Certificati in Gestione configurazione

Si applica a: Gestione configurazione (Current Branch)

Gestione configurazione utilizza una combinazione di certificati digitali autofirmati e PKI (Public Key Infrastructure).

Usare i certificati PKI quando possibile. Per altre informazioni, vedere Requisiti del certificato PKI. Quando Gestione configurazione richiede certificati PKI durante la registrazione per i dispositivi mobili, usare Active Directory Domain Services e un'Autorità di certificazione aziendale. Per tutti gli altri certificati PKI, distribuiscili e gestiscili indipendentemente da Gestione configurazione.

I certificati PKI sono necessari quando i computer client si connettono a sistemi del sito basati su Internet. Il gateway di gestione cloud richiede anche certificati. Per ulteriori informazioni, vedere Gestire i client su Internet.

Quando si usa un'infrastruttura PKI, è anche possibile usare IPsec per proteggere la comunicazione da server a server tra i sistemi del sito in un sito, tra i siti e per il trasferimento di dati tra computer. L'implementazione di IPsec è indipendente da Gestione configurazione.

Quando i certificati PKI non sono disponibili, Gestione configurazione genera automaticamente certificati autofirmati. Alcuni certificati in Gestione configurazione sono sempre autofirmati. Nella maggior parte dei casi, Gestione configurazione gestisce automaticamente i certificati autofirmati e non è necessario eseguire ulteriori azioni. Un esempio è il certificato di firma del server del sito. Questo certificato è sempre autofirmato. Garantisce che i criteri scaricati dai client dal punto di gestione siano stati inviati dal server del sito e non siano stati manomessi. Come altro esempio, quando si abilita il sito per HTTP avanzato, il sito rilascia certificati autofirmati ai ruoli del server del sito.

Certificati CNG v3

Gestione configurazione supporta i certificati Cryptography: Next Generation (CNG) v3. I client di Gestione configurazione possono usare un certificato di autenticazione client PKI con chiave privata in un provider di archiviazione chiavi CNG (KSP). Con il supporto KSP, i client di Gestione configurazione supportano chiavi private basate su hardware, ad esempio un KSP TPM per i certificati di autenticazione del client PKI.

Per altre informazioni, vedere Panoramica dei certificati CNG v3.

HTTP avanzato

L'uso della comunicazione HTTPS è consigliato per tutti i percorsi di comunicazione di Gestione configurazione, ma è un problema difficile per alcuni clienti a causa del sovraccarico di gestione dei certificati PKI. L'introduzione dell'integrazione di Microsoft Entra riduce alcuni, ma non tutti, i requisiti dei certificati. È invece possibile abilitare il sito per l'utilizzo di HTTP avanzato. Questa configurazione supporta HTTPS nei sistemi del sito usando certificati autofirmati, insieme a Microsoft Entra ID per alcuni scenari. Non richiede PKI.

Per ulteriori informazioni, vedere HTTP avanzato.

Certificati per CMG

La gestione dei client in Internet con Cloud Management Gateway (CMG) richiede l'uso di certificati. Il numero e il tipo di certificati varia a seconda degli scenari specifici.

Per altre informazioni, vedere Elenco di controllo per la configurazione di CMG.

Certificato di firma del server del sito

Il server del sito crea sempre un certificato autofirmato. Usa questo certificato per diversi scopi.

I client possono ottenere in modo sicuro una copia del certificato di firma del server del sito da Active Directory Domain Services e dall'installazione push client. Se i client non riescono a ottenere una copia di questo certificato tramite uno di questi meccanismi, installarlo durante l'installazione del client. Questo processo è particolarmente importante se la prima comunicazione del cliente con il sito avviene con un punto di gestione basato su Internet. Poiché il server è connesso a una rete non attendibile, è più vulnerabile agli attacchi. Se non si esegue questo altro passaggio, i client scaricano automaticamente una copia del certificato di firma del server del sito dal punto di gestione.

I client non possono ottenere in modo sicuro una copia del certificato del server del sito negli scenari seguenti:

• Non si installa il client usando il push del client e:

  • Lo schema Active Directory per Gestione configurazione non è stato esteso.

  • Il sito del client non è stato pubblicato in Active Directory Domain Services.

  • Il client proviene da una foresta o da un gruppo di lavoro non attendibile.

• Si utilizza la gestione client basata su Internet e si installa il client quando è su Internet.

Per altre informazioni su come installare i client con una copia del certificato di firma del server del sito, usare la proprietà della riga di comando SMSSIGNCERT . Per ulteriori informazioni, vedere Informazioni sui parametri e le proprietà di installazione del client.

Provider di archiviazione di chiavi associate all'hardware

Gestione configurazione usa certificati autofirmati per l'identità del client e per proteggere la comunicazione tra il client e i sistemi del sito. Quando si aggiornano il sito e i client alla versione 2107 o successiva, il client archivia il certificato del sito in un provider di archiviazione chiavi associato a hardware. Questo KSP è in genere il Trusted Platform Module (TPM) almeno versione 2.0. Il certificato è inoltre contrassegnato come non esportabile.

Se il client dispone anche di un certificato basato su PKI, continuerà a usarlo per la comunicazione HTTPS TLS. Usa il certificato autofirmato per firmare i messaggi con il sito. Per altre informazioni, vedere Requisiti del certificato PKI.

Quando si esegue l'aggiornamento alla versione 2107 o successiva, i client con certificati PKI ricreeranno i certificati autofirmati, ma non verranno registrati nuovamente al sito. I client senza un certificato PKI verranno registrati nuovamente nel sito, il che può causare ulteriori elaborazioni nel sito. Assicurati che il processo di aggiornamento dei client consenta la sequenza casuale. Se si aggiornano contemporaneamente molti client, è possibile che si verifichi un backlog nel server di sito.

Gestione configurazione non usa TPM noti vulnerabili. Ad esempio, la versione del TPM è precedente alla 2.0. Se un dispositivo ha un TPM vulnerabile, il client torna a usare un KSP basato su software. Il certificato non è ancora esportabile.

I supporti di distribuzione del sistema operativo non usano certificati associati all'hardware, ma continuano a usare certificati autofirmati dal sito. I file multimediali vengono creati in un dispositivo dotato di console, ma che può essere eseguito su qualsiasi client.

Per risolvere i problemi relativi ai comportamenti dei certificati, usare il CertificateMaintenance.log sul client.

Passaggi successivi

• Pianificare i certificati PKI in Gestione configurazione

• Configurare la sicurezza

• Informazioni di riferimento tecniche sui controlli crittografici