GPO para reverter “Desativar atualização automática de certificados raiz”?

Question

Um de nossos provedores de hospedagem está definindo a chave de registro subjacente "Desativar atualização automática de certificados raiz" como parte de sua instalação padrão do Windows. Depois que os servidores ingressarem em nosso domínio, gostaríamos de permitir que os servidores executem a Atualização Automática do Certificado Raiz. No entanto, a simples criação de um GPO e a configuração "Desativar a atualização automática de certificados raiz" como Desativado não são revertidos. Existe alguma maneira de fazer isso? Ou eu tenho que empurrar um script que realmente vira a configuração HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate ?

Estamos executando 2012R2 e 2016, se isso for importante. O nível funcional do domínio é 2012, embora (por motivos de compatibilidade obscuros, suspiro).

    

Answer 1

P: No entanto, a simples criação de um GPO e a configuração "Desativar a atualização automática de certificados raiz" como Desativada não inverte isso. Existe alguma maneira de fazer isso? Ou eu tenho que empurrar um script que realmente vira a configuração HKLM: \ SOFTWARE \ Políticas \ Microsoft \ SystemCertificates \ AuthRoot \ DisableRootAutoUpdate?

A: A Diretiva de Grupo não modifica diretamente essa chave / valor do Registro, pois não é como a Diretiva de Grupo funciona (na maioria das vezes). A Política de Grupo não modifica diretamente (tatuagem) as configurações do Registro.

O que você deve procurar não é o estado dessa chave / valor do Registro, mas se o comportamento mudou ou não para o comportamento desejado.

Faça uma leitura no link para mais informações sobre a Política de Grupo e o Registro:

link