macOS
Implante certificados em dispositivos MacOS via SCEP no Intune usando o SCEPman.
O artigo a seguir descreve como implantar certificados de dispositivo e/ou de usuário para dispositivos macOS. A implantação do Certificado Root do SCEPman é obrigatória. Em seguida, você pode escolher implantar apenas certificados de dispositivo, de usuário ou até ambos os tipos de certificado.
Observe que o macOS inscreve um ou mais certificados de autenticação de cliente separados para cada perfil de configuração de dispositivo em que um perfil SCEP é referenciado, além do próprio perfil de certificado SCEP. Veja a nota aqui
Certificado raiz
A base para implantar certificados SCEP é confiar no certificado raiz do SCEPman. Portanto, você precisa baixar o certificado CA Root e implantá-lo como um certificado confiável perfil via Microsoft Intune:
Observe que você deve usar o mesmo grupo para atribuição o certificado confiável e perfil SCEP. Caso contrário, a implantação pelo Intune pode falhar.
Certificados de dispositivo
Formato do nome do sujeito: CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}
Recomendado: Use {{DeviceName}}para o RDN CN ter um nome significativo do certificado no dispositivo ou ao procurar o certificado.
Opcional: Se configurado para CN={{DeviceId}} ou CN={{AAD_Device_ID}}, o SCEPman usa o campo CN do nome do sujeito para identificar o dispositivo e como semente para a geração do número de série do certificado. Microsoft Entra ID (Azure AD) e o Intune oferecem dois IDs diferentes:
{{DeviceId}}: Este ID é gerado e usado pelo Intune. (requer SCEPman 2.0 ou superior e AppConfig:IntuneValidation:DeviceDirectory a ser definido como Intune ou AADAndIntune){{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD).
Caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado para o campo CN (por exemplo CN={{DeviceName}}), o SCEPman identificará o dispositivo com base no ID de Dispositivo do Intune ((URI)Valor: IntuneDeviceId://{{DeviceId}}) fornecido no nome alternativo do sujeito (SAN).
Importante: A escolha do campo CN afeta o comportamento de revogação automática dos certificados emitidos aos seus dispositivos gerenciados pelo Intune.
Você pode adicionar outros RDNs se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.
Nome alternativo do sujeito: URI Valor:IntuneDeviceId://{{DeviceId}}
O campo URI é recomendado pela Microsoft para soluções NAC identificarem os dispositivos com base no seu ID de Dispositivo do Intune.
O campo URI é obrigatório caso nenhum CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado no campo Formato do nome do sujeito .
Outros valores SAN como DNS podem ser adicionados se necessário.
Período de validade do certificado: 1 ano
Importante: dispositivos macOS ignoram a configuração do período de validade via Intune. Por favor, certifique-se de configurar AppConfig:ValidityPeriodDays para um valor fixo. Você pode deixar a configuração do período de validade do certificado em 1 ano porque ela será ignorada de qualquer forma. Importante: Observe também que certificados no macOS são renovados apenas pelo Intune quando o dispositivo está desbloqueado, online, sincronizando e dentro do escopo do limiar de renovação. Se os certificados estiverem expirados (por exemplo: o dispositivo ficou offline e/ou bloqueado por muito tempo), eles não serão mais renovados. Portanto, recomendamos escolher um valor mais alto aqui.
Uso da chave: Assinatura digital e criptografia de chavet
Por favor ative ambas as ações criptográficas.
Certificado Raiz: Perfil do passo anterior
Por favor selecione o perfil do Intune de #Certificados raiz
Uso estendido da chave: Autenticação de cliente, 1.3.6.1.5.5.7.3.2
Por favor escolha Autenticação de cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.
Importante: Dispositivos macOS não suportam quaisquer Usos Estendidos de Chave (EKUs) além de Autenticação de Cliente . Isso significa que quaisquer outros EKUs configurados neste perfil serão ignorados.
Limite de renovação (%): 50
Este valor define quando o dispositivo está autorizado a renovar seu certificado (com base no tempo de vida restante do certificado existente). Por favor, leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado por um longo período. Um valor de 50% permitiria que o dispositivo com um certificado válido por 1 ano iniciasse a renovação 182 dias antes da expiração.
URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de Intune MDM
Exemplo
Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple.
Exemplo
Certificados de usuário
A seção a seguir mostrará como você pode implantar certificados de usuário via perfil de certificado do Intune em dispositivos macOS X 10.12 (ou posterior).
Observe: Certificados provisionados pelo protocolo SCEP - independentemente do tipo (usuário ou dispositivo) - são sempre colocados no chaveiro do sistema (Armazenamento do Sistema) do dispositivo.
Caso um aplicativo de terceiros exija acesso a tal certificado (por exemplo, cliente VPN de terceiros), o controle deslizante para Permitir que todos os apps acessem a chave privada no chaveiro deve ser definido como ativado.
Por favor siga as instruções de #Certificados de dispositivo e atente para as seguintes diferenças:
Formato do nome do sujeito: CN={{UserName}},E={{EmailAddress}}
Você pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de usuário (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [email protected]) como configuração básica.
Nome alternativo do sujeito: UPN Valor:{{UserPrincipalName}}
O SCEPman usa o UPN no SAN para identificar o usuário e como semente para a geração do número de série do certificado (por exemplo: [email protected]). Outros valores de SAN como Endereço de e-mail podem ser adicionados se necessário.
Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple
Exemplo
Last updated
Was this helpful?