Je hebt een computersjabloon voor certificaten gemaakt voor wederzijdse TLS op applicatieservers. Clients zijn aan het domein gekoppelde Windows 10/11-apparaten, maar ze schrijven zich niet automatisch in. Je moet automatische inschrijving en uitgifte inschakelen zonder handmatige stappen. Wat moet je configureren? Kies twee acties.

Om automatische inschrijving van certificaten voor domein-gekoppelde computers mogelijk te maken, zijn twee hoofdconfiguraties vereist. Ten eerste moet in een Groepsbeleidsobject (GPO) dat van toepassing is op de doelcomputers, de instelling 'Certificate Services Client - Auto-Enrollment' worden ingeschakeld, inclusief de opties 'Enroll certificates automatically' en 'Renew expired certificates, update pending certificates, and remove revoked certificates'. Dit vertelt de clients dat ze certificaten automatisch moeten aanvragen en beheren. Ten tweede moet op de certificaatsjabloon de groep 'Domain Computers' (of een vergelijkbare groep) de machtigingen 'Lezen', 'Inschrijven' en 'Automatisch inschrijven' krijgen. Vervolgens moet deze sjabloon worden gepubliceerd op de Enterprise CA. Zonder deze machtigingen en publicatie kunnen computers de sjabloon niet vinden of gebruiken. Het converteren van een enterprise CA naar een standalone root CA is niet relevant voor automatische inschrijving. Het uitvoeren van gpupdate /force op de CA-server of certutil -pulse op clients forceert alleen een update van beleid of inschrijving, maar lost de onderliggende configuratieproblemen niet op.