Configurare e usare i certificati PKCS con Intune

Si applica aL

• Android
• iOS/iPadOS
• macOS
• Windows

Microsoft Intune supporta l'uso di certificati PKCS (Private and Public Key Pair). Questo articolo esamina i requisiti per i certificati PKCS con Intune, inclusa l'esportazione di un certificato PKCS e la sua aggiunta a un profilo di configurazione del dispositivo Intune.

Microsoft Intune include impostazioni predefinite per l'utilizzo dei certificati PKCS per l'accesso e l'autenticazione alle risorse dell'organizzazione. I certificati autenticano e proteggono l'accesso alle risorse aziendali, ad esempio una rete VPN o WiFi. È possibile distribuire queste impostazioni ai dispositivi che usano i profili di configurazione dei dispositivi in Intune.

Per informazioni sull'uso di certificati PKCS importati, vedere Certificati PFX importati.

Requisiti

Per usare i certificati PKCS con Intune, è necessaria l'infrastruttura seguente:

• Dominio Active Directory: tutti i server elencati in questa sezione devono essere aggiunti al dominio Active Directory.

  Per altre informazioni sull'installazione e la configurazione di Active Directory Domain Services, vedere Progettazione e pianificazione di Servizi di dominio Active Directory.

• Autorità di certificazione: Autorità di certificazione (CA) dell'organizzazione.

  Per informazioni sull'installazione e la configurazione di Servizi certificati Active Directory, vedere Guida dettagliata a Servizi certificati Active Directory.

  Avviso

  Intune richiede l'esecuzione di Servizi certificati Active Directory con un'autorità di certificazione (CA) dell'organizzazione, non con una CA autonoma.

• Un client: per connettersi alla CA aziendale.

• Certificato radice: una copia esportata del certificato radice dalla CA aziendale.

• Connettore di certificato per Microsoft Intune: Per informazioni sul connettore di certificato, vedere:

  • Panoramica del connettore di certificato per Microsoft Intune
  • Prerequisiti
  • Installazione e configurazione

Aggiornare il connettore del certificato: requisiti di mapping rigorosi per KB5014754

Il Centro distribuzione chiavi (KDC) richiede un formato di mapping sicuro nei certificati PKCS distribuiti da Microsoft Intune e usati per l'autenticazione basata su certificati. Il mapping deve avere un'estensione dell'identificatore di sicurezza (SID) associata al SID dell'utente o del dispositivo. Se un certificato non soddisfa i nuovi criteri di mapping sicuro impostati dalla data della modalità di applicazione completa, l'autenticazione verrà negata. Per ulteriori informazioni sui requisiti, vedere KB5014754: Modifiche dell'autenticazione basata su certificati nei controller di dominio Windows .

In Microsoft Intune Certificate Connector, versione 6.2406.0.1001, è stato rilasciato un aggiornamento che aggiunge l'attributo identificatore di oggetto contenente il SID dell'utente o del dispositivo al certificato, soddisfacendo in modo efficace i requisiti di mapping complessi. Questo aggiornamento si applica agli utenti e ai dispositivi sincronizzati da un Active Directory locale a Microsoft Entra ID ed è disponibile su tutte le piattaforme, con alcune differenze:

• Le modifiche di mapping avanzate si applicano ai certificati utente per tutte le piattaforme del sistema operativo.

• Le modifiche di mapping avanzate si applicano ai certificati dei dispositivi per i dispositivi Windows connessi all'ambiente ibrido di Microsoft Entra.

Per garantire che l'autenticazione basata su certificati continui a funzionare, è necessario eseguire le azioni seguenti:

• Aggiornare Connettore di certificato di Microsoft Intune alla versione 6.2406.0.1001. Per informazioni sulla versione più recente e su come aggiornare il connettore di certificato, vedere Connettore di certificato per Microsoft Intune.

• Apportare modifiche alle informazioni della chiave del Registro di sistema nel server Windows che ospita il connettore di certificato.

Completare la procedura seguente per modificare le chiavi del Registro di sistema e applicare le modifiche di mapping sicuro ai certificati. Queste modifiche si applicano ai nuovi certificati PKCS e ai certificati PKCS che vengono rinnovati.

1. Nel Registro di sistema di Windows, modificare il valore in [HKLM\Software\Microsoft\MicrosoftIntune\PFXCertificateConnector](DWORD)EnableSidSecurityExtension1.

2. Riavviare il servizio del connettore di certificato.

   1. Vai a Start>Esegui.
   2. Aprire services.msc.
   3. Riavviare questi servizi:

      • PFX Creare un connettore legacy per Microsoft Intune

      • Creazione di un connettore di certificato per Microsoft Intune

3. Le modifiche iniziano ad applicarsi a tutti i nuovi certificati e ai certificati in fase di rinnovo. Per verificare che l'autenticazione funzioni, è consigliabile testare tutte le posizioni in cui è possibile usare l'autenticazione basata su certificati, tra cui:

   • App
   • Autorità di certificazione integrate con Intune
   • Soluzioni NAC
   • Infrastruttura di rete

   Per eseguire il rollback delle modifiche:

   1. Ripristina le impostazioni originali del Registro di sistema.

   2. Riavviare questi servizi:

      • PFX Creare un connettore legacy per Microsoft Intune

      • Creazione di un connettore di certificato per Microsoft Intune

   3. Creare un nuovo profilo di certificato PKCS per i dispositivi interessati, per riemettere i certificati senza l'attributo SID.

      Consiglio

      Se si usa una CA Digicert, è necessario creare un modello di certificato per gli utenti con un SID e un altro modello per gli utenti senza SID. Per altre informazioni, vedere le note sulla versione di DigiCert PKI Platform 8.24.1.

Esportare il certificato radice dalla CA dell'organizzazione (enterprise)

Per autenticare un dispositivo con VPN, WiFi o altre risorse, un dispositivo necessita di un certificato CA radice o intermedio. I passaggi seguenti illustrano come ottenere il certificato richiesto dalla CA aziendale.

Utilizzare una riga di comando per completare questi passaggi:

1. Accedere al server dell'Autorità di certificazione radice con un account Administrator.

2. Vai a Start>Esegui, quindi inserisci Cmd per aprire un prompt dei comandi.

3. Immettere certutil -ca.cert ca_name.cer per esportare il certificato radice come file denominato ca_name.cer.

Configurare i modelli di certificato nella CA

1. Accedere alla CA dell'organizzazione con un account dotato di privilegi amministrativi.

2. Aprire la console dell'Autorità di certificazione , fare clic con il pulsante destro del mouse su Modelli di certificato e selezionare Gestisci.

3. Trovare il modello di certificato utente , fare clic con il pulsante destro del mouse su di esso e scegliere Duplica modello per aprire Proprietà del nuovo modello.

   Nota

   Per gli scenari di firma e crittografia della posta elettronica S/MIME, molti amministratori usano certificati distinti per la firma e la crittografia. Se si usa Servizi certificati Microsoft Active Directory, è possibile usare il modello Solo firma di Exchange per i certificati di firma della posta elettronica S/MIME e il modello utente di Exchange per i certificati di crittografia S/MIME. Se si usa un'Autorità di certificazione non Microsoft, è consigliabile esaminare le relative indicazioni per configurare i modelli di firma e crittografia.

4. Nella scheda Compatibilità :

   • Impostare l'Autorità di certificazione su Windows Server 2008 R2
   • Impostare il destinatario del certificato su Windows 7 / Server 2008 R2

5. Nella scheda Generale effettuare le seguenti operazioni:

   • Imposta il nome visualizzato del modello su un valore significativo per te.
   • Deselezionare Pubblica certificato in Active Directory.

   Avviso

   Il nome del modello per impostazione predefinita è uguale al nome visualizzato del modello senza spazi. Prendi nota del nome del modello, perché ti servirà più tardi.

6. In Gestione richieste selezionare Consenti esportazione chiave privata.

   Nota

   A differenza di SCEP, con PKCS la chiave privata del certificato viene generata nel server in cui è installato il connettore di certificato e non nel dispositivo. Il modello di certificato deve consentire l'esportazione della chiave privata in modo che il connettore possa esportare il certificato PFX e inviarlo al dispositivo.

   Dopo l'installazione dei certificati nel dispositivo, la chiave privata viene contrassegnata come non esportabile.

7. In Crittografia, verificare che la dimensione minima della chiave sia impostata su 2048.

   I dispositivi Windows e Android supportano l'uso della dimensione della chiave a 4096 bit con un profilo di certificato PKCS. Per usare questa dimensione di chiave, regola il valore su 4096.

   Nota

   Per i dispositivi Windows, l'archiviazione delle chiavi a 4096 bit è supportata solo nel provider di archiviazione delle chiavi software (KSP). Le funzionalità seguenti non supportano l'archiviazione per chiavi di queste dimensioni:

   • TPM (Trusted Platform Module) hardware: come soluzione alternativa è possibile usare il KSP software per l'archiviazione delle chiavi.
   • Windows Hello for Business: al momento non è disponibile alcuna soluzione alternativa per Windows Hello for Business.

8. In Nome soggetto scegliere Fornisci nella richiesta.

9. In Estensioni, in Criteri applicazione, confermare che sia visualizzato Crittografia file system, Secure Email e Autenticazione client.

   Importante

   Per i modelli di certificato iOS/iPadOS, passare alla scheda Estensioni , aggiornare Utilizzo chiavi e quindi deselezionare La firma è prova di origine.

10. In Sicurezza:

    1. Aggiungere l'account computer per il server in cui si installa il connettore di certificato per Microsoft Intune. Consenti questo account Autorizzazioni di lettura e registrazione .
    2. Rimuovere il gruppo di utenti di dominio dall'elenco dei gruppi o dei nomi utente a cui sono state concesse le autorizzazioni in questo modello. Per rimuovere il gruppo:
       1. Selezionare il gruppo Domain Users .
       2. Seleziona Rimuovi.
       3. Esaminare le altre voci in Gruppi o nomi utente per verificare le autorizzazioni e l'applicabilità all'ambiente .

11. Selezionare Applica>OK per salvare il modello di certificato. Chiudi la console Modelli di certificato.

12. Nella console dell'Autorità di certificazione fare clic con il pulsante destro del mouse su Modelli di certificato.

13. Selezionare Nuovo>modello di certificato da rilasciare.

14. Scegliere il modello creato nei passaggi precedenti. Selezionare OK.

15. Consentire al server di gestire i certificati per i dispositivi registrati e gli utenti:

    1. Fare clic con il pulsante destro del mouse sull'Autorità di certificazione e quindi scegliere Proprietà.
    2. Nella scheda Sicurezza aggiungere l'account computer del server in cui si esegue il connettore.
    3. Concede, rilascia e gestisce i certificati e richiede le autorizzazioni dei certificati all'account computer.

16. Disconnettersi dalla CA dell'organizzazione.

Scaricare, installare e configurare il connettore di certificato per Microsoft Intune

Per indicazioni, vedere Installare e configurare il connettore di certificato per Microsoft Intune.

Creare un profilo certificato attendibile

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare e andare a Dispositivi>, Gestisci dispositivi>,Configurazione, Crea>.

3. Immettere le proprietà seguenti:

   • Piattaforma: scegliere la piattaforma dei dispositivi che ricevono questo profilo.
     • Amministratore del dispositivo Android
     • Android Enterprise:
       • Completamente gestito
       • Dedicato
       • Corporate-Owned profilo di lavoro
       • Personally-Owned profilo di lavoro
     • iOS/iPadOS
     • macOS
     • Windows
   • Profilo: selezionare un certificato attendibile. In alternativa, selezionare Modelli>di certificato attendibile.

4. Selezionare Crea.

5. In Informazioni di base immettere le proprietà seguenti:

   • Nome: immettere un nome descrittivo per il profilo. Assegnare ai profili nomi che possano essere identificati facilmente in un secondo momento. Ad esempio, un nome di profilo valido è Profilo certificato attendibile per l'intera società.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

6. Seleziona Avanti.

7. In Impostazioni di configurazione specificare il file di .cer per il certificato CA radice esportato in precedenza.

   Nota

   A seconda della piattaforma scelta nel passaggio 3, è possibile avere o meno un'opzione per scegliere l'archivio di destinazione per il certificato.

   

8. Seleziona Avanti.

9. In Attività selezionare i gruppi di utenti o di dispositivi da includere nell'attività. Questi gruppi ricevono il profilo dopo la distribuzione. Per una maggiore granularità, vedere Creare filtri in Microsoft Intune e applicarli selezionando Modifica filtro.

   Pianificare la distribuzione di questo profilo di certificato agli stessi gruppi che ricevono:

   • Il profilo del certificato PKCS e

   • Un profilo di configurazione, ad esempio un profilo Wi-Fi che usa il certificato.

   Per ulteriori informazioni sull'assegnazione dei profili, vedere Assegnare profili utente e dispositivo.

   Seleziona Avanti.

10. (Si applica solo a Windows) In Regole di applicabilità specificare le regole di applicabilità per perfezionare l'assegnazione del profilo. È possibile scegliere di assegnare o meno il profilo in base all'edizione del sistema operativo o alla versione di un dispositivo.

    Per ulteriori informazioni, vedere Regole di applicabilità in Creare un profilo dispositivo in Microsoft Intune.

11. In Rivedi e crea rivedere le impostazioni. Quando si seleziona Crea, le modifiche vengono salvate e il profilo viene assegnato. Il criterio viene visualizzato anche nell'elenco dei profili.

Creare un profilo di certificato PKCS

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare e andare a Dispositivi>, Gestisci dispositivi>,Configurazione, Crea>.

3. Immettere le proprietà seguenti:

   • Piattaforma: scegliere la piattaforma per il proprio dispositivo. Le opzioni disponibili sono:
     • Amministratore del dispositivo Android
     • Android Enterprise:
       • Completamente gestito
       • Dedicato
       • Corporate-Owned profilo di lavoro
       • Personally-Owned profilo di lavoro
     • iOS/iPadOS
     • macOS
     • Windows
   • Profilo: selezionare il certificato PKCS. Oppure selezionareCertificato PKCSmodelli>.

   Nota

   Nei dispositivi con un profilo Android Enterprise, i certificati installati con un profilo di certificato PKCS non sono visibili nel dispositivo. Per verificare la corretta distribuzione dei certificati, controllare lo stato del profilo nell'interfaccia di amministrazione di Intune.

4. Selezionare Crea.

5. In Informazioni di base immettere le proprietà seguenti:

   • Nome: immettere un nome descrittivo per il profilo. Assegnare ai profili nomi che possano essere identificati facilmente in un secondo momento. Ad esempio, un nome di profilo valido è il profilo PKCS per l'intera società.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

6. Seleziona Avanti.

7. In Impostazioni di configurazione le impostazioni configurabili variano in base alla piattaforma scelta. Selezionare la piattaforma per le impostazioni dettagliate:

   • Amministratore del dispositivo Android
   • Android Enterprise
   • iOS/iPadOS
   • Windows

   Impostazione	Piattaforma	Dettagli
   Canale di distribuzione	macOS	Selezionare la modalità di distribuzione del profilo. Questa impostazione determina anche il portachiavi in cui sono archiviati i certificati collegati, quindi è importante selezionare il canale appropriato. Selezionare sempre il canale di distribuzione utente nei profili con certificati utente. Il canale utente archivia i certificati nel keychain utente. Selezionare sempre il canale di distribuzione del dispositivo nei profili con certificati del dispositivo. Il canale del dispositivo archivia i certificati nel keychain di sistema. Non è possibile modificare il canale di distribuzione dopo aver distribuito il profilo. Devi creare un nuovo profilo per selezionare un canale diverso.
   Soglia di rinnovo (%)	Tutti	Il valore consigliato è 20%
   Periodo di validità del certificato	Tutti	Se il modello di certificato non è stato modificato, questa opzione potrebbe essere impostata su un anno. Utilizzare un periodo di validità di cinque giorni o fino a 24 mesi. Quando il periodo di validità è inferiore a cinque giorni, c'è un'alta probabilità che il certificato entri in uno stato prossimo alla scadenza o scaduto, il che può indurre l'agente MDM nei dispositivi a rifiutare il certificato prima che sia installato.
   Provider di archiviazione chiavi (KSP)	Windows	Per Windows, seleziona la posizione in cui archiviare i codici nel dispositivo.
   Autorità di certificazione	Tutti	Visualizza il nome di dominio completo (FQDN) interno della CA aziendale.
   Nome dell'autorità di certificazione	Tutti	Elenca il nome della CA dell'organizzazione, ad esempio "Autorità di certificazione Contoso".
   Nome modello di certificato	Tutti	Elenca il nome del modello di certificato.
   Tipo di certificato	Android Enterprise (di proprietà dell'azienda e Personally-Owned profilo aziendale) iOS macOS Windows	Selezionare un tipo: I certificati utente possono contenere attributi sia utente che dispositivo nell'oggetto e nome alternativo soggetto del certificato. I certificati del dispositivo possono contenere solo gli attributi del dispositivo nell'oggetto e nella SAN del certificato. Usare il dispositivo per scenari come dispositivi senza utente, come chioschi multimediali o altri dispositivi condivisi. Questa selezione influisce sul formato del nome dell'oggetto. Per macOS, se il profilo è configurato per l'utilizzo del canale di distribuzione del dispositivo, è possibile selezionare Utente o Dispositivo. Se il profilo è configurato per l'utilizzo del canale di distribuzione utente, è possibile selezionare solo Utente.
   Formato del nome dell'argomento	Tutti	Per informazioni dettagliate su come configurare il formato del nome dell'oggetto, vedere Formato del nome dell'oggetto più avanti in questo articolo. Per le piattaforme seguenti, il formato del nome soggetto è determinato dal tipo di certificato: Android Enterprise (profilo aziendale) iOS macOS Windows
   Nome alternativo soggetto	Tutti	In Attributo, selezionare Nome entità utente (UPN), se non diversamente richiesto, configurare un valore corrispondente e quindi selezionare Aggiungi. È possibile utilizzare variabili o testo statico per il SAN di entrambi i tipi di certificato. Non è necessario usare una variabile. Per altre informazioni, vedere Formato del nome dell'argomento più avanti in questo articolo.
   Utilizzo esteso delle chiavi	Amministratore del dispositivo Android Android Enterprise (proprietario del dispositivo, di proprietà dell'azienda e Personally-Owned profilo di lavoro) Windows	I certificati richiedono in genere l'autenticazione del client in modo che l'utente o il dispositivo possa eseguire l'autenticazione in un server.
   Consenti a tutte le app di accedere alla chiave privata	macOS	Impostare su Abilita per concedere alle app configurate per il dispositivo Mac associato l'accesso alla chiave privata del certificato PKCS. Per altre informazioni su questa impostazione, vedi AllowAllAppsAccess alla sezione Payload del certificato di Riferimento al profilo di configurazione nella documentazione per sviluppatori Apple.
   Certificato radice	Amministratore del dispositivo Android Android Enterprise (proprietario del dispositivo, di proprietà dell'azienda e Personally-Owned profilo di lavoro)	Selezionare un profilo di certificato CA radice assegnato in precedenza.

8. Questo passaggio si applica solo ai profili dei dispositivi Android Enterprise per il profilo di lavoro completamente gestito, dedicato e Corporate-Owned.

   In App configurare l'accesso al certificato per gestire il modo in cui viene concesso l'accesso al certificato alle applicazioni. Scegliere una delle opzioni seguenti:

   • Richiedi l'approvazione dell'utente per le app(impostazione predefinita): gli utenti devono approvare l'uso di un certificato da parte di tutte le applicazioni.
   • Concedi automaticamente per app specifiche (richiedere l'approvazione dell'utente per altre app): con questa opzione selezionare Aggiungi app. Selezionare quindi tutte le app che devono usare automaticamente il certificato senza l'interazione dell'utente.

9. Seleziona Avanti.

10. In Attività selezionare gli utenti e i gruppi da includere nell'attività. Gli utenti e i gruppi ricevono il profilo dopo la distribuzione. Pianificare la distribuzione di questo profilo di certificato agli stessi gruppi che ricevono:

• Il profilo del certificato attendibile e

• Un profilo di configurazione, ad esempio un profilo Wi-Fi che usa il certificato.

Per ulteriori informazioni sull'assegnazione dei profili, vedere Assegnare profili utente e dispositivo.

11. Seleziona Avanti.

12. In Rivedi e crea rivedere le impostazioni. Quando si seleziona Crea, le modifiche vengono salvate e il profilo viene assegnato. Il criterio viene visualizzato anche nell'elenco dei profili.

Formato del nome dell'argomento

Quando si crea un profilo di certificato PKCS per le piattaforme seguenti, le opzioni per il formato del nome soggetto dipendono dal tipo di certificato selezionato, utente o dispositivo.

Piattaforme:

• Android Enterprise (di proprietà dell'azienda e Personally-Owned profilo aziendale)
• iOS
• macOS
• Windows

• Tipo di certificato utente
  Le opzioni di formattazione per il formato Nome oggetto includono due variabili: Common Name (CN) e Email (E). Email (E) di solito viene impostato con la variabile {{EmailAddress}}. Ad esempio: E={{EmailAddress}}

  Il nome comune (CN) può essere impostato su una delle variabili seguenti:

  • CN={{NomeUtente}}: il nome utente dell'utente, ad esempio Jane Doe.

  • CN={{UserPrincipalName}}: il nome dell'entità utente dell'utente, ad esempio janedoe@contoso.com.

  • CN={{AAD_Device_ID}}: ID assegnato quando si registra un dispositivo in Microsoft Entra ID. Questo ID viene in genere usato per eseguire l'autenticazione con Microsoft Entra ID.

  • CN={{DeviceId}}: ID assegnato quando si registra un dispositivo in Intune.

  • CN={{SERIALNUMBER}}: il numero di serie univoco (SN) in genere usato dal produttore per identificare un dispositivo.

  • CN={{IMEINumber}}: il numero univoco IMEI (International Mobile Equipment Identity) usato per identificare un telefono cellulare.

  • CN={{OnPrem_Distinguished_Name}}: sequenza di nomi relativamente distinti separati da virgole, ad esempio CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

    Per usare la variabile {{OnPrem_Distinguished_Name}}, assicurarsi di sincronizzare l'attributo utente onpremisesdistinguishedname usando Microsoft Entra Connect al Microsoft Entra ID.

  • CN={{onPremisesSamAccountName}}: gli amministratori possono sincronizzare l'attributo samAccountName da Active Directory a Microsoft Entra ID utilizzando Microsoft Entra Connect in un attributo denominato onPremisesSamAccountName. Intune può sostituire tale variabile come parte di una richiesta di rilascio di certificati nell'oggetto di un certificato. L'attributo samAccountName è il nome di accesso utente usato per supportare client e server da una versione precedente di Windows (precedente a Windows 2000). Il formato del nome di accesso dell'utente è: NomeDominio\testUser o solo testUser.

    Per utilizzare la variabile {{onPremisesSamAccountName}}, assicurarsi di sincronizzare l'attributo utente onPremisesSamAccountName utilizzando Microsoft Entra Connect con Microsoft Entra ID.

  Tutte le variabili di dispositivo elencate nella sezione Tipo di certificato del dispositivo seguente possono essere usate anche nei nomi dei soggetti del certificato utente.

  Usando una combinazione di una o più di queste variabili e stringhe di testo statiche, è possibile creare un formato personalizzato per il nome dell'oggetto, ad esempio: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

  Questo esempio include un formato di nome soggetto che usa le variabili CN ed E e stringhe per i valori di unità organizzativa, organizzazione, posizione, stato e paese/area geografica. La funzione CertStrToName descrive questa funzione e le relative stringhe supportate.

  Gli attributi utente non sono supportati per i dispositivi che non hanno associazioni di utenti, ad esempio i dispositivi registrati come dedicati ad Android Enterprise. Ad esempio, un profilo che usa CN={{UserPrincipalName}} nell'oggetto o nella SAN non può ottenere il nome dell'entità utente quando non è presente un utente nel dispositivo.

• Tipo di certificato del dispositivo
  Le opzioni di formattazione per il formato Nome soggetto includono le variabili seguenti:

  • {{AAD_Device_ID}}
  • {{DeviceId}} - ID del dispositivo di Intune
  • {{Device_Serial}}
  • {{Device_IMEI}}
  • {{SerialNumber}}
  • {{IMEINumber}}
  • {{AzureADDeviceId}}
  • {{IndirizzoMacWifi}}
  • {{IMEI}}
  • {{DeviceName}}
  • {{FullyQualifiedDomainName}}(Applicabile solo per Windows e dispositivi aggiunti a un dominio)
  • {{MEID}}

  Puoi specificare queste variabili, seguite dal testo per la variabile, nella casella di testo. Ad esempio, il nome comune per un dispositivo denominato Device1 può essere aggiunto come CN={{DeviceName}}Device1.

  Importante

  • Quando si specifica una variabile, racchiuderla tra parentesi graffe { } come mostrato nell'esempio, per evitare un errore.
  • Le proprietà del dispositivo usate nell'oggetto o nel SAN di un certificato del dispositivo, come IMEI, SerialNumber e FullyQualifiedDomainName, sono proprietà che potrebbero essere oggetto di spoofing da parte di una persona con accesso al dispositivo.
  • Affinché tale profilo possa essere installato nel dispositivo, un dispositivo deve supportare tutte le variabili specificate in un profilo di certificato. Ad esempio, se {{IMEI}} viene utilizzato nel nome soggetto di un profilo SCEP e viene assegnato a un dispositivo che non ha un numero IMEI, l'installazione del profilo non riesce.

Passaggi successivi

• Usare SCEP per i certificati
• Rilasciare certificati PKCS da un servizio Web di gestione PKI di Symantec.
• Risolvere i problemi relativi ai profili certificato PKCS