# Autenticación basada en certificados para RDP

Puede usar SCEPman para emitir certificados de Inicio de sesión con tarjeta inteligente a sus usuarios. Al inscribirlos en Windows Hello para empresas (*Proveedor de almacenamiento de claves de Microsoft Passport*) pueden usar estos certificados para autenticarse en recursos locales usando su PIN de Hello o las opciones biométricas.

Esto permitirá, por ejemplo, que los usuarios se conecten a otros equipos mediante el Protocolo de Escritorio Remoto (RDP) usando sus credenciales de Windows Hello para empresas.

## Configurar Active Directory

### Requisitos

* El certificado de CA de SCEPman debe publicarse en el **NTAuth** almacén para autenticar usuarios en Active Directory
* Los controladores de dominio necesitan tener un certificado de controlador de dominio para autenticar usuarios con tarjeta inteligente
* Los controladores de dominio y las máquinas de destino deben confiar en la CA raíz de SCEPman

Siga nuestra guía sobre certificados de controladores de dominio para publicar el certificado de la CA raíz de SCEPman en el **NTAuth** almacén y emitir certificados a sus controladores de dominio:

{% content-ref url="../../../gestion-de-certificados/domain-controller-certificates" %}
[domain-controller-certificates](https://docs.scepman.com/es/gestion-de-certificados/domain-controller-certificates)
{% endcontent-ref %}

Puede crear un **Objeto de directiva de grupo** para manejar la distribución del certificado raíz a las máquinas involucradas:[ Para distribuir certificados a equipos cliente mediante Directiva de grupo](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

El certificado debe desplegarse en todos los controladores de dominio que manejan las autenticaciones y en todas las máquinas de destino a las que los usuarios quieran conectarse usando este método.

{% hint style="danger" %}
Tenga en cuenta que una vez que el certificado raíz de SCEPman se publique en el almacén NTAuth, los usuarios que puedan influir en el contenido de los certificados emitidos por SCEPman (p. ej., administradores de Intune) podrán suplantar a cualquier principal de Active Directory.
{% endhint %}

## Implemente los certificados de tarjeta inteligente usando Intune

### Perfil de certificado de confianza

Sus clientes necesitarán [confiar en el certificado raíz de SCEPman](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#root-certificate).

Si ya usa SCEPman para desplegar certificados en sus clientes, ya tendrá este perfil configurado.

### Certificado de tarjeta inteligente

Cree un perfil para **Windows 10 y posteriores** con el tipo **Certificado SCEP** en Microsoft Intune y configure el perfil como se describe:

<details>

<summary>Tipo de certificado: <code>Usuario</code></summary>

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{UserPrincipalName}}</code></summary>

Si el sufijo UPN de los usuarios objetivo en Entra ID resulta ser diferente al usado en Active Directory, debe usar `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Nombre alternativo de sujeto: valor UPN: <code>{{UserPrincipalName}}</code> y valor de URI: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

La URI con el SID es necesaria para tener un [Asignación fuerte de certificados](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/certificates#appconfig-addsidextension) en AD. Alternativamente, puede configurar SCEPman para [agregar una extensión con el SID](https://docs.scepman.com/es/configuracion-de-scepman/application-settings/endpoints-scep/intune-validation#appconfig-intunevalidation-waitforsuccessnotificationresponse) a los certificados de usuario y no configurar la URI.

</details>

<details>

<summary>Proveedor de almacenamiento de claves (KSP): <code>Inscribirse en Windows Hello para empresas, de lo contrario fallar (Windows 10 y posteriores)</code></summary>

</details>

<details>

<summary>Uso de la clave: <code>Firma digital</code> y <code>Cifrado de clave</code></summary>

</details>

<details>

<summary>Tamaño de clave (bits): <code>2048</code></summary>

</details>

<details>

<summary>Algoritmo hash: <code>SHA-2</code></summary>

</details>

<details>

<summary>Certificado raíz: <code>Perfil del paso anterior (Perfil de certificado de confianza)</code></summary>

</details>

<details>

<summary>Uso de clave extendido: <code>Autenticación de cliente</code> y <code>Inicio de sesión con tarjeta inteligente</code>en</summary>

`Autenticación de cliente, 1.3.6.1.5.5.7.3.2`

`Inicio de sesión con tarjeta inteligente, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>URLs del servidor SCEP: Abra el portal de SCEPman y copie la URL de <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Use Windows Hello para empresas para conectarse a hosts remotos

Con el certificado desplegado en el cliente que autentica, simplemente conéctese al host remoto y seleccione el proveedor de credenciales de Windows Hello para empresas configurado.&#x20;

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&#x26;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>
