macOS

Implantar certificados em dispositivos MacOS via SCEP no Intune usando SCEPman.

O artigo a seguir descreve como implantar certificados de dispositivo e/ou de usuário para dispositivos macOS. A implantação do Certificado Root do SCEPman é obrigatória. Em seguida, você pode escolher implantar apenas certificados de dispositivo, de usuário ou até ambos os tipos de certificado.

Observe que o macOS inscreve um ou mais certificados de autenticação de cliente separados para cada perfil de configuração de dispositivo em que um perfil SCEP é referenciado, além do próprio perfil de certificado SCEP. Veja a nota aqui

Certificado raiz

A base para implantar certificados SCEP é confiar no certificado raiz do SCEPman. Portanto, você precisa baixar o certificado CA Root e implantá-lo como um certificado confiável perfil via Microsoft Intune:

• Baixe o Certificado CA do portal SCEPman:

• Crie um perfil para macOS com o tipo certificado confiável no Microsoft Intune:

• Carregue seu arquivo .cer previamente baixado.

• Agora você pode implantar este perfil nos seus dispositivos. Por favor escolha Todos os Usuários e/ou Todos os Dispositivos ou um grupo dedicado para a atribuição.

Observe que você deve usar o mesmo grupo para atribuição o certificado confiável e perfil SCEP. Caso contrário, a implantação pelo Intune pode falhar.

Certificados de dispositivo

• Abra o portal do SCEPman e copie a URL em Intune MDM:

• Crie um perfil para macOS com o tipo Certificado SCEP no Microsoft Intune:

• Configure o perfil conforme descrito:

Tipo de certificado: Dispositivo

Nesta seção estamos configurando um certificado de dispositivo.

Formato do nome do sujeito: CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}

Recomendado: Use {{DeviceName}}para o RDN CN ter um nome significativo do certificado no dispositivo ou ao procurar o certificado.

Opcional: Se configurado para CN={{DeviceId}} ou CN={{AAD_Device_ID}}, o SCEPman usa o campo CN do nome do sujeito para identificar o dispositivo e como semente para a geração do número de série do certificado. Microsoft Entra ID (Azure AD) e o Intune oferecem dois IDs diferentes:

• {{DeviceId}}: Este ID é gerado e usado pelo Intune. (requer SCEPman 2.0 ou superior e AppConfig:IntuneValidation:DeviceDirectory a ser definido como Intune ou AADAndIntune)

• {{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD).

Caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado para o campo CN (por exemplo CN={{DeviceName}}), o SCEPman identificará o dispositivo com base no ID de Dispositivo do Intune ((URI)Valor: IntuneDeviceId://{{DeviceId}}) fornecido no nome alternativo do sujeito (SAN).

Importante: A escolha do campo CN afeta o comportamento de revogação automática dos certificados emitidos aos seus dispositivos gerenciados pelo Intune.

Você pode adicionar outros RDNs se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.

Nome alternativo do sujeito: URI Valor:IntuneDeviceId://{{DeviceId}}

O campo URI é recomendado pela Microsoft para soluções NAC identificarem os dispositivos com base no seu ID de Dispositivo do Intune.

O campo URI é obrigatório caso nenhum CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado no campo Formato do nome do sujeito .

Outros valores SAN como DNS podem ser adicionados se necessário.

Período de validade do certificado: 1 ano

Importante: dispositivos macOS ignoram a configuração do período de validade via Intune. Por favor, certifique-se de configurar AppConfig:ValidityPeriodDays para um valor fixo. Você pode deixar a configuração do período de validade do certificado em 1 ano porque ela será ignorada de qualquer forma. Importante: Observe também que certificados no macOS são renovados apenas pelo Intune quando o dispositivo está desbloqueado, online, sincronizando e dentro do escopo do limiar de renovação. Se os certificados estiverem expirados (por exemplo: o dispositivo ficou offline e/ou bloqueado por muito tempo), eles não serão mais renovados. Portanto, recomendamos escolher um valor mais alto aqui.

Uso da chave: Assinatura digital e criptografia de chavet

Por favor ative ambas as ações criptográficas.

Tamanho da chave (bits): 2048

O SCEPman suporta 2048 bits.

Certificado Raiz: Perfil do passo anterior

Por favor selecione o perfil do Intune de #Certificados raiz

Uso estendido da chave: Autenticação de cliente, 1.3.6.1.5.5.7.3.2

Por favor escolha Autenticação de cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.

Importante: Dispositivos macOS não suportam quaisquer Usos Estendidos de Chave (EKUs) além de Autenticação de Cliente . Isso significa que quaisquer outros EKUs configurados neste perfil serão ignorados.

Limite de renovação (%): 50

Este valor define quando o dispositivo está autorizado a renovar seu certificado (com base no tempo de vida restante do certificado existente). Por favor, leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado por um longo período. Um valor de 50% permitiria que o dispositivo com um certificado válido por 1 ano iniciasse a renovação 182 dias antes da expiração.

URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de Intune MDM

Exemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple.

Exemplo

• Agora você pode implantar este perfil em seus dispositivos. Por favor, escolha os mesmos grupos para atribuição que para o perfil de certificado confiável.

Certificados de usuário

A seção a seguir mostrará como você pode implantar certificados de usuário via perfil de certificado do Intune em dispositivos macOS X 10.12 (ou posterior).

Observe: Certificados provisionados pelo protocolo SCEP - independentemente do tipo (usuário ou dispositivo) - são sempre colocados no chaveiro do sistema (Armazenamento do Sistema) do dispositivo.

Caso um aplicativo de terceiros exija acesso a tal certificado (por exemplo, cliente VPN de terceiros), o controle deslizante para Permitir que todos os apps acessem a chave privada no chaveiro deve ser definido como ativado.

Por favor siga as instruções de #Certificados de dispositivo e atente para as seguintes diferenças:

Tipo de certificado: Usuário

Nesta seção estamos configurando um certificado de usuário.

Formato do nome do sujeito: CN={{UserName}},E={{EmailAddress}}

Você pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de usuário (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [email protected]) como configuração básica.

Nome alternativo do sujeito: UPN Valor:{{UserPrincipalName}}

O SCEPman usa o UPN no SAN para identificar o usuário e como semente para a geração do número de série do certificado (por exemplo: [email protected]). Outros valores de SAN como Endereço de e-mail podem ser adicionados se necessário.

Com nossas configurações declaradas, cumprimos requisitos de certificado da Apple

Exemplo