Votre forêt est Windows Server 2016. L'auto-inscription est déjà activée via GPO. Vous devez émettre des certificats de chiffrement utilisateur à l'aide de clés CNG qui prennent en charge l'archivage de clés pour la récupération. Quelles sont les deux configurations requises ?

Pour émettre des certificats de chiffrement utilisateur avec des clés CNG et l'archivage de clés, il faut un modèle de certificat compatible. Dupliquer le modèle d'utilisateur en tant que modèle CNG v3 (Windows Server 2008 ou version ultérieure) est nécessaire car les clés CNG (Cryptography Next Generation) requièrent ce type de modèle pour la flexibilité et la sécurité modernes. L'activation de l'option "Archiver la clé privée de chiffrement du sujet" sur ce modèle indique à l'autorité de certification (CA) de stocker une copie chiffrée de la clé privée de l'utilisateur. Ensuite, pour que l'archivage de clés fonctionne, la CA doit savoir qui peut récupérer ces clés. Émettre un certificat d'agent de récupération de clé (KRA) aux agents désignés et ajouter ce(s) certificat(s) KRA à la configuration d'archivage de clés de la CA est crucial. Cela permet aux agents autorisés de déchiffrer les clés archivées en cas de besoin. Les autres options sont incorrectes car : Un modèle v2 avec des clés CSP héritées ne prendrait pas en charge les clés CNG. Désactiver l'archivage de clés ou s'appuyer uniquement sur les sauvegardes DPAPI ne répondrait pas à l'exigence d'archivage de clés pour la récupération. Désactiver l'auto-inscription n'est pas nécessaire et contredirait l'objectif d'une gestion efficace des certificats.