Пользователи часто переходят между объединенными рабочими станциями в домене AD DS, и им необходимо, чтобы их пользовательские сертификаты и закрытые ключи автоматически следовали за ними. Вы не используете перемещаемые профили. Как следует включить синхронизацию сертификатов и учетных данных между машинами?

Правильный ответ — включить пользовательскую политику 'Certificate Services Client - Credential Roaming' в GPO, настроить целевые группы пользователей и связать ее с OU, содержащим этих пользователей. Эта политика предназначена для автоматической синхронизации пользовательских сертификатов и закрытых ключей между устройствами в домене AD DS, что позволяет пользователям получать доступ к своим сертификатам независимо от используемой рабочей станции. Настройка Microsoft Entra ID для синхронизации сертификатов не подходит, так как вопрос касается локального домена AD DS. Включение перемещаемых профилей пользователей не является решением, поскольку вопрос явно указывает, что они не используются, и даже при их использовании сертификаты и ключи могут не перемещаться должным образом без дополнительных настроек. Предоставление компьютерам домена разрешений на запись для атрибутов msPKI объектов пользователей не является стандартным или безопасным способом управления перемещением сертификатов. Развертывание роли AD CS Web Enrollment предназначено для запроса и управления сертификатами через веб-интерфейс, а не для автоматической синхронизации существующих сертификатов и ключей между устройствами.