Hai creato un modello di certificato computer per TLS reciproco su server applicativi. I client sono dispositivi Windows 10/11 aggiunti al dominio, ma non si stanno auto-iscrivendo. È necessario abilitare l'iscrizione e l'emissione automatiche senza passaggi manuali. Cosa dovresti configurare? Scegli due azioni.

Per abilitare l'auto-iscrizione dei certificati, sono necessarie due configurazioni principali. Primo, la Group Policy Object (GPO) applicata ai computer client deve essere configurata per consentire l'auto-iscrizione. Questo si fa abilitando l'impostazione 'Certificate Services Client - Auto-Enrollment' e selezionando le opzioni per iscrivere e rinnovare automaticamente i certificati. Senza questa GPO, i client non tenteranno di auto-iscriversi. Secondo, il modello di certificato sul server della Certification Authority (CA) deve essere configurato con le autorizzazioni appropriate. 'Domain Computers' (o un gruppo equivalente) deve avere le autorizzazioni Read, Enroll e Autoenroll sul modello. Inoltre, il modello deve essere pubblicato sulla CA aziendale affinché i client possano vederlo e richiederlo. Le opzioni errate non risolvono il problema: convertire la CA in autonoma non abilita l'auto-iscrizione; 'gpupdate /force' sul server CA non ha alcun impatto sull'iscrizione dei client; 'certutil -pulse' sui client forza un controllo immediato ma non risolve le configurazioni mancanti di GPO o autorizzazioni sul modello.