ドメインのプロパティダイアログボックスから［グループポリシー］パネルを開き，目的のグループポリシーオブジェクトを選択して［編集］ボタンを押すと，グループポリシーエディタが起動する。
また，ドメインに回復エージェントを追加する場合には，［Active Directoryユーザーとコンピュータ］管理ツールからグループポリシーエディタを起動し，［コンピュータの構成］−［Windowsの設定］−［セキュリティ設定］−［公開キーのポリシー］を開く。［暗号化されたデータの回復エージェント］を右クリックし，表示されたメニューから［追加］を選択すると，既存の回復ポリシーに証明書を追加することができる。ドメインに回復エージェントを追加するためには，あらかじめ各回復エージェントにX.509 Version 3証明書を発行しておく必要がある。なお，［暗号化されたデータの回復エージェント］を右クリックしたときに［作成］を選択した場合には，証明書の要求ウィザードが起動する。このウィザードを利用すると，新しい証明書をドメインの証明機関に要求できる。
回復エージェントは，データの復号化を許可された証明書と，それに対応する秘密鍵を保持する。回復エージェントを設定したら，［証明書］管理ツールの［エクスポート］を使用して，回復証明書とそれに関連する秘密鍵をシステム管理者以外のユーザーはアクセスできないサーバー（あるいはオフラインの媒体）などにバックアップし，そのあと元から存在していた回復証明書を削除する。
そして，実際にデータを復号化する必要が生じたときには，［証明書］管理ツールの［インポート］を使用し，バックアップしておいた証明書とそれに関連する秘密鍵を復元する。この段階で，回復エージェントは暗号化されたデータを復号化できるようになる。データを復号化したら，回復証明書を再度削除する。
 |
Chapter 3（前編） 11/22 |  |
