Todo o crédito para Edwin Cruz, da Tek Experts, que recebeu essa pergunta como ingresso depois que me inscrevi para o suporte técnico no Azure, mas para qualquer outra pessoa que tenha esse problema:
No que parece óbvio em retrospecto, o diabo está nas opções - se você seguir a opção padrão de montar o volume de recuperação para restaurar os arquivos que você está tentando quebrar a criptografia que não funciona. Você precisa selecionar restaurar 'Volume' e não 'Arquivos e Pastas Individuais' (veja imagem). Isso oferece opções como preservar as ACLs e o destino, incluindo o destino original, preservando os arquivos existentes. Funciona como um charme diferente de outras ferramentas, projetadas apenas para linux ...