Windows

Implementa certificados en dispositivos Windows mediante SCEP en Intune usando SCEPman.

El siguiente artículo describe la implementación de certificados de dispositivo y/o usuario para dispositivos Windows. La implementación del certificado raíz de SCEPman es obligatoria. Después, puede elegir entre implementar solo el certificado de dispositivo, el de usuario o incluso ambos tipos de certificados.

Certificado raíz

La base para implementar certificados SCEP es confiar en el certificado raíz de SCEPman. Por lo tanto, debe descargar el certificado raíz de la CA e implementarlo como un certificado de confianza perfil a través de Microsoft Intune:

• Descargue el certificado de la CA desde el portal de SCEPman:

• Cree un perfil para Windows 10 y posteriores con tipo certificado de confianza en Microsoft Intune:

• Cargue su archivo .cer.
• Ahora puede implementar este perfil en sus dispositivos. Elija Todos los usuarios y/o Todos los dispositivos o un grupo dedicado para la asignación.

Tenga en cuenta que debe usar el mismo grupo para asignar el certificado de confianza y el perfil SCEP. De lo contrario, la implementación de Intune podría fallar.

Certificados de dispositivo

• Abra el portal de SCEPman y copie la URL en Intune MDM

• Cree un perfil para Windows 10 y posteriores con tipo certificado SCEP en Microsoft Intune

• Configure el perfil como se describe:

Tipo de certificado: Dispositivo

En este caso, estamos configurando un certificado de dispositivo

Formato del nombre del sujeto: CN={{DeviceName}} o CN={{DeviceId}} o CN={{AAD_Device_ID}}

Recomendado: Use {{DeviceName}}para el CN RDN para tener un nombre significativo del certificado en el dispositivo o al buscar el certificado.

Opcional: Si está configurado para CN={{DeviceId}} o CN={{AAD_Device_ID}}, SCEPman usa el campo CN del nombre del sujeto para identificar el dispositivo y como semilla para la generación del número de serie del certificado. Microsoft Entra ID (Azure AD) e Intune ofrecen dos ID diferentes:

• {{DeviceId}}: Este ID es generado y utilizado por Intune. (requiere AppConfig:IntuneValidation:DeviceDirectory que se establezca en Intune o AADAndIntune)
• {{AAD_Device_ID}}: Este ID es generado y utilizado por Microsoft Entra ID (Azure AD).

En caso de que ni CN={{DeviceId}} ni CN={{AAD_Device_ID}} se usa para el campo CN (por ejemplo, CN={{DeviceName}}), SCEPman identificará el dispositivo basándose en el ID de dispositivo de Intune ((URI)Valor: IntuneDeviceId://{{DeviceId}}) proporcionado en el nombre alternativo del sujeto (SAN).

Puede especificar estas variables y texto estático en el cuadro de texto. Por ejemplo, el nombre común de un dispositivo llamado Device1 se puede agregar como CN={{DeviceName}}YourDomain.com

Importante: La elección del campo CN afecta el comportamiento de revocación automática de los certificados emitidos a sus dispositivos administrados por Intune.

Puede agregar otros RDN si es necesario (p. ej.: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). Las variables admitidas se enumeran en la documentación de Microsoft.

Nombre alternativo del sujeto: (URI)Valor: IntuneDeviceId://{{DeviceId}}

El campo URI es recomendado por Microsoft para soluciones NAC para identificar los dispositivos basándose en su ID de dispositivo de Intune. El valor debe ser:

IntuneDeviceId://{{DeviceId}}

El campo URI es obligatorio en caso de que ni CN={{DeviceId}} ni CN={{AAD_Device_ID}} se usa en el formato del nombre del sujeto campo.

Se pueden agregar otros valores SAN como DNS si es necesario.

Período de validez del certificado: 1 año

La cantidad de tiempo restante antes de que el certificado venza. El valor predeterminado es un año.

SCEPman limita la validez del certificado al máximo configurado en la opción AppConfig:ValidityPeriodDays, pero por lo demás usa la validez configurada en la solicitud.

Proveedor de almacenamiento de claves (KSP): Inscribir en el módulo de plataforma segura (TPM) KSP; de lo contrario, fallar

Esta configuración determina la ubicación de almacenamiento de la clave privada para los certificados de usuario final. El almacenamiento en TPM es más seguro que el almacenamiento por software porque TPM proporciona una capa adicional de seguridad para evitar el robo de claves.

Nota: Hay un error en algunas versiones antiguas del firmware de TPM que invalida algunas firmas creadas con una clave privada respaldada por TPM. En tales casos, el certificado no se puede usar para autenticación EAP, como es común en conexiones Wi-Fi y VPN. Además, esto podría romper su proceso de incorporación de Autopilot.

Las versiones de firmware de TPM afectadas incluyen:

• STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100, 73.20.17568.6684
• Intel: 11.8.50.3399, 2.0.0.2060
• Infineon: 7.63.3353.0
• IFX: Version 3.19 / Specification 1.2
• IFX version 7.63.3353.0 specification 2.0

Si usa TPM con este firmware, actualice el firmware a una versión más reciente o seleccione "Software KSP" como proveedor de almacenamiento de claves.

Actualización: Puede solucionar temporalmente el error de TPM eliminando del registro los algoritmos de firma RSA-PSS, que están causando el problema; para obtener más información, consulte el artículo de Richard Hicks y Microsoft Q&A

Uso de clave: Firma digital y Cifrado de clave

Active ambas acciones criptográficas.

SCEPman establece automáticamente el uso de clave en Firma digital y Cifrado de clave y sobrescribe la configuración aquí, a menos que la configuración AppConfig:UseRequestedKeyUsages esté establecida en true.

Tamaño de clave (bits): 2048

SCEPman admite 2048 bits.

Algoritmo hash: SHA-2

SCEPman admite el algoritmo SHA-2.

Certificado raíz: Perfil del paso anterior (perfil de certificado raíz)

Seleccione el perfil de Intune de #Root Certificate. Si está usando un CA intermedia, debe seleccionar el perfil de certificado de confianza para la CA intermedia, no la CA raíz.

Uso extendido de clave: Autenticación de cliente, 1.3.6.1.5.5.7.3.2

Elija Autenticación de cliente (1.3.6.1.5.5.7.3.2) en Valores predefinidos. Los demás campos se rellenarán automáticamente.

Umbral de renovación (%): 20

Este valor define cuándo se permite al dispositivo renovar su certificado (basado en la vida útil restante de un certificado existente). Lea la nota bajo Período de validez del certificado y seleccione un valor adecuado que permita al dispositivo renovar el certificado durante un largo período. Un valor del 20 % permitiría que el dispositivo con un certificado válido de 1 año iniciara la renovación 73 días antes de la expiración.

URL del servidor SCEP: Abra el portal de SCEPman y copie la URL de Intune MDM

Ejemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Ejemplo

• Ahora puede implementar este perfil en sus dispositivos. Elija los mismos grupos para la asignación que para el perfil de certificado de confianza.

Certificados de usuario

Siga las instrucciones de #Device certificates y tenga en cuenta las siguientes diferencias:

Tipo de certificado: Usuario

En esta sección estamos configurando un certificado de usuario.

Formato del nombre del sujeto: CN={{UserName}},E={{EmailAddress}}

Puede definir RDN según sus necesidades. Las variables admitidas se enumeran en la documentación de Microsoft. Recomendamos incluir el nombre de usuario (p. ej.: janedoe) y la dirección de correo electrónico (p. ej.: [e-mail]) como configuración base.

Nombre alternativo del sujeto: (UPN)Valor: {{UserPrincipalName}}

Debe agregar el nombre principal de usuario como el nombre alternativo del sujeto. Agregue '{{UserPrincipalName}}' como Nombre alternativo del sujeto de tipo Nombre principal de usuario (UPN). Esto garantiza que SCEPman pueda vincular certificados a objetos de usuario en AAD. La configuración de 'Formato del nombre del sujeto' es libremente seleccionable.

Se pueden agregar otros valores SAN como una dirección de correo electrónico si es necesario.

Según los comentarios de los clientes, parece que algunos clientes VPN (por ejemplo, Azure VPN Client para Virtual WAN) no pueden detectar el certificado de usuario cuando está almacenado en TPM. Intente inscribirlo en el KSP de software en su lugar.

Ejemplo

Certificado de firma digital de usuario

Puede usar SCEPman para firmas digitales transaccionales firmas digitales es decir, para la firma S/MIME en Microsoft Outlook. Si planea usar los certificados para la firma de mensajes, debe agregar los usos extendidos de clave correspondientes en la configuración del perfil de Intune.

No use SCEPman para el cifrado de correo electrónico es decir, para el cifrado de correo S/MIME en Microsoft Outlook (sin una tecnología separada para la administración de claves). La naturaleza de el protocolo SCEP no incluye un mecanismo para respaldar o archivar el material de la clave privada. Si usara SCEP para el cifrado de correo electrónico, podría perder las claves para descifrar los mensajes más adelante.

• Debe establecer estas variables de configuración; de lo contrario, SCEPman no respetará el uso de clave y el período de validez ampliado solicitados en el perfil SCEP:

• AppConfig:UseRequestedKeyUsages establecido en true
• AppConfig:ValidityPeriodDays establecido en 365 (se puede establecer un valor máximo de 1825: 5 años)

Para implementar certificados de usuario usados para Firmas digitales siga las instrucciones de #User certificates y tenga en cuenta las siguientes diferencias y notas:

Nombre alternativo del sujeto

• (obligatorio) Nombre principal de usuario (UPN): {{UserPrincipalName}}
• (obligatorio) Dirección de correo electrónico: {{EmailAddress}}

Al implementar un certificado de firma digital, debe agregar el UPN y la dirección de correo electrónico.

Uso de clave: solo Firma digital

Uso extendido de clave: Correo electrónico seguro (1.3.6.1.5.5.7.3.4)

Elija Correo electrónico seguro (1.3.6.1.5.5.7.3.4) en Valores predefinidos. Los demás campos se rellenarán automáticamente.

Umbral de renovación (%): 50

Recomendamos configurar el Umbral de renovación (%) en un valor que garantice que los certificados se renueven al menos 6 meses antes de expirar cuando se emiten certificados de firma S/MIME. Esto se debe a que los correos firmados con certificados vencidos se muestran con firmas no válidas en Outlook, lo que confunde a los usuarios. Tener un nuevo certificado mucho antes de que expire el antiguo garantiza que solo los correos más antiguos muestren este comportamiento, y los usuarios tienen menos probabilidades de verlos. Por ejemplo, si sus certificados de firma son válidos durante un año, debería establecer el Umbral de renovación en al menos 50 %.

Ejemplo

Después de una sincronización correcta del perfil, debería ver el certificado de usuario para los usos previstos Correo electrónico seguro

El certificado estará disponible para su uso en Firma digital, por ejemplo en Outlook. A continuación se muestra un ejemplo del uso

Active las firmas S/MIME en Outlook

Una vez que haya implementado certificados de firma S/MIME en sus equipos cliente, debe configurar Outlook para usar estos certificados antes de enviar correos firmados.

Nuevo Outlook

S/MIME para el Nuevo Outlook se puede configurar manualmente.

Outlook clásico

S/MIME para Outlook clásico se puede configurar manualmente o configurarse rápidamente con nuestro script de PowerShell.

Outlook en la Web

S/MIME para Outlook en la Web se puede configurar manualmente o habilitarse usando PowerShell con el siguiente comando:

Set-SmimeConfig -OWAAllowUserChoiceOfSigningCertificate $true

Se pueden ver comandos adicionales de PowerShell aquí.