Windows

Implantar certificados em dispositivos Windows via SCEP no Intune usando SCEPman.

O artigo a seguir descreve a implantação de certificados de dispositivo e/ou usuário para dispositivos Windows. A implantação do Certificado Raiz do SCEPman é obrigatória. Depois, você pode escolher entre implantar apenas o certificado de dispositivo, de usuário ou mesmo ambos os tipos de certificado.

Certificado raiz

A base para implantar certificados SCEP é confiar no certificado raiz do SCEPman. Portanto, você precisa baixar o certificado CA Root e implantá-lo como um certificado confiável perfil via Microsoft Intune:

• Baixe o Certificado CA do portal SCEPman:

• Crie um perfil para Windows 10 e posteriores com tipo certificado confiável no Microsoft Intune:

• Carregue seu arquivo .cer previamente baixado.

• Agora você pode implantar este perfil nos seus dispositivos. Por favor escolha Todos os Usuários e/ou Todos os Dispositivos ou um grupo dedicado para a atribuição.

Observe que você deve usar o mesmo grupo para atribuir o certificado confiável e o perfil SCEP. Caso contrário, a implantação pelo Intune pode falhar.

Certificados de dispositivo

• Abra o portal SCEPman e copie a URL em Intune MDM

• Crie um perfil para Windows 10 e posteriores com tipo Certificado SCEP no Microsoft Intune

• Configure o perfil conforme descrito:

Tipo de certificado: Dispositivo

Neste caso estamos configurando um certificado de dispositivo

Formato do nome do sujeito: CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}

Recomendado: Use {{DeviceName}}para o RDN CN ter um nome significativo do certificado no dispositivo ou ao procurar o certificado.

Opcional: Se configurado para CN={{DeviceId}} ou CN={{AAD_Device_ID}}, o SCEPman usa o campo CN do nome do sujeito para identificar o dispositivo e como semente para a geração do número de série do certificado. Microsoft Entra ID (Azure AD) e o Intune oferecem dois IDs diferentes:

• {{DeviceId}}: Este ID é gerado e usado pelo Intune. (requer SCEPman 2.0 ou superior e AppConfig:IntuneValidation:DeviceDirectory a ser definido como Intune ou AADAndIntune)

• {{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD).

Caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado para o campo CN (por exemplo CN={{DeviceName}}), o SCEPman identificará o dispositivo com base no ID de Dispositivo do Intune ((URI)Valor: IntuneDeviceId://{{DeviceId}}) fornecido no nome alternativo do sujeito (SAN).

Importante: A escolha do campo CN afeta o comportamento de revogação automática dos certificados emitidos aos seus dispositivos gerenciados pelo Intune.

Você pode adicionar outros RDNs se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.

Nome alternativo do sujeito: (URI)Valor: IntuneDeviceId://{{DeviceId}}

O campo URI é recomendado pela Microsoft para soluções NAC identificarem os dispositivos com base no seu ID de Dispositivo do Intune. O valor deve ser:

IntuneDeviceId://{{DeviceId}}

O campo URI é obrigatório caso nenhum CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado no campo Formato do nome do sujeito .

Outros valores SAN como DNS podem ser adicionados se necessário.

Período de validade do certificado: 1 ano

A quantidade de tempo restante antes do certificado expirar. O padrão é definido para um ano.

O SCEPman limita a validade do certificado ao máximo configurado na configuração AppConfig:ValidityPeriodDays, mas caso contrário usa a validade configurada na solicitação.

Provedor de armazenamento de chaves (KSP): Inscrever no KSP Trusted Platform Module (TPM), caso contrário falhar

Esta configuração determina o local de armazenamento da chave privada para os certificados do usuário final. O armazenamento no TPM é mais seguro que o armazenamento em software porque o TPM fornece uma camada adicional de segurança para evitar o roubo da chave.

Observação: Há um bug em algumas versões antigas de firmware de TPM que invalida algumas assinaturas criadas com uma chave privada suportada pelo TPM. Nesses casos, o certificado não pode ser usado para autenticação EAP, como é comum para conexões Wi-Fi e VPN. Além disso, isso pode quebrar seu processo de integração Autopilot.

Versões de firmware TPM afetadas incluem:

• STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100, 73.20.17568.6684

• Intel: 11.8.50.3399, 2.0.0.2060

• Infineon: 7.63.3353.0

• IFX: Versão 3.19 / Especificação 1.2

• IFX versão 7.63.3353.0 especificação 2.0

Se você usar TPM com esse firmware, atualize seu firmware para uma versão mais recente ou selecione "Software KSP" como provedor de armazenamento de chaves.

Atualização: Você pode contornar o bug do TPM removendo os algoritmos de assinatura RSA-PSS - que estão causando o problema - do registro; para mais informações, verifique por favor o artigo de Richard Hicks e Microsoft Q&A

Uso da chave: Assinatura digital e Ciframento de chave

Por favor ative ambas as ações criptográficas.

O SCEPman define automaticamente o Uso da chave para Assinatura digital e Ciframento de chave e substitui a configuração aqui, a menos que a configuração AppConfig:UseRequestedKeyUsages esteja definida para true.

Tamanho da chave (bits): 2048

O SCEPman suporta 2048 bits.

Algoritmo de hash: SHA-2

O SCEPman suporta o algoritmo SHA-2.

Certificado Raiz: Perfil do passo anterior (Perfil do certificado Raiz)

Por favor selecione o perfil do Intune de #Certificado raiz. Se você estiver usando uma CA intermediária, você deve selecionar o perfil de certificado confiável para a CA intermediária, não a CA raiz!

Uso estendido da chave: Autenticação de cliente, 1.3.6.1.5.5.7.3.2

Por favor escolha Autenticação de cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.

Limite de renovação (%): 20

Este valor define quando o dispositivo tem permissão para renovar seu certificado (com base na vida útil remanescente de um certificado existente). Por favor leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado durante um longo período. Um valor de 20% permitiria que o dispositivo com certificado válido por 1 ano iniciasse a renovação 73 dias antes da expiração.

URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de Intune MDM

Exemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Exemplo

• Agora você pode implantar este perfil nos seus dispositivos. Por favor escolha os mesmos grupos para a atribuição que foram usados no perfil de certificado confiável.

Certificados de usuário

Por favor siga as instruções de #Certificados de dispositivo e atente para as seguintes diferenças:

Tipo de certificado: Usuário

Nesta seção estamos configurando um certificado de usuário.

Formato do nome do sujeito: CN={{UserName}},E={{EmailAddress}}

Você pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de usuário (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [email protected]) como configuração básica.

Nome alternativo do sujeito: (UPN)Valor: {{UserPrincipalName}}

Você deve adicionar o nome principal do usuário como o Nome alternativo do sujeito. Adicione '{{UserPrincipalName}}' como Nome Alternativo do Sujeito do tipo Nome principal do usuário (UPN). Isso garante que o SCEPman possa vincular certificados a objetos de usuário no AAD. A configuração para 'Formato do nome do sujeito' é livremente selecionável.

Outros valores SAN como um endereço de e-mail podem ser adicionados se necessário.

Com base no feedback dos clientes, parece que alguns clientes VPN (por exemplo, Azure VPN Client para Virtual WAN) não conseguem localizar o certificado do usuário quando ele está armazenado no TPM. Tente registrá-lo no KSP de software em vez disso.

Exemplo

Certificado de Assinatura Digital do Usuário

Você pode usar o SCEPman para assinaturas digitais transacionais, ou seja, para assinatura S/MIME no Microsoft Outlook. Se você planeja usar os certificados para assinatura de mensagens, precisa adicionar os usos estendidos de chave correspondentes na configuração do perfil do Intune.

Não use o SCEPman para criptografia de e-mail ou seja, para criptografia de e-mails S/MIME no Microsoft Outlook (sem uma tecnologia separada para gerenciamento de chaves). A natureza do protocolo SCEP não inclui um mecanismo para backup ou arquivamento do material da chave privada. Se você usasse SCEP para criptografia de e-mail, pode perder as chaves para decifrar as mensagens mais tarde.

• Você deve definir essas variáveis de configuração, caso contrário o uso de chave solicitado e o período de validade estendido no perfil SCEP não serão respeitados pelo SCEPman:

• AppConfig:UseRequestedKeyUsages definir para true

• AppConfig:ValidityPeriodDays definir para 365 (um valor máximo de 1825 - 5 anos é possível)

Para implantar certificados de usuário usados para Assinaturas Digitais por favor siga as instruções de #Certificados de usuário e atente para as seguintes diferenças e observações:

Nome alternativo do sujeito

• (obrigatório) Nome principal do usuário (UPN): {{UserPrincipalName}}

• (obrigatório) Endereço de e-mail: {{EmailAddress}}

Ao implantar um certificado de assinatura digital, você deve adicionar o UPN e o endereço de e-mail.

Uso da chave: somente Assinatura digital

Uso estendido da chave: Email seguro (1.3.6.1.5.5.7.3.4)

Por favor escolha Email seguro (1.3.6.1.5.5.7.3.4) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.

Limite de renovação (%): 50

Recomendamos definir o Limite de Renovação (%) para um valor que garanta que os certificados sejam renovados pelo menos 6 meses antes da expiração ao emitir certificados de assinatura S/MIME. Isso ocorre porque e-mails assinados com certificados expirados são exibidos como tendo assinaturas inválidas no Outlook, o que confunde os usuários. Ter um novo certificado muito antes do antigo expirar garante que apenas e-mails mais antigos exibam esse comportamento, os quais os usuários são menos propensos a visualizar. Por exemplo, se seus certificados de assinatura forem válidos por um ano, você deve definir o Limite de Renovação para pelo menos 50%.

Exemplo

Após uma sincronização bem-sucedida do perfil, você deverá ver o certificado de usuário para Finalidades Pretendidas Email seguro

O certificado estará disponível para uso de Assinatura Digital em, por exemplo, Outlook. Abaixo está um exemplo do uso

Ativar assinaturas S/MIME no Microsoft Outlook

O recurso S/MIME não está disponível para o cliente Outlook mais recente. Mais info aqui.

Depois de implantar certificados de assinatura S/MIME nas suas máquinas cliente, você deve configurar o Outlook para usar esses certificados antes de enviar e-mails assinados. Você pode fazer isso manualmente ou usar nosso Script PowerShell para configurar o Outlook.

Ativar assinaturas S/MIME no Outlook na Web

Você pode assinar e-mails com S/MIME no Outlook na Web usando certificados da sua máquina Windows local. Você precisa habilitar isso com o seguinte comando:

Set-SmimeConfig -OWAAllowUserChoiceOfSigningCertificate $true

Veja https://learn.microsoft.com/en-us/powershell/module/exchange/set-smimeconfig para mais detalhes.