Twój las to Windows Server 2016. Autoenrollment jest już włączone za pośrednictwem GPO. Musisz wystawić użytkownikom certyfikaty szyfrujące, używając kluczy CNG, które obsługują archiwizację kluczy w celu odzyskiwania. Jakie dwie konfiguracje są wymagane?

Aby wystawić certyfikaty szyfrujące z kluczami CNG i obsługą archiwizacji kluczy, musisz spełnić dwa kluczowe warunki. Po pierwsze, należy zduplikować istniejący szablon użytkownika, tworząc nowy szablon w wersji 3 (Windows Server 2008 lub nowszy), który obsługuje klucze CNG (Cryptography Next Generation). W tym szablonie konieczne jest włączenie opcji „Archive subject's encryption private key” (Archiwizuj prywatny klucz szyfrowania podmiotu), a następnie opublikowanie go, aby był dostępny dla urzędu certyfikacji. Po drugie, na urzędzie certyfikacji (CA) należy wystawić certyfikat Key Recovery Agent (KRA) wyznaczonym oficerom odzyskiwania. Certyfikaty KRA są niezbędne do odszyfrowywania zarchiwizowanych kluczy prywatnych. Następnie te certyfikaty KRA muszą zostać dodane do konfiguracji archiwizacji kluczy urzędu certyfikacji. Pierwsza niepoprawna opcja (szablon wersji 2 ze starszymi kluczami CSP) jest błędna, ponieważ klucze CNG wymagają szablonów w wersji 3 lub nowszej. Opcja wyłączenia archiwizacji kluczy na CA jest sprzeczna z wymaganiem archiwizacji kluczy. Wyłączenie automatycznego rejestrowania certyfikatów użytkowników nie jest wymagane do archiwizacji kluczy i utrudnia zarządzanie.