Windows CA Recovery Agent

Um Private Keys für Zertifikate einer Windows CA wiederherstellen zu können, muss der Recovery Agent konfiguriert werden.

1. Vorlage "Key Recovery Agent" aktivieren
2. als (Domain)Admin ein Zertifikat mit dem Template "Key Recovery Agent" erstellen
3. ggf. Zertifikat von CA genehmigen
4. Zertifikat von CA exportieren und auf Server von dem beantragt wurde importieren - der Private Key des Zertifikates sollte dabei automatisch mit importiert werden
5. Eigenschaften der CA bearbeiten und Recovery Agent aktivieren - Zertifikate zum wiederherstellen auswählen

Nun müssen die Vorlagen entsprechend angepasst werden, dass diese den Key Archivieren.

Die Wiederherstellung eines Archivierten Keys funktioniert wie folgt:

1. Seriennummer des Zertifikates kopieren
2. Certutil -getkey <seriennummer> recoveryblob
3. Certutil -recoverkey recoveryblob <dateiname>.pfx --> dieser Schritt funktioniert nur auf Servern auf denen das Recovery Agent Zertifikat mit Private Key installiert ist.