Installer un certificat d'autorité de certification racine de confiance via GPO

J'ai créé un GPO, importé le certificat dans Configuration de l'ordinateur\Paramètres de Windows\Paramètres de sécurité\Stratégies de clés publiques\Autorités de certification de racine de confiance et assigné le GPO à un groupe d'utilisateurs

Si vous utilisez l'arborescence des stratégies "Configuration de l'ordinateur", il doit être lié à une OU où les comptes d'ordinateur sont stockés.

Si vous devez installer les certificats dans le magasin de certificats de l'utilisateur, alors certutil pourrait aider. Documentation de Microsoft sur certutil. Utilisez certutil -installcert (je pense que celui-ci peut être exécuté en tant qu'utilisateur) ou certutil -addstore -user root dans un script de connexion. Notez que je n'ai pas testé ces commandes, elles proviennent directement de l'aide certutil -v -?.

Nous avons eu un problème similaire il y a un certain temps. Si je me souviens bien, cela nous a aidés :

1. Configuration de l'ordinateur > Paramètres Windows > Stratégies de clé publique > Double-cliquez sur Paramètres de validation du chemin de certificat, puis cliquez sur l'onglet Magasins.

2. Sélectionnez la case à cocher Définir ces paramètres de stratégie.

3. Sous Magasins de certificats par utilisateur, décochez les options Autoriser les autorités racine de confiance des utilisateurs à être utilisées pour valider les certificats et Autoriser les utilisateurs à faire confiance aux certificats de confiance des pairs dans les cases à cocher Magasins de certificats par utilisateur.

4. Ensuite, utilisez gpupdate /force.

J'espère que cela résoudra votre problème.

Dans ce cas, pourquoi ne pas déployer également une CA intermédiaire pour émettre des Certificats? Si une CA autonome peut contacter les contrôleurs de domaine, elle publie son propre certificat dans les conteneurs AD appropriés, ce qui est le comportement par défaut. Si l'inscription automatique est déclenchée, les ordinateurs peuvent demander des certificats. La meilleure façon est d'utiliser une CA Racine d'entreprise et une CA d'émission. Les CA autonomes présentent des limitations en matière d'inscription et de déploiements. La configuration peut être trouvée ici. Bonne chance!

Slm était proche, mais au lieu de décocher les "Autoriser les CA racines de confiance des utilisateurs à être utilisées pour valider les certificats" et Autoriser les utilisateurs à faire confiance aux certificats de confiance de pair dans les stores de certificats par utilisateur" vous souhaitez COCHER les cases.

1. Modifier la GPO déployant le certificat
2. Dans l'Éditeur de stratégie de groupe, Configuration de l'ordinateur > Paramètres de Windows > Politiques de clés publiques > double-cliquer sur Paramètres de validation du chemin du certificat dans le volet de droite.
3. Dans l'onglet Stores, sélectionnez la case à cocher Définir ces paramètres de stratégie. Sous Stores de certificats par utilisateur, SÉLECTIONNEZ les cases à cocher Autoriser les CA racines de confiance des utilisateurs à être utilisées pour valider les certificats et SÉLECTIONNEZ l'option Autoriser les utilisateurs à faire confiance aux certificats de confiance de pair dans les Stores de certificats par utilisateur.

Exécutez un gpupdate/force sur le(s) PC et le certificat sera déployé. N'oubliez pas de lier la GPO à l'OU à laquelle le(s) PC appartiennent.