> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/scepman-bereitstellung/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md).

# Zertifikatbasierte Authentifizierung für RDP

Sie können SCEPman verwenden, um Ihren Benutzern Smartcard-Anmeldezertifikate auszustellen. Indem Sie sie bei Windows Hello for Business (*Microsoft Passport-Schlüsselspeicheranbieter*) registrieren, können sie diese Zertifikate verwenden, um sich mit ihrer Hello-PIN oder biometrischen Optionen bei lokalen Ressourcen zu authentifizieren.

Dies ermöglicht es Benutzern beispielsweise, sich über das Remote Desktop Protocol (RDP) mit ihren Windows Hello for Business-Anmeldeinformationen mit anderen Clients zu verbinden.

## Active Directory einrichten

### Anforderungen

* SCEPmans CA-Zertifikat muss im **NTAuth** Speicher veröffentlicht werden, um Benutzer bei Active Directory zu authentifizieren
* Domain Controllers müssen über ein Domain Controller-Zertifikat verfügen, um Smartcard-Benutzer zu authentifizieren
* Domain Controllers und Zielmaschinen müssen SCEPmans Root-CA vertrauen

Folgen Sie unserer Anleitung zu Domain Controller-Zertifikaten, um das SCEPman-Root-CA-Zertifikat in den **NTAuth** Speicher zu veröffentlichen und Zertifikate für Ihre Domain Controllers auszustellen:

{% content-ref url="/pages/e050903cae8d189b66a56974469c0a98bb20927e" %}
[Active Directory](/de/zertifikatsverwaltung/active-directory.md)
{% endcontent-ref %}

Sie können ein **Gruppenrichtlinienobjekt** erstellen, um die Verteilung des Root-Zertifikats an die beteiligten Maschinen zu steuern: [Um Zertifikate mithilfe von Gruppenrichtlinien an Clientcomputer zu verteilen](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

{% content-ref url="/pages/40039e0e3cec82bd356c00b580461a6b58fb06ea" %}
[Gruppenrichtlinie](/de/zertifikatsverwaltung/active-directory/group-policy.md)
{% endcontent-ref %}

Das Zertifikat muss auf allen Domain Controllers, die die Authentifizierungen verarbeiten, und auf allen Zielmaschinen bereitgestellt werden, zu denen Benutzer mithilfe dieser Methode eine Verbindung herstellen möchten.

{% hint style="danger" %}
Bitte beachten Sie, dass, sobald SCEPmans Root-Zertifikat im NTAuth-Speicher veröffentlicht ist, Benutzer, die den Inhalt von von SCEPman ausgestellten Zertifikaten beeinflussen können (z. B. Intune-Administratoren), in der Lage sind, sich als beliebige Active Directory-Prinzipale auszugeben.
{% endhint %}

## Bereitstellen der Smartcard-Zertifikate mit Intune

### Vertrauenswürdiges Zertifikatsprofil

Ihre Clients müssen [dem Root-Zertifikat von SCEPman vertrauen](/de/zertifikatsverwaltung/microsoft-intune/windows-10.md#root-certificate).

Wenn Sie SCEPman bereits verwenden, um Zertifikate auf Ihren Clients bereitzustellen, ist dieses Profil bereits vorhanden.

### Smartcard-Zertifikat

Erstellen Sie ein Profil für **Windows 10 und neuer** mit dem Typ **SCEP-Zertifikat** in Microsoft Intune und konfigurieren Sie das Profil wie beschrieben:

<details>

<summary>Zertifikattyp: <code>Benutzer</code></summary>

</details>

<details>

<summary>Format des Antragstellernamens: <code>CN={{UserPrincipalName}}</code></summary>

Falls das UPN-Suffix der Zielbenutzer in Entra ID von dem in Active Directory verwendeten abweicht, sollten Sie `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Alternativer Antragstellernamenwert: UPN-Wert: <code>{{UserPrincipalName}}</code> und URI-Wert: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

Die URI mit der SID ist erforderlich, um eine [Starke Zertifikatszuordnung](/de/scepman-konfiguration/application-settings/certificates.md#appconfig-addsidextension) in AD. Alternativ können Sie SCEPman so konfigurieren, [eine Erweiterung mit der SID hinzuzufügen](/de/scepman-konfiguration/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse) zu Benutzerzertifikaten und die URI nicht zu konfigurieren.

</details>

<details>

<summary>Schlüsselspeicheranbieter (KSP): <code>Bei Windows Hello for Business registrieren, andernfalls fehlschlagen (Windows 10 und neuer)</code></summary>

</details>

<details>

<summary>Schlüsselverwendung: <code>Digitale Signatur</code> und <code>Schlüsselverschlüsselung</code></summary>

</details>

<details>

<summary>Schlüsselgröße (Bits): <code>2048</code></summary>

</details>

<details>

<summary>Hash-Algorithmus: <code>SHA-2</code></summary>

</details>

<details>

<summary>Root-Zertifikat: <code>Profil aus dem vorherigen Schritt (Vertrauenswürdiges Zertifikatsprofil)</code></summary>

</details>

<details>

<summary>Erweiterte Schlüsselverwendung: <code>Clientauthentifizierung</code> und <code>Smartcard-Anmeldung</code>in</summary>

`Clientauthentifizierung, 1.3.6.1.5.5.7.3.2`

`Smartcard-Anmeldung, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>SCEP-Server-URLs: Öffnen Sie das SCEPman-Portal und kopieren Sie die URL von <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Verwenden Sie Windows Hello for Business, um eine Verbindung zu Remote-Hosts herzustellen

Verbinden Sie sich mit dem Remote-Host, wenn das Zertifikat beim authentifizierenden Client bereitgestellt ist, und wählen Sie den konfigurierten Windows Hello for Business-Anmeldeinformationsanbieter aus.

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&amp;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/de/scepman-bereitstellung/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.