Ваш лес — Windows Server 2016. Автоматическая регистрация уже включена через GPO. Вам необходимо выпустить пользовательские сертификаты шифрования с использованием ключей CNG, которые поддерживают архивацию ключей для восстановления. Какие две конфигурации требуются?

Для выпуска сертификатов шифрования с ключами CNG и поддержкой архивации ключей необходимо выполнить два основных шага. Во-первых, нужно дублировать существующий шаблон пользователя, создав шаблон CNG v3 (Windows Server 2008 или более поздней версии), включить в нем опцию "Archive subject's encryption private key" и опубликовать его. Это позволит использовать современные криптографические алгоритмы и обеспечит возможность архивации закрытых ключей. Во-вторых, на Центре сертификации (ЦС) необходимо выдать сертификат Key Recovery Agent (KRA) назначенным сотрудникам по восстановлению и добавить эти сертификаты KRA в конфигурацию Key Archival ЦС. Это позволит ЦС шифровать закрытые ключи пользователей с помощью открытого ключа KRA и сохранять их для последующего восстановления. Неправильные варианты: Создание шаблона v2 с устаревшими ключами CSP не позволит использовать ключи CNG. Отключение архивации ключей или использование резервных копий DPAPI не соответствует требованию архивации ключей для восстановления через ЦС. Отключение автоматической регистрации не является решением для обеспечения архивации ключей.