Computeranmeldung nur mit Zertifikat

[Maraun 12]

Also ich bin hier am Aufbauen so einer Konstellation.

Network Policy und Access Services auf einem Server 2008 installiert.

Kerberos folgt noch samt Konfiguration.

Dann eine Offline / Online Root-CA implementiert.

2 Security groups definiert, für die Benutzer- und Computerzertifikate.

Group Policies erstellt (Benutzer- und Computer Autoenrollment, Credential Roaming). Jetzt muss noch NAC für die Switche und Kerberos richtig konfiguriert werden und dann muss ich noch die Offline Root-CA über die Zugehörigkeit der Benutzer und Computergruppen definieren, dann sollte eine erste Lösung bestehen, die Computer ohne Zertifikat den Zugang zur Domäne verweigert. Rechner mit Benutzer- und Computerzertifikat werden durchgelassen.

 

Grüße

Alex

[wiri 10]

Also ich bin hier am Aufbauen so einer Konstellation.

Network Policy und Access Services auf einem Server 2008 installiert.

Kerberos folgt noch samt Konfiguration.

Dann eine Offline / Online Root-CA implementiert.

2 Security groups definiert, für die Benutzer- und Computerzertifikate.

Group Policies erstellt (Benutzer- und Computer Autoenrollment, Credential Roaming). Jetzt muss noch NAC für die Switche und Kerberos richtig konfiguriert werden und dann muss ich noch die Offline Root-CA über die Zugehörigkeit der Benutzer und Computergruppen definieren, dann sollte eine erste Lösung bestehen, die Computer ohne Zertifikat den Zugang zur Domäne verweigert. Rechner mit Benutzer- und Computerzertifikat werden durchgelassen.

 

Grüße

Alex

 

Wie kommt ein Zertifikat auf den Rchner?

Warum die Frage, da du bestimmt Pc neu aufsetzt und in die Domäne heben möchtest.

[Maraun 12]

Durchaus eine berechtigte Frage.

Geplant ist, dass ich die Zertifikate bereits in die Rechnerimages packe, die hier vom IT-Support aufgespielt werden (NetInstall).

[wiri 10]

Durchaus eine berechtigte Frage.

Geplant ist, dass ich die Zertifikate bereits in die Rechnerimages packe, die hier vom IT-Support aufgespielt werden (NetInstall).

 

aber mit Netistall kann man auch PC ohne Image betanken.

 

Mein Tipp, wäre, so wie immer auch, einige Ausnahmen User/Gruppen zu definieren, die unter allen Umständen, eine Domänenanmeldung durchführen können/müssen.