# Windows

Der folgende Artikel beschreibt die Bereitstellung von Geräte- und/oder Benutzerzertifikaten für Windows-Geräte. Die Bereitstellung des SCEPman-Stammzertifikats ist obligatorisch. Anschließend können Sie wählen, ob Sie nur das Geräte-, nur das Benutzer- oder beide Zertifikatstypen bereitstellen möchten.

## Stammzertifikat

Die Grundlage für die Bereitstellung von SCEP-Zertifikaten ist das Vertrauen in das Stammzertifikat von SCEPman. Daher müssen Sie das CA-Stammzertifikat herunterladen und als **Vertrauenswürdiges Zertifikat** Profil über Microsoft Intune bereitstellen:

* [ ] Laden Sie das CA-Zertifikat aus dem SCEPman-Portal herunter:

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Erstellen Sie ein Profil für **Windows 10 und neuer** mit Typ **Vertrauenswürdiges Zertifikat** in Microsoft Intune:

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-d8b8e3c0e22f1cf527ba4cb838199d8184f413a0%2FSCEPmanWindowsRootCA.png?alt=media)

* [ ] Laden Sie Ihre zuvor heruntergeladene **.cer-Datei**.
* [ ] Nun können Sie dieses Profil auf Ihre Geräte bereitstellen. Bitte wählen Sie Alle Benutzer und/oder Alle Geräte oder eine dedizierte Gruppe für die Zuweisung.

{% hint style="info" %}
Beachten Sie, dass Sie dieselbe Gruppe für die Zuweisung des Vertrauenswürdigen Zertifikats und des SCEP-Profils verwenden müssen. Andernfalls kann die Intune-Bereitstellung fehlschlagen.
{% endhint %}

## Gerätezertifikate

* [ ] Öffnen Sie das SCEPman-Portal und kopieren Sie die URL unter Intune MDM

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e72dec344ae0106207cac3c5039842bea56f2558%2FSCEPmanMDMURL.png?alt=media)

* [ ] Erstellen Sie ein Profil für **Windows 10 und neuer** mit Typ **SCEP-Zertifikat** in Microsoft Intune

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-aa427fde38771526445c1fe1a79a1ef9617b74e5%2FSCEPmanWindowsDeviceCr.png?alt=media)

* [ ] Konfigurieren Sie das Profil wie folgt:

<details>

<summary>Zertifikatstyp: <code>Gerät</code></summary>

In diesem Fall richten wir ein Gerätezertifikat ein

</details>

<details>

<summary>Format des Subject-Namens: <code>CN={{DeviceName}}</code> oder <code>CN={{DeviceId}}</code> oder <code>CN={{AAD_Device_ID}}</code></summary>

**Empfohlen:** Verwenden Sie `{{DeviceName}}`für das CN-RDN, um einen aussagekräftigen Namen des Zertifikats auf dem Gerät oder bei der Suche nach dem Zertifikat zu haben.

**Optional:** Wenn konfiguriert auf `CN={{DeviceId}}` oder `CN={{AAD_Device_ID}}`, verwendet SCEPman das CN-Feld des Subject-Namens, um das Gerät zu identifizieren und als Seed für die Generierung der Zertifikat-Seriennummer. Microsoft Entra ID (Azure AD) und Intune bieten zwei verschiedene IDs:

* `{{DeviceId}}`: Diese ID wird von Intune generiert und verwendet.\
  \
  (erfordert SCEPman 2.0 oder höher und [#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/de/scepman-konfiguration/application-settings/scep-endpunkte/intune-validation#appconfig-intunevalidation-devicedirectory "mention") auf **Intune** oder **AADAndIntune**)
* `{{AAD_Device_ID}}`: Diese ID wird von Microsoft Entra ID (Azure AD) generiert und verwendet.

Falls weder `CN={{DeviceId}}` noch `CN={{AAD_Device_ID}}` für das CN-Feld verwendet wird (z. B. `CN={{DeviceName}})`, identifiziert SCEPman das Gerät anhand der Intune-Geräte-ID (`(URI)Wert:` `IntuneDeviceId://{{DeviceId}}`) die im Subject Alternative Name (SAN) bereitgestellt wird.

**Wichtig:** Die Wahl des CN-Feldes beeinflusst das [automatische Sperrverhalten](https://docs.scepman.com/de/manage-certificates#automatic-revocation) von Zertifikaten, die an Ihre von Intune verwalteten Geräte ausgegeben werden.

Sie können bei Bedarf weitere RDNs hinzufügen (z. B.: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Unterstützte Variablen sind in den [Microsoft-Dokumenten](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Subject Alternative Name: <code>(URI)</code>Wert: <code>IntuneDeviceId://{{DeviceId}}</code></summary>

Das URI-Feld wird [von Microsoft empfohlen](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) für NAC-Lösungen, um Geräte anhand ihrer Intune-Geräte-ID zu identifizieren. Der Wert sollte sein:

```
IntuneDeviceId://{{DeviceId}}
```

Das **URI-Feld ist zwingend erforderlich** falls weder `CN={{DeviceId}}` noch `CN={{AAD_Device_ID}}` im **Format des Subject-Namens** Feld verwendet wird.

Andere SAN-Werte wie DNS können bei Bedarf hinzugefügt werden.

</details>

<details>

<summary>Gültigkeitsdauer des Zertifikats: <code>1 Jahr</code></summary>

Die verbleibende Zeit bis zum Ablauf des Zertifikats. Standardmäßig ist ein Jahr eingestellt.

SCEPman begrenzt die Zertifikatsgültigkeit auf das in der Einstellung konfigurierte Maximum [***AppConfig:ValidityPeriodDays***](https://docs.scepman.com/de/scepman-konfiguration/application-settings/certificates#appconfig-validityperioddays), verwendet ansonsten die im Antrag konfigurierte Gültigkeit.

</details>

<details>

<summary>Key Storage Provider (KSP): <code>In TPM (Trusted Platform Module) KSP einschreiben, andernfalls fehlschlagen</code></summary>

Diese Einstellung bestimmt den Speicherort des privaten Schlüssels für Endbenutzerzertifikate. Die Speicherung im TPM ist sicherer als die softwarebasierte Speicherung, da das TPM eine zusätzliche Sicherheitsschicht bietet, um Schlüsselklau zu verhindern.

Hinweis: Es gibt **einen Fehler in einigen älteren TPM-Firmwareversionen** der einige mit einem TPM-gesicherten privaten Schlüssel erzeugte Signaturen ungültig macht. In solchen Fällen kann das Zertifikat nicht für EAP-Authentifizierung verwendet werden, wie es bei Wi‑Fi- und VPN-Verbindungen üblich ist. Darüber hinaus kann dies Ihren Autopilot-Onboarding-Prozess beeinträchtigen.

Betroffene TPM-Firmwareversionen sind unter anderem:

* STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100, 73.20.17568.6684
* Intel: 11.8.50.3399, 2.0.0.2060
* Infineon: 7.63.3353.0
* IFX: Version 3.19 / Spezifikation 1.2
* IFX Version 7.63.3353.0 Spezifikation 2.0

Wenn Sie TPM mit dieser Firmware verwenden, aktualisieren Sie entweder Ihre Firmware auf eine neuere Version oder wählen Sie "Software KSP" als Key Storage Provider aus.

**Aktualisierung:** Sie können den TPM-Fehler umgehen, indem Sie die RSA-PSS-Signaturalgorithmen – die das Problem verursachen – aus der Registry entfernen. Weitere Informationen finden Sie in [Richard Hicks' Artikel](https://directaccess.richardhicks.com/2023/02/13/always-on-vpn-authentication-failed-reason-code-16/) und [Microsoft Q\&A](https://learn.microsoft.com/en-us/answers/questions/467673/windows-10-tpm-2-0-client-authentication-in-tls-1)

</details>

<details>

<summary>Schlüsselverwendung: <code>Digitale Signatur</code> und <code>Schlüsselverschlüsselung</code></summary>

Bitte aktivieren Sie beide kryptografischen Aktionen.

SCEPman setzt die Schlüsselverwendung automatisch auf **Digitale Signatur** und **Schlüsselverschlüsselung** und überschreibt die hier vorgenommene Einstellung, sofern die Einstellung [***AppConfig:UseRequestedKeyUsages***](https://docs.scepman.com/de/scepman-konfiguration/application-settings/certificates#appconfig-userequestedkeyusages) auf *true*.

</details>

<details>

<summary>gesetzt ist. <code>2048</code></summary>

Schlüsselgröße (Bits):

</details>

<details>

<summary>SCEPman unterstützt 2048 Bit. <code>Hash-Algorithmus:</code></summary>

SHA-2

</details>

<details>

<summary>SCEPman unterstützt den SHA-2-Algorithmus. <code>Stammzertifikat:</code></summary>

Profil aus dem vorherigen Schritt (Root certificate Profile) [Bitte wählen Sie das Intune-Profil aus](#root-certificate)#Root Certificate [.\
Wenn Sie eine](https://docs.scepman.com/de/scepman-bereitstellung/intermediate-certificate)Zwischenzertifizierungsstelle

</details>

<details>

<summary>verwenden, müssen Sie das Vertrauenswürdigkeitszertifikat-Profil für die Zwischenzertifizierungsstelle auswählen, nicht das Root-CA-Profil! <code>Erweiterte Schlüsselverwendung:</code></summary>

Clientauthentifizierung, 1.3.6.1.5.5.7.3.2 **Bitte wählen Sie** Clientauthentifizierung (1.3.6.1.5.5.7.3.2) **unter**Vordefinierte Werte

</details>

<details>

<summary>. Die anderen Felder werden automatisch ausgefüllt. <code>20</code></summary>

Erneuerungsschwelle (%): **Dieser Wert definiert, wann das Gerät berechtigt ist, sein Zertifikat zu erneuern (basierend auf der verbleibenden Laufzeit eines vorhandenen Zertifikats). Bitte lesen Sie die Anmerkung unter** Gültigkeitsdauer des Zertifikats

</details>

<details>

<summary>und wählen Sie einen geeigneten Wert, der es dem Gerät ermöglicht, das Zertifikat über einen langen Zeitraum zu erneuern. Ein Wert von 20 % würde dem Gerät mit einem ein Jahr gültigen Zertifikat erlauben, die Erneuerung 73 Tage vor Ablauf zu starten. <a href="#device-certificates">SCEP-Server-URLs: Öffnen Sie das SCEPman-Portal und kopieren Sie die URL von</a></summary>

**Intune MDM**

```
Beispiel
```

</details>

### Intune MDM

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FwPUpuqwdzp8vAlWLkK3r%2F2024-03-14%2015_18_35.png?alt=media&#x26;token=89c6fa14-b6b3-4de1-9c17-2acd3fd9f793" alt=""><figcaption></figcaption></figure>

* [ ] <https://scepman.contoso.com/certsrv/mscep/mscep.dll>

## Nun können Sie dieses Profil auf Ihre Geräte bereitstellen. Bitte wählen Sie dieselben Gruppen für die Zuweisung wie für das Vertrauenswürdigkeitszertifikat-Profil.

Benutzerzertifikate [Bitte folgen Sie den Anweisungen unter](#device-certificates) #Device certificates

<details>

<summary>Zertifikatstyp: <code>und beachten Sie die folgenden Unterschiede:</code></summary>

Benutzer

</details>

<details>

<summary>Format des Subject-Namens: <code>In diesem Abschnitt richten wir ein Benutzerzertifikat ein.</code></summary>

CN={{UserName}},E={{EmailAddress}} [Microsoft-Dokumenten](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile)Sie können RDNs nach Ihren Bedürfnissen definieren. Unterstützte Variablen sind in den

</details>

<details>

<summary>Subject Alternative Name: <code>. Wir empfehlen, den Benutzernamen (z. B.: janedoe) und die E-Mail-Adresse (z. B.: janedoe@contoso.com) als Basiseinstellung aufzunehmen.</code>Wert: <code>(UPN)</code></summary>

{{UserPrincipalName}} **Sie müssen den User Principal Name als Subject Alternative Name hinzufügen.** Fügen Sie '{{UserPrincipalName}}' als Subject Alternative Name vom Typ User principal name (UPN) hinzu.

Dies stellt sicher, dass SCEPman Zertifikate mit Benutzerobjekten in AAD verknüpfen kann. Die Einstellung für 'Format des Subject-Namens' ist frei wählbar.

</details>

{% hint style="info" %}
Andere SAN-Werte wie eine E-Mail-Adresse können bei Bedarf hinzugefügt werden.
{% endhint %}

### Intune MDM

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F2Qqx3ibMVAuFdPwOqjVo%2Fimage.png?alt=media&#x26;token=dc578908-af36-4133-8a26-58dab237016a" alt=""><figcaption></figcaption></figure>

## Basierend auf Kundenfeedback scheint es, dass einige VPN-Clients (z. B. Azure VPN Client für Virtual WAN) das Benutzerzertifikat nicht finden können, wenn es im TPM gespeichert ist. Versuchen Sie stattdessen, es im Software-KSP einzuschreiben.

Benutzerzertifikat für digitale Signatur **Sie können SCEPman für transaktionale** digitale Signaturen

{% hint style="warning" %}
**verwenden, z. B. für S/MIME-Signaturen in Microsoft Outlook. Wenn Sie planen, die Zertifikate für das Signieren von Nachrichten zu verwenden, müssen Sie die entsprechenden erweiterten Schlüsselverwendungen in der Intune-Profilkonfiguration hinzufügen.** Verwenden Sie **SCEPman** nicht für E-Mail-Verschlüsselung **z. B. für S/MIME-Mail-Verschlüsselung in Microsoft Outlook (ohne eine separate Technologie für das Schlüsselmanagement). Die Natur** des SCEP-Protokolls beinhaltet keinen Mechanismus zur Sicherung oder Archivierung von privaten Schlüsseln.
{% endhint %}

* [ ] Wenn Sie SCEP für E-Mail-Verschlüsselung verwenden würden, könnten Sie später die Schlüssel zum Entschlüsseln der Nachrichten verlieren.

- [*`AppConfig:UseRequestedKeyUsages`*](https://docs.scepman.com/de/scepman-konfiguration/application-settings/certificates#appconfig-userequestedkeyusages) Sie müssen diese Konfigurationsvariablen setzen, da sonst die angeforderte Schlüsselverwendung und die erweiterte Gültigkeitsdauer im SCEP-Profil von SCEPman nicht berücksichtigt werden: *`true`*
- [*`AppConfig:ValidityPeriodDays`*](https://docs.scepman.com/de/scepman-konfiguration/application-settings/certificates#appconfig-validityperioddays) *Sie müssen diese Konfigurationsvariablen setzen, da sonst die angeforderte Schlüsselverwendung und die erweiterte Gültigkeitsdauer im SCEP-Profil von SCEPman nicht berücksichtigt werden: `365` auf*

setzen (ein maximaler Wert von 1825 - 5 Jahre ist möglich) **Um Benutzerzertifikate bereitzustellen, die für** Digitale Signaturen [verwendet werden, folgen Sie bitte den Anweisungen unter](#user-certificates) #User certificates

<details>

<summary>und beachten Sie die folgenden Unterschiede und Hinweise:</summary>

* **Subject Alternative Name** *`(UPN)`*
* **(erforderlich) User Principal Name (UPN):** *`(erforderlich) E-Mail-Adresse:`*

{{EmailAddress}}

</details>

<details>

<summary>Durch die Bereitstellung eines digitalen Signaturzertifikats müssen Sie die UPN und die E-Mail-Adresse hinzufügen. <code>Digitale Signatur</code></summary>

</details>

<details>

<summary>Schlüsselverwendung: nur <code>Erweiterte Schlüsselverwendung:</code></summary>

Clientauthentifizierung, 1.3.6.1.5.5.7.3.2 **Erweiterte Schlüsselverwendung:** Clientauthentifizierung (1.3.6.1.5.5.7.3.2) **unter**Vordefinierte Werte

</details>

<details>

<summary>Sichere E-Mail (1.3.6.1.5.5.7.3.4) <code>50</code></summary>

Erneuerungsschwelle (%):

</details>

### **Intune MDM**

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FXdXBo3tXxMcWnygAfNG9%2Fimage.png?alt=media&#x26;token=6737119f-3212-4ba8-a026-de0a7ac000fd" alt=""><figcaption></figcaption></figure>

Wir empfehlen, die Erneuerungsschwelle (%) so einzustellen, dass Zertifikate bei Ausstellung von S/MIME-Signaturzertifikaten mindestens 6 Monate vor Ablauf erneuert werden. Dies liegt daran, dass in Outlook E-Mails, die mit abgelaufenen Zertifikaten signiert sind, als ungültig angezeigt werden, was die Benutzer verwirrt. Ein neues Zertifikat lange vor dem Ablauf des alten stellt sicher, dass nur ältere E-Mails dieses Verhalten zeigen, die Benutzer seltener ansehen. Wenn Ihre Signaturzertifikate beispielsweise ein Jahr gültig sind, sollten Sie die Erneuerungsschwelle auf mindestens 50 % setzen. **Nach einer erfolgreichen Profilsynchronisierung sollten Sie das Benutzerzertifikat für die vorgesehenen Verwendungszwecke sehen**

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-848730ed3fbc1a0b52f8147f6811458980777211%2Fimage%20\(16\).png?alt=media)

Sichere E-Mail

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-b1efd143a9772f459b5691490cf7d3f5d1714f81%2Fdigital%20Sign2.png?alt=media)

### Das Zertifikat wird z. B. in Outlook für die Verwendung bei digitalen Signaturen verfügbar sein. Unten ist ein Beispiel für die Verwendung

{% hint style="warning" %}
S/MIME-Signaturen in Microsoft Outlook aktivieren [Die S/MIME-Funktion ist im neuesten Outlook-Client nicht verfügbar. Weitere Informationen](https://techcommunity.microsoft.com/t5/outlook-blog/the-new-outlook-for-windows-for-organization-admins/ba-p/3929169).
{% endhint %}

hier [Sobald Sie S/MIME-Signaturzertifikate auf Ihren Clientrechnern bereitgestellt haben, müssen Sie Outlook so konfigurieren, dass diese Zertifikate vor dem Senden signierter E-Mails verwendet werden. Sie können dies manuell tun oder unser](https://github.com/glueckkanja-pki/PKI-Configuration-Tools/blob/master/README.md).

### PowerShell-Skript zur Konfiguration von Outlook

S/MIME-Signaturen in Outlook im Web aktivieren

```
Sie können E-Mails in Outlook im Web mit S/MIME signieren, indem Sie Zertifikate von Ihrem lokalen Windows-Rechner verwenden. Sie müssen dies mit folgendem Befehl aktivieren:
```

Set-SmimeConfig -OWAAllowUserChoiceOfSigningCertificate $true
