Myślałem o GPO, ale nie będzie to takie proste:

1. Nie bardzo jest jak zidentyfikować stacje robocze, które są po migracji i mają certyfikat bez klucza prywatnego.
2. Autoenrollment nie działa, bo nie ma klucza prywatnego.
3. Ręcznie usunięcie klucza pomaga i stacja sama sobie żąda nowego certyfikatu, ale to nie jest rozwiązanie.

Problem rozwiązałem "wyłączając" całkowicie migrowanie certyfikatów dla komputera i użytkowników w USMT.
W pliku: capi2_certs-dl.man trzeba zakomentować lub usunąć te linijki:
Sekcja "Users":

<pattern type="File">%CSIDL_APPDATA%\Microsoft\SystemCertificates\My\Certificates[*]</pattern>
<pattern type="File">%CSIDL_APPDATA%\Microsoft\SystemCertificates\Request\Certificates[*]</pattern>

Sekcja "System":

<pattern type="Registry">HKLM\SOFTWARE\Microsoft\SystemCertificates\My\Certificates\*[*]</pattern>
<pattern type="Registry">HKLM\SOFTWARE\Microsoft\SystemCertificates\Request\Certificates\*[*]</pattern>
<pattern type="Registry">HKLM\SOFTWARE\Microsoft\SystemCertificates\ACRS\CTLs\*[*]</pattern>

Witam. Odniosę się do Pańskiej odpowiedzi. Rzeczywiście, co do GPO, to może być problem z zidentyfikowaniem stacji po migracji, ale nie widzę problemu wystawienia nowego certyfikatu dla takiego komputera. Nawet jak opcja Autoenrollment miała by podmienić wszystkie certyfikaty dla komputerów, to nie powinno się tu nic złego wydarzyć. Rozwiązanie drugie to wykluczyć migrację certyfikatu, dokładnie tak, jak Pan zrobił.

Pozdrawiam.

Witam.

Nie diagnozowałem dokładnie problemu z odnowieniem certyfikatów z opcją Autoenrollment, która jest ustawiona, ale nie działało.

Korzystając z USMT można skonfigurować własne pliki konfiguracyjne *.xml, które zabronią importowania certyfikatów komputera, np.:

 <?xml version="1.0" encoding="UTF-8"?>

 <migration urlid="http://www.microsoft.com/migration/1.0/migxmlext/customExclude">

    <component type="Documents" context="System">

       <displayName>SkipMachineCerts</displayName>

       <role role="Data">

          <rules>

             <include>

                <objectSet>

                   <pattern Type= "Registry">
                           HKLM\SOFTWARE\Microsoft\SystemCertificates\My\Certificates\*[*]</pattern>

                </objectSet>

             </include>

      <unconditionalExclude>

                <objectSet>

                   <pattern type="Registry">
                          HKLM\SOFTWARE\Microsoft\SystemCertificates\My\Certificates\*[*]</pattern>

                </objectSet>

             </unconditionalExclude>

          </rules>

       </role>

    </component>

 </migration>

 Pobrane ze strony:

http://social.technet.microsoft.com/Forums/systemcenter/en-US/8904cf60-e39b-4a10-9e44-8ddf8a0d1850/usmt-and-client-certificate-problem?forum=configmgrosd