域计算机是否信任来自域 CA 的证书

Question

我已经对此进行了调查，但无法找到我的问题的明确答案。我之前从未在活动目录中使用过证书服务，因此不确定其可能的用途/实现。

快速背景：我们希望建立一个带有网关服务器的远程桌面场，以允许远程用户在没有 VPN 的情况下连接到场。为了让用户连接，我们需要为网关服务器安装可信证书。

在我的测试环境中，我使用了自签名证书并手动安装到受信任的根证书颁发机构，效果很好！这意味着我们安装此证书的任何设备都可以连接。

显然，我们不想手动执行此操作，因此我认为最好的方法是从 VeriSign 之类的人那里购买证书。我想到了 AD 中的证书服务，并想知道我们是否可以使用内部认证机构简单地创建我们自己的证书。

基本上我的问题归结为：加入域的计算机是否会自动信任同一域上的 CA 颁发的证书，还是仍然需要在每个客户端设备上手动安装？无论如何，我们可以使用 Windows Server 的此功能为我们节省一些证书费用吗？

Answer 1

基本上我的问题归结为：加入域的计算机是否会自动信任同一域上的 CA 颁发的证书，还是仍然需要在每个客户端设备上手动安装？

通常，内部 PKI 的根证书通过 GPO 分发给所有客户端。这使它“自动”