Вы создали шаблон компьютерного сертификата для взаимного TLS на серверах приложений. Клиенты — это устройства Windows 10/11, присоединенные к домену, но они не проходят автоматическую регистрацию. Вам необходимо включить автоматическую регистрацию и выдачу без ручных шагов. Что следует настроить? Выберите два действия.

Для автоматической регистрации сертификатов необходимо выполнить два ключевых шага. Во-первых, в групповой политике (GPO), применяемой к клиентским компьютерам, следует включить параметр "Certificate Services Client - Auto-Enrollment" и настроить его на автоматическую регистрацию и обновление сертификатов. Это указывает клиентам на необходимость запроса и управления сертификатами. Во-вторых, в самом шаблоне сертификата необходимо предоставить группе "Domain Computers" (или соответствующей группе, содержащей клиентские компьютеры) разрешения "Read", "Enroll" и "Autoenroll". Также шаблон должен быть опубликован на корпоративном центре сертификации (ЦС), чтобы клиенты могли его обнаружить. Преобразование ЦС в автономный корневой ЦС не требуется и не решит проблему автоматической регистрации. Запуск gpupdate /force на сервере ЦС не инициирует регистрацию клиентов, так как это команда для обновления групповых политик на локальном компьютере. certutil -pulse на клиентах может ускорить процесс после правильной настройки GPO и шаблона, но сам по себе не является решением для включения автоматической регистрации без предварительной настройки.