Eu tenho um modelo de certificado (registrado automaticamente) que deve exigir a aprovação do gerente.
Para conseguir isso, marquei a caixa de seleção de aprovação do gerenciador de certificados da CA na guia Requisitos de emissão .
O computador faz o registro automático e o certificado é colocado na fila Pendente na autoridade de certificação.
Meu desejo é que, uma vez que o certificado pendente tenha sido aprovado manualmente, os certificados sejam renovados ou atualizados se a versão principal do modelo for incrementada, sem a aprovação do gerente. Mas não consigo fazer isso funcionar.
Quando incremento a versão principal do certificado, a solicitação nunca é emitida automaticamente, mas novamente colocada na fila Pendente para emissão manual.
Tentei alterar os mesmos critérios de inscrição para Certificado existente válido, mas isso não mudou nada.
Para acelerar minha solução de problemas, costumava certutil -pulseiniciar o processo de inscrição automática no computador solicitante.
Editar:
A política de inscrição automática no servidor afetado:
Abri um caso de suporte com a Microsoft em nome do OP (TrackingID#2201120040008993) sobre o problema. Como apontei nos comentários, a configuração do OP está correta e consegui reproduzir no meu ambiente. O ticket de suporte é aberto no protocolo [MS-WCCE], especificação §3.2.1.4.2.1.4.2.2 .
O suporte da Microsoft conseguiu confirmar o problema. Investigações posteriores descobriram que a CA da Microsoft implementa o requisito [MS-WCCE] §3.2.2.6.2.1.4.5.7 para ignorar o
CT_FLAG_PEND_ALL_REQUESTSsinalizador quandoCT_FLAG_PREVIOUS_APPROVAL_VALIDATE_REENROLLMENTcorretamente. No entanto, uma investigação mais aprofundada descobriu que a Microsoft CA em uma das rotinas de processamento de solicitações internas falha comBad Renewal Nameas tentativas de vincular o nome UPN do solicitante ao armazenado no Active Directory. No entanto, como é um modelo de computador, o UPN não está disponível (daí o erro) e os procedimentos de renovação são abortados e os procedimentos de solicitação inicial executados: solicitação colocada em solicitações pendentes. E essa condição de ligação UPN não está documentada em nenhum lugar.Configurei o mesmo cenário para o modelo de usuário (que anota o UPN no certificado) e funcionou bem: solicitação inicial foi colocada em solicitações pendentes, renovação renovada automaticamente e emitido o certificado.
No estado atual, a opção "certificado existente válido" funciona apenas para modelos de usuário e não funciona para modelos de computador. Não há solução disponível.
Estou continuando as conversas com o Suporte da Microsoft e atualizarei esta resposta quando novas informações estiverem disponíveis.
HTH