UAG portal 有幾個跟用戶端憑證(非 SSL 憑證)有關的主題，常讓很多人混淆，這篇文章做一個整理，希望能澄清一些常見的迷思。憑證在 UAG portal 有幾個情境包括:

1. Client Certificate Authentication
2. UAG Certified Endpoint
3.  Computer Certificate inspection
4. Privileged Endpoint

接下來，我們就這幾個用途詳細說明如下。

1. UAG 預設採用表單式驗證(Forms-Based Authentication，FBA)，Client Certificate Authentication可以『取代』表單式驗證，UAG 將用戶端憑證的內容抓取出來與 AD(或設定的認證來源) 比對，如果比對結果相符，就視為認證成功，這個方式用戶端不需要輸入密碼，不過這個方式只能認證使用者憑證，因為 IE 無法存取電腦憑證區，設定方式請參考:
   http://technet.microsoft.com/en-us/library/ee861163.aspx
   請注意，設定細節與憑證、目錄結構有很密切的關聯，因此實際的設定可能與文件內容不盡相同，甚至需要客製。
2. UAG Certified Endpoint 可以說是表單式驗證的『補充』，用戶端連線時，仍然如標準作法，輸入帳號與密碼，驗證成功後，UAG 緊接著要求用戶端提供使用者憑證，不過這個動作並非像Client Certificate Authentication的強制性，這裡只是像 UAG 的其他用戶端偵測一樣，將憑證作為一個用戶端偵測回傳值，這種作法只是為了確保憑證是正確而且確實是由用戶端電腦所取得；啟用這個功能的方式，請由 trunk 的 advanced configuration 中，將 Session 標籤頁的 "use certified endpoint" 選項啟用，在相同的設定中還有個  verify username 選項，這個選項的目的是由用戶端輸入的使用者帳號與憑證內容進行比對， 同樣地這個情境只能使用使用者憑證，因為 IE 無法存取電腦憑證區。
   
   用戶端在憑證彈出時，可以放棄選取憑證，此舉就好比告訴 UAG 使用者並沒有憑證，用戶端仍然可以登入，不過就只能使用指定的應用程式，系統管理者可以利用用戶端偵測的 “Certified Endpoint”參數放入應用程式中進行判斷。
3. Computer Certificate inspection 其實是有些問題的，原因跟前面一樣的安全性限制，但是我們仍然在某種程度上可以使用，不過作業系統限制在 XP X86 SP2+ 與 Vista X86。這項功能是利用用戶端偵測功能(就跟偵測防毒軟體或防火牆一樣)，檢驗憑證的動作由UAG 用戶端元件執行，用戶端元件會嘗試讀取使用者、服務或電腦憑證區的憑證並驗證廢止清單 CRL；一個非常重要的不同點在於憑證並不會傳送到 UAG，所有檢查動作都在用戶端電腦上的用戶端元件，要導入這個檢查，必須客製用戶端檢查script與policy，這樣子 UAG 才能在用戶端偵測時接收結果值並進行判斷，不過並沒有文件提到詳細作法。
4. Privileged Endpoint 其實跟憑證並沒有關係，但是因為經常被混淆，我們也就一併討論，Privileged Endpoint 並不是預先設定好的存取權限，Privileged Endpoint 也是經由用戶端偵測回傳結果進行判斷所得，預設內容是取得 "Privileged Endpoint" 運算式，而這個運算式內容預設為 "False"，換句話說，在 UAG 安裝完成後，並不會有任何用戶端電腦會視為 "Privileged Endpoint"，您可以利用所有內建用戶端偵測結果或運算式，甚至自訂的檢查script，來訂定何種條件的電腦可以視為"Privileged Endpoint"；這種做法的目的是可以把使用者分成兩類，第一種擁有固定的逾時設定與某些行為，而符合 "Privileged Endpoint" 的使用者可以有較寬鬆的設定，設定這兩類使用者的行為可由 trunk 的 advanced configuration 中的Session 標籤頁。
   
   Privileged Endpoint 也可以用在 Application Access Policy 中，作為決定應用程式存取使用。