> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/administracion-de-certificados/microsoft-intune/windows-10.md).
# Windows
Despliegue certificados en dispositivos Windows mediante SCEP en Intune usando SCEPman.
El siguiente artículo describe la implementación de certificados de dispositivo y/o de usuario para dispositivos Windows. La implementación del certificado raíz de SCEPman es obligatoria. Después, puede elegir entre implementar solo el tipo de certificado de dispositivo, de usuario o incluso ambos.
## Certificado raíz
La base para implementar certificados SCEP es confiar en el certificado raíz de SCEPman. Por lo tanto, debe descargar el certificado raíz de la CA e implementarlo como un **certificado de confianza** perfil a través de Microsoft Intune:
* [ ] Descargue el certificado de CA del portal de SCEPman:
%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(2\).png?alt=media)
* [ ] Cree un perfil para **Windows 10 y posteriores** con tipo **certificado de confianza** en Microsoft Intune:
* [ ] Cargue su archivo **.cer descargado previamente**.
* [ ] Ahora puede implementar este perfil en sus dispositivos. Elija Todos los usuarios y/o Todos los dispositivos o un grupo dedicado para la asignación.
{% hint style="info" %}
Tenga en cuenta que debe usar el mismo grupo para asignar el certificado de confianza y el perfil SCEP. De lo contrario, la implementación de Intune podría fallar.
{% endhint %}
## Certificados de dispositivo
* [ ] Abra el portal de SCEPman y copie la URL bajo Intune MDM
* [ ] Cree un perfil para **Windows 10 y posteriores** con tipo **certificado SCEP** en Microsoft Intune
* [ ] Configure el perfil como se describe:
Tipo de certificado: Dispositivo
En este caso estamos configurando un certificado de dispositivo
Formato del nombre del sujeto: CN={{DeviceName}} o CN={{DeviceId}} o CN={{AAD_Device_ID}}
**Recomendado:** Use `{{DeviceName}}`para el RDN CN para tener un nombre significativo del certificado en el dispositivo o al buscar el certificado.
**Opcional:** Si se configura como `CN={{DeviceId}}` o `CN={{AAD_Device_ID}}`, SCEPman usa el campo CN del nombre del sujeto para identificar el dispositivo y como base para la generación del número de serie del certificado. Microsoft Entra ID (Azure AD) e Intune ofrecen dos ID diferentes:
* `{{DeviceId}}`: Este ID es generado y utilizado por Intune.\n\n(requiere [Validación de Intune](/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory) que se establezca en **Intune** o **AADAndIntune**)
* `{{AAD_Device_ID}}`: Este ID es generado y utilizado por Microsoft Entra ID (Azure AD).
Si no se usa ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` se usa para el campo CN (por ejemplo, `CN={{DeviceName}})`, SCEPman identificará el dispositivo basándose en el ID del dispositivo de Intune (`(URI)Valor:` `IntuneDeviceId://{{DeviceId}}`) proporcionado en el nombre alternativo del sujeto (SAN).
{% hint style="info" %}
Puede especificar estas variables y texto estático en el cuadro de texto. Por ejemplo, el nombre común de un dispositivo llamado *Device1* puede agregarse como **CN={{DeviceName}}YourDomain.com**
{% endhint %}
**Importante:** La elección del campo CN afecta al [comportamiento de revocación automática](/es/administracion-de-certificados/manage-certificates.md#automatic-revocation) de los certificados emitidos a sus dispositivos administrados por Intune.
Puede agregar otros RDN si es necesario (por ejemplo: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Las variables compatibles se enumeran en la [documentación de Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).
Nombre alternativo del sujeto: (URI)Valor: IntuneDeviceId://{{DeviceId}}
El campo URI [se recomienda en Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) para soluciones NAC para identificar los dispositivos basándose en su ID de dispositivo de Intune. El valor debe ser:
```
IntuneDeviceId://{{DeviceId}}
```
El **campo URI es obligatorio** en caso de que no se use ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` en el **campo Formato del nombre del sujeto** .
Se pueden agregar otros valores SAN, como DNS, si es necesario.
Período de validez del certificado: 1 año
La cantidad de tiempo restante antes de que expire el certificado. El valor predeterminado está establecido en un año.
SCEPman limita la validez del certificado al máximo configurado en la configuración [***AppConfig:ValidityPeriodDays***](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-validityperioddays), pero de lo contrario usa la validez configurada en la solicitud.
Proveedor de almacenamiento de claves (KSP): Inscribirse en el KSP del Módulo de plataforma segura (TPM), de lo contrario fallar
Esta configuración determina la ubicación de almacenamiento de la clave privada para los certificados de usuario final. El almacenamiento en el TPM es más seguro que el almacenamiento por software porque el TPM proporciona una capa adicional de seguridad para evitar el robo de claves.
Nota: Existe **un error en algunas versiones anteriores del firmware TPM** que invalida algunas firmas creadas con una clave privada respaldada por TPM. En tales casos, el certificado no puede usarse para autenticación EAP, como es habitual en conexiones Wi‑Fi y VPN. Además, esto podría romper su proceso de incorporación de Autopilot.
Las versiones de firmware TPM afectadas incluyen:
* STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100, 73.20.17568.6684
* Intel: 11.8.50.3399, 2.0.0.2060
* Infineon: 7.63.3353.0
* IFX: Versión 3.19 / Especificación 1.2
* Especificación de la versión IFX 7.63.3353.0 2.0
Si usa TPM con este firmware, actualice el firmware a una versión más reciente o seleccione "Software KSP" como proveedor de almacenamiento de claves.
**Actualización:** Puede solucionar temporalmente el error del TPM eliminando los algoritmos de firma RSA-PSS —que están causando el problema— del registro; para obtener más información, consulte [el artículo de Richard Hicks](https://directaccess.richardhicks.com/2023/02/13/always-on-vpn-authentication-failed-reason-code-16/) y [Microsoft Q\&A](https://learn.microsoft.com/en-us/answers/questions/467673/windows-10-tpm-2-0-client-authentication-in-tls-1)
Uso de clave: Firma digital y Cifrado de claves
Active ambas acciones criptográficas.
SCEPman establece automáticamente el uso de clave en **Firma digital** y **Cifrado de claves** y anula la configuración aquí, a menos que la configuración [***AppConfig:UseRequestedKeyUsages***](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-userequestedkeyusages) se establezca en *true*.
Tamaño de clave (bits): 2048
SCEPman admite 2048 bits.
Algoritmo hash: SHA-2
SCEPman admite el algoritmo SHA-2.
Certificado raíz: Perfil del paso anterior (perfil de certificado raíz)
Seleccione el perfil de Intune de [#Certificado raíz](#root-certificate).\nSi está utilizando una [CA intermedia](/es/despliegue-de-scepman/intermediate-certificate.md), debe seleccionar el perfil de certificado de confianza para la CA intermedia, ¡no la CA raíz!
Uso extendido de clave: Autenticación de cliente, 1.3.6.1.5.5.7.3.2
Elija **Autenticación de cliente (1.3.6.1.5.5.7.3.2)** en **Valores predefinidos**. Los demás campos se completarán automáticamente.
Umbral de renovación (%): 20
Este valor define cuándo se permite que el dispositivo renueve su certificado (según la vida útil restante de un certificado existente). Lea la nota en **Período de validez del certificado** y seleccione un valor adecuado que permita al dispositivo renovar el certificado durante un período prolongado. Un valor del 20 % permitiría que el dispositivo con un certificado válido por 1 año comenzara la renovación 73 días antes del vencimiento.
URL de servidores SCEP: Abra el portal de SCEPman y copie la URL de Intune MDM
**Ejemplo**
```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```
### Ejemplo
* [ ] Ahora puede implementar este perfil en sus dispositivos. Elija el mismo grupo o grupos para la asignación que para el perfil de certificado de confianza.
## Certificados de usuario
Siga las instrucciones de [#Certificados de dispositivo](#device-certificates) y tenga en cuenta las siguientes diferencias:
Tipo de certificado: Usuario
En esta sección estamos configurando un certificado de usuario.
Formato del nombre del sujeto: CN={{UserName}},E={{EmailAddress}}
Puede definir RDN según sus necesidades. Las variables compatibles se enumeran en la [documentación de Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Recomendamos incluir el nombre de usuario (por ejemplo: janedoe) y la dirección de correo electrónico (por ejemplo: ) como configuración base.
Nombre alternativo del sujeto: (UPN)Valor: {{UserPrincipalName}}
Debe agregar el nombre principal de usuario como nombre alternativo del sujeto. **Agregue '{{UserPrincipalName}}' como nombre alternativo del sujeto de tipo nombre principal de usuario (UPN).** Esto garantiza que SCEPman pueda vincular los certificados a objetos de usuario en AAD. La configuración de "Formato del nombre del sujeto" es libremente seleccionable.
Se pueden agregar otros valores SAN, como una dirección de correo electrónico, si es necesario.
{% hint style="info" %}
Según los comentarios de los clientes, parece que algunos clientes VPN (por ejemplo, Azure VPN Client para Virtual WAN) no pueden descubrir el certificado de usuario cuando está almacenado en el TPM. Intente inscribirlo en el KSP de software en su lugar.
{% endhint %}
### Ejemplo
## Certificado de firma digital de usuario
Puede usar SCEPman para firmas digitales **digitales** es decir, para firmar S/MIME en Microsoft Outlook. Si planea usar los certificados para firmar mensajes, debe agregar los usos extendidos de clave correspondientes en la configuración del perfil de Intune.
{% hint style="warning" %}
**No** use SCEPman **para cifrado de correo electrónico** es decir, para cifrado de correo S/MIME en Microsoft Outlook (sin una tecnología separada para la administración de claves). La naturaleza de **del protocolo SCEP no incluye un mecanismo para hacer copia de seguridad o archivar material de clave privada.** Si usara SCEP para el cifrado de correo electrónico, podría perder las claves para descifrar los mensajes posteriormente.
{% endhint %}
* [ ] Debe establecer estas variables de configuración; de lo contrario, SCEPman no respetará el uso de clave y el período de validez ampliado solicitados en el perfil SCEP:
- [*`AppConfig:UseRequestedKeyUsages`*](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-userequestedkeyusages) establecerse en *`true`*
- [*`AppConfig:ValidityPeriodDays`*](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-validityperioddays) *establecerse en `365` (es posible un valor máximo de 1825: 5 años)*
Para implementar certificados de usuario utilizados para **Firmas digitales** siga las instrucciones de [#Certificados de usuario](#user-certificates) y tenga en cuenta las siguientes diferencias y notas:
Nombre alternativo del sujeto
* **(obligatorio) Nombre principal de usuario (UPN):** *`{{UserPrincipalName}}`*
* **(obligatorio) Dirección de correo electrónico:** *`{{EmailAddress}}`*
Al implementar un certificado de firma digital, debe agregar el UPN y la dirección de correo electrónico.
Uso de clave: solo Firma digitalUso extendido de clave: Correo electrónico seguro (1.3.6.1.5.5.7.3.4)
Elija **Correo electrónico seguro (1.3.6.1.5.5.7.3.4)** en **Valores predefinidos**. Los demás campos se completarán automáticamente.
Umbral de renovación (%): 50
Recomendamos establecer el Umbral de renovación (%) en un valor que garantice que los certificados se renueven al menos 6 meses antes de su vencimiento al emitir certificados de firma S/MIME. Esto se debe a que los correos firmados con certificados expirados se muestran con firmas no válidas en Outlook, lo que confunde a los usuarios. Tener un nuevo certificado mucho antes de que expire el anterior garantiza que solo los correos más antiguos muestren este comportamiento, que es menos probable que los usuarios consulten. Por ejemplo, si sus certificados de firma son válidos por un año, debe establecer el Umbral de renovación en al menos 50 %.
### **Ejemplo**
Después de una sincronización correcta del perfil, debería ver el certificado de usuario para Finalidades previstas **Correo electrónico seguro**
.png?alt=media)
El certificado estará disponible para uso de Firma digital, por ejemplo en Outlook. A continuación se muestra un ejemplo del uso
### Activar firmas S/MIME en Outlook
Una vez que haya implementado certificados de firma S/MIME en sus equipos cliente, debe configurar Outlook para usar estos certificados antes de enviar correos firmados.
#### Nuevo Outlook
S/MIME para el nuevo Outlook se puede configurar [manualmente](https://support.microsoft.com/en-us/office/set-up-outlook-to-use-s-mime-encryption-2e57e4bd-4cc2-4531-9a39-426e7c873e26#id0ebbf=new_outlook).
#### Outlook clásico
S/MIME para Outlook clásico se puede configurar [manualmente](https://support.microsoft.com/en-us/office/set-up-outlook-to-use-s-mime-encryption-2e57e4bd-4cc2-4531-9a39-426e7c873e26#id0ebbf=newer_versions) o configurar rápidamente con nuestro [script de PowerShell](https://github.com/glueckkanja-pki/PKI-Configuration-Tools/blob/master/README.md).
#### Outlook en la Web
S/MIME para Outlook en la Web se puede configurar [manualmente](https://support.microsoft.com/en-us/office/set-up-outlook-to-use-s-mime-encryption-2e57e4bd-4cc2-4531-9a39-426e7c873e26#id0ebbf=web) o habilitarse usando PowerShell con el siguiente comando:
```
Set-SmimeConfig -OWAAllowUserChoiceOfSigningCertificate $true
```
Se pueden ver comandos adicionales de PowerShell [aquí](https://learn.microsoft.com/en-us/powershell/module/exchange/set-smimeconfig).
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/es/administracion-de-certificados/microsoft-intune/windows-10.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
