Gli utenti si spostano frequentemente tra workstation in pool in un dominio AD DS e hanno bisogno che i loro certificati utente e le chiavi private li seguano automaticamente. Non si utilizzano profili mobili. Come si dovrebbe abilitare la sincronizzazione di certificati e credenziali tra le macchine?

L'opzione corretta abilita il roaming delle credenziali tramite una Group Policy (GPO), che è il metodo standard e più efficace in un ambiente Active Directory Domain Services (AD DS) per consentire a certificati e chiavi private di seguire gli utenti tra diverse workstation. Questa policy specifica è progettata per sincronizzare i certificati utente e le chiavi private con Active Directory, rendendoli disponibili su qualsiasi macchina a cui l'utente acceda. Le altre opzioni sono errate perché: Configurare Microsoft Entra ID per sincronizzare i certificati utente con i dispositivi on-premises non è la soluzione appropriata per un ambiente AD DS puro e non garantisce il roaming delle chiavi private. Abilitare i profili utente mobili è esplicitamente escluso dalla premessa della domanda e, sebbene sposti alcuni dati, non è il meccanismo primario per il roaming sicuro dei certificati e delle chiavi private. Concedere ai Domain Computers i permessi di scrittura sugli attributi msPKI degli oggetti utente è un approccio non standard e potenzialmente insicuro, non direttamente correlato al roaming delle credenziali utente. Distribuire il ruolo AD CS Web Enrollment serve per la richiesta e il rinnovo dei certificati tramite un'interfaccia web, non per il roaming automatico dei certificati e delle chiavi private tra le macchine.