|
前幾天去客戶端時，客戶反映了一個問題，
為什麼照著順子的文章來施作，憑證就是無法透過AD的GPO來進行部署？
實際登入客戶AD後，發現該做的其實客戶都做了，
但在網域電腦中，憑證就是下不來...
跟同事研究了好久，發現到一個現象，
透過GPO部署憑證對AD主機是有效的，但對其它網域電腦則全部無效？
最後總算發現問題所在，
原來AD的Default Domain Policy只對“組織單位”這類資料夾有效，對一般資料夾(容區)無效！
AD主機是在Domain Controllers這個組織單位資料夾中，因此能透過GPO來派送憑證；
但網域電腦預設是在Computers這個一般資料夾(容區)下，吃不到Default Domain Policy這個GPO裏的設定，
所以派送不了憑證...
(但在順子的LAB中，容區下的網域電腦還是可以吃到GPO，派送憑證！順子也不明白其間的差異？)
↑順子LAB的示意圖，非客戶實際環境擷圖。
在明白了這個狀況後，有兩種解決方法，
要嘛，就是將Computers這個資料夾改成“組織單位”這種資料夾；
要不然就是另建一個“組織單位”資料夾，然後把網域電腦都移此組織單位下。
但網域根目錄下預設的Computers資料夾(容區)無法刪除，也沒有辦法變更其類型，
所以只好另建一專門用來收容網域電腦的“組織單位”資料夾，再把網域電腦移過去。
調整後，果然網域電腦都可以透過GPO來進行憑證的部署了！
*小叮嚀
憑證是作用在電腦的瀏覽器上，不是使用者帳號上，
可以瞭解在群組原則進行設定時，是在“電腦設定”上進行，而不是“使用者設定”。
所以在GPO的部分，也要檢查其網域、組織單位等有沒有包含到目標電腦。
若在Computers容區下的電腦無法吃到GPO，派送憑證，
那麼就只有另建組織單位來收容網域的電腦了。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2016-10-05, 21:33
《分享》透過AD群組原則部署憑證
《分享》網域電腦無法透過GPO部署憑證？