无有效证书时仍可访问EFS加密共享文件的原因与解决方法

该异常现象本质是Windows EFS（加密文件系统）的私钥内存缓存机制导致的，与证书持久化存储的移除逻辑无直接关联：

• 当带对应私钥的域用户EFS证书被导入文件服务器证书存储时，操作系统的lsass.exe（本地安全认证子系统服务）会自动将该私钥加载到进程专属的非分页内存缓存中，用于快速处理EFS解密请求，这个缓存默认不会随证书存储中持久化证书的删除而自动清空。
• 通过PowerShell执行的证书移除操作，仅删除了磁盘上持久化存储的证书与私钥文件，没有触碰lsass.exe内存中留存的私钥副本，服务端处理域外计算机的共享EFS访问请求时，会直接调用内存中缓存的私钥完成文件解密，因此仍能正常打开文件。
• 在文件服务器本地交互式登录对应用户账户时，系统会加载该用户的个人配置文件与证书存储，检测到本地持久化存储中无有效EFS解密证书，会临时将该用户的EFS密钥上下文标记为不可用，此时网络访问请求无法调用缓存密钥，会被直接拒绝；登出该账户后，用户配置文件卸载，临时的不可用标记被清除，内存中留存的私钥缓存重新生效，网络访问恢复正常。
• 服务器重启时lsass.exe进程会被完全重建，内存中的私钥缓存被彻底清空，此时没有可用解密密钥，域外访问自然被拒绝，回到初始状态。

只有同时满足以下所有条件时，才会出现持久化证书已删除但仍可访问加密文件的情况：

• 曾经将带对应私钥的有效EFS证书导入过文件服务器的证书存储（本地计算机存储或对应用户个人存储），且导入时lsass.exe成功将私钥加载到内存缓存。
• 后续仅通过证书管理器、PowerShell等常规方式删除持久化存储中的证书，未主动清空lsass内存中的EFS密钥缓存，且服务器未发生重启。
• 没有触发过该用户EFS密钥上下文重置操作（比如对应用户交互式登录时的密钥有效性校验、手动EFS缓存清理操作）。
• 域外计算机访问时携带的用户身份标识，和内存缓存中私钥对应的用户SID匹配。

• 证书移除后主动清空EFS密钥缓存：删除持久化证书后，执行certutil -key -user确认对应私钥条目已从存储移除，再执行gpupdate /force刷新组策略，最后执行Restart-Service EFS重启EFS服务，可强制清空当前内存中留存的EFS缓存密钥，无需重启整台服务器即可阻断异常访问。
• 禁用EFS私钥内存缓存：通过组策略定位到计算机配置 > 管理模板 > 系统 > 文件系统 > NTFS > EFS路径，启用不将EFS密钥保存在内存中策略项，配置后系统不会在内存中长期留存EFS私钥副本，每次解密请求都会校验本地持久化存储中的有效证书，证书删除后会立即阻断访问。
• 禁止在文件服务器本地存储用户EFS私钥：针对域环境EFS共享场景，不要将域用户的EFS私钥导入文件服务器本地存储，可配合约束委派配置让EFS按需从AD CS拉取用户证书，避免私钥在服务器本地留存产生缓存风险。
• 证书清理操作后同步重置缓存：在执行证书删除类操作后，可通过计划任务触发EFS服务重启，确保内存中无残留私钥。

注意：禁用EFS密钥内存缓存会小幅提升EFS文件访问的性能开销，同时会导致用户访问加密文件时需要频繁读取证书存储，需根据实际业务场景评估后配置。

内容的提问来源于stack exchange，提问作者Przemysław Wasiak