# Android

El siguiente artículo describe cómo implementar un certificado de dispositivo o de usuario para Android. La implementación de certificados en Android es similar a las implementaciones de certificados de Windows 10, macOS e iOS.

{% hint style="info" %}
Android ofrece dos conjuntos de soluciones distintos: uno es el [perfil de trabajo](https://developers.google.com/android/work/requirements/work-profile) (conocido como *Perfil de trabajo de propiedad personal)* y el otro es el [dispositivo totalmente administrado](https://developers.google.com/android/work/requirements/fully-managed-device) (también conocido como *Perfil de trabajo totalmente administrado, dedicado y de propiedad corporativa*). En ambos escenarios, la configuración de los perfiles de configuración de certificados permanece coherente.
{% endhint %}

{% hint style="info" %}
La administración de administrador de dispositivos Android se lanzó en Android 2.2 como una forma de administrar dispositivos Android. Luego, a partir de Android 5, se lanzó el marco de administración más moderno de Android Enterprise (para dispositivos que pueden conectarse de forma fiable a Google Mobile Services). **Google está fomentando la migración desde la administración de administrador de dispositivos reduciendo su compatibilidad de administración en las nuevas versiones de Android**. Para obtener más información, consulte [MS. Intune Decreasing support for Android device admin](https://techcommunity.microsoft.com/t5/intune-customer-success/decreasing-support-for-android-device-administrator/ba-p/1441935)
{% endhint %}

## Certificado raíz

La base para implementar certificados SCEP (de dispositivo o de usuario) es confiar en el certificado raíz de SCEPman. Por lo tanto, debe descargar el certificado raíz de la CA e implementarlo como un **certificado de confianza** perfil mediante Microsoft Intune:

* [ ] Descargue el certificado de la CA desde el portal de SCEPman

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Cree un perfil para Android Enterprise con el tipo **certificado de confianza** en Microsoft Intune (según su opción de inscripción para dispositivos Android)

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F2DS8ORZGsIam5n30wm78%2F2024-01-09%2015_24_48-Create%20a%20profile.png?alt=media&#x26;token=1f67c895-0c97-4b18-9f2a-c5d9cde273df" alt=""><figcaption></figcaption></figure>

* [ ] Cargue su archivo **.cer descargado previamente**.
* [ ] Ahora puede implementar este perfil en sus dispositivos. Elija Todos los usuarios y/o Todos los dispositivos o un grupo dedicado para la asignación.

{% hint style="info" %}
Tenga en cuenta que debe usar el **mismo grupo para asignar** el **certificado de confianza** y **perfil SCEP**. De lo contrario, la implementación de Intune podría fallar.
{% endhint %}

## Certificados de dispositivo

* [ ] Abra el portal de SCEPman y copie la URL debajo de **Intune MDM**

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FaGrpTnexZ76xOot66Q8d%2F2024-01-09%2015_10_27.png?alt=media&#x26;token=105d39c4-50b8-4fa2-9dfe-6ee87059b1d1" alt=""><figcaption></figcaption></figure>

* [ ] Cree un perfil para Android Enterprise con el tipo **certificado SCEP** en Microsoft Intune (de nuevo, según su opción de inscripción para los dispositivos Android)

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fd73QTNENVyCjfNXDRGVO%2F2024-01-09%2016_09_19-Create%20a%20SCEP%20profile.png?alt=media&#x26;token=79df117e-3e45-4a5f-9427-9b0b49da7738" alt=""><figcaption></figcaption></figure>

* [ ] Configure el perfil como se describe

<details>

<summary>Tipo de certificado: <code>Dispositivo</code></summary>

En esta sección, estamos configurando un certificado de dispositivo.

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{DeviceId}}</code> o <code>CN={{AAD_Device_ID}}</code></summary>

SCEPman utiliza el campo CN del sujeto para identificar el dispositivo y como semilla para la generación del número de serie del certificado. Microsoft Entra ID (Azure AD) e Intune ofrecen dos identificadores diferentes:

* {{DeviceId}}: Este identificador es generado y utilizado por Intune **(Recomendado).** (Requiere [#AppConfig:IntuneValidation:DeviceDirectory](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory) esté configurado en **Intune** o **AADAndIntune**
* {{AAD\_Device\_ID}}: Este identificador es generado y utilizado por Microsoft Entra ID (Azure AD).

Puede agregar otros RDN si es necesario (por ejemplo: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Las variables compatibles se enumeran en la [documentación de Microsoft](https://learn.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Nombre alternativo del sujeto: <code>URI</code> Valor:<code>IntuneDeviceId://{{DeviceId}}</code></summary>

```
IntuneDeviceId://{{DeviceId}}
```

El campo URI está [recomendado por Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) para soluciones NAC para identificar los dispositivos según su ID de dispositivo de Intune:

Se pueden agregar otros valores SAN como DNS si es necesario.

</details>

<details>

<summary>Período de validez del certificado: <code>1 año</code></summary>

La cantidad de tiempo restante antes de que expire el certificado. El valor predeterminado es un año.

SCEPman limita la validez del certificado al máximo configurado en la opción [***AppConfig:ValidityPeriodDays***](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/certificates#appconfig-validityperioddays), pero por lo demás usa la validez configurada en la solicitud.

</details>

<details>

<summary>Uso de la clave: <code>Firma digital</code> y <code>cifrado de clave</code></summary>

Active ambas acciones criptográficas.

</details>

<details>

<summary>Tamaño de la clave (bits): <code>4096</code></summary>

SCEPman admite 4096 bits.

</details>

<details>

<summary>Certificado raíz: <code>Perfil del paso anterior</code></summary>

Seleccione el perfil de Intune de \[[#root-certificate](#root-certificate "mention")]\(android.md#root-certificate).

Si está usando una [CA intermedia](https://docs.scepman.com/es/implementacion-de-scepman/intermediate-certificate), debe seguir seleccionando el perfil de certificado de confianza para la CA raíz, ¡no la CA intermedia!

</details>

<details>

<summary>Uso extendido de clave: <code>Autenticación de cliente, 1.3.6.1.5.5.7.3.2</code></summary>

Por favor, elija **Autenticación de cliente (1.3.6.1.5.5.7.3.2)** en **Valores predefinidos**. Los demás campos se rellenarán automáticamente.

</details>

<details>

<summary>Umbral de renovación (%): <code>20</code></summary>

Este valor define cuándo se permite al dispositivo renovar su certificado (según la vida útil restante de un certificado existente). Lea la nota debajo de **Período de validez del certificado** y seleccione un valor adecuado que permita al dispositivo renovar el certificado durante un largo periodo. Un valor del 20 % permitiría al dispositivo con un certificado válido por 1 año iniciar la renovación 73 días antes del vencimiento.

</details>

<details>

<summary>URL del servidor SCEP: Abra el portal de SCEPman y copie la URL de <a href="#device-certificates">#Intune MDM</a></summary>

**Ejemplo**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

### **Ejemplo**

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F6rhuZgf1t97jdoUukn7I%2F2024-01-11%2011_04_19-SCEP%20certificate%20-%20AndroidEnterpriseDeviceCert.png?alt=media&#x26;token=50626cb1-717f-40e0-a26d-efcfbf4ec526" alt=""><figcaption></figcaption></figure>

## Certificados de usuario

Siga las instrucciones de [#Device certificates](#device-certificates) y tenga en cuenta las siguientes diferencias:

<details>

<summary>Tipo de certificado: <code>Usuario</code></summary>

En esta sección estamos configurando un certificado de usuario.

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

Puede definir RDN según sus necesidades. Las variables compatibles se enumeran en la [documentación de Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Recomendamos incluir el nombre de usuario (por ejemplo: janedoe) y la dirección de correo electrónico (por ejemplo: <janedoe@contoso.com>) como configuración básica.

</details>

<details>

<summary>Nombre alternativo del sujeto: <code>(UPN)</code>Valor: <code>{{UserPrincipalName}}</code></summary>

Debe **debe** agregar el nombre principal de usuario como nombre alternativo del sujeto. **Agregue '{{UserPrincipalName}}' como nombre alternativo del sujeto de tipo nombre principal de usuario (UPN).** Esto garantiza que SCEPman pueda vincular los certificados a los objetos de usuario en AAD.

Se pueden agregar otros valores SAN, como una dirección de correo electrónico, si es necesario.

</details>

{% hint style="info" %}
Es necesario tener un **nombre alternativo del sujeto** en el **Certificado SCEP, tipo de usuario**. Sin un SAN, no tendrá acceso a la Wi‑Fi de su empresa.
{% endhint %}

### **Ejemplo**

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F7tlHRUVO5ebSmQjZ1uRu%2F2024-01-11%2010_59_48-SCEP%20certificate%20-%20AndroidEnterpriseUserCert.png?alt=media&#x26;token=6d860b78-8f70-4606-88ca-cf5f259cd560" alt=""><figcaption></figcaption></figure>

## Comprobación del certificado

Para asegurar la correcta implementación de certificados en su dispositivo Android, hay dos opciones:

* En versiones más nuevas de Android (por ejemplo, 14), puede verificar los certificados (de usuario y certificados de confianza) desde la **configuración** > **seguridad y privacidad**
* Mediante aplicaciones de terceros como [X509 Certificate Viewer Tool](https://play.google.com/store/apps/details?id=com.rdupletlabs.certificateviewer)