Política de grupo

Este registo de certificado baseia-se nos XCEP e WSTEP protocolos que todas as versões recentes do Windows suportam nativamente. Em ambientes Active Directory, as definições necessárias podem ser aplicadas através de políticas de grupo (GPO), para fazer com que computadores associados ao AD solicitem certificados do SCEPman.

Neste cenário, são necessárias três definições de política de grupo para uma implementação de certificados totalmente automatizada.

1

Registo do servidor CEP

O servidor CEP (Certificate Enrollment Policy) (parte do SCEPman) fornecerá a um cliente autenticado uma política que contém todos os modelos de certificado configurados no SCEPman para inscrição no Active Directory. O servidor CEP precisa de ser adicionado nos clientes no registo. O Windows inclui modelos de GPO para configurar as definições necessárias na interface gráfica.

Configuração da política

Para os modelos de certificado Dispositivo e DC, tem de ir para o Configuração do Computador ramo. Para Usuário, navegue no Configuração do Utilizador ramo. Se usar modelos de certificado de ambos os tipos, terá de configurar ambos. Nesse caso, normalmente usará duas GPOs, uma aplicada aos utilizadores com a Configuração do Utilizador e outra aplicada aos computadores com a Configuração do Computador.

Localização da definição no Editor de Gestão de Política de Grupo (gpmc.msc)

Configuração do Computador / Configuração do Utilizador
└-Políticas
  └-Definições do Windows
    └-Definições de segurança
      └-Políticas de chaves públicas
        └-Cliente de Serviços de Certificados - Servidor de Política de Registo de Certificados

Na definição, adicione um novo servidor CEP à lista e introduza o URI do servidor de políticas no respetivo campo. Pode copiar este URI da página inicial do seu SCEPman. Segue o esquema de https://scepman.contoso.com/step/policy. Depois de introduzir e validar o servidor CEP, pode concluir a definição adicionando-o e confirmando a caixa de diálogo.

No processo de configuração, o cliente já faz uma chamada de validação ao servidor CEP. Por conseguinte, o contexto da conta usado para a configuração tem de ter permissão para aceder ao endpoint CEP do SCEPman, ou seja, autenticar com Kerberos, e acesso de rede de saída à porta 443 do SCEPman.

Consulte a Problemas conhecidos secção caso receba um erro durante a validação do servidor CEP.

Se estiver a utilizar o servidor CEP do SCEPman em paralelo com o seu ADCS existente, tem de escolher um servidor predefinido e certificar-se de que mantém a política de registo existente.

2

Ativar a inscrição automática

Com o servidor CEP registado, os seus utilizadores/computadores podem solicitar certificados do SCEPman. Normalmente, pretende que isto aconteça automaticamente, sem interação do utilizador, e para isso tem de ativar a inscrição automática. Note que esta já pode estar ativada se anteriormente utilizava a inscrição automática com o Microsoft Active Directory Certificate Services (AD CS).

Localização da definição no Editor de Gestão de Política de Grupo (gpmc.msc)

Configuração do Computador / Configuração do Utilizador
└-Políticas
  └-Definições do Windows
    └-Definições de segurança
      └-Políticas de chaves públicas
        └-Cliente de Serviços de Certificados - Inscrição automática

Certifique-se de assinalar Atualizar certificados que usam modelos de certificado para ativar a inscrição automática.

3

Instalar a CA raiz de confiança

Com o servidor de política de registo e as definições de inscrição automática em vigor, só precisa de se certificar de que os dispositivos ou utilizadores de destino confiam no certificado da CA do SCEPman. Para que isso aconteça, terá de importar o certificado da CA na definição de GPO correspondente.

Localização da definição no Editor de Gestão de Política de Grupo (gpmc.msc)

Configuração do Computador / Configuração do Utilizador
└-Políticas
  └-Definições do Windows
    └-Definições de segurança
      └-Políticas de chaves públicas
        └-Autoridades de certificação raiz de confiança
          └- Importar (menu de contexto)

Transfira o certificado da CA do SCEPman da sua página inicial e certifique-se de o importar nesta caixa de diálogo.