Erstellen von Zertifikatprofilen

Gilt für: Configuration Manager (Current Branch)

Verwenden Sie Zertifikatprofile im Configuration Manager, um verwalteten Geräten die Zertifikate bereitzustellen, die sie für den Zugriff auf Unternehmensressourcen benötigen. Richten Sie vor dem Erstellen von Zertifikatprofilen die Zertifikatinfrastruktur ein, wie unter Einrichten der Zertifikatinfrastruktur beschrieben.

In diesem Artikel wird beschrieben, wie vertrauenswürdige Stamm- und SCEP-Zertifikatprofile (Simple Certificate Enrollment Protocol) erstellt werden. Wenn Sie PFX-Zertifikatprofile erstellen möchten, lesen Sie Erstellen von PFX-Zertifikatprofilen.

So erstellen Sie ein Zertifikatprofil:

1. Starten Sie den Assistenten zum Erstellen von Zertifikatprofilen.
2. Geben Sie allgemeine Informationen zum Zertifikat an.
3. Konfigurieren Sie ein Zertifikat der vertrauenswürdigen Zertifizierungsstelle.
4. SCEP-Zertifikatinformationen konfigurieren.
5. Geben Sie unterstützte Plattformen für das Zertifikatprofil an.

Starten des Assistenten

So starten Sie das Erstellen eines Zertifikatprofils:

1. Wechseln Sie in der Configuration Manager-Konsole zum Arbeitsbereich "Assets und Kompatibilität", erweitern Sie "Complianceeinstellungen", erweitern Sie "Zugriff auf Unternehmensressourcen", und wählen Sie dann den Knoten "Zertifikatprofile" aus.

2. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe "Erstellen " die Option Zertifikatprofil erstellen aus.

Allgemein

Geben Sie auf der Seite "Allgemein" des Assistenten zum Erstellen von Zertifikatprofilen die folgenden Informationen an:

• Name: Geben Sie einen eindeutigen Namen für das Zertifikatprofil ein. Sie können maximal 256 Zeichen verwenden.

• Beschreibung: Geben Sie eine Beschreibung an, die einen Überblick über das Zertifikatprofil gibt. Schließen Sie auch andere relevante Informationen ein, die bei der Identifizierung in der Configuration Manager-Konsole helfen. Sie können maximal 256 Zeichen verwenden.

• Geben Sie den Typ des Zertifikatprofils an, das Sie erstellen möchten:

  • Vertrauenswürdiges CA-Zertifikat: Wählen Sie diesen Typ aus, um eine vertrauenswürdige Stammzertifizierungsstelle (CA) oder ein Zertifikat der Zwischenzertifizierungsstelle bereitzustellen und eine Zertifikatsvertrauenskette zu bilden, wenn der Benutzer oder das Gerät ein anderes Gerät authentifizieren muss. Bei dem Gerät kann es sich beispielsweise um einen RADIUS-Server (Remote Authentication Dial-In User Service) oder einen VPN-Server (Virtual Private Network) handeln.

    Konfigurieren Sie außerdem ein vertrauenswürdiges CA-Zertifikatprofil, bevor Sie ein SCEP-Zertifikatprofil erstellen können. In diesem Fall muss das Zertifikat der vertrauenswürdigen Zertifizierungsstelle für die Zertifizierungsstelle bestimmt sein, die das Zertifikat für den Benutzer oder das Gerät ausstellt.

  • SCEP-Einstellungen (Simple Certificate Enrollment Protocol): Wählen Sie diesen Typ aus, um ein Zertifikat für einen Benutzer oder ein Gerät mit dem Simple Certificate Enrollment Protocol und dem Rollendienst Network Device Enrollment Service (NDES) anzufordern.

  • Einstellungen für Personal Information Exchange PKCS #12 (PFX) – Importieren: Wählen Sie diese Option aus, um ein PFX-Zertifikat zu importieren. Weitere Informationen finden Sie unter Importieren von PFX-Zertifikatprofilen.

  • Personal Information Exchange PKCS #12 (PFX) Einstellungen – Erstellen: Wählen Sie diese Option aus, um PFX-Zertifikate mit einer Zertifizierungsstelle zu verarbeiten. Weitere Informationen finden Sie unter Erstellen von PFX-Zertifikatprofilen.

Zertifikat der vertrauenswürdigen Zertifizierungsstelle

1. Geben Sie auf der Seite "Vertrauenswürdiges CA-Zertifikat" des Assistenten zum Erstellen von Zertifikatprofilen die folgenden Informationen an:

   • Zertifikatdatei: Wählen Sie Importieren aus, und navigieren Sie dann zur Zertifikatdatei.

   • Zielspeicher: Wählen Sie für Geräte mit mehr als einem Zertifikatspeicher aus, wo das Zertifikat gespeichert werden soll. Bei Geräten mit nur einem Speicher wird diese Einstellung ignoriert.

2. Verwenden Sie den Fingerabdruckwert des Zertifikats , um zu überprüfen, ob Sie das richtige Zertifikat importiert haben.

SCEP-Zertifikate

1. SCEP-Server

Geben Sie auf der Seite SCEP-Server des Assistenten zum Erstellen von Zertifikatprofilen die URLs für die NDES-Server an, die Zertifikate über SCEP ausstellen. Sie können eine NDES-URL basierend auf der Konfiguration des Zertifikatregistrierungspunkts automatisch zuweisen oder URLs manuell hinzufügen.

2. SCEP-Registrierung

Füllen Sie die Seite SCEP-Registrierung des Assistenten zum Erstellen von Zertifikatprofilen aus.

• Wiederholungen: Geben Sie an, wie oft das Gerät die Zertifikatanforderung automatisch an den NDES-Server wiederholen soll. Diese Einstellung unterstützt das Szenario, in dem ein CA-Manager eine Zertifikatanforderung genehmigen muss, bevor sie akzeptiert wird. Diese Einstellung wird in der Regel für Umgebungen mit hoher Sicherheit verwendet oder wenn Sie eine eigenständige ausstellende Zertifizierungsstelle anstelle einer Unternehmenszertifizierungsstelle haben. Sie können diese Einstellung auch zu Testzwecken verwenden, um die Optionen für Zertifikatanforderungen zu überprüfen, bevor die ausstellende Zertifizierungsstelle die Zertifikatanforderung verarbeitet. Verwenden Sie diese Einstellung zusammen mit der Einstellung Wiederholungsverzögerung (Minuten).

• Wiederholungsverzögerung (Minuten): Geben Sie das Intervall in Minuten zwischen den einzelnen Registrierungsversuchen an, wenn Sie die Genehmigung durch den CA-Manager verwenden, bevor die ausstellende CA die Zertifikatsanforderung bearbeitet. Wenn Sie die Manager-Genehmigung zu Testzwecken verwenden, geben Sie einen niedrigen Wert an. Dann warten Sie nicht lange, bis das Gerät die Zertifikatanforderung erneut versucht, nachdem Sie die Anforderung genehmigt haben.

  Wenn Sie die Managergenehmigung in einem Produktionsnetzwerk verwenden, geben Sie einen höheren Wert an. Dieses Verhalten gibt dem CA-Administrator genügend Zeit, ausstehende Genehmigungen zu genehmigen oder abzulehnen.

• Erneuerungsschwellenwert (%): Geben Sie den Prozentsatz der Zertifikatlebensdauer an, der verbleibt, bevor das Gerät die Erneuerung des Zertifikats anfordert.

• Schlüsselspeicheranbieter (Key Storage Provider, KSP): Geben Sie an, wo der Schlüssel für das Zertifikat gespeichert ist. Wählen Sie einen der folgenden Werte aus:

  • Installieren im Trusted Platform Module (TPM) falls vorhanden: Installiert den Schlüssel auf dem TPM. Wenn das TPM nicht vorhanden ist, wird der Schlüssel beim Speicheranbieter für den Softwareschlüssel installiert.

  • Die Installation auf Trusted Platform Module (TPM) schlägt andernfalls fehl: Installiert den Schlüssel im TPM. Wenn das TPM-Modul nicht vorhanden ist, schlägt die Installation fehl.

  • Andernfalls schlägt die Installation unter Windows Hello for Business fehl: Diese Option ist für Geräte unter Windows 10 oder höher verfügbar. Es ermöglicht Ihnen, das Zertifikat im Windows Hello for Business Store zu speichern, der durch Multi-Factor Authentication geschützt ist. Weitere Informationen finden Sie unter Windows Hello for Business.

    Hinweis

    Diese Option unterstützt keine Smartcardanmeldung für die erweiterte Schlüsselverwendung auf der Seite "Zertifikateigenschaften", wenn Sie mit einer Karte versehen sind.

  • Auf Software-Schlüsselspeicheranbieter installieren: Installiert den Schlüssel für den Softwareschlüssel am Speicheranbieter.

• Geräte für die Zertifikatregistrierung: Wenn Sie das Zertifikatprofil für eine Benutzersammlung bereitstellen, lassen Sie die Zertifikatregistrierung nur auf dem primären Gerät des Benutzers oder auf jedem Gerät zu, bei dem sich der Benutzer anmeldet.

  Wenn Sie das Zertifikatprofil für eine Gerätesammlung bereitstellen, erlauben Sie die Zertifikatregistrierung nur für den primären Benutzer des Geräts oder für alle Benutzer, die sich auf dem Gerät anmelden.

3. Zertifikat-Eigenschaften

Geben Sie auf der Seite Zertifikateigenschaften des Assistenten zum Erstellen von Zertifikatprofilen die folgenden Informationen an:

• Name der Zertifikatvorlage: Wählen Sie den Namen einer Zertifikatvorlage aus, die Sie in NDES konfiguriert und einer ausstellenden Zertifizierungsstelle hinzugefügt haben. Um erfolgreich zu Zertifikatvorlagen zu navigieren, benötigt Ihr Benutzerkonto die Leseberechtigung für die Zertifikatvorlage. Wenn Sie nicht nach dem Zertifikat suchen können, geben Sie seinen Namen ein.

  Wichtig

  Wenn der Name der Zertifikatvorlage Nicht-ASCII-Zeichen enthält, wird das Zertifikat nicht bereitgestellt. (Ein Beispiel für diese Zeichen stammt aus dem chinesischen Alphabet.) Um sicherzustellen, dass das Zertifikat bereitgestellt wird, erstellen Sie zuerst eine Kopie der Zertifikatvorlage in der Zertifizierungsstelle. Benennen Sie dann die Kopie mit ASCII-Zeichen um.

  • Wenn Sie den Namen der Zertifikatvorlage auswählen , werden einige Felder auf der Seite automatisch aus der Zertifikatvorlage ausgefüllt. In einigen Fällen können Sie diese Werte nicht ändern, es sei denn, Sie wählen eine andere Zertifikatvorlage aus.

  • Wenn Sie den Namen der Zertifikatvorlage eingeben , stellen Sie sicher, dass der Name genau mit einer der Zertifikatvorlagen übereinstimmt. Er muss mit den Namen übereinstimmen, die in der Registrierung des NDES-Servers aufgeführt sind. Stellen Sie sicher, dass Sie den Namen der Zertifikatvorlage und nicht den Anzeigenamen der Zertifikatvorlage angeben.

    Um die Namen der Zertifikatvorlagen zu finden, navigieren Sie zum folgenden Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP. Die Zertifikatvorlagen werden als Werte für "EncryptionTemplate", "GeneralPurposeTemplate" und "SignatureTemplate" aufgeführt. Standardmäßig lautet der Wert für alle drei Zertifikatvorlagen IPSECIntermediateOffline, was dem Vorlagenanzeigenamen IPSec (Offlineanforderung) zugeordnet ist.

    Warnung

    Wenn Sie den Namen der Zertifikatvorlage eingeben, kann Configuration Manager den Inhalt der Zertifikatvorlage nicht überprüfen. Möglicherweise können Sie Optionen auswählen, die von der Zertifikatvorlage nicht unterstützt werden, was zu einer fehlgeschlagenen Zertifikatanforderung führen kann. Wenn dieses Verhalten auftritt, wird eine Fehlermeldung für w3wp.exe in der CPR.log-Datei angezeigt, bei der der Vorlagenname in der Zertifikatsignaturanforderung (Certificate Signing Request, CSR) und die Herausforderung nicht übereinstimmen.

    Wenn Sie den Namen der Zertifikatvorlage eingeben, der für den GeneralPurposeTemplate-Wert angegeben ist, wählen Sie die Optionen Schlüsselverschlüsselung und digitale Signatur für dieses Zertifikatprofil aus. Wenn Sie nur die Option Schlüsselverschlüsselung in diesem Zertifikatprofil aktivieren möchten, geben Sie den Zertifikatvorlagennamen für den Schlüssel EncryptionTemplate an. Wenn Sie nur die Option "Digitale Signatur" in diesem Zertifikatprofil aktivieren möchten, geben Sie den Zertifikatvorlagennamen für den Schlüssel "SignatureTemplate" an.

• Zertifikattyp: Wählen Sie aus, ob Sie das Zertifikat für ein Gerät oder einen Benutzer bereitstellen möchten.

• Format für Antragstellernamen: Wählen Sie aus, wie Configuration Manager den Antragstellernamen in der Zertifikatanforderung automatisch erstellt. Wenn das Zertifikat für einen Benutzer bestimmt ist, können Sie auch die E-Mail-Adresse des Benutzers in den Betreffnamen aufnehmen.

  Hinweis

  Wenn Sie IMEI-Nummer oder Seriennummer auswählen, können Sie zwischen verschiedenen Geräten unterscheiden, die demselben Benutzer gehören. Diese Geräte können beispielsweise einen gemeinsamen Namen, aber keine IMEI-Nummer oder Seriennummer haben. Wenn das Gerät keine IMEI- oder Seriennummer meldet, wird das Zertifikat mit dem allgemeinen Namen ausgestellt.

• Alternativer Antragstellername: Geben Sie an, wie Configuration Manager die Werte für den alternativen Antragstellernamen (SAN) in der Zertifikatsanforderung automatisch erstellt. Wenn Sie beispielsweise einen Benutzerzertifikattyp ausgewählt haben, können Sie den Benutzerprinzipalnamen (UPN) in den alternativen Antragstellernamen aufnehmen. Wenn das Clientzertifikat bei einem Netzwerkrichtlinienserver authentifiziert wird, legen Sie den alternativen Antragstellernamen auf den UPN fest.

• Gültigkeitsdauer des Zertifikats: Wenn Sie einen benutzerdefinierten Gültigkeitszeitraum für die ausstellende Zertifizierungsstelle festlegen, geben Sie die verbleibende Zeit bis zum Ablauf des Zertifikats an.

  Tipp

  Legen Sie mit der folgenden Befehlszeile einen benutzerdefinierten Gültigkeitszeitraum fest: certutil -setreg Policy\EditFlags +EDITF_ATTRIBUTEENDDATE Weitere Informationen zu diesem Befehl finden Sie unter Zertifikatinfrastruktur.

  Sie können einen Wert angeben, der niedriger als der Gültigkeitszeitraum in der angegebenen Zertifikatvorlage ist, aber nicht höher. Wenn der Gültigkeitszeitraum des Zertifikats in der Zertifikatvorlage beispielsweise zwei Jahre beträgt, können Sie einen Wert von einem Jahr, aber keinen Wert von fünf Jahren angeben. Zudem muss der Wert niedriger als die verbleibende Gültigkeitsdauer des Zertifikats der ausstellenden Zertifizierungsstelle sein.

• Schlüsselverwendung: Geben Sie Schlüsselverwendungsoptionen für das Zertifikat an. Wählen Sie aus den folgenden Optionen aus:

  • Schlüsselverschlüsselung: Lässt den Schlüsselaustausch nur zu, wenn der Schlüssel verschlüsselt ist.

  • Digitale Signatur: Lässt den Schlüsselaustausch nur zu, wenn der Schlüssel durch eine digitale Signatur geschützt ist.

  Wenn Sie nach einer Zertifikatvorlage gesucht haben, können Sie diese Einstellungen nicht ändern, es sei denn, Sie wählen eine andere Zertifikatvorlage aus.

  Konfigurieren Sie die ausgewählte Zertifikatvorlage mit einer oder beiden der beiden oben genannten Schlüsselverwendungsoptionen. Andernfalls wird die folgende Meldung in der Protokolldatei des Zertifikatregistrierungspunkts angezeigt, Crp.log: Schlüsselverwendung in CSR und Challenge stimmen nicht überein

• Schlüsselgröße (Bits): Wählen Sie die Größe des Schlüssels in Bits aus.

• Erweiterte Schlüsselverwendung: Fügen Sie Werte für den beabsichtigten Zweck des Zertifikats hinzu. In den meisten Fällen erfordert das Zertifikat die Clientauthentifizierung , damit sich der Benutzer oder das Gerät bei einem Server authentifizieren kann. Sie können nach Bedarf weitere Schlüsselverwendungen hinzufügen.

• Hashalgorithmus: Wählen Sie einen der verfügbaren Hashalgorithmustypen aus, die mit diesem Zertifikat verwendet werden sollen. Wählen Sie die höchste Sicherheitsebene aus, die die verbundenen Geräten unterstützen.

  Hinweis

  SHA-2 unterstützt SHA-256, SHA-384 und SHA-512. SHA-3 unterstützt nur SHA-3.

• Zertifikat der Stammzertifizierungsstelle: Wählen Sie ein Zertifikatprofil für die Stammzertifizierungsstelle aus, das Sie zuvor konfiguriert und dem Benutzer oder Gerät bereitgestellt haben. Dieses CA-Zertifikat muss das Stammzertifikat für die CA sein, die das Zertifikat ausstellt, das Sie in diesem Zertifikatprofil konfigurieren.

  Wichtig

  Wenn Sie ein Stammzertifizierungsstellenzertifikat angeben, das nicht für den Benutzer oder das Gerät bereitgestellt wird, initiiert Configuration Manager nicht die Zertifikatanforderung, die Sie in diesem Zertifikatprofil konfigurieren.

Unterstützte Plattformen

Wählen Sie im Assistenten zum Erstellen von Zertifikatprofilen auf der Seite "Unterstützte Plattformen " die Betriebssystemversionen aus, in denen Sie das Zertifikatprofil installieren möchten. Wählen Sie Alle auswählen aus, um das Zertifikatprofil auf allen verfügbaren Betriebssystemen zu installieren.

Nächste Schritte

Das neue Zertifikatprofil wird im Knoten Zertifikatprofile im Arbeitsbereich "Assets and Compliance " angezeigt. Es ist bereit, es für Benutzer oder Geräte bereitzustellen. Weitere Informationen finden Sie unter Bereitstellen von Profilen.