Anzeigenamen hier eingeben Beschreibung hier eingeben Zertifikate ohne Zertifikatattribut für erweiterte Schlüsselnutzung zulassen Diese Richtlinieneinstellung ermöglicht die Anmeldung mithilfe von Zertifikaten, für die kein EKU-Attribut (Extended Key Usage, erweiterte Schlüsselverwendung) festgelegt ist. In Windows-Versionen vor Windows Vista erfordern die zur Anmeldung verwendeten Smartcardzertifikate eine EKU-Erweiterung mit einer Objekt-ID für die Smartcardanmeldung. Diese Einschränkung kann mit dieser Richtlinieneinstellung geändert werden. Wenn Sie diese Richtlinieneinstellung aktivieren, können auch Zertifikate mit folgenden Attributen für die Anmeldung mit einer Smartcard verwendet werden: - Zertifikate ohne EKU - Zertifikate mit einer für alle Zwecke geeigneten EKU - Zertifikate mit einer Clientauthentifizierungs-EKU Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können für die Smartcardanmeldung nur Zertifikate verwendet werden, die die Objekt-ID für die Smartcardanmeldung enthalten. Anzeige des integrierten Bildschirms "Blockierung der Smartcard aufheben" bei der Anmeldung zulassen Mithilfe dieser Richtlinieneinstellung bestimmen Sie, ob das integrierte Feature zum Aufheben der Blockierung in der Anmeldebenutzeroberfläche verfügbar ist. Ihre Smartcard muss das integrierte Feature zum Aufheben der Blockierung unterstützen, damit Sie es verwenden können. Informationen dazu, ob Ihre Smartcard dieses Feature unterstützt, finden Sie in der Hardwaredokumentation. Wenn Sie diese Richtlinieneinstellung aktivieren, ist das integrierte Feature zum Aufheben der Blockierung verfügbar. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, ist das integrierte Feature zum Aufheben der Blockierung nicht verfügbar. Für die Anmeldung gültige Signaturschlüssel zulassen Mithilfe dieser Richtlinieneinstellung können Sie auf Signaturschlüsseln basierende Zertifikaten auflisten lassen, sodass sie für die Anmeldung verfügbar sind. Wenn Sie diese Richtlinieneinstellung aktivieren, werden auf dem Anmeldebildschirm alle auf der Smartcard verfügbaren Zertifikate mit signaturbasierten Schlüsseln aufgeführt. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, werden verfügbare Zertifikate, die auf Smartcardsignaturschlüsseln basieren, nicht im Anmeldebildschirm aufgeführt. Zertifikate mit ungültiger Zeitangabe zulassen Diese Richtlinieneinstellung ermöglicht es, diejenigen Zertifikate für die Anmeldung anzuzeigen, die abgelaufen oder noch nicht gültig sind. In früheren Versionen von Microsoft Windows mussten Zertifikate eine gültige Zeitangabe enthalten und durften nicht abgelaufen sein. Das Zertifikat muss weiterhin vom Domänencontroller akzeptiert werden, um verwendet werden zu können. Diese Einstellung steuert lediglich, ob das Zertifikat auf dem Clientcomputer angezeigt wird. Wenn Sie diese Richtlinieneinstellung aktivieren, werden Zertifikate unabhängig davon, ob sie eine ungültige Zeitangabe enthalten oder ihre Gültigkeitsdauer abgelaufen ist, im Anmeldebildschirm aufgeführt. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, werden Zertifikate, die abgelaufen oder noch nicht gültig sind, nicht im Anmeldebildschirm aufgeführt. Doppelte Anmeldezertifikate filtern Mithilfe dieser Richtlinieneinstellung können Sie konfigurieren, ob alle gültigen Anmeldezertifikate angezeigt werden. Während des Zertifikaterneuerungszeitraums ist es möglich, dass ein Benutzer über mehrere gültige Anmeldezertifikate verfügt, die mithilfe derselben Zertifikatvorlage ausgegeben wurden. Dies kann für Verwirrung sorgen, da nicht klar ist, welches Zertifikat für die Anmeldung verwendet werden soll. Dieses Verhalten ist meistens darauf zurückzuführen, dass ein Zertifikat erneuert wurde, während das alte noch nicht abgelaufen war. Zwei Zertifikate werden als identisch erachtet, wenn sie mithilfe derselben Vorlage mit derselben Hauptversion ausgegeben wurden und für denselben Benutzer (ermittelt anhand des UPN) bestimmt sind. Wenn sich auf einer Smartcard zwei oder mehr "identische" Zertifikate befinden und diese Richtlinie aktiviert ist, wird das Zertifikat angezeigt, das für die Anmeldung an Windows 2000, Windows XP und Windows 2003 Server verwendet wurde; andernfalls wird das Zertifikat angezeigt, das am längsten gültig ist. Hinweis: Diese Einstellung wird nach der folgenden Richtlinie angewendet: "Zertifikate mit ungültiger Zeitangabe zulassen". Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, werden die Zertifikate gefiltert. Wenn Sie diese Richtlinieneinstellung deaktivieren, erfolgt keine Filterung. Zertifikatpropagierung von der Smartcard aktivieren Mithilfe dieser Richtlinieneinstellung können Sie die Zertifikatpropagierung beim Einlegen der Smartcard verwalten. Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, erfolgt beim Einlegen der Smartcard eine Zertifikatpropagierung. Wenn Sie diese Richtlinieneinstellung deaktivieren, erfolgt keine Zertifikatpropagierung, und die Zertifikate werden für Anwendungen wie Outlook nicht zur Verfügung gestellt. Bereinigung von Stammzertifikaten konfigurieren Mithilfe dieser Richtlinieneinstellung können Sie das Bereinigungsverhalten von Stammzertifikaten verwalten. Wenn Sie diese Richtlinieneinstellung aktivieren, erfolgt eine Bereinigung der Stammzertifikate gemäß der gewählten Option. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, erfolgt die Bereinigung der Stammzertifikate beim Abmelden. Stammzertifikatpropagierung von der Smartcard aktivieren Mithilfe dieser Richtlinieneinstellung können Sie die Stammzertifikatpropagierung beim Einlegen der Smartcard verwalten. Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, erfolgt beim Einlegen der Smartcard eine Stammzertifikatpropagierung. Hinweis: Damit diese Richtlinieneinstellung wirksam werden kann, muss die folgende Richtlinieneinstellung ebenfalls aktiviert sein: "Zertifikatpropagierung von der Smartcard aktivieren". Wenn Sie diese Richtlinieneinstellung deaktivieren, erfolgt keine Propagierung der Stammzertifikate von der Smartcard. Rückgabe von Nur-Text-PINs durch Anmeldeinformationsverwaltung verhindern Mit dieser Richtlinieneinstellung wird verhindert, dass von der Anmeldeinformationsverwaltung Nur-Text-PINs zurückgegeben werden. Wenn Sie diese Richtlinieneinstellung aktivieren, gibt die Anmeldeinformationsverwaltung keine Nur-Text-PINs zurück. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, kann die Anmeldeinformationsverwaltung Nur-Text-PINs zurückgeben. Hinweis: Das Aktivieren dieser Richtlinieneinstellung kann dazu führen, dass einige Smartcards unter Windows nicht mehr funktionieren. Wenden Sie sich an den Smartcardhersteller, um herauszufinden, ob Sie von dieser Richtlinieneinstellung betroffen sind. Lesen aller Zertifikate von der Smartcard erzwingen Mithilfe dieser Richtlinieneinstellung können Sie angeben, ob bei der Anmeldung alle Zertifikate von der Smartcard gelesen werden sollen. Bei der Anmeldung liest Windows standardmäßig nur das Standardzertifikat von der Smartcard, es sei denn, das Abrufen aller Zertifikate in einem einzigen Aufruf wird unterstützt. Diese Einstellung erzwingt, dass Windows alle Zertifikate von der Karte liest. In bestimmten Situationen kann dies erhebliche Leistungseinbußen zur Folge haben. Setzen Sie sich mit dem Hersteller der Smartcard in Verbindung, um zu erfragen, ob Ihre Smartcard und der zugehörige CSP das erforderliche Verhalten unterstützen. Wenn Sie diese Einstellung aktivieren, versucht Windows, alle Zertifikate von der Smartcard zu lesen, und zwar unabhängig von der vom CSP unterstützten Funktionalität. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, versucht Windows bei Karten, die das Abrufen aller Zertifikate in einem einzigen Aufruf nicht unterstützen, nur das Standardzertifikat zu lesen. Zertifikate, die keine Standardzertifikate sind, sind für die Anmeldung nicht verfügbar. Zeichenfolge bei blockierter Smartcard anzeigen Mithilfe dieser Richtlinieneinstellung können Sie die angezeigte Meldung verwalten, wenn eine Smartcard blockiert ist. Wenn Sie diese Richtlinieneinstellung aktivieren, wird dem Benutzer beim Blockieren der Smartcard die angegebene Meldung angezeigt. Hinweis: Die folgende Richtlinieneinstellung muss aktiviert sein: "Anzeige des integrierten Bildschirms "Blockierung der Smartcard aufheben" bei der Anmeldung zulassen". Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, wird dem Benutzer beim Blockieren der Smartcard die Standardmeldung angezeigt, sofern das integrierte Feature zum Aufheben der Blockierung aktiviert ist. Im Zertifikat gespeicherten Antragstellernamen bei der Anzeige umkehren Mithilfe dieser Richtlinieneinstellung können Sie den Antragstellernamen während der Anmeldung in umgekehrter Reihenfolge als im Zertifikat anzeigen. Standardmäßig wird zusätzlich zum gemeinsamen Namen der Benutzerprinzipalname (User Principal Name, UPN) angezeigt, um den Benutzern die Unterscheidung der Zertifikate zu erleichtern. Wenn beispielsweise der Zertifikatantragsteller CN=Benutzer1, OU=Benutzer, DN=example, DN=com lautet und der Benutzerprinzipalname Benutzer1@example.com, wird "Benutzer1" zusammen mit "Benutzer1@example.com" angezeigt. Wenn der Benutzerprinzipalname fehlt, wird der vollständige Antragstellername angezeigt. Diese Einstellung steuert die Darstellung des Antragstellernamens und muss ggf. pro Organisation angepasst werden. Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, wird der Antragstellername umgekehrt angezeigt. Wenn Sie diese Richtlinieneinstellung deaktivieren, wird der Antragstellername wie im Zertifikat angezeigt. Keine Bereinigung Zertifikate beim Entfernen der Smartcard bereinigen Zertifikate beim Abmelden bereinigen Smartcard Benutzernamenhinweis zulassen Mithilfe dieser Richtlinieneinstellung bestimmen Sie, ob während der Anmeldung und Rechterweiterung ein optionales Feld angezeigt wird, in dem Benutzer ihren Benutzernamen oder ihren Benutzernamen und ihre Domäne eingeben können, wodurch ein Zertifikat mit dem betreffenden Benutzer verknüpft wird. Wenn Sie diese Richtlinieneinstellung aktivieren, wird ein optionales Feld angezeigt, in dem Benutzer ihren Benutzernamen oder ihren Benutzernamen und ihre Domäne eingeben können. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, wird kein optionales Feld angezeigt, in dem Benutzer ihren Benutzernamen oder ihren Benutzernamen und ihre Domäne eingeben können. Smartcard-Plug & Play-Dienst aktivieren Mit dieser Richtlinieneinstellung können Sie steuern, ob das Smartcard-Plug & Play aktiviert wird. Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, wird das Smartcard-Plug & Play aktiviert, sodass das System versucht, einen Smartcard-Gerätetreiber zu installieren, sobald erstmalig eine Karte in einen Smartcard-Leser eingesetzt wird. Wenn Sie diese Richtlinieneinstellung deaktivieren, wird das Smartcard-Plug & Play deaktiviert und beim Einsetzen einer Karte in einen Smartcard-Leser kein Gerätetreiber installiert. Hinweis: Diese Richtlinieneinstellung wird nur auf Smartcards angewendet, die in den Microsoft Windows Hardware Quality Labs (WHQL) erfolgreich getestet wurden. Benutzer bei erfolgreicher Smartcard-Treiberinstallation benachrichtigen Mit dieser Richtlinieneinstellung können Sie steuern, ob nach der Installation eines Smartcard-Gerätetreibers eine Bestätigungsmeldung angezeigt wird. Wenn Sie diese Richtlinieneinstellung aktivieren oder nicht konfigurieren, wird eine Bestätigungsmeldung angezeigt, sobald ein Smartcard-Gerätetreiber installiert wurde. Wenn Sie diese Richtlinieneinstellung deaktivieren, wird nach der Installation eines Smartcard-Gerätetreibers keine Bestätigungsmeldung angezeigt. Hinweis: Diese Richtlinieneinstellung wird nur auf Smartcards angewendet, die in den Microsoft Windows Hardware Quality Labs (WHQL) erfolgreich getestet wurden. Verwendung von ECC-Zertifikaten für Anmeldung und Authentifizierung zulassen Mit dieser Richtlinieneinstellung können Sie steuern, ob ECC-Zertifikate (Elliptic Curve Cryptography, Kryptografie für elliptische Kurven) auf einer Smartcard für die Anmeldung bei Domänen verwendet werden können. Wenn Sie diese Richtlinieneinstellung aktivieren, können ECC-Zertifikate auf einer Smartcard zum Anmelden bei einer Domäne verwendet werden. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können ECC-Zertifikate auf einer Smartcard nicht für die Anmeldung bei einer Domäne verwendet werden. Hinweis: Dieser Richtlinieneinstellung wirkt sich nur auf die Fähigkeit eines Benutzers aus, sich bei einer Domäne anzumelden. Auf Smartcards enthaltene ECC-Zertifikate, die für andere Zwecke verwendet werden, beispielsweise für Dokumentsignaturen, sind von dieser Richtlinieneinstellung nicht betroffen. Hinweis: Bei Verwendung eines ECDSA-Schlüssels für die Anmeldung benötigen Sie zusätzlich einen entsprechenden ECDH-Schlüssel, der Anmeldungen unterstützt, während Sie nicht mit dem Netzwerk verbunden sind. Optionen für die Bereinigung von Stammzertifikaten