iOS/iPadOS

Implante certificados em dispositivos iOS e iPadOS via SCEP no Intune usando SCEPman.

O artigo a seguir descreve como implantar certificados de dispositivo e/ou usuário para dispositivos iOS e iPadOS. A implantação do Certificado Raiz do SCEPman é obrigatória. Em seguida, você pode escolher entre implantar apenas o certificado de dispositivo, de usuário ou até ambos os tipos de certificado.

Observe que iOS e iPadOS inscrevem um certificado(s) de autenticação de cliente separado para cada perfil de configuração de dispositivo em que um perfil SCEP é referenciado, além do próprio perfil de certificado SCEP. Veja aqui

Certificado raiz

A base para implantar certificados SCEP é confiar no certificado raiz do SCEPman. Portanto, você precisa baixar o certificado CA Root e implantá-lo como um certificado confiável perfil via Microsoft Intune:

• Baixe o Certificado CA do portal SCEPman:

• Criar um perfil para iOS/iPadOS com o tipo certificado confiável no Microsoft Intune:

• Carregue seu arquivo .cer previamente baixado.

• Agora você pode implantar este perfil nos seus dispositivos. Por favor escolha Todos os Usuários e/ou Todos os Dispositivos ou um grupo dedicado para a atribuição.

Observe que você deve usar o mesmo grupo para atribuição o certificado confiável e perfil SCEP. Caso contrário, a implantação pelo Intune pode falhar.

Certificados de dispositivo

• Abra o portal do SCEPman e copie a URL em Intune MDM:

• Criar um perfil para iOS/iPadOS com o tipo Certificado SCEP no Microsoft Intune:

• Configure o perfil conforme descrito:

Tipo de certificado: Dispositivo

Nesta seção estamos configurando um certificado de dispositivo.

Formato do nome do sujeito: CN={{DeviceId}} ou CN={{AAD_Device_ID}}

O SCEPman usa o campo CN do sujeito para identificar o dispositivo e como semente para a geração do número de série do certificado. O Microsoft Entra ID (Azure AD) e o Intune oferecem dois IDs diferentes:

• {{DeviceId}}: Este ID é gerado e usado pelo Intune (Recomendado) (requer SCEPman 2.0 ou superior e AppConfig:IntuneValidation:DeviceDirectory a ser definido como Intune ou AADAndIntune)

• {{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD). (Nota: Ao usar a Inscrição Automática de Dispositivos via Apple Business Manager, este ID pode mudar durante a configuração do dispositivo. Se isso ocorrer, o SCEPman pode não conseguir identificar o dispositivo posteriormente. O certificado se tornaria inválido nesse caso.)

Você pode adicionar outros RDNs se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.

Nome alternativo do sujeito: URI Valor:IntuneDeviceId://{{DeviceId}}

O campo URI é recomendado pela Microsoft para soluções NAC identificarem os dispositivos com base em seu ID de dispositivo do Intune.

Outros valores SAN como DNS podem ser adicionados se necessário.

Período de validade do certificado: 1 ano

Importante: Dispositivos iOS/iPadOS ignoram a configuração do período de validade via Intune. Por favor, certifique-se de configurar AppConfig:ValidityPeriodDays para um valor fixo. Recomendamos 2 anos, portanto você deve definir essa variável na configuração do SCEPman para 730 dias. Mas você pode deixar a configuração do período de validade do certificado em 1 ano porque o Intune a ignora de qualquer forma. Importante: Observe também que certificados em iOS/iPadOS só são renovados pelo Intune quando o dispositivo está desbloqueado, online, sincronizando e dentro do escopo do limite de renovação. Se os certificados estiverem expirados (por exemplo: o dispositivo ficou offline e/ou bloqueado por muito tempo), eles não serão renovados. Portanto, recomendamos escolher um valor maior aqui.

Uso da chave: Assinatura digital e criptografia de chave

Por favor ative ambas as ações criptográficas.

Tamanho da chave (bits): 2048

O SCEPman suporta 2048 bits.

Certificado Raiz: Perfil do passo anterior

Por favor selecione o perfil do Intune de iOS/iPadOS.

Uso estendido da chave: Autenticação de cliente, 1.3.6.1.5.5.7.3.2

Por favor escolha Autenticação de cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.

Importante: Dispositivos iOS/iPadOS não suportam usos de chave estendidos (EKUs) além de Autenticação de Cliente . Isso significa que quaisquer outros EKUs configurados neste perfil serão ignorados.

Limite de renovação (%): 50

Este valor define quando o dispositivo tem permissão para renovar seu certificado (com base na vida útil restante do certificado existente). Por favor, leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado por um longo período. Um valor de 50% permitiria que o dispositivo com um certificado válido por 1 ano iniciasse a renovação 182 dias antes da expiração.

URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de Intune MDM

Exemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple.

Exemplo

• Agora você pode implantar este perfil em seus dispositivos. Por favor, escolha os mesmos grupos para atribuição que para o perfil de certificado Confiável.

Certificados de usuário

Por favor siga as instruções de iOS/iPadOS e atente para as seguintes diferenças:

Tipo de certificado: Usuário

Nesta seção estamos configurando um certificado de usuário.

Formato do nome do sujeito: CN={{UserName}},E={{EmailAddress}}

Você pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de usuário (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [email protected]) como configuração básica.

Nome alternativo do sujeito: UPN Valor: {{UserPrincipalName}}

O SCEPman usa o UPN no SAN para identificar o usuário e como semente para a geração do número de série do certificado (por exemplo: [email protected]). Outros valores SAN, como endereço de e-mail, podem ser adicionados se necessário.

Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple

Exemplo