2012 R2 - Radius с авторизацией по сертификатам

[r1sh]

Всем доброго дня!



В данный момент есть следующая конфигурация:



1. Windows 2012r2 DC root domain (root.loc) + NAP + CA



2. Windows 2012r2 DC child domain (domain1.root.loc)



3. Windows 2012r2 DC child domain (domain2.root.loc)



4. Windows 2012r2 DC child domain (domainN.root.loc)



5. Windows 2012r2 + Unifi Controller



6. N штук точек доступа



7. Пользовательские компьютеры находятся в доменах domain1.root.loc, domain2.root.loc и тд.



В данный момент настроил NAP, настроил Unifi COntroller как RADIUS-клиента, пользователи подключаются под своими доменными логинами-паролями.



Основная идея сделать так, чтобы пользователям через GPO раскидывался SSID и сертификат для подключения к этому SSID. Как я понимаю, основная проблема в том, что сертификаты из CA, установленный в root.loc не будут видеть дочерние домены, чтобы их можно было раскидать через Групповые политики.



Подскажите, как можно красиво решить задачку?