Este artículo ha sido traducido automáticamente. La traducción puede contener imprecisiones.
Cambiar a la versión original en inglés.
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

CA intermedia

Solo en SCEPman Enterprise Edition

Si quieres usar otra CA raíz como autoridad principal, puedes crear un certificado de CA intermedia para operar SCEPman como Autoridad de certificación subordinada. Puedes crear el certificado correcto directamente en Azure Key Vault y descargar el CSR para firmarlo con tu CA raíz. La solicitud firmada se puede cargar y fusionar en Azure Key Vault. Este artículo te guía paso a paso a través de los pasos necesarios.

Permisos de Key Vault

Debes conceder acceso a Azure Key Vault a tu cuenta de usuario para crear el CSR y fusionar el certificado de CA intermedia. La forma de asignar los permisos depende de la configuración de acceso de tu Key Vault:

  1. Navega hasta tu Azure Key Vault en Azure Portal

  2. Haga clic en Control de acceso (IAM) en el panel de navegación izquierdo.

  3. Haga clic en Asignaciones de roles y agrega una nueva asignación de rol

Agrega una nueva asignación de rol a tu Key Vault

  1. Selecciona el Oficial de certificados de Key Vault rol y haz clic en Siguiente

  1. Ahora busca y agrega tu cuenta de administrador de AAD en la Miembros sección y continúa asignando el rol

Después de agregar la asignación de rol, tu cuenta de Azure AD tiene permiso para crear un CSR y cargar el certificado.

  1. Navega hasta tu Azure Key Vault en Azure Portal

  2. Haga clic en directivas de acceso en el panel de navegación izquierdo.

  3. Haga clic en Crear y elige la Administración de certificados plantilla, luego siguiente

  1. Ahora busca y agrega tu cuenta de administrador de AAD en la Principal sección, luego siguiente, siguiente y crear

Después de agregar los permisos, tu cuenta de Azure AD tiene permiso para crear un CSR y cargar el certificado.

Abre la red de Key Vault al sistema de administración

Si estás usando un Private Endpoint para Key Vault, debes agregar una excepción que permita al cliente acceder a Key Vault a nivel de red. Si no estás usando un Private Endpoint, puedes omitir esta parte.

  • Ve a Azure Key Vault en Azure Portal.

  • Ve al panel de Networking en Configuración.

  • Cambia a "Permitir acceso público desde redes virtuales y direcciones IP específicas" si actualmente has seleccionado "Deshabilitar acceso público".

  • Agrega la dirección IP del cliente en el que quieres ejecutar más adelante el módulo de PowerShell de SCEPman. Si estás usando Azure Cloud Shell y está conectado a una VNET, puedes agregar esta VNET. De lo contrario, la forma más sencilla es permitir temporalmente la dirección IP pública de Cloud Shell, ya que la autenticación fuerte protege tu Key Vault. Podrías usar un comando como (Invoke-WebRequest -UseBasicParsing -uri "http://ifconfig.me/ip").Content para encontrar la dirección IP pública de la sesión.

Actualizar la configuración de Azure App Service

El siguiente paso es actualizar la configuración de Azure App Service para que coincida con el nombre del sujeto de la CA intermedia que crearás en el siguiente paso.

  1. Navega hasta tu Azure App Service

  2. Haga clic en Variables de entorno en el panel de navegación izquierdo

  3. En Configuración de la aplicación, debes editar la siguiente configuración:

    1. AppConfig:KeyVaultConfig:RootCertificateConfig:CertificateName Cámbialo por un nombre común (CN) preferido para tu CA intermedia.

    2. AppConfig:KeyVaultConfig:RootCertificateConfig:Subject Solo cambia el valor CN del nombre del sujeto para que coincida con el nombre común usado arriba.

  4. Haga clic en Aplica y confirma.

  5. Reinicia Azure App Service para aplicar los cambios y luego navega a tu URL de SCEPman.

Ten en cuenta que la variable CertificateName corresponderá directamente al objeto de certificado que se creará en Azure Key Vault. Por lo tanto, solo puedes usar nombres de certificado que contengan caracteres alfanuméricos y guiones

Creación de un certificado de CA intermedia con el módulo de PowerShell de SCEPman

Para asegurarte de que este módulo funcione correctamente, necesitarás un equipo con Azure CLI (también conocido como az) instalado. Azure CLI viene preinstalado en el Azure Cloud Shell, que es el entorno recomendado para ejecutar este módulo.

Puedes usar la versión 1.9 y posteriores del módulo de PowerShell de SCEPman para crear un CSR para un certificado de CA intermedia. Puedes instalar la versión más reciente del módulo desde PowerShell Gallery con el siguiente comando:

Luego, puedes indicarle al módulo el nombre de tu organización para que aparezca en el certificado:

Configura el sujeto de tu CA intermedia para que coincida con el que has usado arriba en AppConfig:KeyVaultConfig:RootCertificateConfig:Subject (opcionalmente, puedes modificar algunos ajustes adicionales para controlar el contenido del CSR):

Por último, puedes crear el CSR con el siguiente comando (o uno similar según tu entorno):

El comando mostrará el CSR que enviarás a tu CA raíz para su firma.

Emite el certificado de CA intermedia

Ahora, envía tu CSR a tu CA raíz y recupera tu certificado de CA intermedia emitido. Guarda el certificado en el disco (.cer) para que en el siguiente paso puedas cargarlo y fusionarlo con la clave privada en Azure Key Vault.

Pasos especiales para una CA raíz empresarial de ADCS

Si estás usando Active Directory Certificate Services como una CA raíz integrada en AD y, por lo tanto, debes elegir una plantilla de certificado, esta debe incluir los siguientes usos de clave: "CRLSign", "DigitalSignature", "KeyEncipherment" y "KeyCertSign". KeyEncipherment falta en la plantilla predeterminada "Subordinate Certificate Authority" y, además, no se puede seleccionar en plantillas nuevas. Consulta a continuación una solución si te encuentras con este problema. Esto no aplica a las CA raíz independientes, también conocidas como CA raíz sin conexión, ya que toman los usos de clave correctamente del CSR.

Esquema

Puedes duplicar la plantilla SubCA o usarla según sea necesario. Luego solo emites un certificado con la plantilla basada en el CSR. Este certificado tendrá el uso de clave incorrecto (0x86). Después, vuelves a firmar el certificado con una extensión de uso de clave adaptada usando certutil -sign.

Paso a paso

  1. Solicita y emite un certificado SubCA.

  2. Exporta el nuevo certificado SubCA a un archivo (por ejemplo, c:\temp\SubCA.cer) en la CA raíz. Elige X.509 codificado en Base64 formato.

  3. Crea un archivo "extfile.txt" con el contenido que se muestra a continuación en la CA raíz (por ejemplo, c:\temp\extfile.txt).

  4. Abre la línea de comandos y ejecuta: certutil -sign "c:\temp\SubCA.cer" "c:\temp\SubCAwithKeyEncipher.cer" @c:\temp\extfile.txt

  5. El certificado SubCAwithKeyEncipher.cer ahora contiene el uso de clave solicitado (0xA6). La huella digital (firma) ha cambiado, pero el número de serie no.

  6. La lista de certificados emitidos en ADCS contiene el certificado antiguo. Como el número de serie no ha cambiado, puedes administrar el nuevo certificado usando el identificador antiguo; por ejemplo, revocar el certificado antiguo revocará el nuevo certificado. Si no te gusta esto, puedes eliminar la entrada del certificado antiguo usando certutil -deleterow y luego importar el nuevo certificado usando certutil -importcert.

extfile.txt

Cargar el certificado de CA intermedia

  1. En Azure Key Vault, haz clic en tu certificado y pulsa Operación del certificado

  2. Ahora puedes ver las opciones Descargar CSR y Fusionar solicitud firmada

  1. Haga clic en Fusionar solicitud firmada y carga tu certificado de CA intermedia. Después de haber cargado la solicitud firmada, puedes ver el certificado válido en tu Azure Key Vault en el área Completado

El certificado de CA intermedia debe estar en formato PEM (codificado en Base64). Si usas el formato binario DER, verás un mensaje de error que dice "La propiedad x5c tiene un valor no válido. X5C debe tener al menos un elemento válido" en los detalles.

Verificar la idoneidad de la CA

En la página de estado de SCEPman, puedes ver la nueva configuración y descargar el nuevo certificado de CA intermedia para implementarlo mediante Endpoint Manager.

Comprueba si el certificado de CA cumple todos los requisitos visitando tu página principal de SCEPman. Revisa lo que dice la página principal junto a "CA Suitability". Si, por ejemplo, dice Al certificado de CA le falta el uso de clave "Key Encipherment", debes volver al paso Emite el certificado de CA intermedia y corregir la emisión del certificado.

CA intermedias y perfiles SCEP de Intune

En la plataforma Android, los perfiles de configuración SCEP en Intune deben hacer referencia a la CA raíz, no a la CA intermedia. De lo contrario, el perfil de configuración falla. En Windows, es al revés: los perfiles de configuración SCEP en Intune deben hacer referencia a la CA intermedia, no a la CA raíz. Para iOS y macOS, no tenemos información concluyente sobre si una u otra forma es mejor.

Última actualización

¿Te fue útil?