macOS

Implemente certificados em dispositivos MacOS via SCEP no Intune usando o SCEPman.

O seguinte artigo descreve como implantar certificados de dispositivo e/ou de utilizador para dispositivos macOS. A implantação do Certificado Raiz do SCEPman é obrigatória. Depois, pode escolher entre implantar apenas certificados de dispositivo, de utilizador ou ambos os tipos de certificado.

Tenha em atenção que o macOS inscreve um(s) certificado(s) separado(s) de autenticação de cliente para cada perfil de configuração de dispositivo em que é referenciado um perfil SCEP, para além do próprio perfil de certificado SCEP. Consulte a nota aqui

Certificado raiz

A base para a implantação de certificados SCEP é confiar no certificado raiz do SCEPman. Portanto, você precisa baixar o certificado raiz da CA e implantá-lo como um certificado confiável perfil via Microsoft Intune:

• Transfira o Certificado da AC a partir do seu portal SCEPman:

• Crie um perfil para macOS com o tipo certificado confiável no Microsoft Intune:

• Carregue o arquivo .cer.
• Agora você pode implantar esse perfil em seus dispositivos. Escolha Todos os usuários e/ou Todos os dispositivos ou um grupo dedicado para a atribuição.

Nota: tem de usar o mesmo grupo para atribuir o certificado confiável e perfil SCEP. Caso contrário, a implementação no Intune poderá falhar.

Certificados de dispositivo

• Abra o portal SCEPman e copie o URL em Intune MDM:

• Crie um perfil para macOS com o tipo certificado SCEP no Microsoft Intune:

• Configure o perfil conforme descrito:

Tipo de certificado: Dispositivo

Nesta secção, estamos a configurar um certificado de dispositivo.

Formato do nome do sujeito: CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}

Recomendado: Use {{DeviceName}}para o RDN CN para ter um nome significativo do certificado no dispositivo ou ao pesquisar o certificado.

Opcional: Se configurado para CN={{DeviceId}} ou CN={{AAD_Device_ID}}, o SCEPman usa o campo CN do nome do sujeito para identificar o dispositivo e como semente para a geração do número de série do certificado. Microsoft Entra ID (Azure AD) e Intune oferecem dois IDs diferentes:

• {{DeviceId}}: Este ID é gerado e usado pelo Intune. (requer AppConfig:IntuneValidation:DeviceDirectory ser definido como Intune ou AADAndIntune)
• {{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD).

Caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado para o campo CN (por exemplo, CN={{DeviceName}}), o SCEPman identificará o dispositivo com base no ID do dispositivo do Intune (Valor (URI): IntuneDeviceId://{{DeviceId}}) fornecido no nome alternativo do sujeito (SAN).

Importante: A escolha do campo CN afeta o comportamento de revogação automática dos certificados emitidos para seus dispositivos gerenciados pelo Intune.

Você pode adicionar outros RDNs, se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.

Nome alternativo do sujeito: URI Valor:IntuneDeviceId://{{DeviceId}}

O campo URI é recomendado pela Microsoft para que soluções NAC identifiquem os dispositivos com base no respetivo ID de dispositivo do Intune.

IntuneDeviceId://{{DeviceId}}

O campo URI é obrigatório caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado no campo Formato do nome do sujeito .

Outros valores SAN, como DNS, podem ser adicionados se necessário.

Período de validade do certificado: 1 ano

Importante: Os dispositivos macOS ignoram a configuração do período de validade através do Intune. Certifique-se de configurar AppConfig:ValidityPeriodDays para um valor fixo. Pode deixar a definição do período de validade do certificado em 1 ano, porque será ignorada de qualquer forma. Importante: Tenha também em atenção que os certificados no macOS só são renovados pelo Intune quando o dispositivo está desbloqueado, online, a sincronizar e dentro do âmbito do limiar de renovação. Se os certificados expirarem (por exemplo: o dispositivo esteve offline e/ou bloqueado durante muito tempo), já não serão renovados. Portanto, recomendamos escolher aqui um valor mais elevado.

Uso da chave: Assinatura digital e encapsulamento de chave

Ative ambas as ações criptográficas.

Tamanho da chave (bits): 2048

O SCEPman suporta 2048 bits.

Certificado raiz: Perfil do passo anterior

Selecione o perfil do Intune de #Certificados raiz

Uso estendido da chave: Autenticação do cliente, 1.3.6.1.5.5.7.3.2

Escolha Autenticação do cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.

Importante: Os dispositivos macOS não suportam quaisquer Utilizações Estendidas de Chave (EKUs) para além de Autenticação de cliente . Isto significa que quaisquer outras EKUs configuradas neste perfil serão ignoradas.

Limite de renovação (%): 50

Este valor define quando o dispositivo tem permissão para renovar o seu certificado (com base no tempo de vida restante do certificado existente). Leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado durante um longo período. Um valor de 50% permitiria que o dispositivo com um certificado válido por 1 ano iniciasse a renovação 182 dias antes da expiração.

URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de Intune MDM

Exemplo

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Com as definições indicadas, cumprimos os requisitos de certificados da Apple.

Exemplo

• Agora pode implementar este perfil nos seus dispositivos. Escolha o(s) mesmo(s) grupo(s) para atribuição que para o perfil de certificado de confiança.

Certificados de usuário

A secção seguinte mostra-lhe como pode implementar certificados de utilizador através de um perfil de certificado do Intune em dispositivos macOS X 10.12 (ou posterior).

Tenha em atenção: os certificados provisionados através do protocolo SCEP — independentemente do tipo (utilizador ou dispositivo) — são sempre colocados na cadeia de chaves do sistema (armazenamento do sistema) do dispositivo.

Caso uma aplicação de terceiros necessite de acesso a esse certificado (por exemplo, um cliente VPN de terceiros), o controlo deslizante para Permitir que todas as aplicações acedam à chave privada na cadeia de chaves deve ser definido para ativado.

Siga as instruções de #Certificados de dispositivo e atente para as seguintes diferenças:

Tipo de certificado: Usuário

Nesta seção, estamos configurando um certificado de usuário.

Formato do nome do sujeito: CN={{UserName}},E={{EmailAddress}}

Você pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de usuário (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [e-mail]) como configuração básica.

Nome alternativo do sujeito: UPN Valor:{{UserPrincipalName}}

O SCEPman usa o UPN no SAN para identificar o utilizador e como semente para a geração do número de série do certificado (por exemplo: [e-mail]).\n\nOutros valores SAN, como o endereço de e-mail, podem ser adicionados se necessário.

Com as definições indicadas, cumprimos os requisitos de certificados da Apple

Exemplo