我们希望能够禁用 Active Directory 中的计算机并阻止该计算机访问我们的 VPN。

我有一个 ASA VPN 设置、Cisco Security Desktop 和一个动态访问策略来检查主机。AAA 使用 LDAP 与活动目录对话。主要身份验证针对用户，二级身份验证设置用于具有 DAP 的计算机。

我的第一个猜测是我可能必须切换到 RADIUS？如果我们为具有自动注册的域设置了企业证书颁发机构，我们可以检查计算机证书，但我们没有，也不能。

或者有没有办法让 ASA“代理”执行类似于计算机将使用 AD 执行的 Kerberos 身份验证以验证访问的方法？

换句话说，是否存在与用户 AAA 等效的计算机：

aaa-server AD-LDAP protocol ldap
aaa-server AD-LDAP (INSIDE) host AD-SERVER
ldap-base-dn OU=Users,OU=Dept,DC=company,DC=org
ldap-scope subtree
ldap-naming-attribute userPrincipalName
ldap-login-password *****
ldap-login-dn CN=vpn.service.account,OU=ServiceAccounts,OU=Users,OU=Dept,DC=company,DC=org

您可以在哪里更改userPrincipalName为计算机CN和base-dn计算机容器？