有關NDES管理帳號及用戶帳號權限

IF your DC and CA use same server, when you use a domain user as NDES service account  and configure it , system will propomt "Logon failure: the user has not been granted the requested logon type at this computer"

slove:

You must edit the "Default domain controllers policy" in Group Policy Editor.
Add the account that you will use for the NDES role to: Windows Settings/Security Settings/Local Policy/User Rights Assignment/Log on locally and log on as service.

This will allow you to set up the NDES role on a domain controller.

是域用戶帳戶

A. 是本地的 IIS_IUSRS 組的成員：你還可以使用 net localgroup IIS_IUSRS <domain>\<username> /Add 將 NDES 服務帳戶添加到本地 IIS_IUSRS 組。

B.在配置的 CA 上具有請求權限

1. 在 NDES 要使用的 CA 上，使用具有管理 CA 權限的帳戶打開證書頒發機構控制臺。

2. 打開證書頒發機構控制臺。右鍵單擊證書頒發機構，然后單擊“屬性”。

• 
  

  • 在“選擇用戶、計算機、服務帳戶或組”文本框中，鍵入 NDES 服務帳戶的名稱、單擊“檢查名稱”，然后單擊“確定”。
    
    

  • 確保選中 NDES 服務帳戶。確保選中對應于“請求證書”的“允許”復選框。單擊“確定”。
    

1. 在“安全”選項卡上，你可以看到具有請求證書權限的帳戶。默認情況下，組“已驗證用戶”具有此權限。你創建的服務帳戶將成為“已驗證用戶”的成員（如果正在使用該帳戶）。如果“已驗證用戶”具有請求證書權限，則不需要授予其他權限。但如果不是這樣，則應在 CA 上授予 NDES 服務帳戶請求證書權限。執行此操作的步驟：

2. 單擊“添加”。
   
   

C.在自動配置的 NDES 證書模板上具有讀取和注冊權限

D.在 Active Directory 中具有服務主體名稱 (SPN) 集,

1. 確保你使用的帳戶是 Domain Admins 組的成員。以管理員身份打開 Windows PowerShell 或命令提示符。

2. 使用以下命令語法為 NDES 服務帳戶注冊服務器主體名稱 (SPN)：setspn -s http/<computername> <domainname>\<accountname>。例如，若要在名為 CA1 的計算機上運行的 cpandl.com 域中注冊登錄名為 NdesService 的服務帳戶，請運行以下命令： setspn -s http/CA1.cpandl.com cpandl\NdesService