> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/pt/implementacao-do-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md).

# Autenticação baseada em certificado para RDP

Você pode usar SCEPman para emitir certificados de Login com Cartão Inteligente para os seus usuários. Ao inscrevê-los no Windows Hello for Business (*Provedor de armazenamento de chaves do Microsoft Passport*) eles podem usar esses certificados para autenticar-se em recursos locais usando o PIN do Hello ou opções biométricas.

Isso permitirá aos usuários, por exemplo, conectar-se a outros clientes através do Remote Desktop Protocol (RDP) usando as credenciais do Windows Hello for Business.

## Configurar o Active Directory

### Requisitos

* O certificado CA do SCEPman deve ser publicado no **NTAuth** armazenamento para autenticar usuários no Active Directory
* Os Domain Controllers precisam ter um certificado de Domain Controller para autenticar usuários de smartcard
* Os Domain Controllers e as máquinas-alvo precisam confiar na Root CA do SCEPman

Siga o nosso guia sobre certificados de Domain Controller para publicar o certificado da Root CA do SCEPman no **NTAuth** armazenamento e emitir certificados para os seus Domain Controllers:

{% content-ref url="/pages/e9b7c90fcfcbebe41dbaa9672c9e8fd6d2a8caa9" %}
[Active Directory](/pt/gestao-de-certificados/active-directory.md)
{% endcontent-ref %}

Você pode criar um **Objeto de Política de Grupo** para tratar da distribuição do certificado raiz para as máquinas envolvidas: [Para distribuir certificados para computadores cliente usando Política de Grupo](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

{% content-ref url="/pages/f6e3f95e6fcbc764334cc2792e3b97f0f956108c" %}
[Política de Grupo](/pt/gestao-de-certificados/active-directory/group-policy.md)
{% endcontent-ref %}

O certificado precisa ser implantado em todos os Domain Controllers que tratam as autenticações e em todas as máquinas-alvo às quais os usuários desejam se conectar usando este método.

{% hint style="danger" %}
Esteja ciente de que, uma vez que o certificado raiz do SCEPman seja publicado no armazenamento NTAuth, os usuários que puderem influenciar o conteúdo dos certificados emitidos pelo SCEPman (por exemplo, administradores do Intune) poderão se passar por qualquer entidade do Active Directory.
{% endhint %}

## Implante os certificados de Smart Card usando o Intune

### Perfil de Certificado Confiável

Os seus clientes precisarão [confiar no certificado raiz do SCEPman](/pt/gestao-de-certificados/microsoft-intune/windows-10.md#root-certificate).

Se você já usa SCEPman para implantar certificados nos seus clientes, você já terá este perfil em vigor.

### Certificado de Smart Card

Crie um perfil para **Windows 10 e posteriores** com o tipo **certificado SCEP** no Microsoft Intune e configure o perfil conforme descrito:

<details>

<summary>Tipo de certificado: <code>Usuário</code></summary>

</details>

<details>

<summary>Formato do nome do assunto: <code>CN={{UserPrincipalName}}</code></summary>

Se o sufixo UPN dos usuários-alvo no Entra ID for diferente do usado no Active Directory, você deve usar `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Nome alternativo do assunto: valor UPN: <code>{{UserPrincipalName}}</code> e valor URI: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

O URI com o SID é necessário para ter um [Mapeamento Forte de Certificado](/pt/configuracao-do-scepman/application-settings/certificates.md#appconfig-addsidextension) no AD. Em alternativa, você pode configurar o SCEPman para [adicionar uma extensão com o SID](/pt/configuracao-do-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse) a certificados de usuário e não configurar o URI.

</details>

<details>

<summary>Provedor de armazenamento de chaves (KSP): <code>Inscrever em Windows Hello for Business, caso contrário falhar (Windows 10 e posteriores)</code></summary>

</details>

<details>

<summary>Uso da chave: <code>Assinatura digital</code> e <code>Encapsulamento de chave</code></summary>

</details>

<details>

<summary>Tamanho da chave (bits): <code>2048</code></summary>

</details>

<details>

<summary>Algoritmo de hash: <code>SHA-2</code></summary>

</details>

<details>

<summary>Certificado raiz: <code>Perfil da etapa anterior (Perfil de Certificado Confiável)</code></summary>

</details>

<details>

<summary>Uso estendido da chave: <code>Autenticação de cliente</code> e <code>Login com cartão inteligente</code>em</summary>

`Autenticação de cliente, 1.3.6.1.5.5.7.3.2`

`Login com cartão inteligente, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>URLs do servidor SCEP: Abra o portal do SCEPman e copie o URL de <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Use Windows Hello for Business para se conectar a hosts remotos

Com o certificado implantado no cliente autenticador, conecte-se ao host remoto e selecione o provedor de credenciais do Windows Hello for Business configurado.

<figure><img src="https://3802289327-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&amp;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/pt/implementacao-do-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.