Sur chaque modèle de certificat, il est possible de définir des permissions spécifiques pour des utilisateurs, ordinateurs ou des groupes. Il est préférable d'utiliser des groupes et de gérer les membres.

Pour qu'un utilisateur ou un ordinateur puisse obtenir un certificat, il lui faut la permission d' « inscrire ».

Pour déployer des certificats automatiquement à l'aide d'une stratégie de groupe, il faut la permission d'« inscription automatique » et il ne faut pas demander d'approbation de la demande (voir gérer une autorité ADCS : Approuver ou refuser un certificat et Certificat et auto-inscription).

Par défaut, les utilisateurs authentifiés ont le droit de lire les informations du modèle. Les administrateurs du domaine et de l'entreprise disposent en plus de la permission d'écrire et d'inscrire ce certificat.

Pour demander une approbation d'un gestionnaire de certificat, vous devez sélectionner l'option « approbation du gestionnaire de certificat de l'autorité de certification » dans la partie « conditions d'émission ».