Je forest is Windows Server 2016. Autoenrollment is al ingeschakeld via GPO. Je moet gebruikersversleutelingscertificaten uitgeven met CNG-sleutels die sleutelarchivering ondersteunen voor herstel. Welke twee configuraties zijn vereist?

Om gebruikersversleutelingscertificaten met CNG-sleutels en sleutelarchivering te ondersteunen, zijn twee configuraties essentieel. Ten eerste moet een v3 (Windows Server 2008 of later) certificaatsjabloon worden gemaakt, gebaseerd op de Gebruikerstemplate. Deze sjabloon moet geconfigureerd zijn voor Cryptography Next Generation (CNG) sleutels en de optie 'Archive subject's encryption private key' moet ingeschakeld zijn. Dit zorgt ervoor dat de private sleutel van de gebruiker wordt gearchiveerd bij uitgifte. Ten tweede moet op de Certification Authority (CA) een Key Recovery Agent (KRA) certificaat worden uitgegeven aan aangewezen herstelbeheerders. Deze KRA-certificaten moeten vervolgens worden toegevoegd aan de Key Archival-configuratie van de CA. Dit stelt de CA in staat om de gearchiveerde sleutels te versleutelen met de publieke sleutel van de KRA en later te herstellen. De optie om een v2 sjabloon met legacy CSP-sleutels te maken is incorrect omdat de vereiste CNG-sleutels niet worden ondersteund. Het uitschakelen van sleutelarchivering en vertrouwen op DPAPI-back-ups is incorrect, omdat dit de centrale sleutelarchiveringsfunctionaliteit omzeilt. Het uitschakelen van autoenrollment is ook incorrect, aangezien de vraag aangeeft dat autoenrollment al is ingeschakeld en de oplossing dit moet ondersteunen.