既然我拥有私有 CA，我该如何为我的 Active Directory 成员重新颁发机器证书？

Question

所以我有一个有效的 Active Directory。我最近添加了一台新机器来充当 Active Directory 证书颁发机构。

我已根据此文档为自动证书注册添加了组策略（计算机级别）。并验证我的 CA 出现在我所有域成员的受信任根证书中。

我已导出 CA 的根证书并将其添加到我的工作站（计算机）受信任的根 CA 列表中。

当我想远程桌面进入我的远程服务器时，它仍然弹出这样的警告：

当我查看证书时，很明显正在发送的证书是默认的机器自签名证书。如何让 Windows 根据我的新受信任根 CA 重新颁发机器证书？我猜我需要为某处的机器证书创建一个自动批准策略，可能对谁/如何提出此类请求有一些限制。然后我猜我需要推送一个域策略，以某种方式指示我的所有域成员获取他们的机器证书。

这对任何人来说听起来都很熟悉吗？我认为我找不到关于此的文档的原因是因为我不知道正确的术语。

Answer 1

您需要在工作站上注册机器证书。您可以通过组策略设置自动注册，也可以导航到 CA 上的证书注册网站（https://yourCA/certenroll并手动
注册。自动注册在计算机配置 -> 策略 -> Windows 设置 -> 安全设置 ->公钥策略。

编辑获得可用于“客户端身份验证”的证书后，您需要设置 RDP 以使用该证书。按照WMI 脚本此处的说明执行此操作。