关于组策略下发证书
问题
全部回复
-
你好！
感谢你的提问。
是可以的。您按照以下链接来设置组策略（用户配置-》策略-》Windows设置-》安全设置-》公钥策略 ），并在域用户证书模板上Security窗口中将“AutoEnroll” 勾选即可。
https://4sysops.com/archives/how-to-deploy-certificates-with-group-policy-part-2-configuration/
Please Note: Since the web site is not hosted by Microsoft, the link may change without notice. Microsoft does not guarantee the accuracy of this information.
希望以上信息能帮助到您。如还需帮助，可随时在论坛回复。
Best regards,
Michael
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com -
你好！
自动注册需要使用版本2或版本3证书模板。默认的用户证书模板只是版本1，没有autoenroll，并且其他设置也被禁用。所以您需要复制并新建一个用户证书模板，并且在模板上的安全选项卡中，给domain users勾上read 和 autoenroll 的权限。
这里有一篇关于证书自动注册设置的博客供您参考一下，
https://blogs.technet.microsoft.com/xdot509/2012/10/18/troubleshooting-autoenrollment/
希望以上信息可以帮助到您。
Best regards,
Michael
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com -
您好！
是的，需要新建一个用户证书模板，才会是版本2，自动注册需要模板版本2以上。然后你先测试下手动注册用户证书，在当前用户下是否可以生成。另外证书模板上需要给相应用户添加上自动注册和可读权限，并且去掉邮件名称如下图所示。
在这个组策略设置中启用，用户配置-》策略-》Windows设置-》安全设置-》公钥策略 -》证书服务客户端自动注册， 在客户端上重新gpupdate /force, 并且使用rsop.msc命令确认组策略已经应用上。
另外，您说的是OU中的普通用户是否可以部署配置和管理CA服务器？普通用户不可以，需要至少是CA管理员权限才可以。
所有CA角色均由本地Administrators， Enterprise Admins或Domain Admins的成员分配和修改。在企业CA上，默认情况下，本地管理员，企业管理员和域管理员是CA管理员。默认情况下，只有本地管理员才是独立CA的CA管理员。如果在加入Active Directory域的服务器上安装了独立CA，则域管理员也是CA管理员。
详细信息您可以参照以下链接，
https://social.technet.microsoft.com/wiki/contents/articles/10942.ad-cs-security-guidance.aspx
希望以上信息可以帮助到您。
祝工作愉快！
Best regards,
Michael
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
