AD域内加密/解密DPAPI-NG API

Question

我需要以特定域用户/组可以在域内不同机器上解密的方式加密一些数据。 例如，UserA 登录到 machineA 并加密一些数据，然后他将数据通过网络传递给 machineB 并解密这些数据。 两台机器当然是同一个域的一部分。

我在MSDN上发现了一些信息，DPAPI-NG API 是专门为解决此类问题而设计的。 我认为他们使用用户凭据哈希或 kerberos 票证或类似的东西作为对称加密密钥，因此不同机器上的加密和解密不需要管理额外的秘密（密钥）。 但事实证明，没有任何魔法。 即使我使用 DPAPI-NG API，我仍然需要管理这些密钥。 这是我想要避免的，因为这会带来一个新的挑战 - 将我的秘密保存在安全的地方......我们在 AD 域中是否有一个简单的加密解密机制，不需要额外的证书或秘密来管理？

PS我考虑使用漫游配置文件，它几乎完全满足我的需求，但唯一的问题是，为了正常工作，它只允许同时登录一个帐户，否则解密不起作用。

我目前在 ASP.Net Core 3.1 控制台应用程序中使用的代码示例 ->

var services = new ServiceCollection();

services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"\\computer_in_domain_share\SHARE\DPAPI_Keys")) // that is what I want to avoid...
    .ProtectKeysWithDpapiNG();