Creare profili certificato

Si applica a: Configuration Manager (Current Branch)

Usare i profili di certificato in Configuration Manager per eseguire il provisioning dei dispositivi gestiti con i certificati necessari per accedere alle risorse aziendali. Prima di creare i profili dei certificati, configurare l'infrastruttura dei certificati come descritto in Configurare l'infrastruttura dei certificati.

In questo articolo viene descritto come creare profili di certificato radice attendibile e SCEP (Simple Certificate Enrollment Protocol). Se desideri creare profili di certificato PFX, consulta Creare profili di certificato PFX.

Per creare un profilo di certificato:

1. Avviare la procedura guidata Crea profilo certificato.
2. Specificare informazioni generali sul certificato.
3. Configurare un certificato di autorità di certificazione (CA) attendibile.
4. Configurare le informazioni sul certificato SCEP.
5. Specificare le piattaforme supportate per il profilo del certificato.

Avviare la procedura guidata

Per avviare Crea profilo certificato:

1. Nella console di Configuration Manager passare all'area di lavoro Asset e conformità, espandere Impostazioni di conformità, espandere Accesso alle risorse aziendali e quindi selezionare il nodo Profili certificato.

2. Nel gruppo Crea della scheda Home della barra multifunzione selezionare Crea profilo certificato.

Generale

Nella pagina Generale della Creazione guidata profilo certificato, specificare le informazioni seguenti:

• Nome: immettere un nome univoco per il profilo del certificato. È possibile utilizzare un massimo di 256 caratteri.

• Descrizione: Fornire una descrizione che fornisca una panoramica del profilo del certificato. Includi anche altre informazioni pertinenti che consentano di identificarlo nella console di Configuration Manager. È possibile utilizzare un massimo di 256 caratteri.

• Specificare il tipo di profilo del certificato da creare:

  • Certificato CA attendibile: selezionare questo tipo per distribuire un'autorità di certificazione (CA) radice attendibile o un certificato CA intermedio per formare una catena di certificati di attendibilità quando l'utente o il dispositivo deve autenticare un altro dispositivo. Ad esempio, il dispositivo potrebbe essere un server RADIUS (Remote Authentication Dial-In User Service) o un server di rete privata virtuale (VPN).

    Configurare anche un profilo di certificato di CA attendibile prima di creare un profilo di certificato SCEP. In questo caso, il certificato di firma attendibile deve essere per l'autorità di certificazione che rilascia il certificato all'utente o al dispositivo.

  • Impostazioni del protocollo SCEP (Simple Certificate Enrollment Protocol): selezionare questo tipo per richiedere un certificato per un utente o un dispositivo con il protocollo di registrazione certificati semplice e il servizio ruolo del servizio di registrazione dispositivi di rete (registrazione dispositivi).

  • Impostazioni PKCS #12 (PFX) di Personal Information Exchange - Importa: selezionare questa opzione per importare un certificato PFX. Per altre informazioni, vedere Importare profili di certificati PFX.

  • Impostazioni PKCS #12 (PFX) di Personal Information Exchange - Crea: selezionare questa opzione per elaborare i certificati PFX usando un'autorità di certificazione. Per ulteriori informazioni, vedere Creare profili di certificato PFX.

Certificato CA attendibile

1. Nella pagina Certificato CA attendibile della Creazione guidata profilo certificato, specificare le informazioni seguenti:

   • File di certificato: seleziona Importa, quindi individua il file di certificato.

   • Archivio di destinazione: per i dispositivi con più archivi certificati, selezionare la posizione in cui archiviare il certificato. Per i dispositivi che dispongono di un solo negozio, questa impostazione viene ignorata.

2. Usare il valore dell'identificazione personale del certificato per verificare di aver importato il certificato corretto.

Certificati SCEP

1. Server SCEP

Nella pagina Server SCEP della Creazione guidata profilo certificato, specificare gli URL per i server del servizio Registrazione dispositivi di rete che rilasceranno i certificati tramite SCEP. È possibile assegnare automaticamente un URL NDES in base alla configurazione del punto di registrazione dei certificati o aggiungere gli URL manualmente.

2. Iscrizione SCEP

Completare la pagina Registrazione SCEP della Creazione guidata profilo certificato.

• Tentativi: specifica il numero di volte in cui il dispositivo ritenta automaticamente la richiesta di certificato al server NDES. Questa impostazione supporta lo scenario in cui un gestore di certificazione deve approvare una richiesta di certificato prima che venga accettata. Questa impostazione viene in genere utilizzata per ambienti ad alta sicurezza o se si dispone di una CA emittente autonoma anziché di una CA aziendale. È anche possibile utilizzare questa impostazione a scopo di test, in modo da poter esaminare le opzioni di richiesta di certificato prima che la CA emittente elabori la richiesta di certificato. Usare questa impostazione con l'impostazione Ritardo tentativi (minuti ).

• Ritardo tentativo (minuti): specificare l'intervallo, in minuti, tra ogni tentativo di registrazione quando si utilizza l'approvazione della CA manager prima che la CA emittente elabori la richiesta di certificato. Se si utilizza l'approvazione del responsabile a scopo di test, specificare un valore basso. In questo modo non dovrai attendere molto tempo prima che il dispositivo ritenti la richiesta di certificato dopo l'approvazione della richiesta.

  Se si utilizza l'approvazione del responsabile in una rete di produzione, specificare un valore superiore. Questo comportamento consente all'amministratore della CA di avere tempo sufficiente per approvare o rifiutare le approvazioni in sospeso.

• Soglia di rinnovo (%): specifica la percentuale della durata del certificato che rimane prima che il dispositivo richieda il rinnovo del certificato.

• Provider di archiviazione chiavi (KSP): specifica dove è archiviata la chiave del certificato. Scegliere uno dei valori seguenti:

  • Installa in Trusted Platform Module (TPM) se presente: Installa la chiave nel TPM. Se il TPM non è presente, la chiave viene installata nel provider di archiviazione per la chiave software.

  • L'installazione nel modulo TPM (Trusted Platform Module) in caso contrario non riesce: installa la chiave nel TPM. Se il modulo TPM non è presente, l'installazione non riesce.

  • In caso contrario, l'installazione in Windows Hello for Business non va a buon fine: questa opzione è disponibile per i dispositivi Windows 10 o versioni successive. Consente di archiviare il certificato nello store Windows Hello for Business, protetto dall'autenticazione a più fattori. Per ulteriori informazioni, vedere Windows Hello for Business.

    Nota

    Questa opzione non supporta l'accesso con smart card per l'utilizzo chiavi avanzato nella pagina Proprietà certificato.

  • Installazione nel provider di archiviazione della chiave software: installa la chiave nel provider di archiviazione per la chiave software.

• Dispositivi per la registrazione dei certificati: se distribuisci il profilo del certificato in una raccolta utenti, consenti la registrazione dei certificati solo nel dispositivo primario dell'utente o in qualsiasi dispositivo a cui l'utente accede.

  Se distribuisci il profilo del certificato in una raccolta di dispositivi, consenti la registrazione del certificato solo per l'utente principale del dispositivo o per tutti gli utenti che accedono al dispositivo.

3. Proprietà del certificato

Nella pagina Proprietà certificato della Creazione guidata profilo certificato, specificare le informazioni seguenti:

• Nome modello di certificato: selezionare il nome di un modello di certificato configurato in Verifica dispositivi di rete e aggiunto a una CA emittente. Per navigare correttamente tra i modelli di certificato, l'account utente richiede l'autorizzazione di lettura per il modello di certificato. Se non è possibile cercare il certificato, digitarne il nome.

  Importante

  Se il nome del modello di certificato contiene caratteri non ASCII, il certificato non viene distribuito. (Un esempio di questi caratteri proviene dall'alfabeto cinese.) Per assicurarsi che il certificato venga distribuito, creare prima di tutto una copia del modello di certificato nella CA. Quindi rinominare la copia usando i caratteri ASCII.

  • Se si sfoglia per selezionare il nome del modello di certificato, alcuni campi della pagina vengono popolati automaticamente dal modello di certificato. In alcuni casi, non è possibile modificare questi valori a meno che non si scelga un modello di certificato diverso.

  • Se si digita il nome del modello di certificato, assicurarsi che corrisponda esattamente a uno dei modelli di certificato. Deve corrispondere ai nomi elencati nel Registro di sistema del server Registrazione registrazione dispositivi. Assicurarsi di specificare il nome del modello di certificato e non il nome visualizzato del modello di certificato.

    Per trovare i nomi dei modelli di certificato, passare alla seguente chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP. Elenca i modelli di certificato come valori per EncryptionTemplate, GeneralPurposeTemplate e SignatureTemplate. Per impostazione predefinita, il valore per tutti e tre i modelli di certificato è IPSECIntermediateOffline, che corrisponde al nome visualizzato del modello IPSec (richiesta offline).

    Avviso

    Quando digiti il nome del modello di certificato, Configuration Manager non può verificarne il contenuto. Potrebbe essere possibile selezionare opzioni non supportate dal modello di certificato. Il che potrebbe causare una richiesta di certificato non riuscita. Quando si verifica questo comportamento, viene visualizzato un messaggio di errore per w3wp.exe nel file CPR.log a cui il nome del modello nella richiesta di firma del certificato (CSR) e nella verifica non corrispondono.

    Quando si digita il nome del modello di certificato specificato per il valore GeneralPurposeTemplate , selezionare le opzioni di crittografia delle chiavi e firma digitale per questo profilo di certificato. Se si desidera abilitare solo l'opzione di crittografia delle chiavi in questo profilo di certificato, specificare il nome del modello di certificato per la chiave EncryptionTemplate . Analogamente, se si desidera abilitare solo l'opzione Firma digitale in questo profilo di certificato, specificare il nome del modello di certificato per la chiave SignatureTemplate .

• Tipo di certificato: specificare se distribuire il certificato a un dispositivo o a un utente.

• Formato nome soggetto: seleziona il modo in cui Configuration Manager crea automaticamente il nome del soggetto nella richiesta di certificato. Se il certificato è per un utente, è anche possibile includere l'indirizzo di posta elettronica dell'utente nel nome dell'oggetto.

  Nota

  Se si seleziona il numero IMEI o il numero di serie, è possibile distinguere tra i diversi dispositivi di proprietà dello stesso utente. Ad esempio, questi dispositivi potrebbero condividere un nome comune, ma non un numero IMEI o un numero di serie. Se il dispositivo non riporta un numero IMEI o di serie, il certificato viene rilasciato con il nome comune.

• Nome alternativo del soggetto: specifica in che modo Configuration Manager crea automaticamente i valori per il nome alternativo del soggetto (SAN) nella richiesta di certificato. Ad esempio, se è stato selezionato un tipo di certificato utente, è possibile includere il nome dell'entità utente (UPN) nel nome alternativo del soggetto. Se il certificato client verrà autenticato in un server dei criteri di rete, impostare il nome alternativo del soggetto sull'UPN.

• Periodo di validità del certificato: se si imposta un periodo di validità personalizzato sulla CA emittente, specificare la quantità di tempo rimanente prima della scadenza del certificato.

  Consiglio

  Impostare un periodo di validità personalizzato con la riga di comando seguente: certutil -setreg Policy\EditFlags +EDITF_ATTRIBUTEENDDATE Per altre informazioni su questo comando, vedere Infrastruttura di certificato.

  È possibile specificare un valore inferiore al periodo di validità nel modello di certificato specificato, ma non superiore. Ad esempio, se il periodo di validità del certificato nel modello di certificato è di due anni, è possibile specificare un valore di un anno, ma non un valore di cinque anni. Il valore deve inoltre essere inferiore al periodo di validità rimanente del certificato della CA emittente.

• Utilizzo chiave: specificare le opzioni di utilizzo della chiave per il certificato. Scegliere una delle seguenti opzioni:

  • Crittografia delle chiavi: consente lo scambio di chiavi solo quando la chiave è crittografata.

  • Firma digitale: consente lo scambio di chiavi solo quando una firma digitale consente di proteggere la chiave.

  Se è stato cercato un modello di certificato, non è possibile modificare queste impostazioni, a meno che non si selezioni un modello di certificato diverso.

  Configurare il modello di certificato selezionato con una o entrambe le due opzioni di utilizzo delle chiavi precedenti. In caso contrario, nel file di log del punto di registrazione del certificato verrà visualizzato il messaggio seguente, Crp.log: L'utilizzo delle chiavi in CSR e challenge non corrisponde

• Dimensione chiave (bit): selezionare la dimensione della chiave in bit.

• Utilizzo chiavi esteso: somma valori per lo scopo previsto del certificato. Nella maggior parte dei casi, il certificato richiede l'autenticazione del client in modo che l'utente o il dispositivo possa eseguire l'autenticazione in un server. Se necessario, è possibile aggiungere qualsiasi altro utilizzo della chiave.

• Algoritmo hash: selezionare uno dei tipi di algoritmo hash disponibili da usare con questo certificato. Seleziona il livello di sicurezza più sicuro supportato dai dispositivi di connessione.

  Nota

  SHA-2 supporta SHA-256, SHA-384 e SHA-512. SHA-3 supporta solo SHA-3.

• Certificato CA radice: scegliere un profilo certificato CA radice configurato e distribuito in precedenza all'utente o al dispositivo. Questo certificato di firma deve essere il certificato radice per la CA che rilascerà il certificato che si sta configurando in questo profilo di certificato.

  Importante

  Se specifichi un certificato CA radice che non viene distribuito all'utente o al dispositivo, Configuration Manager non avvierà la richiesta di certificato che stai configurando in questo profilo di certificato.

Piattaforme supportate

Nella pagina Piattaforme supportate della Creazione guidata profilo certificato, selezionare le versioni del sistema operativo in cui si desidera installare il profilo del certificato. Scegliere Seleziona tutto per installare il profilo del certificato in tutti i sistemi operativi disponibili.

Passaggi successivi

Il nuovo profilo certificato viene visualizzato nel nodo Profili certificato nell'area di lavoro Asset e conformità . È pronto per la distribuzione agli utenti o ai dispositivi. Per ulteriori informazioni, vedere Come distribuire i profili.