通过 GPO 安装受信任的根证书颁发机构证书

Question

我们在一个域中使用 Win2k8 作为域控制器，该域中的工作站运行 Windows XP。我希望能够通过 GPO 安装我自己生成的新的受信任根证书颁发机构证书。

我创建了一个 GPO，将证书导入到“计算机配置\Windows 设置\安全设置\公钥策略\受信任的根证书颁发机构”中，并将 GPO 分配给一组用户。当我在工作站上执行 gpupdate /force 时，即使我重新启动工作站，我也看不到正在导入的证书。

接下来，我想如果直接在 DC 上创建中间根证书颁发机构并通过 GPO 部署中间根证书颁发机构，也许我可以做得更好。为中间颁发机构生成证书并将其导入到中间证书颁发机构下的同一 GPO 中。

再次运行 gpupdate /force （并重新启动）并检查工作站。在“中间”或“根权限”部分中看不到任何内容。

经过一番谷歌搜索后，设法找到这个 MSI 包Link，通过 GPO 将其安装在两个工作站上，并在工作站上运行 gpupdate /force ，并注意到中间授权证书已安装在工作站上，但根 CA 没有安装。

有谁知道我下一步可以尝试什么？

谢谢。

LE。忘记提及根 CA 位于独立计算机上，而不是域的一部分，我计划将其保持离线状态。

Answer 1

不久前我们也遇到过类似的问题。如果我没记错的话，这对我们有帮助：

1. 计算机配置 > Windows 设置 > 公钥策略 > 双击证书路径验证设置，然后单击存储选项卡。

2. 选中定义这些策略设置复选框。

3. 在“每用户证书存储”下，清除“每用户证书存储”复选框中的允许用户信任的根 CA 用于验证证书和允许用户信任对等信任证书选项。

4. 然后使用 gpupdate /force。

希望这能解决您的问题。