> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/administracion-de-certificados/domain-controller-certificates.md).

# Certificados de Domain Controller

{% hint style="info" %}
Esta funcionalidad requiere la versión **1.6** o superior.

Considere usar nuestro [Active Directory](/es/administracion-de-certificados/active-directory.md) en su lugar.
{% endhint %}

{% hint style="warning" %}
Solo en SCEPman Enterprise Edition
{% endhint %}

Puede usar SCEPman para emitir certificados de autenticación Kerberos a sus controladores de dominio. Esto permite que sus dispositivos unidos a AAD o híbridos se autentiquen sin interrupciones al acceder a recursos locales. Esto puede usarse para implementar la **Confianza de clave híbrida para Windows Hello for Business**. SCEPman reemplazará la necesidad de una **infraestructura de clave pública**. Los detalles se pueden encontrar [aquí](https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-hybrid-key-trust-prereqs)

## CA raíz sin la extensión de Uso mejorado de clave (EKU)

**Esta funcionalidad tiene nuevos requisitos para la CA raíz.**\
Si está actualizando desde una versión anterior, como **1.6** debe generar una **nueva** CA raíz.\
Para admitir certificados de autenticación Kerberos, el certificado de la CA no debe contener ninguna extensión de Uso mejorado de clave (EKU) o debe incluir Autenticación Kerberos e Inicio de sesión con tarjeta inteligente.

Si está empezando con SCEPman **1.6** y genera la CA raíz con nuestro SCEPman, puede omitir los siguientes pasos.\
De lo contrario, siga esta guía para generar una nueva CA raíz.

{% hint style="warning" %}
Si genera un nuevo certificado de CA, debe actualizar sus directivas de Intune e implementar la nueva CA raíz y los nuevos certificados de usuario y dispositivo.
{% endhint %}

1. Navegue a su **Key Vault**
2. Compruebe si su cuenta de usuario está agregada a las **directivas de acceso** con todos los permisos de certificado
3. Vaya a **Certificados**, seleccione su certificado de CA y haga clic en **Eliminar**
4. Después de haber eliminado correctamente el certificado de CA, debe hacer clic en **Administrar certificados eliminados**
5. Seleccione su certificado de CA, que eliminó en el paso 3, y haga clic en **Purgar** (Tenga en cuenta que después de purgar el certificado, ¡no puede restaurarlo!)
6. Ahora reinicie sus servicios de aplicación de SCEPman
7. Una vez reiniciados sus App Services, abra el panel de SCEPman navegando a su URL de SCEPman
8. Puede ver la sección **Problemas de configuración**, siga los pasos de esta sección.
9. Después de haber generado el nuevo certificado de CA, puede comprobar la idoneidad de la CA en el panel de SCEPman.

Idoneidad de la CA en el panel de SCEPman:

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-4998f1e56f64d240e4e8d23a9aa886cc8b49724b%2F2022-05-27%2011_09_46-Window.png?alt=media)

## Cambios de configuración en el servicio de SCEPman

Para habilitar la funcionalidad, debe agregar dos configuraciones de la aplicación en su servicio de SCEPman. En la implementación actual, utilizamos una clave precompartida (contraseña) para las solicitudes de DC.\
**Genere una nueva clave/contraseña y guárdela en un lugar seguro.** (la necesitará en los pasos siguientes y más adelante, en los controladores de dominio)

1. Ve a **Servicios de aplicaciones**
2. Luego elija su aplicación SCEPman
3. Después, en **Configuración** haga clic en **Variables de entorno**
4. Seleccione Agregar
5. Tipo **AppConfig:DCValidation:Enabled** como Nombre (use \_\_ en lugar de : para SCEPman basado en Linux)
6. Tipo **true** como Valor
7. Confirme con **Aceptar**
8. Seleccione **Agregar** de nuevo
9. Tipo **AppConfig:DCValidation:RequestPassword** como Nombre (use \_\_ en lugar de : para SCEPman basado en Linux)
10. Escriba su **clave/contraseña**, que generó anteriormente, como Valor
11. Confirme con **Aceptar**
12. Guarde la configuración de la aplicación

## Confíe en el certificado de CA en el dominio para la autenticación Kerberos

Los certificados utilizados para la autenticación Kerberos deben considerarse de confianza dentro del dominio de Active Directory como certificados de CA de autenticación. Descargue el certificado de CA desde el panel de SCEPman. Si guardó el archivo como `scepman-root.cer`, puede publicar el certificado de CA de SCEPman (ya sea una CA raíz o una CA intermedia) con el siguiente comando y una cuenta que tenga permisos de Administrador empresarial:

```
certutil -f -dsPublish scepman-root.cer NTAuthCA
```

De forma análoga, ejecute el siguiente comando para enviar el certificado de CA raíz (es decir, el certificado de CA de SCEPman o, en caso de que SCEPman sea una CA intermedia, la CA raíz de la cadena de certificados de CA de SCEPman) al almacén de certificados Raíz de confianza para todas las máquinas del bosque de Active Directory:

```
certutil -f -dsPublish scepman-root.cer RootCA
```

Después, el certificado de CA suele considerarse de confianza en Active Directory y, especialmente, para la autenticación Kerberos. Sin embargo, lleva algún tiempo (en la configuración predeterminada, hasta 8 horas) hasta que todos los dispositivos reciban esta configuración. Puede acelerar este proceso en cualquier máquina ejecutando `gpupdate /force`, por ejemplo, en los controladores de dominio.

Esto garantiza que los certificados de DC se consideren de confianza dentro del dominio. También son de confianza en todos los dispositivos administrados por Intune dentro del alcance de un perfil de certificado de confianza que distribuya el certificado de CA raíz. Puede ser necesario distribuir manualmente la CA raíz a otros servicios como dispositivos o servicios en la nube para que los certificados de DC sean de confianza para todos los sistemas.

## Instalación en el cliente

Luego debe descargar nuestro software cliente SCEP de código abierto [SCEPClient](https://github.com/scepman/scepclient/releases). Las versiones con el sufijo *-framework* usan .NET Framework 4.6.2, que viene preinstalado en Windows Server 2016 y es compatible con versiones más recientes. Otras versiones requieren que el runtime de .NET Core esté instalado en los sistemas de destino.

Ejecute el siguiente comando en un símbolo del sistema elevado en un controlador de dominio para obtener un certificado de Domain Controller de SCEPman:

```
ScepClient.exe newdccert https://your-scepman-domain/dc RequestPassword
```

Debe agregar la URL de SCEPman en el comando anterior, pero conservar la ruta `/dc`. Reemplace `RequestPassword` por la clave/contraseña segura que generó anteriormente.

La contraseña de solicitud está cifrada con el certificado de CA de SCEPman, por lo que solo SCEPman puede leerla. Los certificados de Domain Controller solo se emiten con la contraseña de solicitud correcta.

### Renovación automática de certificados

{% hint style="warning" %}
El comando anterior solicita un nuevo certificado de DC tanto si ya existe un certificado válido como si no. Consulte la sección siguiente para aprender a renovar certificados solo si el certificado existente está a punto de expirar.
{% endhint %}

Para una renovación totalmente automatizada de certificados, debe distribuir ScepClient a **todos** sus controladores de dominio, junto con el script de PowerShell [enroll-dc-certificate.ps1](https://github.com/scepman/scepclient/blob/Core31/enroll-dc-certificate.ps1). Agregue una tarea programada que ejecute el siguiente comando en un contexto SYSTEM (adapte la URL y la contraseña de solicitud):

```
powershell -ExecutionPolicy RemoteSigned -File c:\scepman\enroll-dc-certificate.ps1 -SCEPURL https://your-scepman-domain/dc -SCEPChallenge RequestPassword -LogToFile
```

Asegúrese de que el script de PowerShell se encuentre en el mismo directorio que SCEPClient.exe y sus dependencias adicionales.

![Configuración de la acción de ejecución en la tarea programada](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-732f9e212c1622579da03c12e497e2b1b632aaab%2Fimage%20\(17\).png?alt=media)

Esto comprueba si existen certificados de DC en el almacén de máquinas. Solo si no hay certificados adecuados con al menos 30 días de validez, usa ScepClient.exe para solicitar un nuevo certificado de DC a SCEPman. Si desea modificar el umbral de 30 días, use el parámetro -ValidityThresholdDays del script de PowerShell.

El script escribe un archivo de registro continuo en el directorio donde se almacena. Si no desea este archivo de registro, omita el `-LogToFile` parámetro. En su lugar, puede redirigir los flujos de Información, Error y/o Depuración a archivos (p. ej., `6>logfile.txt 2>&1`).

Para WHfB, todos los DC que ejecutan la versión 2016 o una posterior necesitan un certificado de autenticación Kerberos. Los DC más antiguos reenvían las solicitudes de autenticación a DC más recientes, por lo que no necesariamente requieren un certificado de autenticación Kerberos. Sin embargo, es una buena práctica proporcionarles certificados también.

### Retirada de una PKI interna existente

Asegúrese de que las PKI internas no inscriban certificados de DC (plantillas de certificado "Domain Controller", "Autenticación de Domain Controller" y "Autenticación Kerberos") en paralelo con SCEPman. De lo contrario, los DC podrían usar el certificado de DC de la PKI interna, que se considera no confiable si, por ejemplo, el CDP no es accesible. El certificado de DC de SCEPman puede usarse para todos los fines para los que pueden usarse los certificados de las plantillas mencionadas anteriormente, por ejemplo, autenticación Kerberos y LDAPS.

La forma más sencilla de lograrlo es dejar de emitir certificados de las plantillas "Domain Controller", "Autenticación de Domain Controller" y "Autenticación Kerberos" por parte de las CA internas. En el complemento MMC de la Autoridad de certificación, elimine estas plantillas de la lista de plantillas emitidas de cada CA interna. Después, elimine los certificados ya emitidos por la CA interna de los almacenes "MY" de sus controladores de dominio (`certlm.msc` y vaya a Personal). Incluso después de una `gpupdate /force`, no debería aparecer ningún nuevo certificado de DC de la PKI interna en el almacén Personal del DC.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/es/administracion-de-certificados/domain-controller-certificates.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.