Gebruikers wisselen regelmatig tussen gepoolde werkstations in een AD DS-domein en willen dat hun gebruikerscertificaten en privésleutels hen automatisch volgen. U gebruikt geen roaming profiles. Hoe schakelt u certificaat- en referentie-synchronisatie tussen machines in?

De juiste methode is het inschakelen van het gebruikersbeleid 'Certificate Services Client - Credential Roaming' via een Groepsbeleidsobject (GPO). Dit beleid zorgt ervoor dat gebruikerscertificaten en hun bijbehorende privésleutels automatisch worden gesynchroniseerd tussen verschillende machines binnen een Active Directory Domain Services (AD DS)-omgeving, zonder dat roaming profiles nodig zijn. Dit is essentieel voor gebruikers die van werkstation wisselen en toch toegang moeten hebben tot hun certificaten voor authenticatie of versleuteling. Het configureren van Microsoft Entra ID voor synchronisatie met on-premises apparaten is niet de primaire methode voor on-premises AD DS-roaming van certificaten. Het inschakelen van Roaming User Profiles is een optie, maar de vraag stelt expliciet dat deze niet worden gebruikt. Schrijfrechten verlenen aan Domain Computers op msPKI-attributen is onjuist en een beveiligingsrisico. Het implementeren van de AD CS Web Enrollment-rol is voor het aanvragen van certificaten, niet voor het roamen ervan.