Wie lassen sich DPAPI-geschützte Daten bei der Windows-Profilmigration migrieren?

CopyRight2 enthält jetzt eine Migrate DPAPI-Option für Computer- und Profilmigrationsjobs. Diese Funktion hilft dabei, den Zugriff auf DPAPI-geschützte Daten zu erhalten, indem die DPAPI-Master-Keys des Benutzers mit dem Kennwort aus der Quelldomäne entschlüsselt und nach der Migration für das Zielbenutzerkonto neu verschlüsselt werden.

Wenn Unternehmen Computer oder Benutzerprofile in eine neue Windows-Domäne migrieren, können viele sichtbare Einstellungen und Dateien erfolgreich übertragen werden, während einige benutzergeschützte Daten weiterhin an das ursprüngliche Konto gebunden bleiben. Ein häufiger Grund dafür ist die Windows Data Protection API, kurz DPAPI, die von Anwendungen verwendet wird, um sensible Benutzerdaten mit Schlüsseln zu schützen, die mit dem Windows-Profil und den Anmeldeinformationen des Benutzers verknüpft sind.

Warum DPAPI während einer Migration wichtig ist

DPAPI wird von Windows und vielen Anwendungen verwendet, um benutzerspezifische Geheimnisse und verschlüsselte Daten zu schützen. Während einer Domänen- oder Profilmigration können diese geschützten Daten weiterhin von Schlüsseln abhängig sein, die unter dem Benutzerkonto der Quelldomäne erstellt wurden.

Wenn diese Schlüssel nicht korrekt migriert werden, können Benutzer feststellen, dass bestimmte gespeicherte Anmeldeinformationen oder geschützte Elemente nach der Migration nicht mehr verfügbar sind, obwohl ihr Profil und ihre Dateien übertragen wurden.

Die Migrate DPAPI-Option wurde entwickelt, um diese Migrationslücke für Daten zu schließen, die durch Windows DPAPI geschützt werden, darunter:

• In Browsern gespeicherte Kennwörter für Chrome, Edge und Internet Explorer

• Gespeicherte Remote Desktop Protocol-Anmeldeinformationen

• Benutzerzertifikate und die dazugehörigen privaten Schlüssel

• Durch Drittanbieteranwendungen über DPAPI verschlüsselte Daten

Wie die Migrate DPAPI-Option funktioniert

Administratoren können Migrate DPAPI als Teil eines CopyRight2 Computer- oder Profilmigrationsjobs aktivieren.

Wenn die Option aktiviert ist, installiert CopyRight2 ein zusätzliches Programm auf dem Client-Computer. Dieses Programm wird ausgeführt, wenn sich der Benutzer zum ersten Mal mit dem migrierten Profil in der Zielumgebung anmeldet.

Bei der ersten Anmeldung wird der Benutzer aufgefordert, das Kennwort einzugeben, das er in der Quelldomäne verwendet hat. Das korrekte Kennwort aus der Quelldomäne ist erforderlich, um die vorhandenen DPAPI-Master-Keys des Benutzers zu entschlüsseln. CopyRight2 verwendet dieses Kennwort anschließend, um die DPAPI-Master-Keys des Benutzers zu entschlüsseln und für das Zielbenutzerkonto neu zu verschlüsseln. Wenn auch die CopyRight2-Kennwortmigration verwendet wurde, kann dies dasselbe Kennwort sein, das der Benutzer nach der Migration bereits verwendet.

Was Benutzer sehen

Aus Sicht des Endbenutzers erfolgt der Vorgang nach der Migration bei der ersten Anmeldung mit dem migrierten Profil. Der Benutzer sieht eine Eingabeaufforderung, in der das Kennwort aus der Quelldomäne abgefragt wird.

Nachdem das korrekte Kennwort aus der Quelldomäne eingegeben wurde, werden die DPAPI-Master-Keys entschlüsselt und für das Zielkonto neu verschlüsselt. Wenn das Kennwort falsch oder nicht verfügbar ist, können diese Schlüssel über diese Eingabeaufforderung nicht migriert werden, und betroffene DPAPI-geschützte Daten bleiben möglicherweise unzugänglich.

Bei erfolgreichem Abschluss hilft dieser Vorgang dabei, den Zugriff auf DPAPI-geschützte Elemente zu erhalten, auf die Anwendungen angewiesen sind, etwa gespeicherte Browser-Kennwörter, gespeicherte RDP-Anmeldeinformationen, private Schlüssel von Benutzerzertifikaten und andere DPAPI-geschützte Anwendungsdaten.

Für Administratoren entsteht dadurch ein klarerer Migrationsablauf: Die Option wird im Migrationsjob aktiviert, Benutzer werden auf die Kennwortabfrage bei der ersten Anmeldung vorbereitet, und das Risiko wird reduziert, dass DPAPI-geschützte Daten nach der Migration nicht mehr zugänglich sind.

Planungshinweise für Administratoren

Die neue Option ist besonders relevant für Migrationen, bei denen Benutzer auf gespeicherte Anmeldeinformationen, Zertifikate, Browser-Kennwortspeicher oder Anwendungen angewiesen sind, die lokale Benutzerdaten über DPAPI schützen.

Bevor die Option breit eingesetzt wird, sollten Administratoren sie in die Migrationsplanung und Benutzerkommunikation aufnehmen, damit Benutzer wissen, welches Kennwort bei der ersten Anmeldung benötigt wird. Dies ist besonders wichtig, wenn sich das Kennwort in der Quelldomäne vom Kennwort in der Zieldomäne unterscheidet.

Eine vollständigere Benutzerprofilmigration

Die Migrate DPAPI-Option erweitert die Computer- und Profilmigrationsabläufe von CopyRight2, indem sie einen bestimmten, aber wichtigen Teil des Windows-Benutzerprofils berücksichtigt: DPAPI-geschützte Daten.

Für Unternehmen, die Domänenmigrationen, Workstation-Erneuerungen oder Profilmigrationen planen, kann dies Unterbrechungen nach der Migration reduzieren, wenn es um gespeicherte Anmeldeinformationen, Zertifikate und anwendungsgeschützte Daten geht, die Benutzer weiterhin verwenden möchten.