> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/configuracion-de-scepman/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md). # Asignación fuerte de Intune Implementación de la asignación fuerte para certificados SCEP y PKCS en Intune usando SCEPman. [Actualmente, Microsoft informa a los clientes que revisen de nuevo sus PKI](https://techcommunity.microsoft.com/t5/intune-customer-success/support-tip-implementing-strong-mapping-in-microsoft-intune/ba-p/4053376): Con la actualización de Windows del 10 de mayo de 2022 ([KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)) se realizaron cambios en el comportamiento de Active Directory Kerberos Key Distribution (KDC) en Windows Server 2008 y versiones posteriores para mitigar vulnerabilidades de elevación de privilegios asociadas con la suplantación de certificados. [Describimos el impacto de este cambio cuando la vulnerabilidad se divulgó originalmente](/es/otros/troubleshooting/certifried.md). ### Alcance En primer lugar, esta vulnerabilidad solo se aplica a las CA cuyos certificados se publican en el almacén NTAuth del bosque de AD. Si no utiliza sus certificados para autenticarse contra su AD local, no necesita publicar el certificado de su CA en el almacén NTAuth y entonces queda invulnerable frente a este ataque. Tenga en cuenta que Microsoft ADCS publica sus certificados de CA en el almacén NTAuth de forma predeterminada. Para la autenticación de red, el único NAC que conocemos que requiere el certificado de la CA en el almacén NTAuth es Microsoft NPS. Entre los NAC que no requieren autenticación local ni el almacén NTAuth se encuentran RADIUSaaS, Cisco ISE y Aruba Clearpass. Si usa certificados solo para este caso de uso, asegúrese simplemente de que el certificado de su CA no esté en el almacén NTAuth de su bosque y no tendrá que preocuparse por el mapeo fuerte de certificados. Si tiene un caso de uso que requiere el certificado de su CA en el almacén NTAuth, como nuestro [certificados de Domain Controller](/es/administracion-de-certificados/domain-controller-certificates.md), es posible que aun así no desee que sus certificados de usuario final se utilicen para la autenticación local. En este caso, de nuevo no necesita un mapeo fuerte de certificados *para estos certificados*. Por tanto, debe habilitar el modo de cumplimiento completo, pero no agregar los SID locales a los certificados. Solo si utiliza sus certificados finales para la autenticación local, debe asegurarse de que se agreguen los SID. Los ejemplos más comunes de este caso de uso son si utiliza Microsoft NPS o si usa autenticación basada en certificados para iniciar sesión en máquinas virtuales locales mediante RDP para evitar contraseñas. ### Habilitar el mapeo fuerte de certificados Para abordar los cambios de ADCS/KDC, Microsoft Intune puede incluir el SID en los certificados inscritos. Puede incluir el SID agregando un SAN de tipo URI con el valor "{{OnPremisesSecurityIdentifier}}" y aparecerá en el certificado así: ``` URL=tag:microsoft.com,2022-09-14:sid: ``` Este cambio despliega esta nueva función en octubre/noviembre de 2024 para todos los clientes de Microsoft Intune. {% hint style="success" %} SCEPman está preparado para este cambio. No se requieren cambios en SCEPman, solo en la configuración de Intune. {% endhint %} Si desea usar esta función, debe actualizar sus perfiles de configuración de SCEP en Intune según las instrucciones de Microsoft. Hemos comprobado que SCEPman admite este formato SAN y que funciona con todas las versiones de SCEPman. Como alternativa, puede agregar una [extensión SID](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-addsidextension) con SCEPman. Así abordamos el problema de KDC en [julio de 2023](https://docs.scepman.com/es/configuracion-de-scepman/pages/8c222fd693c65ad069a22832fdc3b936693c3139#scepman-2.5.892) de la misma manera que lo hace ADCS local. Por lo tanto, los clientes de SCEPman no requieren el nuevo campo SAN, especialmente si ya están usando la extensión SID. Los clientes de SCEPman pueden elegir si desean la extensión SID o el valor SID en SAN. La primera requiere una configuración de SCEPman; la segunda requiere un cambio en los perfiles de configuración de SCEP, como se detalla arriba. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.scepman.com/es/configuracion-de-scepman/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.