Zertifikat für Benutzer wird bei jeder Anmeldung an einem neuen Client per Autoenrollment erstellt

[mcpuser 11]

Hallo zusammen,

 

ich habe in einer Umgebung AutoEnrollment von Zertifikaten für Benutzer und Computer erstellt und aktiviert. Zertifikate werden schön erstellt. Nun ist mir aber aufgefallen das bei jeder Anmeldung an einem neuen Client das Benutzerzertifikat neu erstellt wird. 

 

Erwartet hätte ich nun das es 1 Zertifikat pro Benutzer gibt oder ist meine Annahme hier falsch? 

 

Benutzer meldet sich nach Aktivierung Auto-Registrierung zum ersten Mal an - Zertifikat wird erstellt und dieses wird auch benutzt egal an welchem Gerät sich der Benutzer dann im Laufe der Zukunft anmeldet.

 

Mache ich hier nun etwas falsch oder habe ich es einfach nicht richtig verstanden.

 

VG Wolfgang

[NilsK 2.939]

Moin,

 

das ist "works as expected". Ein Zertifikat bestätigt, dass der Inhaber eines Public-Key-Paares derjenige ist, für den er sich ausgibt. Die Logik dahinter ist, dass nur dieser Inhaber Zugriff auf seinen Private Key hat. 

 

Der Private Key wird standardmäßig lokal in einem geschützten Bereich des Benutzerprofils gespeichert (vereinfacht gesagt). Auf einem "neuen" Rechner hat der User keine Kopie seines Private Keys (der soll ja schließlich privat sein und nicht wild durch die Gegend kopiert werden, schon gar nicht irgendwie automatisch). Also erzeugt Windows bei der Aufforderung, für den User ein Zertifikat zu erzeugen, ein neues Schlüsselpaar.

 

Ja, das wirft organisatorische Probleme auf, wenn Anwender an unterschiedlichen Rechnern arbeiten. Denn natürlich handelt es sich hierbei um unterschiedliche Zertifikate. Was der User in diesem Szenario also etwa mit seinem Private Key auf Rechner A verschlüsselt, kann er mit dem Public Key auf Rechner B nicht entschlüsseln.

 

Gruß, Nils

 

[mcpuser 11]

vor 4 Minuten schrieb NilsK:

 

 

Der Private Key wird standardmäßig lokal in einem geschützten Bereich des Benutzerprofils gespeichert (vereinfacht gesagt). Auf einem "neuen" Rechner hat der User keine Kopie seines Private Keys (der soll ja schließlich privat sein und nicht wild durch die Gegend kopiert werden, schon gar nicht irgendwie automatisch). Also erzeugt Windows bei der Aufforderung, für den User ein Zertifikat zu erzeugen, ein neues Schlüsselpaar.

 

 

 

Hallo Nils,

 

vielen Dank für deine Antwort. Verstehe, Ablage ist in meinem Kopf zentral und dann im Benutzerprofil verstehe. Gelöscht. 

 

VG Wolfgang

[NorbertFe 2.045]

Eins der wenigen Dinge, die mit einem Roaming Profile funktionierten. ;) Alternativ Credential Roaming (hab ich mal gelesen. ;))

https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/certs-on-wheels-understanding-credential-roaming/ba-p/395897

[NilsK 2.939]

Moin,

 

oh, dass die Zertifikate Teil des Roaming Profiles sind, hatte ich gar nicht auf dem Schirm. (Für Evgenij: beides böse.)

 

Das mit Credential Roaming musste ich nie machen, habe ich keine Erfahrung mit. Kann sicher das eine oder andere abmildern - wenn man es denn will. Aus prinzipieller Sicht ist das nicht nur eine gute Idee.

 

Gruß, Nils

 

[zahni 554]

Ja, die Client-Zertifikate "lagern" im roaming Profile...