フォレストはWindows Server 2016です。自動登録はGPO経由ですでに有効になっています。回復のためにキーアーカイブをサポートするCNGキーを使用して、ユーザー暗号化証明書を発行する必要があります。必要な2つの構成は何ですか？

ユーザー暗号化証明書でキーアーカイブをサポートするには、まず証明書テンプレートを適切に構成する必要があります。CNGキーを使用し、キーアーカイブを有効にするには、既存のv2テンプレートをv3（Windows Server 2008以降）CNGテンプレートとして複製し、「Archive subject's encryption private key」オプションを有効にして公開します。これにより、証明書が発行される際に秘密キーがCAにアーカイブされます。次に、アーカイブされたキーを回復できるように、キー回復エージェント（KRA）を設定する必要があります。これには、指定された回復担当者にKey Recovery Agent証明書を発行し、そのKRA証明書をCAのキーアーカイブ構成に追加する作業が含まれます。 レガシーCSPキーを使用するv2テンプレートはCNGキーをサポートしません。キーアーカイブを無効にしたり、自動登録を無効にしたりするオプションは、要件を満たしません。