macOS
Implementar certificados em dispositivos MacOS via SCEP no Intune usando o SCEPman.
O artigo a seguir descreve como implementar certificados de dispositivo ou/do utilizador para dispositivos macOS. A implementação do Certificado Raiz do SCEPman é obrigatória. Depois, pode escolher entre implementar apenas certificados de dispositivo, apenas de utilizador ou ambos os tipos de certificado.
Tenha em atenção que o macOS emite um certificado de autenticação de cliente separado para cada perfil de configuração de dispositivo em que um perfil SCEP é referenciado, além do próprio perfil de certificado SCEP. Consulte a nota aqui
Root Certificate
A base para implementar certificados SCEP é confiar no certificado raiz do SCEPman. Por isso, tem de descarregar o certificado CA Root e implementá-lo como um certificado confiável perfil via Microsoft Intune:
Nota: tem de utilizar o mesmo grupo para atribuir o certificado confiável e perfil SCEP. Caso contrário, a implementação do Intune pode falhar.
Certificados de dispositivo
Formato do nome do assunto: CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}
Recomendado: Use {{DeviceName}}para o CN RDN para ter um nome significativo do certificado no dispositivo ou ao procurar o certificado.
Opcional: Se configurado para CN={{DeviceId}} ou CN={{AAD_Device_ID}}, o SCEPman usa o campo CN do nome do assunto para identificar o dispositivo e como semente para a geração do número de série do certificado. O Microsoft Entra ID (Azure AD) e o Intune oferecem dois IDs diferentes:
{{DeviceId}}: Este ID é gerado e usado pelo Intune. (requer SCEPman 2.0 ou superior e AppConfig:IntuneValidation:DeviceDirectory para estar definido como Intune ou AADAndIntune){{AAD_Device_ID}}: Este ID é gerado e usado pelo Microsoft Entra ID (Azure AD).
Caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} sejam usados no campo CN (por exemplo, CN={{DeviceName}}), o SCEPman identificará o dispositivo com base no Intune Device ID ((URI)Valor: IntuneDeviceId://{{DeviceId}}) fornecido no nome alternativo do assunto (SAN).
Importante: A escolha do campo CN afeta o comportamento de revogação automática dos certificados emitidos para os seus dispositivos geridos pelo Intune.
Pode adicionar outros RDNs, se necessário (por exemplo: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). As variáveis suportadas estão listadas na documentação da Microsoft.
Nome alternativo do assunto: URI Valor:IntuneDeviceId://{{DeviceId}}
O campo URI é recomendado pela Microsoft para que as soluções NAC identifiquem os dispositivos com base no respetivo ID de Dispositivo do Intune.
O campo URI é obrigatório caso nem CN={{DeviceId}} nem CN={{AAD_Device_ID}} seja usado no campo Formato do nome do assunto .
Outros valores SAN, como DNS, podem ser adicionados, se necessário.
Período de validade do certificado: 1 anos
Importante: Os dispositivos macOS ignoram a configuração do período de validade através do Intune. Certifique-se de configurar AppConfig:ValidityPeriodDays com um valor fixo. Pode deixar a definição do período de validade do certificado em 1 ano, porque será ignorada de qualquer forma. Importante: Tenha também em atenção que os certificados no macOS só são renovados pelo Intune quando o dispositivo está desbloqueado, online, a sincronizar e dentro do âmbito do limiar de renovação. Se os certificados expirarem (por exemplo: o dispositivo esteve offline e/ou bloqueado durante muito tempo), já não serão renovados. Por isso, recomendamos escolher aqui um valor mais elevado.
Root Certificate: Perfil do passo anterior
Selecione o perfil do Intune em #Certificados raiz
Utilização estendida da chave: Autenticação de cliente, 1.3.6.1.5.5.7.3.2
Escolha Autenticação de cliente (1.3.6.1.5.5.7.3.2) em Valores predefinidos. Os outros campos serão preenchidos automaticamente.
Importante: Os dispositivos macOS não suportam quaisquer Utilizações Avançadas de Chave (EKUs) além de Autenticação de cliente . Isto significa que quaisquer outras EKUs configuradas neste perfil serão ignoradas.
Limite de renovação (%): 50
Este valor define quando o dispositivo tem permissão para renovar o seu certificado (com base no tempo de vida restante do certificado existente). Leia a nota em Período de validade do certificado e selecione um valor adequado que permita ao dispositivo renovar o certificado durante um longo período. Um valor de 50% permitiria que o dispositivo com um certificado válido por 1 ano iniciasse a renovação 182 dias antes da expiração.
URLs do servidor SCEP: Abra o portal SCEPman e copie o URL de Intune MDM
Exemplo
Com as definições indicadas, cumprimos os requisitos de certificados da Apple.
Exemplo
Certificados de utilizador
A secção seguinte mostrará como pode implementar certificados de utilizador através do perfil de certificado do Intune em dispositivos macOS X 10.12 (ou posterior).
Tenha em atenção: os certificados fornecidos através do protocolo SCEP — independentemente do tipo (utilizador ou dispositivo) — são sempre colocados no chaveiro do sistema (armazenamento do Sistema) do dispositivo.
Caso uma aplicação de terceiros exija acesso a esse certificado (por exemplo, um cliente VPN de terceiros), o controlo deslizante para Permitir que todas as apps acedam à chave privada no chaveiro tem de ser definido como ativado.
Siga as instruções de #Device certificates e tenha em atenção as seguintes diferenças:
Formato do nome do assunto: CN={{UserName}},E={{EmailAddress}}
Pode definir RDNs com base nas suas necessidades. As variáveis suportadas estão listadas na documentação da Microsoft. Recomendamos incluir o nome de utilizador (por exemplo: janedoe) e o endereço de e-mail (por exemplo: [email protected]) como definição de base.
Nome alternativo do assunto: UPN Valor:{{UserPrincipalName}}
O SCEPman utiliza a UPN no SAN para identificar o utilizador e como semente para a geração do número de série do certificado (por exemplo: [email protected]). Outros valores de SAN, como o endereço de email, podem ser adicionados, se necessário.
Com as definições indicadas, cumprimos os requisitos de certificados da Apple
Exemplo
Last updated
Was this helpful?