Radius с авторизацией по сертификатам
 

Всем доброго дня!

В данный момент есть следующая конфигурация:

1. Windows 2012r2 DC root domain (root.loc) + NAP + CA

2. Windows 2012r2 DC child domain (domain1.root.loc)

3. Windows 2012r2 DC child domain (domain2.root.loc)

4. Windows 2012r2 DC child domain (domainN.root.loc)

5. Windows 2012r2 + Unifi Controller

6. N штук точек доступа

7. Пользовательские компьютеры находятся в доменах domain1.root.loc, domain2.root.loc и тд.

В данный момент настроил NAP, настроил Unifi COntroller как RADIUS-клиента, пользователи подключаются под своими доменными логинами-паролями.

Основная идея сделать так, чтобы пользователям через GPO раскидывался SSID и сертификат для подключения к этому SSID. Как я понимаю, основная проблема в том, что сертификаты из CA, установленный в root.loc не будут видеть дочерние домены, чтобы их можно было раскидать через Групповые политики.

Подскажите, как можно красиво решить задачку?