Finestra di dialogo: Aggiungi o modifica primo metodo di autenticazione

Specificare l'algoritmo di firma utilizzato per proteggere con crittografia il certificato.

Specificare il tipo di certificato identificando l'archivio in cui il certificato è contenuto.

Questa opzione limita l'uso dei certificati computer a quelli contrassegnati come certificati di integrità. I certificati di integrità sono pubblicati da una CA in supporto di una distribuzione Protezione accesso alla rete. Protezione accesso alla rete consente di definire e applicare criteri di integrità in modo che i computer non conformi ai criteri di rete, ad esempio computer senza software antivirus o privi degli ultimi aggiornamenti del software, abbiano meno possibilità di accedere alla rete. Per implementare Protezione accesso alla rete, è necessario configurare le relative impostazioni sia sul server sia sul client. Lo snap-in di gestione del client Protezione accesso alla rete, disponibile in Microsoft Management Console (MMC), consente di configurare le impostazioni di Protezione accesso alla rete nei computer client. Per ulteriori informazioni, vedere la Guida dello snap-in MMC Protezione accesso alla rete. Per poter utilizzare questo metodo, è necessario aver impostato nel dominio un server Protezione accesso alla rete.

Quando si attiva il mapping certificato-account IPsec, i protocolli Internet Key Exchange (IKE) e Authenticated IP (AuthIP) associano (eseguono il mapping) un certificato computer a un account computer in un dominio Active Directory o in una foresta e quindi recuperano un token di accesso che include l'elenco di gruppi di sicurezza computer. Questo processo assicura che il certificato offerto dal peer IPsec corrisponda a un account computer attivo nel dominio e che il certificato sia quello che deve essere utilizzato da tale computer.

È possibile utilizzare il mapping certificato-account esclusivamente per gli account computer che appartengono alla stessa foresta del computer che esegue il mapping. In questo modo viene offerta un'autenticazione molto più efficace rispetto alla semplice accettazione di qualsiasi catena di certificati valida. Ad esempio, è possibile utilizzare questa funzionalità per limitare l'accesso ai computer della stessa foresta. Il mapping certificato-account non assicura tuttavia che sia consentito l'accesso IPsec a uno specifico computer trusted.

Il mapping certificato-account è particolarmente utile se i certificati provengono da un'infrastruttura a chiave pubblica (PKI) non integrata nella distribuzione Servizi di dominio Active Directory, ad esempio se partner aziendali ottengono i loro certificati da provider diversi da Microsoft. È possibile configurare il metodo di autenticazione dei criteri IPsec in modo che venga eseguito il mapping dei certificati a un account computer di dominio per una CA radice specifica. È anche possibile eseguire il mapping di tutti i certificati da una CA di rilascio a un account computer. In questo modo è possibile utilizzare l'autenticazione dei certificati IKE per limitare le foreste a cui è consentito l'accesso IPsec in un ambiente in cui sono presenti molte foreste e ognuna esegue la registrazione automatica in una singola CA radice interna. Se il processo di mapping certificato-account non viene completato correttamente, l'autenticazione avrà esito negativo e le connessioni protette da IPsec verranno bloccate.