Регистрация Войти
Рейтинг:0
avatar Server

Центр сертификации родительского домена для дочерних доменов

флаг cn
JukEboX

У меня есть родительский домен и 2 дочерних домена этого родителя. Все серверы — Windows Server 2019. Я работаю над развертыванием программного обеспечения для обеспечения безопасности, и мне нужно получить действующий сертификат от центра сертификации. Центр сертификации находится на сервере в родительском домене.

Когда я иду, чтобы получить сертификат компьютера на машине дочернего домена, компьютер не показывает шаблонов или местоположений, из которых можно извлечь сертификат. Я могу без проблем получить сертификат из ЦС на машине в родительском домене.

Есть ли способ передать возможность получить сертификат компьютера для компьютера дочернего домена из родительского ЦС?

89
0 + 0
флаг cn
Greg Askew
Какие разрешения у шаблонов?
0
Ответить
Рейтинг:1
avatar Server
флаг cn
Crypt32

Есть несколько вариантов, как это сделать, и все они связаны с членством в группе. Самый простой вариант — добавить группу «Компьютеры домена» из дочернего домена в разрешения шаблонов сертификатов и предоставить необходимые разрешения (Чтение, Регистрация и, возможно, Автоматическая регистрация).

Однако я бы использовал более ориентированный на AGLP подход:

  • в корневом домене леса создайте универсальную группу безопасности под названием «Компьютеры корпоративного домена».
  • Добавьте группы «Компьютеры домена» и «Контроллеры домена» из всех, корневых и дочерних доменов в эту новую универсальную группу «Компьютер домена предприятия».

Затем в консоли шаблонов сертификатов (certtmpl.msc) выберите свойства нужного шаблона, перейдите на вкладку «Безопасность» и назначьте разрешения для этой новой универсальной группы.

Это может занять некоторое время, прежде чем все контроллеры домена будут реплицировать группы и обновления членства. Кроме того, компьютер необходимо перезагрузить, чтобы выбрать новое членство в группе, или подождать до 10 часов, пока не будет обновлен билет Kerberos.

0 + 0
флаг cn
JukEboX
вау, это звучит очень просто. Должна ли группа располагаться где-то в родительском A/D? Большая часть нашей группы находится в группе «Пользователи», поскольку в основном это группы пользователей. Когда я создал группу «Компьютеры домена предприятия», где на родительском уровне A/D я должен ее поместить?
0
Ответить
флаг cn
Crypt32
`Должна ли группа располагаться где-то в родительском A/D` - это зависит от того, как организована ваша OU, это не имеет значения. Это должно быть просто определено там.
1
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.