Почему Windows CA Server выдает несколько сертификатов для одного и того же пользователя?

В настоящее время я внедряю реализацию EAP/TLS WIFI, чтобы заменить нашу реализацию EAP/MSCHAP2 wifi. Я использую Windows Server 2008, и я установил центр сертификации. Пользовательские сертификаты выдвигаются с использованием групповой политики. Политика беспроводной сети также передается с использованием групповой политики. Все отлично работает и подключение к Wi-Fi все работает на клиентах.

Я заметил, что сервер CA создает новый сертификат пользователя для каждого устройства, которое входит в домен. Итак, давайте предположим, что у вас есть 2 ноутбука, и они оба входят в домен как один и тот же пользователь, у них обоих будет установлен уникальный сертификат пользователя. Несмотря на то, что все работает нормально и это не вызывает никаких проблем, мне действительно интересно, какова вся эта идея.

Я ожидаю, что у каждого пользователя есть 1 сертификат, и если новое устройство входит в домен, будет выдан тот же сертификат. В случае кражи ноутбука легко отозвать сертификат пользователя и создать новый. В текущем сценарии мне нужно выяснить, какой сертификат необходимо отозвать, а мне это кажется неправильным. Люди говорили мне, что это дает больше "корпоративной" гибкости, однако я до сих пор не вижу в этом смысла. Если по какой-либо причине вы хотите иметь несколько пользовательских сертификатов (то есть использовать их для разных сценариев), это можно легко решить с помощью другой подпрограммы, и для меня это кажется правильным решением. В дополнение к этому, сертификаты используются для аутентификации пользователя. Если бы вы внедрили ту же логику / логику, используя системы имени пользователя / пароля (т. Е. Каждый ноутбук имеет разные пароли для одного и того же пользователя), люди бы подумали, что это очень глупо.

Итак, я упускаю весь смысл этого. Может кто-нибудь уточнить, почему это так? Можно ли реализовать это таким образом, чтобы ЦС повторно выдавал один и тот же сертификат каждому устройству, которое проходит проверку подлинности в домене с использованием того же имени пользователя?