Windows 2022 AD和CA服务器更新问题。

你好

感谢您在Microsoft Community发帖。

1. 如何判断当前的证书映射方式是强认证还是弱认证？

强认证 (Strong Authentication) 和 弱认证 (Weak Authentication) 的区分主要是通过证书映射模式来判断：

强认证 是指基于 证书主题名称（Subject Name）映射 或 证书主题备用名称（Subject Alternative Name）映射 的身份验证。

弱认证 是指基于 证书颁发者名称（Issuer Name）映射 的身份验证。

你可以通过 gpedit.msc 或 certsrv.msc 工具来检查当前的映射方式。

检查方法：

打开 组策略管理（gpedit.msc），找到 NPS 服务器的组策略设置。

在 NPS 配置 或 CA 配置 里检查相关的 证书映射配置。

如果你启用了 “证书主题映射” 或 “证书主题备用名称映射”，则是强认证。如果映射方式是通过证书颁发者（Issuer）来实现的，那么就是弱认证。

2. 如何启用强认证？这个动作是针对每个用户都需要操作？还是一次性再服务器中操作？

启用强认证并不需要针对每个用户单独操作。你只需要在 NPS 服务器 和 AD 证书服务（CA）配置中启用强认证模式。

操作步骤：

启用强认证（证书映射）：

打开 NPS 管理工具，转到 身份验证方法 配置。

在 证书映射 部分，选择 强认证（即基于 证书主题名称 或 主题备用名称 映射）。

确保 组策略 中启用了此配置。

配置 NPS 服务器：

在 NPS 上启用基于证书的身份验证时，你需要确保 NPS 服务器配置正确的 证书策略。

在 网络策略 中配置证书验证的 身份验证方法，确保启用了 证书映射身份验证。

证书颁发机构（CA）配置：

确保 CA 颁发的证书使用的是适当的属性（如 Subject Name 或 Subject Alternative Name）。

强认证 的支持依赖于证书属性的设置，证书颁发机构需要正确配置。

所以，这个操作是针对 服务器端配置 的，所有用户都将遵循这些认证规则，而不需要单独配置每个用户。

3. 是否涉及客户端作业？比如服务器上启用强映射后，客户端需要重新获取新证书？

启用强映射后，客户端确实可能需要进行某些调整，尤其是涉及证书属性的情况：

客户端的相关操作：

如果你使用 基于证书的身份验证，客户端将需要使用符合强认证标准的证书。比如，证书中需要包含合适的 Subject Name 或 Subject Alternative Name。

如果你的 CA 服务器没有颁发符合新认证要求的证书，客户端可能需要 重新申请或重新安装证书。

如果客户端的证书属性符合要求（即已经使用正确的映射方式），则客户端应该不需要做任何操作。

我希望以上信息对您有所帮助。

此致敬礼 

Runjie Zhai

感谢你的回复。

我查看了相关信息，没找到有设置强认证的地方。

或者有什么命令，能确认目前我服务器是启用强认证的吗？