포리스트는 Windows Server 2016입니다. 자동 등록은 GPO를 통해 이미 활성화되어 있습니다. 복구를 위한 키 보관을 지원하는 CNG 키를 사용하여 사용자 암호화 인증서를 발급해야 합니다. 필요한 두 가지 구성은 무엇입니까?

CNG 키를 사용하는 키 보관을 지원하려면 v3(Windows Server 2008 이상) 템플릿이 필요합니다. v2 템플릿은 CNG 키를 지원하지 않습니다. '주체의 암호화 개인 키 보관'을 활성화하면 CA가 사용자의 개인 키를 보관할 수 있습니다. 키 복구 에이전트(KRA) 인증서는 보관된 키를 복구하는 데 사용되므로, CA에서 KRA 인증서를 발급하고 이를 CA의 키 보관 구성에 추가해야 합니다. DPAPI 백업은 키 보관을 대체하지 않으며, 자동 등록을 비활성화하면 사용자 경험이 저하됩니다.