# macOS

El siguiente artículo describe cómo implementar certificados de dispositivo o/y de usuario para dispositivos macOS. La implementación del certificado raíz de SCEPman es obligatoria. Después, puede elegir entre implementar solo certificados de dispositivo, solo de usuario o incluso ambos tipos de certificado.

{% hint style="warning" %}
Tenga en cuenta que macOS registra un certificado de autenticación de cliente independiente para cada perfil de configuración de dispositivo en el que se hace referencia a un perfil SCEP, además del perfil de certificado SCEP real. Consulte la nota [aquí](https://learn.microsoft.com/en-us/intune/intune-service/protect/certificates-profile-scep#assign-the-certificate-profile)
{% endhint %}

## Certificado raíz

La base para implementar certificados SCEP es confiar en el certificado raíz de SCEPman. Por lo tanto, debe descargar el certificado raíz de la CA e implementarlo como un **certificado de confianza** perfil a través de Microsoft Intune:

* [ ] Descargue el certificado de la CA desde el portal de SCEPman:

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Cree un perfil para macOS con el tipo **certificado de confianza** en Microsoft Intune:

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-31826810c8866a5b99ff139fd2ca755251fbb502%2FmacOSRootCrt.png?alt=media)

* [ ] Cargue su **archivo .cer**.
* [ ] descargado previamente. Ahora puede implementar este perfil en sus dispositivos. Elija Todos los usuarios y/o Todos los dispositivos o un grupo dedicado para la asignación.

{% hint style="info" %}
Tenga en cuenta que debe usar el **mismo grupo para asignar** el **certificado de confianza** y **perfil SCEP**. De lo contrario, la implementación de Intune podría fallar.
{% endhint %}

## Certificados de dispositivo

* [ ] Abra el portal de SCEPman y copie la URL debajo de **Intune MDM**:

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e72dec344ae0106207cac3c5039842bea56f2558%2FSCEPmanMDMURL.png?alt=media)

* [ ] Cree un perfil para macOS con el tipo **certificado SCEP** en Microsoft Intune:

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9fd63fc224dbcef7b5ea7eea7f0bdf8b4b895d02%2FmacOSDeviceCert.png?alt=media)

* [ ] Configure el perfil como se describe:

<details>

<summary>Tipo de certificado: <code>Dispositivo</code></summary>

En esta sección estamos configurando un certificado de dispositivo.

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{DeviceName}}</code> o <code>CN={{DeviceId}}</code> o <code>CN={{AAD_Device_ID}}</code></summary>

**Recomendado:** Use `{{DeviceName}}`para el RDN CN para tener un nombre significativo del certificado en el dispositivo o al buscar el certificado.

**Opcional:** Si se configura en `CN={{DeviceId}}` o `CN={{AAD_Device_ID}}`, SCEPman usa el campo CN del nombre del sujeto para identificar el dispositivo y como base para generar el número de serie del certificado. Microsoft Entra ID (Azure AD) e Intune ofrecen dos IDs diferentes:

* `{{DeviceId}}`: Este ID es generado y usado por Intune.\
  \
  (requiere [#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory "mention") que se establezca en **Intune** o **AADAndIntune**)
* `{{AAD_Device_ID}}`: Este ID es generado y usado por Microsoft Entra ID (Azure AD).

En caso de que ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` se usen para el campo CN (por ejemplo, `CN={{DeviceName}})`, SCEPman identificará el dispositivo basándose en el ID de dispositivo de Intune (`(URI)Value:` `IntuneDeviceId://{{DeviceId}}`) proporcionado en el nombre alternativo del sujeto (SAN).

**Importante:** La elección del campo CN afecta al [comportamiento de revocación automática](https://docs.scepman.com/es/manage-certificates#automatic-revocation) de los certificados emitidos para sus dispositivos administrados por Intune.

Puede añadir otros RDN si es necesario (por ejemplo: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Las variables admitidas se enumeran en la [documentación de Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Nombre alternativo del sujeto: <code>URI</code> Valor:<code>IntuneDeviceId://{{DeviceId}}</code></summary>

El campo URI es [recomendado por Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) para que las soluciones NAC identifiquen los dispositivos en función de su ID de dispositivo de Intune.

El **campo URI es obligatorio** en caso de que ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` se use en el campo **Formato del nombre del sujeto** .

Se pueden añadir otros valores SAN como DNS si es necesario.

</details>

<details>

<summary>Período de validez del certificado: <code>1 años</code></summary>

<mark style="color:naranja;">**Importante:**</mark> <mark style="color:naranja;">Los dispositivos macOS ignoran la configuración del período de validez a través de Intune. Asegúrese de configurar</mark> [#appconfig-validityperioddays](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/certificates#appconfig-validityperioddays "mention") <mark style="color:naranja;">con un valor fijo. Puede dejar la configuración del período de validez del certificado en 1 año porque se ignorará de todos modos.</mark>\
\ <mark style="color:naranja;">**Importante:**</mark> <mark style="color:naranja;">Tenga en cuenta también que</mark> <mark style="color:naranja;">**los certificados en macOS solo se renuevan**</mark> <mark style="color:naranja;">por Intune cuando el dispositivo está</mark> <mark style="color:naranja;">**desbloqueado, en línea, sincronizando y dentro del umbral de renovación**</mark><mark style="color:naranja;">. Si los certificados están caducados (por ejemplo, el dispositivo estuvo desconectado y/o bloqueado durante mucho tiempo), ya no se renovarán. Por lo tanto, recomendamos elegir aquí un valor más alto.</mark>

</details>

<details>

<summary>Uso de la clave: <code>Firma digital</code> y <code>cifrado de clave</code>.</summary>

Active ambas acciones criptográficas.

</details>

<details>

<summary>Tamaño de clave (bits): <code>2048</code></summary>

SCEPman admite 2048 bits.

</details>

<details>

<summary>Certificado raíz: <code>Perfil del paso anterior</code></summary>

Seleccione el perfil de Intune de [#Certificados raíz](#root-certificate)

</details>

<details>

<summary>Uso extendido de clave: <code>Autenticación de cliente, 1.3.6.1.5.5.7.3.2</code></summary>

Elija **Autenticación de cliente (1.3.6.1.5.5.7.3.2)** en **Valores predefinidos**. Los demás campos se completarán automáticamente.

<mark style="color:naranja;">**Importante:**</mark> <mark style="color:naranja;">Los dispositivos macOS no admiten ningún Uso Extendido de Clave (EKU) distinto de</mark> <mark style="color:naranja;">`Autenticación de cliente`</mark> <mark style="color:naranja;">. Esto significa que cualquier otro EKU configurado en este perfil se ignorará.</mark>

</details>

<details>

<summary>Umbral de renovación (%): <code>50</code></summary>

Este valor define cuándo se permite al dispositivo renovar su certificado (según la vida útil restante del certificado existente). Lea la nota debajo de **Período de validez del certificado** y seleccione un valor adecuado que permita al dispositivo renovar el certificado durante un largo período. Un valor del 50 % permitiría que un dispositivo con un certificado válido durante 1 año inicie la renovación 182 días antes del vencimiento.

</details>

<details>

<summary>URL del servidor SCEP: Abra el portal de SCEPman y copie la URL de <a href="#device-certificates"><strong>Intune MDM</strong></a></summary>

**Ejemplo**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

{% hint style="info" %}
Con nuestros ajustes indicados, cumplimos [los requisitos de certificados de Apple](https://support.apple.com/en-us/HT210176).
{% endhint %}

### Ejemplo

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FR8HuhELOGkyKH1Qg5VvC%2F2024-03-14%2015_39_42.png?alt=media&#x26;token=0d2b0d13-9804-4129-90e1-217dc8954229" alt=""><figcaption></figcaption></figure>

* [ ] Ahora puede implementar este perfil en sus dispositivos. Elija los mismos grupos para la asignación que para el perfil de certificado de confianza.

## Certificados de usuario

La siguiente sección le mostrará cómo puede implementar certificados de usuario mediante el perfil de certificado de Intune en dispositivos macOS X 10.12 (o posteriores).

{% hint style="warning" %}
Tenga en cuenta: los certificados provisionados a través del protocolo SCEP, independientemente del tipo (usuario o dispositivo), siempre se colocan en el llavero del sistema (almacén del sistema) del dispositivo.

En caso de que una aplicación de terceros requiera acceso a dicho certificado (por ejemplo, un cliente VPN de terceros), el control deslizante para **Permitir que todas las aplicaciones accedan a la clave privada** en el llavero debe establecerse en **habilitado**.
{% endhint %}

Siga las instrucciones de [#Certificados de dispositivo](#device-certificates) y tenga en cuenta las siguientes diferencias:

<details>

<summary>Tipo de certificado: <code>Usuario</code></summary>

En esta sección estamos configurando un certificado de usuario.

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

Puede definir RDN según sus necesidades. Las variables admitidas se enumeran en la [documentación de Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Recomendamos incluir el nombre de usuario (por ejemplo: janedoe) y la dirección de correo electrónico (por ejemplo: <janedoe@contoso.com>) como configuración básica.

</details>

<details>

<summary>Nombre alternativo del sujeto: <code>UPN</code> Valor:<code>{{UserPrincipalName}}</code></summary>

SCEPman usa el UPN en el SAN para identificar al usuario y como base para generar el número de serie del certificado (por ejemplo: <janedoe@contoso.com>).\
\
Se pueden añadir otros valores SAN como la dirección de correo electrónico si es necesario.

</details>

{% hint style="info" %}
Con nuestros ajustes indicados, cumplimos [los requisitos de certificados de Apple](https://support.apple.com/en-us/HT210176)
{% endhint %}

### Ejemplo

![](https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e2a63d43d7111534aeb580585a0937342a34cb89%2F2022-04-05%2018macOSUserCert.png?alt=media)