Sie haben eine Computerzertifikatvorlage für gegenseitiges TLS auf Anwendungsservern erstellt. Clients sind in die Domäne eingebundene Windows 10/11-Geräte, aber sie werden nicht automatisch registriert. Sie müssen die automatische Registrierung und Ausstellung ohne manuelle Schritte aktivieren. Was sollten Sie konfigurieren? Wählen Sie zwei Aktionen aus.

Um die automatische Registrierung für Computerzertifikate zu ermöglichen, sind zwei Hauptschritte erforderlich. Erstens müssen Sie in einem Gruppenrichtlinienobjekt (GPO), das auf die Clientcomputer angewendet wird, die Richtlinie "Zertifikatdienste-Client – Automatische Registrierung" aktivieren und die Optionen für die automatische Registrierung und Erneuerung konfigurieren. Dies weist die Clients an, Zertifikate automatisch anzufordern. Zweitens müssen Sie auf der Zertifikatvorlage die entsprechenden Berechtigungen (Lesen, Registrieren, Automatisch registrieren) für die Gruppe "Domänencomputer" (oder eine spezifischere Gruppe) erteilen und die Vorlage auf der Unternehmens-CA veröffentlichen. Ohne diese Berechtigungen und die Veröffentlichung kann die CA die Anfragen der Clients nicht bearbeiten. Die Umwandlung der CA in eine eigenständige Stamm-CA würde die automatische Registrierung nicht ermöglichen, da diese Funktion eine Unternehmens-CA erfordert. Das Ausführen von gpupdate /force auf dem CA-Server ist irrelevant für Client-Registrierungen, und certutil -pulse auf Clients würde nur die Überprüfung auslösen, ohne die zugrunde liegenden Konfigurationsprobleme zu beheben.