组策略实现用户和计算机自动申请注册证书

（1）首先，需要拥有一个域环境，并安装一台证书服务器

（2）在域控上配置相关组策略

用户情况：

1. 在 "组策略对象"中，单击"浏览 "。 " 浏览对象组策略对话框 随即打开。

2. 在 "域、OUS 和链接组策略对象"中，单击 "默认 域策略"，然后单击"确定 "。

3. 单击“完成”，然后单击“确定”。

4. 双击"默认 域策略"。 在控制台中，展开以下路径：用户配置、策略、Windows 设置、设置。

5. 单击 "公钥策略"。 在细节窗格中，双击“证书服务客户端 - 自动注册”。 此时将打开“ 属性”对话框。 配置以下项，然后单击"确定 "：

   1. 在“配置模式”中，选择“已启用”。
   2. 选中" 续订过期证书、更新挂起的证书并删除吊销的证书 "复选框。
   3. 选中更新使用证书模板的证书复选框。

6. 单击 “确定” 。

 计算机情况：

1. 在 "组策略对象"中，单击"浏览 "。 " 浏览对象组策略对话框 随即打开。

2. 在 "域、OUS 和链接组策略对象"中，单击 "默认 域策略"，然后单击"确定 "。

3. 单击“完成”，然后单击“确定”。

4. 双击"默认 域策略"。 在控制台中，展开以下路径：计算机配置、策略、Windows 设置、设置和公钥策略。

5. 单击 "公钥策略"。 在细节窗格中，双击“证书服务客户端 - 自动注册”。 此时将打开“ 属性”对话框。 配置以下项，然后单击"确定 "：

   1. 在“配置模式”中，选择“已启用”。
   2. 选中" 续订过期证书、更新挂起的证书并删除吊销的证书 "复选框。
   3. 选中更新使用证书模板的证书复选框。

6. 单击 “确定” 。

• 注意要成功应用上，可以在客户机使用rsop.msc等确认，gpupdate /force更新加快速度

• （3） 配置证书服务器的证书模板

• 

• 右键证书模板，选择管理，打开证书模板控制台

• 

   选择分别用户和计算机模板。复制，将名称修改成autouser、autocomputer等方便记忆的名称

• 

   勾选在AD中发布证书

• 

• 在安全选项卡中，为要应用的用户或者组修改权限，需要勾选读取、注册、自动注册

• (4)颁发证书模板

• 

  证书模板——新建——要颁发的证书模板，将复制好的模板autouser,autocomputer等颁发

  （5）客户端自动注册

  客户端使用gpupdate /force命令更新组策略

  不出意外的话，证书服务器就能查看到成功颁发的证书了

  

  常见错误

  （1）这个CA不支持请求的证书模板

  证书服务器显示：

  

  客户端事件显示：

  

  之所以发生此行为，是因为从模板的访问控制列表中删除了经过身份验证的用户组 (ACL) 。 默认情况下，经过身份验证的用户组位于模板 ACL 上。 (CA 本身包含在此组中。) 如果删除了“经过身份验证的用户”组，则 (企业) CA 本身将无法再读取 Active Directory 中的模板，这就是证书请求可能不成功的原因。

  如果管理员想要删除经过身份验证的用户组，则必须将每个 CA 的计算机帐户添加到模板 ACL 并设置为“读取”。（解释来自microsoft learn）

• 翻译过来就是没添加或者删除了这条

  

  （2）DNS名不可用或电子邮件不可用

  服务器显示：

  

   客户端显示：

  其实就是因为缺少相对应的信息，所以无法申请成功，可以选择在用户信息相关处补充填写，或者直接在模板中删除DNS名选项

•  

• 如何导出并使用证书

  为了方便将证书导出到自己熟悉的路径，可以cmd打开控制台

   文件，添加或删除管理单元

   选择证书，添加，然后选择要导出证书的账户

  

• 然后选择本地计算机，确定；然后打开证书单元——个人——证书

  右键要导出的证书，选择所有任务——导出，然后存储到需要的位置

  

  然后就可以将证书应用到网站或者VPN等地方了。