Sua floresta é Windows Server 2016. O registro automático (autoenrollment) já está habilitado via GPO. Você deve emitir certificados de criptografia de usuário usando chaves CNG que suportam arquivamento de chaves para recuperação. Quais duas configurações são necessárias?

Para emitir certificados de criptografia de usuário com chaves CNG que suportam arquivamento para recuperação, você precisa de duas configurações principais. Primeiro, duplique um modelo de certificado de usuário existente para criar um novo modelo v3 (compatível com Windows Server 2008 ou posterior), pois os modelos v3 suportam chaves CNG. Neste novo modelo, habilite a opção "Archive subject's encryption private key" para garantir que a chave privada seja arquivada. Em seguida, publique este modelo para que a CA possa emiti-lo. Segundo, para que o arquivamento de chaves funcione, a Autoridade de Certificação (CA) precisa de um ou mais certificados de Agente de Recuperação de Chaves (KRA). Emita esses certificados para os oficiais de recuperação designados e configure a CA para usá-los no processo de arquivamento. A opção de criar um modelo v2 com chaves CSP legadas está incorreta porque o requisito especifica chaves CNG. Desabilitar o arquivamento ou o registro automático não atende ao requisito de arquivamento de chaves para recuperação.