Os usuários frequentemente se movem entre estações de trabalho em pool em um domínio AD DS e precisam que seus certificados de usuário e chaves privadas os sigam automaticamente. Você não usa perfis móveis. Como você deve habilitar a sincronização de certificados e credenciais entre as máquinas?

A política de usuário 'Certificate Services Client - Credential Roaming' (Cliente de Serviços de Certificados - Roaming de Credenciais) em um GPO é a solução correta porque ela permite que certificados de usuário e chaves privadas sejam armazenados no Active Directory e sincronizados automaticamente com qualquer máquina à qual o usuário faça logon. Isso é ideal para ambientes com estações de trabalho em pool, onde os usuários não têm um perfil fixo. Configurar o Microsoft Entra ID para sincronizar certificados de usuário com dispositivos locais não é a abordagem correta, pois a questão se refere a um domínio AD DS local e não envolve diretamente o Entra ID para este tipo de roaming de certificados. Habilitar Perfis de Usuário Móveis não é a resposta, pois a questão afirma explicitamente que você não os usa. Conceder permissões de gravação a Domain Computers para os atributos msPKI não é o método padrão ou seguro para habilitar o roaming de certificados. Implantar a função AD CS Web Enrollment não fornece o roaming de certificados; ela serve para solicitar e gerenciar certificados via interface web.