AutoEnroll User Cert

Hallo,

ich nutze schon seit längerem Auto Enrollment für meine User Zertifikate.
Eingerichtet habe ich das wie hier beschrieben:
https://www.rickygao.com.au/blog/how-to-automatically-enroll-user-and-co ...

Im Einsatz habe ich eine Two-Tier-PKI

funktioniert auch alles wie gewohnt, allerdings ist mir jetzt bei einigen Clients aufgefallen, dass das Zertifikat lediglich in "Active Directory User Objects" zu finden ist und nicht wie gewünscht unter "Personal".

Somit kann ich an den Betroffenen PCs keine Dokumente signieren.

Ich kann zwar unter Personal mit der rechten Maustaste ein Zertifikat anfordern, was soweit auch funktioniert, allerdings möchte ich nicht, dass jeder sein Zertifikat erst manuell ausstellen muss um Dokumente zu signieren.


Ich habe mich schon durch verschiedene Troubleshoots gelesen, allerdings sind meine Einstellungen korrekt. (siehe Link).

Ich hatte Anfangs unter HKCU\Software\Policies\Microsoft\Cryptography\AutoEnrollment\AEPolicy eine 27 statt 7 stehen, allerdings war das nur der Fall, weil ich einen Haken bei "Display user notifications for expiring certificats in user and machines MY store" hatte. Den habe ich nun raus genommen, das Zertifikat stellt sich dennoch nicht unter "Personal" aus.

Ich vermute fast ich habe irgend etwas übersehen oder vergessen, komme aber nicht auf den Trichter was es sein könnte.

kann mir hier jemand helfen?

vielen Dank
fluluk