> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/despliegue-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md).

# Autenticación basada en certificados para RDP

Puedes usar SCEPman para emitir certificados de inicio de sesión con tarjeta inteligente a tus usuarios. Al inscribirlos en Windows Hello for Business (*Proveedor de almacenamiento de claves de Microsoft Passport*) pueden usar estos certificados para autenticarse en recursos locales mediante su PIN de Hello o sus opciones biométricas.

Esto permitirá a los usuarios, por ejemplo, conectarse a otros clientes a través del Protocolo de Escritorio Remoto (RDP) usando sus credenciales de Windows Hello for Business.

## Configurar Active Directory

### Requisitos

* El certificado de CA de SCEPman debe publicarse en el **NTAuth** almacén para autenticar usuarios en Active Directory
* Los Domain Controllers necesitan tener un certificado de controlador de dominio para autenticar a usuarios de tarjeta inteligente
* Los Domain Controllers y las máquinas de destino deben confiar en la CA raíz de SCEPman

Siga nuestra guía sobre certificados de Domain Controller para publicar el certificado de la CA raíz de SCEPman en el **NTAuth** almacén e emitir certificados a sus controladores de dominio:

{% content-ref url="/pages/57c07da947c7e0379d375f25b304c85087dff172" %}
[Active Directory](/es/administracion-de-certificados/active-directory.md)
{% endcontent-ref %}

Puede crear un **Objeto de directiva de grupo** para gestionar la distribución del certificado raíz a las máquinas involucradas: [Para distribuir certificados a los equipos cliente mediante Directiva de grupo](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

{% content-ref url="/pages/cdc01f9845646269258b23d911598023171abe02" %}
[Directiva de grupo](/es/administracion-de-certificados/active-directory/group-policy.md)
{% endcontent-ref %}

El certificado debe implementarse en todos los controladores de dominio que gestionan las autenticaciones y en todas las máquinas de destino a las que los usuarios quieran conectarse con este método.

{% hint style="danger" %}
Tenga en cuenta que, una vez que el certificado raíz de SCEPman se publique en el almacén NTAuth, los usuarios que puedan influir en el contenido de los certificados emitidos por SCEPman (p. ej., administradores de Intune) podrán suplantar a cualquier entidad principal de Active Directory.
{% endhint %}

## Implementar los certificados de tarjeta inteligente mediante Intune

### Perfil de certificado de confianza

Tus clientes necesitarán [confiar en el certificado raíz de SCEPman](/es/administracion-de-certificados/microsoft-intune/windows-10.md#root-certificate).

Si ya usas SCEPman para implementar certificados en tus clientes, ya tendrás este perfil configurado.

### Certificado de tarjeta inteligente

Crear un perfil para **Windows 10 y posteriores** con tipo **certificado SCEP** en Microsoft Intune y configure el perfil como se describe:

<details>

<summary>Tipo de certificado: <code>Usuario</code></summary>

</details>

<details>

<summary>Formato del nombre del sujeto: <code>CN={{UserPrincipalName}}</code></summary>

Si el sufijo UPN de los usuarios objetivo en Entra ID resulta ser diferente del usado en Active Directory, deberías usar `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Nombre alternativo del sujeto: valor UPN: <code>{{UserPrincipalName}}</code> y valor URI: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

El URI con el SID es necesario para tener un [mapeo fuerte de certificados](/es/configuracion-de-scepman/application-settings/certificates.md#appconfig-addsidextension) en AD. Alternativamente, puedes configurar SCEPman para [añadir una extensión con el SID](/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse) a los certificados de usuario y no configurar el URI.

</details>

<details>

<summary>Proveedor de almacenamiento de claves (KSP): <code>Inscribirse en Windows Hello for Business, de lo contrario fallar (Windows 10 y posteriores)</code></summary>

</details>

<details>

<summary>Uso de clave: <code>Firma digital</code> y <code>Cifrado de claves</code></summary>

</details>

<details>

<summary>Tamaño de clave (bits): <code>2048</code></summary>

</details>

<details>

<summary>Algoritmo hash: <code>SHA-2</code></summary>

</details>

<details>

<summary>Certificado raíz: <code>Perfil del paso anterior (Perfil de certificado de confianza)</code></summary>

</details>

<details>

<summary>Uso extendido de clave: <code>Autenticación de cliente</code> y <code>Inicio de sesión con tarjeta inteligente</code>en</summary>

`Autenticación de cliente, 1.3.6.1.5.5.7.3.2`

`Inicio de sesión con tarjeta inteligente, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>URL del servidor SCEP: Abre el portal de SCEPman y copia la URL de <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Usa Windows Hello for Business para conectarte a hosts remotos

Con el certificado implementado en el cliente autenticador, conéctate al host remoto y selecciona el proveedor de credenciales de Windows Hello for Business configurado.

<figure><img src="https://4115997120-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&amp;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/es/despliegue-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.