Su bosque es Windows Server 2016. La inscripción automática ya está habilitada a través de GPO. Debe emitir certificados de cifrado de usuario utilizando claves CNG que admitan el archivado de claves para la recuperación. ¿Qué dos configuraciones son necesarias?

Para emitir certificados de cifrado de usuario con claves CNG que admitan el archivado de claves, primero debe duplicar la plantilla de usuario existente como una plantilla CNG v3 (Windows Server 2008 o posterior). Esta versión de plantilla es necesaria para admitir las propiedades de la clave CNG y la opción de archivado. Dentro de esta nueva plantilla, debe habilitar la opción "Archivar clave privada de cifrado del sujeto" y luego publicarla para que esté disponible para la CA. Además, para que el archivado de claves funcione, la CA debe tener configurados Agentes de Recuperación de Claves (KRA). Esto implica emitir un certificado de Agente de Recuperación de Claves a los oficiales designados y agregar estos certificados KRA a la configuración de archivado de claves de la CA. La opción de crear una plantilla v2 con CSP heredados es incorrecta porque las claves CNG requieren una plantilla v3. Deshabilitar el archivado de claves o confiar en las copias de seguridad de DPAPI no cumpliría con el requisito de archivado de claves. Deshabilitar la inscripción automática de certificados no es necesario ni deseable, ya que la inscripción automática es un método eficiente para la distribución de certificados.