Benutzer wechseln häufig zwischen gepoolten Workstations in einer AD DS-Domäne und müssen ihre Benutzerzertifikate und privaten Schlüssel automatisch mitnehmen können. Sie verwenden keine Roaming Profiles. Wie sollten Sie die Synchronisierung von Zertifikaten und Anmeldeinformationen über mehrere Maschinen hinweg ermöglichen?

Die Aktivierung der Benutzerrichtlinie 'Certificate Services Client - Credential Roaming' in einem GPO ist die korrekte Methode, um Benutzerzertifikate und private Schlüssel automatisch zwischen verschiedenen Computern in einer AD DS-Domäne zu synchronisieren, ohne Roaming Profiles zu verwenden. Diese Richtlinie nutzt den Credential Roaming Service, der auf Active Directory Certificate Services (AD CS) basiert, um die Zertifikate und Schlüssel sicher in Active Directory zu speichern und bei der Anmeldung auf andere Maschinen zu replizieren. Die Konfiguration von Microsoft Entra ID ist für hybride Umgebungen relevant, aber nicht primär für das Roaming von Zertifikaten innerhalb einer reinen AD DS-Domäne ohne explizite Hybrid-Identitätssynchronisation für diesen Zweck. Roaming User Profiles würden zwar Zertifikate mitnehmen, sind aber laut Aufgabenstellung ausgeschlossen. Schreibberechtigungen für msPKI-Attribute sind für die Verwaltung von Zertifikaten durch Computer nicht für das Benutzer-Roaming vorgesehen. Die AD CS Web Enrollment-Rolle dient der Zertifikatsanforderung über eine Weboberfläche, nicht dem automatischen Roaming von Benutzerzertifikaten und privaten Schlüsseln.