Ihre Gesamtstruktur ist Windows Server 2016. Die automatische Registrierung ist bereits über GPO aktiviert. Sie müssen Benutzerverschlüsselungszertifikate mit CNG-Schlüsseln ausstellen, die die Schlüsselarchivierung zur Wiederherstellung unterstützen. Welche zwei Konfigurationen sind erforderlich?

Um Benutzerverschlüsselungszertifikate mit CNG-Schlüsseln und Schlüsselarchivierung zu unterstützen, müssen Sie eine Zertifikatvorlage konfigurieren, die diese Funktionen ermöglicht, und die Schlüsselarchivierung auf der Zertifizierungsstelle (CA) einrichten. Das Duplizieren der Benutzervorlage als v3 (Windows Server 2008 oder höher) CNG-Vorlage und das Aktivieren von „Privaten Verschlüsselungsschlüssel des Antragstellers archivieren“ ist korrekt, da v3-Vorlagen CNG-Schlüssel unterstützen und die Archivierungsoption für die Wiederherstellung erforderlich ist. Das Ausstellen eines Key Recovery Agent (KRA)-Zertifikats und das Hinzufügen der KRA-Zertifikate zur Schlüsselarchivierungskonfiguration der CA ist ebenfalls korrekt. KRAs sind für die Entschlüsselung archivierter Schlüssel zuständig. Die Option, eine v2-Vorlage mit Legacy-CSP-Schlüsseln zu erstellen, ist falsch, da CNG-Schlüssel angefordert werden, die von v2-Vorlagen nicht nativ unterstützt werden. Das Deaktivieren der Schlüsselarchivierung oder der automatischen Registrierung würde die Anforderungen nicht erfüllen.