您的林是 Windows Server 2016。已通过 GPO 启用自动注册。您必须使用支持密钥存档以进行恢复的 CNG 密钥颁发用户加密证书。需要哪两项配置？

要支持 CNG 密钥存档以进行恢复，需要执行两个关键步骤。首先，您必须复制一个 v3（Windows Server 2008 或更高版本）用户模板，因为只有 v3 模板支持 CNG 密钥。在此模板中，启用“存档主题的加密私钥”选项，然后发布该模板。旧版 CSP 密钥不兼容 CNG，因此使用旧版 CSP 密钥创建 v2 模板是错误的。其次，您需要在证书颁发机构 (CA) 上配置密钥恢复代理 (KRA)。这涉及向指定的恢复官员颁发 KRA 证书，并将此 KRA 证书添加到 CA 的密钥存档配置中。禁用密钥存档或依赖 DPAPI 备份无法满足 CNG 密钥存档的要求，禁用自动注册也与题目要求不符。