La tua foresta è Windows Server 2016. L'autoenrollment è già abilitato tramite GPO. Devi rilasciare certificati di crittografia utente utilizzando chiavi CNG che supportano l'archiviazione delle chiavi per il ripristero. Quali due configurazioni sono richieste?

Per archiviare le chiavi private degli utenti, sono necessarie due configurazioni principali. Innanzitutto, devi creare un modello di certificato che supporti l'archiviazione delle chiavi. Duplicare il modello utente esistente come modello CNG v3 (Windows Server 2008 o successivo) è corretto perché i modelli v3 supportano le chiavi CNG e l'opzione "Archive subject's encryption private key" è fondamentale per abilitare l'archiviazione. Dopo aver configurato e pubblicato il modello, gli utenti possono richiedere certificati con chiavi archiviabili. In secondo luogo, per poter recuperare le chiavi archiviate, la Certification Authority (CA) deve essere configurata per l'archiviazione delle chiavi. Questo si ottiene rilasciando un certificato Key Recovery Agent (KRA) agli addetti al ripristino designati e aggiungendo questi certificati KRA alla configurazione di Key Archival della CA. Senza i certificati KRA configurati sulla CA, le chiavi non possono essere recuperate, anche se sono state archiviate. Le opzioni errate sono tali perché: Creare un modello v2 con CSP legacy non supporta le chiavi CNG moderne. Disabilitare l'archiviazione delle chiavi sulla CA impedirebbe l'archiviazione e il ripristino. Disabilitare l'autoenrollment non è correlato all'archiviazione delle chiavi e renderebbe il processo manuale e inefficiente.