Android

Despliegue certificados en dispositivos Android mediante SCEP usando Intune y SCEPman.

El siguiente artículo describe cómo implementar un certificado de dispositivo o de usuario para Android. La implementación de certificados de Android es similar a las implementaciones de certificados de Windows 10, macOS e iOS.

Android ofrece dos conjuntos de soluciones distintos: uno es el perfil de trabajo (conocido como Perfil de trabajo de propiedad personal) y el otro es el dispositivo administrado completamente (también conocido como Perfil de trabajo totalmente administrado, dedicado y de propiedad corporativa). En ambos escenarios, la configuración de los perfiles de configuración de certificados se mantiene consistente.

La administración de administrador de dispositivos de Android se lanzó en Android 2.2 como una forma de gestionar dispositivos Android. Luego, a partir de Android 5, se lanzó el marco de administración más moderno de Android Enterprise (para dispositivos que pueden conectarse de forma fiable a Google Mobile Services). Google está fomentando la transición desde la administración de administrador de dispositivos al reducir su compatibilidad de administración en las nuevas versiones de Android. Para más información, consulte MS. Intune: reducción del soporte para el administrador de dispositivos de Android

Certificado raíz

La base para implementar certificados SCEP (de dispositivo o de usuario) es confiar en el certificado raíz de SCEPman. Por lo tanto, debe descargar el certificado raíz de la CA e implementarlo como un certificado de confianza perfil a través de Microsoft Intune:

• Descargue el certificado de la CA desde el portal de SCEPman

• Cree un perfil para Android Enterprise con el tipo certificado de confianza en Microsoft Intune (según su opción de inscripción para dispositivos Android)

• Cargue su archivo .cer descargado previamente.
• Ahora puede implementar este perfil en sus dispositivos. Elija Todos los usuarios y/o Todos los dispositivos o un grupo dedicado para la asignación.

Nota: debe usar el mismo grupo para asignar el certificado de confianza y perfil SCEP. De lo contrario, la implementación de Intune podría fallar.

Algunas implementaciones de Android Enterprise requieren toda la cadena de la Autoridad de certificación (CA raíz + CA intermedia) en el perfil de certificado de confianza de Intune. Esto es especialmente relevante después de renovaciones del certificado de la CA intermedia, donde implementar solo la CA raíz puede dar lugar a fallos en la implementación del certificado SCEP de usuario o WLAN.

Certificados de dispositivo

• Abra el portal de SCEPman y copie la URL debajo de Intune MDM

• Cree un perfil para Android Enterprise con el tipo certificado SCEP en Microsoft Intune (de nuevo, según su opción de inscripción para los dispositivos Android)

• Configure el perfil como se describe

Tipo de certificado: Dispositivo

En esta sección, estamos configurando un certificado de dispositivo.

Formato del nombre del sujeto: CN={{DeviceId}} o CN={{AAD_Device_ID}}

SCEPman usa el campo CN del sujeto para identificar el dispositivo y como base para la generación del número de serie del certificado. Microsoft Entra ID (Azure AD) e Intune ofrecen dos identificadores diferentes:

• {{DeviceId}}: Este ID es generado y utilizado por Intune (Recomendado). (Requiere #AppConfig:IntuneValidation:DeviceDirectory que se establezca en Intune o AADAndIntune
• {{AAD_Device_ID}}: Este ID es generado y utilizado por Microsoft Entra ID (Azure AD).

Puede agregar otros RDN si es necesario (por ejemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). Las variables compatibles se enumeran en la documentación de Microsoft.

Nombre alternativo del sujeto: URI Valor:IntuneDeviceId://{{DeviceId}}

IntuneDeviceId://{{DeviceId}}

El campo URI se recomienda en Microsoft para que las soluciones NAC identifiquen los dispositivos en función de su ID de dispositivo de Intune:

Se pueden agregar otros valores SAN, como DNS, si es necesario.

Período de validez del certificado: 1 año

La cantidad de tiempo restante antes de que expire el certificado. El valor predeterminado está establecido en un año.

SCEPman limita la validez del certificado al máximo configurado en la configuración AppConfig:ValidityPeriodDays, pero de lo contrario usa la validez configurada en la solicitud.

Uso de clave: Firma digital y cifrado de clave

Active ambas acciones criptográficas.

Tamaño de clave (bits): 4096

SCEPman admite 4096 bits.

Certificado raíz: Perfil del paso anterior

Seleccione el perfil de Intune de [Android](android.md#root-certificate).

Si está usando un CA intermedia, aún debe seleccionar el perfil de certificado de confianza para la CA raíz, ¡no para la CA intermedia!

Uso extendido de clave: Autenticación de cliente, 1.3.6.1.5.5.7.3.2

Elija Autenticación de cliente (1.3.6.1.5.5.7.3.2) en Valores predefinidos. Los demás campos se completarán automáticamente.

Umbral de renovación (%): 20

Este valor define cuándo se permite que el dispositivo renueve su certificado (según la vida útil restante de un certificado existente). Lea la nota en Período de validez del certificado y seleccione un valor adecuado que permita al dispositivo renovar el certificado durante un período prolongado. Un valor del 20 % permitiría que el dispositivo con un certificado válido por 1 año comenzara la renovación 73 días antes del vencimiento.

URL de servidores SCEP: Abra el portal de SCEPman y copie la URL de #MDM de Intune

Ejemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Ejemplo

Certificados de usuario

Siga las instrucciones de #Certificados de dispositivo y tenga en cuenta las siguientes diferencias:

Tipo de certificado: Usuario

En esta sección estamos configurando un certificado de usuario.

Formato del nombre del sujeto: CN={{UserName}},E={{EmailAddress}}

Puede definir RDN según sus necesidades. Las variables compatibles se enumeran en la documentación de Microsoft. Recomendamos incluir el nombre de usuario (por ejemplo: janedoe) y la dirección de correo electrónico (por ejemplo: [e-mail]) como configuración base.

Nombre alternativo del sujeto: (UPN)Valor: {{UserPrincipalName}}

Usted debe agregue el nombre principal del usuario como el nombre alternativo del sujeto. Agregue '{{UserPrincipalName}}' como nombre alternativo del sujeto de tipo nombre principal de usuario (UPN). Esto garantiza que SCEPman pueda vincular certificados a objetos de usuario en AAD.

Se pueden agregar otros valores SAN, como una dirección de correo electrónico, si es necesario.

Es necesario tener un Nombre alternativo del sujeto en el Certificado SCEP, tipo usuario. Sin un SAN, no tendrá acceso al Wi‑Fi de su empresa.

Ejemplo

Comprobación de certificados

Para garantizar la implementación correcta de certificados en su dispositivo Android, hay dos opciones:

• En las versiones más recientes de Android (p. ej., 14), puede verificar certificados (de usuario y certificados de confianza) desde la configuración > seguridad y privacidad
• Mediante aplicaciones de terceros como Herramienta de visualización de certificados X509