Zertifikate in Konfigurations-Manager

Gilt für: Konfigurations-Manager (Current Branch)

Konfigurations-Manager verwendet eine Kombination aus selbstsignierten und digitalen PKI-Zertifikaten (Public Key Infrastructure).

Verwenden Sie nach Möglichkeit PKI-Zertifikate. Weitere Informationen finden Sie unter Anforderungen an PKI-Zertifikate. Wenn Konfigurations-Manager während der Registrierung für mobile Geräte PKI-Zertifikate anfordert, verwenden Sie Active Directory Domain Services und eine Unternehmenszertifizierungsstelle. Alle anderen PKI-Zertifikate müssen unabhängig vom Konfigurations-Manager bereitgestellt und verwaltet werden.

PKI-Zertifikate sind erforderlich, wenn Clientcomputer eine Verbindung mit internetbasierten Standortsystemen herstellen. Für das Cloudverwaltungsgateway sind ebenfalls Zertifikate erforderlich. Weitere Informationen finden Sie unter Verwalten von Clients im Internet.

Wenn Sie eine PKI verwenden, können Sie IPsec auch verwenden, um die Server-zu-Server-Kommunikation zwischen Standortsystemen an einem Standort, zwischen Standorten und für andere Datenübertragungen zwischen Computern zu sichern. Die Implementierung von IPsec ist unabhängig vom Konfigurations-Manager.

Wenn keine PKI-Zertifikate verfügbar sind, generiert der Konfigurations-Manager automatisch selbstsignierte Zertifikate. Einige Zertifikate im Konfigurations-Manager sind immer selbstsigniert. In den meisten Fällen verwaltet Konfigurations-Manager die selbstsignierten Zertifikate automatisch, und Sie müssen keine weiteren Aktionen ausführen. Ein Beispiel ist das Signaturzertifikat des Standortservers. Dieses Zertifikat ist immer selbstsigniert. Dadurch wird sichergestellt, dass die Richtlinien, die Clients vom Verwaltungspunkt herunterladen, vom Standortserver gesendet und nicht manipuliert wurden. Ein weiteres Beispiel: Wenn Sie die Website für erweitertes HTTP aktivieren, stellt die Website selbstsignierte Zertifikate für Standortserverrollen aus.

CNG v3-Zertifikate

Konfigurations-Manager unterstützt Kryptografie: CNG (Next Generation) v3-Zertifikate. Konfigurations-Manager-Clients können ein PKI-Clientauthentifizierungszertifikat mit privatem Schlüssel in einem CNG-Schlüsselspeicheranbieter (KSP) verwenden. Mit der KSP-Unterstützung unterstützen Konfigurations-Manager-Clients hardwarebasierte private Schlüssel, z. B. einen TPM-KSP für PKI-Clientauthentifizierungszertifikate.

Weitere Informationen finden Sie unter Übersicht über CNG v3-Zertifikate.

Erweitertes HTTP

Die Verwendung der HTTPS-Kommunikation wird für alle Kommunikationspfade im Konfigurations-Manager empfohlen, stellt jedoch aufgrund des Mehraufwands für die Verwaltung von PKI-Zertifikaten bei einigen Kunden eine Herausforderung dar. Durch die Einführung der Microsoft Entra-Integration werden einige, aber nicht alle Zertifikatanforderungen reduziert. Sie können stattdessen die Website für die Verwendung von erweitertem HTTP aktivieren. Diese Konfiguration unterstützt HTTPS auf Standortsystemen mithilfe selbstsignierter Zertifikate zusammen mit der Microsoft Entra ID für einige Szenarien. Es ist keine PKI erforderlich.

Weitere Informationen finden Sie unter Erweitertes HTTP.

Zertifikate für CMG

Die Verwaltung von Clients im Internet über das Cloud Management Gateway (CMG) erfordert die Verwendung von Zertifikaten. Die Anzahl und der Typ der Zertifikate variieren je nach Ihren spezifischen Szenarien.

Weitere Informationen finden Sie unter CMG-Einrichtungscheckliste.

Das Signaturzertifikat des Standortservers

Der Standortserver erstellt immer ein selbstsigniertes Zertifikat. Dieses Zertifikat wird für verschiedene Zwecke verwendet.

Clients können sicher eine Kopie des Standortserver-Signaturzertifikats von Active Directory Domain Services und von der Clientpushinstallation erhalten. Wenn Clients über einen dieser Mechanismen keine Kopie dieses Zertifikats erhalten können, installieren Sie es bei der Installation des Clients. Dieser Prozess ist besonders wichtig, wenn der Client die erste Kommunikation mit der Website mit einem internetbasierten Verwaltungspunkt erfolgt. Da dieser Server mit einem nicht vertrauenswürdigen Netzwerk verbunden ist, ist er anfälliger für Angriffe. Wenn Sie diesen anderen Schritt nicht ausführen, laden die Clients automatisch eine Kopie des Signaturzertifikats des Standortservers vom Verwaltungspunkt herunter.

Clients können in den folgenden Szenarien keine sichere Kopie des Standortserverzertifikats abrufen:

• Der Client wird nicht mithilfe von Clientpush installiert, und:

  • Sie haben das Active Directory-Schema für Konfigurations-Manager nicht erweitert.

  • Sie haben die Website des Clients nicht in Active Directory Domain Services veröffentlicht.

  • Der Client stammt aus einer nicht vertrauenswürdigen Gesamtstruktur oder einer Arbeitsgruppe.

• Sie verwenden die internetbasierte Clientverwaltung und installieren den Client, wenn er sich im Internet befindet.

Weitere Informationen zum Installieren von Clients mit einer Kopie des Standortserver-Signaturzertifikats finden Sie in der Befehlszeileneigenschaft SMSSIGNCERT . Weitere Informationen finden Sie unter Informationen zu Clientinstallationsparametern und -eigenschaften.

Hardwaregebundener Schlüsselspeicheranbieter

Konfigurations-Manager verwendet selbstsignierte Zertifikate für die Clientidentität und zum Schutz der Kommunikation zwischen Client- und Standortsystemen. Wenn Sie den Standort und die Clients auf Version 2107 oder höher aktualisieren, speichert der Client sein Zertifikat vom Standort in einem hardwaregebundenen Schlüsselspeicheranbieter (KPP). Bei diesem KSP handelt es sich in der Regel um das Trusted Platform Module (TPM) mindestens Version 2.0. Das Zertifikat ist außerdem als nicht exportierbar gekennzeichnet.

Wenn der Client auch über ein PKI-basiertes Zertifikat verfügt, verwendet er dieses Zertifikat weiterhin für die TLS-HTTPS-Kommunikation. Er verwendet sein selbstsigniertes Zertifikat zum Signieren von Nachrichten mit der Website. Weitere Informationen finden Sie unter Anforderungen an PKI-Zertifikate.

Wenn Sie auf Version 2107 oder höher aktualisieren, erstellen Clients mit PKI-Zertifikaten die selbstsignierten Zertifikate neu, registrieren sich jedoch nicht erneut bei der Website. Clients ohne PKI-Zertifikat registrieren sich erneut beim Standort, was zu einer zusätzlichen Verarbeitung am Standort führen kann. Stellen Sie sicher, dass Ihr Prozess zum Aktualisieren von Clients eine zufällige Anordnung zulässt. Wenn Sie viele Clients gleichzeitig aktualisieren, kann dies zu einem Rückstand auf dem Standortserver führen.

Konfigurations-Manager verwendet keine TPMs, die als anfällig bekannt sind. Beispielsweise ist die TPM-Version älter als 2.0. Wenn ein Gerät über ein anfälliges TPM verfügt, greift der Client auf die Verwendung eines softwarebasierten KSP zurück. Das Zertifikat kann immer noch nicht exportiert werden.

Betriebssystembereitstellungsmedien verwenden keine hardwaregebundenen Zertifikate, sondern weiterhin selbstsignierte Zertifikate von der Website. Sie erstellen die Medien auf einem Gerät mit der Konsole, können dann aber auf jedem beliebigen Client ausgeführt werden.

Verwenden Sie zum Beheben von Problemen mit dem Zertifikatverhalten die CertificateMaintenance.log auf dem Client.

Nächste Schritte

• Planen von PKI-Zertifikaten im Konfigurations-Manager

• Konfigurieren der Sicherheit

• Technische Referenz zu kryptografischen Steuerelementen