Boden Asked: 2015-01-06 09:46:23 +0800 CST2015-01-06 09:46:23 +0800 CST 2015-01-06 09:46:23 +0800 CST DirectAccess 客户端是否会在异地续订工作站证书？ 772 我在将近一年前设置了 MS DirectAccess，这需要配置计算机证书自动注册。第一个计算机证书将在大约一个月后到期，现在我想知道这对于从未本地连接到域的计算机将如何工作。 自动注册策略包括自动续订。所以我的问题是，什么时候更新？如果证书过期，那么在我看来，DA 连接将停止工作，并且无法进行续订。 抱歉，我对 Windows（或任何地方）证书的了解非常有限。谢谢 windows 3 个回答 Voted Crypt32 2015-01-06T10:23:45+08:002015-01-06T10:23:45+08:00 1) 证书更新将在证书到期前的证书模板中指定的时间范围内触发。如果失败，自动注册客户端将尝试定期更新证书。 在给定的示例中，自动注册将在证书到期前 6 周首次尝试更新证书。 2) 为了更新证书，客户端必须能够通过 RPC/DCOM 连接域控制器和 CA 服务器。 3) 确保客户端是否对目标证书模板具有读取、注册和自动注册权限。 Best Answer mfinni 2015-01-06T10:24:06+08:002015-01-06T10:24:06+08:00 根据定义，DA 机器连接到域。他们得到他们的 GPO 和所有其他东西，就好像他们在现场一样。 只要您有足够长的百分比时间自动续订，人们不会被锁定（长于周末或计划的公司停机时间），您应该很好。这是相关 GPO 设置的屏幕截图。 http://1.bp.blogspot.com/-IpzPPsHHQ14/UfLwHEeJE_I/AAAAAAAAASg/qUYAP3GRxtA/s1600/Auto+Enrollment.png /编辑 - 啊哈。我正在查看的 PKI 没有显示此内容，但我在网上找到了它。这是还必须设置的证书模板部分：续订期，在常规选项卡上。上述 GPO 设置可能与自动注册和续订的目的无关。 如果您当前的证书是从没有此设置所需值的模板构建的，您将需要编辑或制作新模板并重新颁发证书，但 DA 证书默认值应该是相当合理的。 http://i.technet.microsoft.com/dynimg/IC195087.gif AndrePKI 2016-04-21T03:00:40+08:002016-04-21T03:00:40+08:00 所以，你的设置是正确的。但是，您的客户通过什么触发来验证证书是否在其续订期内（如上所示，距到期不到 6 周）？这是登录后每八小时运行一次的计划任务。请参阅任务调度程序，Microsoft\Windows\CertificateServicesClient\UserTask。在操作下，您将看到自定义处理程序，您无法从中获得更多详细信息。dimsjob.dll从输出中可以看出，运行的是什么schtasks /query /XML /TN "\Microsoft\Windows\CertificateServicesClient\UserTask"
1) 证书更新将在证书到期前的证书模板中指定的时间范围内触发。如果失败，自动注册客户端将尝试定期更新证书。
在给定的示例中，自动注册将在证书到期前 6 周首次尝试更新证书。
2) 为了更新证书，客户端必须能够通过 RPC/DCOM 连接域控制器和 CA 服务器。
3) 确保客户端是否对目标证书模板具有读取、注册和自动注册权限。
根据定义，DA 机器连接到域。他们得到他们的 GPO 和所有其他东西，就好像他们在现场一样。
只要您有足够长的百分比时间自动续订，人们不会被锁定（长于周末或计划的公司停机时间），您应该很好。这是相关 GPO 设置的屏幕截图。
http://1.bp.blogspot.com/-IpzPPsHHQ14/UfLwHEeJE_I/AAAAAAAAASg/qUYAP3GRxtA/s1600/Auto+Enrollment.png
/编辑 - 啊哈。我正在查看的 PKI 没有显示此内容，但我在网上找到了它。这是还必须设置的证书模板部分：续订期，在常规选项卡上。上述 GPO 设置可能与自动注册和续订的目的无关。
如果您当前的证书是从没有此设置所需值的模板构建的，您将需要编辑或制作新模板并重新颁发证书，但 DA 证书默认值应该是相当合理的。
http://i.technet.microsoft.com/dynimg/IC195087.gif
所以，你的设置是正确的。但是，您的客户通过什么触发来验证证书是否在其续订期内（如上所示，距到期不到 6 周）？这是登录后每八小时运行一次的计划任务。请参阅任务调度程序，
Microsoft\Windows\CertificateServicesClient\UserTask。在操作下，您将看到自定义处理程序，您无法从中获得更多详细信息。dimsjob.dll从输出中可以看出，运行的是什么schtasks /query /XML /TN "\Microsoft\Windows\CertificateServicesClient\UserTask"