# Autenticação baseada em Certificado para RDP

Você pode usar o SCEPman para emitir certificados Smart Card Login para seus usuários. Ao registrá-los no Windows Hello for Business (*Microsoft Passport Key Storage Provider*) eles podem usar esses certificados para autenticar-se em recursos locais usando seu PIN do Hello ou opções biométricas.

Isso permitirá, por exemplo, que os usuários se conectem a outros clientes por meio do Protocolo de Área de Trabalho Remota (RDP) usando suas credenciais do Windows Hello for Business.

## Configurar Active Directory

### Requisitos

* O certificado da CA do SCEPman deve ser publicado no **NTAuth** repositório para autenticar usuários no Active Directory
* Controladores de Domínio precisam ter um certificado de controlador de domínio para autenticar usuários com smartcard
* Controladores de Domínio e máquinas de destino precisam confiar na CA Raiz do SCEPman

Siga nosso guia sobre certificados de Controlador de Domínio para publicar o certificado da CA Raiz do SCEPman no **NTAuth** repositório e emitir certificados para seus controladores de domínio:

{% content-ref url="../../../gerenciamento-de-certificados/domain-controller-certificates" %}
[domain-controller-certificates](https://docs.scepman.com/pt/gerenciamento-de-certificados/domain-controller-certificates)
{% endcontent-ref %}

Você pode criar um **Objeto de Diretiva de Grupo** para gerenciar a distribuição do certificado raiz às máquinas envolvidas:[ Para distribuir certificados aos computadores clientes usando Diretiva de Grupo](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

O certificado precisa ser implantado em todos os Controladores de Domínio que lidam com as autenticações e em todas as máquinas de destino às quais os usuários desejam conectar-se usando este método.

{% hint style="danger" %}
Esteja ciente de que, uma vez que o certificado raiz do SCEPman esteja publicado no repositório NTAuth, usuários que puderem influenciar o conteúdo dos certificados emitidos pelo SCEPman (por exemplo, administradores do Intune) poderão se passar por qualquer principal do Active Directory.
{% endhint %}

## Implantar os certificados Smart Card usando o Intune

### Perfil de Certificado Confiável

Seus clientes precisarão [confiar no certificado raiz do SCEPman](https://docs.scepman.com/certificate-deployment/microsoft-intune/windows-10#root-certificate).

Se você já usa o SCEPman para implantar certificados nos seus clientes, já terá esse perfil em vigor.

### Certificado Smart Card

Crie um perfil para **Windows 10 e posteriores** com tipo **Certificado SCEP** no Microsoft Intune e configurar o perfil conforme descrito:

<details>

<summary>Tipo de certificado: <code>Usuário</code></summary>

</details>

<details>

<summary>Formato do nome do sujeito: <code>CN={{UserPrincipalName}}</code></summary>

Se o sufixo UPN dos usuários-alvo no Entra ID for diferente daquele usado no Active Directory, você deve usar `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Nome alternativo do assunto: valor UPN: <code>{{UserPrincipalName}}</code> e valor URI: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

A URI com o SID é necessária para ter um [Mapeamento Forte de Certificado](https://docs.scepman.com/pt/configuracao-do-scepman/application-settings/certificates#appconfig-addsidextension) no AD. Alternativamente, você pode configurar o SCEPman para [adicionar uma extensão com o SID](https://docs.scepman.com/pt/configuracao-do-scepman/application-settings/endpoints-scep/intune-validation#appconfig-intunevalidation-waitforsuccessnotificationresponse) aos certificados de usuário e não configurar a URI.

</details>

<details>

<summary>Provedor de armazenamento de chaves (KSP): <code>Registrar no Windows Hello for Business, caso contrário falhar (Windows 10 e posteriores)</code></summary>

</details>

<details>

<summary>Uso da chave: <code>Assinatura digital</code> e <code>Ciframento de chave</code></summary>

</details>

<details>

<summary>Tamanho da chave (bits): <code>2048</code></summary>

</details>

<details>

<summary>Algoritmo de hash: <code>SHA-2</code></summary>

</details>

<details>

<summary>Certificado Raiz: <code>Perfil do passo anterior (Perfil de Certificado Confiável)</code></summary>

</details>

<details>

<summary>Uso estendido da chave: <code>Autenticação de Cliente</code> e <code>Smart Card Log</code>em</summary>

`Autenticação de cliente, 1.3.6.1.5.5.7.3.2`

`Smart Card Logon, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>URLs do servidor SCEP: Abra o portal SCEPman e copie a URL de <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Use o Windows Hello for Business para conectar-se a hosts remotos

Com o certificado implantado no cliente autenticador, basta conectar-se ao host remoto e selecionar o provedor de credenciais do Windows Hello for Business configurado.&#x20;

<figure><img src="https://3802289327-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&#x26;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>
