问在Windows PKI中，工作站身份验证CA模板用于什么？如果它过期了怎么办？

EN

·工作站证书的用途是什么？Kerberos？

不是的。Kerberos不使用SSL/TLS证书。**

管理员可能会选择将给定的证书模板用于任意数量的不同事情，因此，我们现在不可能知道这些证书在您的环境中究竟用于什么用途。

不过，工作站身份验证模板与计算机证书模板非常相似。这两个证书模板都提供计算机身份验证。因此，证书可以用于建立机对机的SSL/TLS连接。

例如，如何使用工作站身份验证证书的一个例子是使用SCCM进行客户端身份验证，以便SCCM知道它正在与正确的客户端对话。

·用户/机器能否在周一上午(过期日期)登录？

很有可能。Active Directory不需要证书才能在典型配置下登录到域。但你可能在你的环境中有一些辅助服务会破坏.不管之前用的是什么证书，我们都不知道。

*一旦证书过期，机器是否有可能获得新的证书？

通过使用组策略的组合以及允许计算机自动注册的证书模板的权限，您可以在Active中配置证书自动注册策略。在Active Directory环境中，您几乎不需要或不希望手动注册证书。

由于我使用的是Windows2012 R2，所以可能会使用底层NTLM替代Kerberos，这不是一个问题.虽然我不确定这是否在所有情况下都是可以接受的：(例如，DCOM注册证书)

客户端从企业CA注册证书的能力不会受到该客户端是否具有有效证书的影响。这是一个不同的证书模板，我可以从您的帖子中得知，所以旧的证书模板过期的事实不会影响计算机是否能够自动重新注册。如果是新模板，则需要配置组策略以允许自动注册该新模板。

** -不是为了本讨论的目的。

工作站证书的用途是什么？Kerberos？

它们可用于安全信道协商期间的客户端身份验证(例如，在IPsec或L2TP VPN中)。当机器启动时，它们不用于初始客户端身份验证。

用户/机器能否在周一上午(过期日期)登录？

是的，为什么不呢？

一旦证书过期，机器是否有可能获得新的证书？

手动--是的，自动--不。即使您使用的是自动注册，它们必须在过期之前被更新，否则，自动注册将无法签署更新请求。

总结一下:客户端证书直到某些应用程序被配置来为计算机(而不是用户)执行基于证书的身份验证时才会使用。

MSFT的答复:案例114120112106756

任何寻找客户端身份验证的应用程序都需要客户端身份验证证书(通过计算机或工作站模板向计算机颁发的证书)。

是否检查客户端证书是应用程序配置。例如，SCCM可以配置为通过客户端证书检查客户端的真实性。与IIS web应用程序或SSL上的LDAP相同。

只需要一个证书用于SSL/TLS通信，客户端与应用程序启动该通信，反之亦然。Kerberos工作在不同的应用层，因此不需要证书。

在EAP(扩展身份验证协议)情况下，我们选择证书。现在，由于应用程序(如果配置的话)为成功的TLS/SSL通信查找客户端证书，您必须确保客户端存在证书，这证明客户端是合法的，并且是从受信任的证书颁发机构颁发的。