Creare e assegnare profili di certificato SCEP in Intune

Dopo aver configurato l'infrastruttura per supportare i certificati SCEP (Simple Certificate Enrollment Protocol), è possibile creare e quindi assegnare profili di certificato SCEP a utenti e dispositivi in Intune.

Per poter usare un profilo di certificato SCEP, i dispositivi devono considerare attendibile l'autorità di certificazione radice attendibile. Il modo migliore per stabilire l'attendibilità della CA radice è la distribuzione di un profilo di certificato attendibile allo stesso gruppo che riceve il profilo di certificato SCEP. I profili di certificati attendibili eseguono il provisioning del certificato CA radice attendibile.

I dispositivi che eseguono Android Enterprise potrebbero richiedere un PIN prima che SCEP possa fornire loro un certificato. Per altre informazioni, vedere Requisito PIN per Android Enterprise.

Aggiornare il connettore del certificato: requisiti di mapping rigorosi per KB5014754

Si applica a:

• Windows
• Android
• iOS
• macOS

Il Centro distribuzione chiavi (KDC) richiede che gli oggetti utente o dispositivo siano fortemente mappati ad Active Directory per l'autenticazione basata su certificati. Ciò significa che il nome alternativo del soggetto (SAN) del certificato deve contenere un'estensione dell'identificatore di sicurezza (SID) associata al SID dell'utente o del dispositivo in Active Directory. Quando un utente o un dispositivo esegue l'autenticazione con un certificato in Active Directory, il KDC verifica la presenza del SID per verificare che il certificato sia mappato e rilasciato all'utente o al dispositivo corretto. Il requisito di mapping protegge dallo spoofing dei certificati e garantisce che l'autenticazione basata su certificati per il KDC continui a funzionare.

Il mapping avanzato è necessario per tutti i certificati distribuiti da Microsoft Intune e usati per l'autenticazione basata su certificati per KDC. La soluzione di mapping avanzata è applicabile ai certificati utente in tutte le piattaforme. Per i certificati dei dispositivi, si applica solo ai dispositivi Windows connessi all'ambiente ibrido di Microsoft Entra. Se i certificati in questi scenari non soddisfano i requisiti di mapping sicuro entro la data della modalità di applicazione completa, l'autenticazione verrà negata.

Per implementare la soluzione di mapping avanzata per i certificati SCEP recapitati tramite Intune, è necessario aggiungere la OnpremisesSecurityIdentifier variabile alla SAN nel profilo SCEP.

Questa variabile deve far parte dell'attributo URI. È possibile creare un nuovo profilo SCEP o modificarne uno esistente per aggiungere l'attributo URI.

Dopo aver aggiunto l'attributo e il valore URI al profilo del certificato, Microsoft Intune aggiunge all'attributo SAN il tag e il SID risolto. Formattazione di esempio: tag:microsoft.com,2022-09-14:sid:<value> A questo punto, il profilo del certificato soddisfa i requisiti di mapping complessi.

Per garantire che il profilo SCEP soddisfi requisiti di mapping rigorosi, creare un profilo di certificato SCEP nell'interfaccia di amministrazione di Microsoft Intune o modificare un profilo esistente con il nuovo attributo e valore SAN. Come prerequisito, gli utenti e i dispositivi devono essere sincronizzati da Active Directory a Microsoft Entra ID. Per ulteriori informazioni, vedere Modalità di sincronizzazione di oggetti e credenziali in un dominio gestito di Microsoft Entra Domain Services.

Per ulteriori informazioni sui requisiti del KDC e sulla data di applicazione per la mappatura avanzata, vedere KB5014754: Modifiche dell'autenticazione basata su certificati nei controller di dominio Windows .

Requisiti del certificato S/MIME per l'autorità di certificazione pubblica di terze parti

Il nome del soggetto del certificato (SN) in tutti i certificati S/MIME deve includere le informazioni seguenti:

• Attributo del nome
• Attributo cognome

Per quanto riguarda Microsoft Intune, questi attributi sono necessari quando si usano i profili certificati SCEP di Intune con partner CA pubblici di terze parti per emettere certificati S/MIME per la posta elettronica protetta. Per un elenco di questi partner CA, vedere Partner dell'Autorità di certificazione di terze parti.

Le autorità di certificazione pubbliche rifiuteranno le richieste di certificato dai dispositivi registrati in Intune che omettono gli attributi nome e cognome dal nome del soggetto. Questo requisito si applica ai nuovi certificati e rinnovi.

Quando si modifica un profilo di certificato esistente per includere questi attributi, viene attivata una riemissione di tutti i certificati, che potrebbe comportare costi aggiuntivi a seconda del contratto di CA.

Per evitare interruzioni del servizio, completare i passaggi seguenti nell'interfaccia di amministrazione di Microsoft Intune:

1. Rivedere i profili dei certificati SCEP di Intune usati per gli scenari S/MIME.

2. Aggiornare il formato del nome dell'oggetto in modo da includere queste variabili:

   • G={{Nome}}
   • SN={{SurName}}

   È possibile immettere variabili nel profilo SCEP in Impostazioni >di configurazioneFormato nome soggetto.

   

3. Modifiche ai test. Prima della distribuzione generale, creare un nuovo profilo e assegnare un piccolo gruppo di utenti.

4. Non fare affidamento sugli aggiornamenti automatici. Intune non modifica i profili per conto dell'utente a causa del rischio di attributi duplicati e riemissione imprevista di certificati.

Creare un profilo di certificato SCEP

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare e andare a Dispositivi>, Gestisci dispositivi>,Configurazione, Crea>.

3. Immettere le proprietà seguenti:

   • Piattaforma: scegliere la piattaforma per il proprio dispositivo.

   • Profilo: seleziona il certificato SCEP. In alternativa, selezionare Modelli>Certificato SCEP.

     Per Android Enterprise, il tipo di profilo è suddiviso in due categorie: Completamente gestito, Dedicato e Corporate-Owned Profilo di lavoroe Profilo di lavoro personale. Assicurarsi di selezionare il profilo del certificato SCEP corretto per i dispositivi gestiti.

     I profili dei certificati SCEP per il profilo Completamente gestito, Dedicato e Corporate-Owned di lavoro presentano le limitazioni seguenti:

     1. In Monitoraggio, la creazione di report sui certificati non è disponibile per i profili di certificato SCEP del proprietario del dispositivo .
     2. Non è possibile usare Intune per revocare i certificati di cui è stato eseguito il provisioning dai profili di certificato SCEP per il proprietario del dispositivo. È possibile gestire la revoca tramite un processo esterno o direttamente con l'Autorità di certificazione.
     3. Per i dispositivi dedicati Android Enterprise, i profili di certificato SCEP sono supportati per la configurazione di rete Wi-Fi, la VPN e l'autenticazione. I profili di certificato SCEP nei dispositivi dedicati Android Enterprise non sono supportati per l'autenticazione delle app.

     Per Android (AOSP) si applicano le limitazioni seguenti:

     1. In Monitoraggio, la creazione di report sui certificati non è disponibile per i profili di certificato SCEP del proprietario del dispositivo .
     2. Non è possibile usare Intune per revocare i certificati di cui è stato eseguito il provisioning dai profili di certificato SCEP per i proprietari dei dispositivi. È possibile gestire la revoca tramite un processo esterno o direttamente con l'Autorità di certificazione.
     3. I profili di certificato SCEP sono supportati per Wi-Fi configurazione di rete. Il supporto per il profilo di configurazione VPN non è disponibile. Un aggiornamento futuro potrebbe includere il supporto per i profili di configurazione VPN.
     4. Le variabili seguenti non sono disponibili per l'uso nei profili di certificato SCEP di Android (AOSP). Il supporto per queste variabili sarà disponibile in un aggiornamento futuro.
        • onPremisesSamAccountName
        • OnPrem_Distinguished_Name
        • Reparto

     Nota

     Il proprietario del dispositivo equivale ai dispositivi di proprietà dell'azienda. I seguenti sono considerati proprietari del dispositivo:

     • Android Enterprise - Profilo di lavoro completamente gestito, dedicato e Corporate-Owned
     • Android AOSP
       • Affinità con gli utenti
       • Senza utente

4. Selezionare Crea.

5. In Informazioni di base immettere le proprietà seguenti:

   • Nome: immettere un nome descrittivo per il profilo. Assegnare ai profili nomi che possano essere identificati facilmente in un secondo momento. Ad esempio, un nome di profilo valido è Profilo SCEP per l'intera società.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

6. Seleziona Avanti.

7. In Impostazioni di configurazione, completare le seguenti configurazioni:

   • Canale di distribuzione: selezionare la modalità di distribuzione del profilo. Questa impostazione determina anche il portachiavi in cui sono archiviati i certificati collegati, quindi è importante selezionare il canale appropriato.

     Selezionare sempre il canale di distribuzione utente nei profili con certificati utente. Il canale utente archivia i certificati nel keychain utente. Selezionare sempre il canale di distribuzione del dispositivo nei profili con certificati del dispositivo. Il canale del dispositivo archivia i certificati nel keychain di sistema.

     Non è possibile modificare il canale di distribuzione dopo aver distribuito il profilo. Devi creare un nuovo profilo per selezionare un canale diverso.

   • Tipo di certificato:

     (Si applica a: Android, Android Enterprise, Android (AOSP), iOS/iPadOS, macOS e Windows)

     Selezionare un tipo, a seconda di come si prevede di utilizzare il profilo del certificato:

     • Utente: i certificati utente possono contenere sia gli attributi dell'utente che quelli del dispositivo nell'oggetto e nella SAN del certificato.

     • Dispositivo: i certificati del dispositivo possono contenere solo gli attributi del dispositivo nell'oggetto e nella SAN del certificato.

       Usa il dispositivo per scenari come dispositivi senza utente, come chioschi multimediali, o per dispositivi Windows. Nei dispositivi Windows, il certificato viene inserito nell'archivio certificati del computer locale.

       Per macOS, se il profilo è configurato per l'utilizzo del canale di distribuzione del dispositivo, è possibile selezionare Utente o Dispositivo. Se il profilo è configurato per l'utilizzo del canale di distribuzione utente, è possibile selezionare solo Utente.

     Nota

     Archiviazione dei certificati di cui è stato eseguito il provisioning da SCEP:

     • macOS : i certificati di cui viene eseguito il provisioning con SCEP vengono sempre inseriti nel keychain di sistema (denominato anche archivio di sistema o keychain del dispositivo) del dispositivo, a meno che non si selezioni il canale di distribuzione dell'utente.

     • Android - I dispositivi hanno sia un archivio certificati VPN e app sia un archivio certificati WIFI . Intune archivia sempre i certificati SCEP nella VPN e nell'App Store in un dispositivo. L'uso della VPN e dell'App Store rende il certificato disponibile per l'uso da parte di qualsiasi altra app.

       Tuttavia, quando un certificato SCEP è associato anche a un profilo Wi-Fi, Intune installa il certificato anche nell'archivio Wi-Fi.

       Quando è configurato per le app VPN, all'utente verrà richiesto di selezionare il certificato corretto. L'approvazione automatica del certificato per scenari completamente gestiti (o BYOD) non è supportata. Se tutto è configurato correttamente, il certificato corretto dovrebbe essere già preselezionato nella finestra di dialogo.

   • Formato del nome dell'oggetto:

     Immettere il testo per indicare a Intune come creare automaticamente il nome del soggetto nella richiesta di certificato. Le opzioni per il formato del nome dell'oggetto dipendono dal tipo di certificato selezionato , utente odispositivo.

     Consiglio

     Se la lunghezza del nome dell'oggetto supera i 64 caratteri, potrebbe essere necessario disabilitare l'applicazione della lunghezza del nome nell'Autorità di certificazione interna. Per ulteriori informazioni, vedere Disabilita l'applicazione della lunghezza DN

     Nota

     Esiste un problema noto con caratteri speciali di escape nelle CSR per l'uso di SCEP per ottenere certificati quando il nome del soggetto nella richiesta di firma del certificato (CSR) risultante include uno dei caratteri seguenti come carattere di escape (preceduto da una barra rovesciata \):

     • +
     • ;
     • ,
     • =

     Nota

     A partire da Android 12, Android non supporta più l'uso degli identificatori hardware seguenti per i dispositivi del profilo di lavoro di proprietà personale :

     • Numero di serie
     • IMEI
     • MEID

     I profili certificati di Intune per i dispositivi del profilo di lavoro di proprietà personale che si basano su queste variabili nel nome soggetto o nella SAN non riusciranno a eseguire il provisioning di un certificato nei dispositivi che eseguono Android 12 o versione successiva al momento della registrazione del dispositivo con Intune. I dispositivi registrati prima dell'aggiornamento ad Android 12 possono comunque ricevere certificati se Intune ha ottenuto in precedenza gli identificatori hardware dei dispositivi.

     Per altre informazioni su questa e altre modifiche introdotte con Android 12, vedere il post di blog Supporto di Android Day Zero per Microsoft Endpoint Manager .

     • Tipo di certificato utente

       Usare la casella di testo per immettere un formato personalizzato per il nome dell'oggetto, inclusi testo statico e variabili. Sono supportate due opzioni di variabili: Common Name (CN) ed Email (E).

       Email (E) di solito viene impostato con la variabile {{EmailAddress}}. Ad esempio: E={{EmailAddress}}

       Il nome comune (CN) può essere impostato su una delle variabili seguenti:

       • CN={{NomeUtente}}: Il nome utente dell'utente, ad esempio janedoe.
       • CN={{UserPrincipalName}}: il nome dell'entità utente dell'utente, ad esempio janedoe@contoso.com.
       • CN={{AAD_Device_ID}}: ID assegnato quando si registra un dispositivo in Microsoft Entra ID. Questo ID viene in genere usato per eseguire l'autenticazione con Microsoft Entra ID.
       • CN={{DeviceId}}: ID assegnato quando si registra un dispositivo in Intune.

       Nota

       Evitare di usare {{DeviceId}} per il nome dell'oggetto nei dispositivi Windows. In alcuni casi, il certificato generato con questo nome di soggetto causa un errore di sincronizzazione con Intune.

       • CN={{SERIALNUMBER}}: il numero di serie univoco (SN) in genere usato dal produttore per identificare un dispositivo.

       • CN={{IMEINumber}}: il numero univoco IMEI (International Mobile Equipment Identity) usato per identificare un telefono cellulare.

       • CN={{OnPrem_Distinguished_Name}}: sequenza di nomi relativamente distinti separati da virgole, ad esempio CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

         Per usare la variabile {{OnPrem_Distinguished_Name}} :

         • Assicurarsi di sincronizzare l'attributo utente onpremisesdistinguishedname utilizzando Microsoft Entra Connect con il proprio Microsoft Entra ID.
         • Se il valore CN contiene una virgola, il formato Nome soggetto deve essere racchiuso tra virgolette. Ad esempio: CN="{{OnPrem_Distinguished_Name}}"

       • CN={{OnPremisesSamAccountName}}: gli amministratori possono sincronizzare l'attributo samAccountName da Active Directory a Microsoft Entra ID utilizzando Microsoft Entra Connect in un attributo denominato onPremisesSamAccountName. Intune può sostituire tale variabile come parte di una richiesta di rilascio di certificati nell'oggetto di un certificato. L'attributo samAccountName è il nome di accesso utente usato per supportare client e server da una versione precedente di Windows (precedente a Windows 2000). Il formato del nome di accesso dell'utente è: NomeDominio\testUser o solo testUser.

         Per utilizzare la variabile {{OnPremisesSamAccountName}}, assicurarsi di sincronizzare l'attributo utente OnPremisesSamAccountName utilizzando Microsoft Entra Connect con il proprio Microsoft Entra ID.

       Tutte le variabili di dispositivo elencate nella sezione Tipo di certificato del dispositivo seguente possono essere usate anche nei nomi dei soggetti del certificato utente.

       Usando una combinazione di una o più di queste variabili e stringhe di testo statiche, è possibile creare un formato personalizzato per il nome dell'oggetto, ad esempio: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

       Questo esempio include un formato di nome soggetto che usa le variabili CN ed E e stringhe per i valori di unità organizzativa, organizzazione, posizione, stato e paese. La funzione CertStrToName descrive questa funzione e le relative stringhe supportate.

       Gli attributi utente non sono supportati per i dispositivi che non hanno associazioni di utenti, ad esempio i dispositivi registrati come dedicati ad Android Enterprise. Ad esempio, un profilo che usa CN={{UserPrincipalName}} nell'oggetto o SAN non sarà in grado di ottenere il nome dell'entità utente quando non è presente alcun utente nel dispositivo.

     • Tipo di certificato del dispositivo

       Le opzioni di formattazione per il formato Nome soggetto includono le variabili seguenti:

       • {{AAD_Device_ID}} o {{AzureADDeviceId}}: entrambe le variabili possono essere usate per identificare un dispositivo in base al Microsoft Entra ID.
       • {{DeviceId}} - ID del dispositivo di Intune
       • {{Device_Serial}}
       • {{Device_IMEI}}
       • {{SerialNumber}}
       • {{IMEINumber}}
       • {{IndirizzoMacWifi}}
       • {{IMEI}}
       • {{DeviceName}}
       • {{FullyQualifiedDomainName}}(Applicabile solo per Windows e dispositivi aggiunti a un dominio)
       • {{MEID}}

       È possibile specificare queste variabili e il testo statico nella casella di testo. Ad esempio, il nome comune per un dispositivo denominato Device1 può essere aggiunto come CN={{DeviceName}}Device1.

       Importante

       • Quando si specifica una variabile, racchiudere il nome della variabile tra parentesi graffe doppie {{ }} come mostrato nell'esempio, per evitare un errore.
       • Le proprietà del dispositivo usate nell'oggetto o nel SAN di un certificato del dispositivo, come IMEI, SerialNumber e FullyQualifiedDomainName, sono proprietà che potrebbero essere oggetto di spoofing da parte di una persona con accesso al dispositivo.
       • Affinché tale profilo possa essere installato nel dispositivo, un dispositivo deve supportare tutte le variabili specificate in un profilo di certificato. Ad esempio, se {{IMEI}} viene utilizzato nel nome soggetto di un profilo SCEP e viene assegnato a un dispositivo che non ha un numero IMEI, l'installazione del profilo non riesce.

   • Nome alternativo del soggetto: configurare il nome alternativo del soggetto (SAN) nella richiesta di certificato. È possibile immettere più nomi alternativi dell'oggetto. Il valore di testo può contenere variabili e testo statico per l'attributo.

     Nota

      I seguenti profili Android Enterprise non supportano l'uso della variabile {{UserName}} per la SAN:

     • Profilo di lavoro completamente gestito, dedicato e Corporate-Owned

     Selezionare uno degli attributi SAN disponibili:

     • Indirizzo di posta elettronica
     • Nome dell'entità utente (UPN)
     • DNS
     • URI (Uniform Resource Identifier)

     Il tipo di certificato scelto determina la variabile SAN.

     Nota

     A partire da Android 12, Android non supporta più l'uso degli identificatori hardware seguenti per i dispositivi del profilo di lavoro di proprietà personale :

     • Numero di serie
     • IMEI
     • MEID

     I profili certificati di Intune per i dispositivi del profilo di lavoro di proprietà personale che si basano su queste variabili nel nome soggetto o nella SAN non riusciranno a eseguire il provisioning di un certificato nei dispositivi che eseguono Android 12 o versione successiva al momento della registrazione del dispositivo con Intune. I dispositivi registrati prima dell'aggiornamento ad Android 12 possono comunque ricevere certificati se Intune ha ottenuto in precedenza gli identificatori hardware dei dispositivi.

     Per altre informazioni su questa e altre modifiche introdotte con Android 12, vedere il post di blog Supporto di Android Day Zero per Microsoft Endpoint Manager .

     • Tipo di certificato utente

       Con il tipo di certificato utente , è possibile utilizzare una qualsiasi delle variabili di certificato utente o dispositivo descritte in precedenza nella sezione Nome soggetto.

       Ad esempio, i tipi di certificato utente possono includere il nome dell'entità utente (UPN) nel nome alternativo del soggetto. Se un certificato client viene usato per eseguire l'autenticazione in un server dei criteri di rete, impostare il nome alternativo del soggetto sull'UPN.

       Microsoft Intune supporta anche OnPremisesSecurityIdentifier, una variabile conforme ai requisiti di mapping rigoroso del Centro distribuzione chiavi (KDC) per l'autenticazione basata su certificati. È necessario aggiungere la variabile ai certificati utente che eseguono l'autenticazione con il KDC. È possibile aggiungere la variabile, formattata come {{OnPremisesSecurityIdentifier}}, a profili nuovi ed esistenti nell'interfaccia di amministrazione di Microsoft Intune. Questa variabile è supportata nei certificati utente per macOS, iOS e Windows e funziona solo con l'attributo URI.

     • Tipo di certificato del dispositivo

       Con il tipo di certificato del dispositivo , puoi utilizzare una qualsiasi delle variabili descritte nella sezione Tipo di certificato del dispositivo per Nome soggetto.

       Per specificare un valore per un attributo, includere il nome della variabile tra parentesi graffe seguito dal testo per la variabile. Ad esempio, è possibile aggiungere un valore per l'attributo DNS {{AzureADDeviceId}}.domain.com dove .domain.com è il testo. Per un utente denominato User1, un indirizzo Email potrebbe essere visualizzato come {{FullyQualifiedDomainName}}User1@Contoso.com.

       Usando una combinazione di una o più di queste variabili e stringhe di testo statiche, è possibile creare un formato alternativo personalizzato per il nome del soggetto, ad esempio {{NomeUtente}}-Home.

       Microsoft Intune supporta anche OnPremisesSecurityIdentifier, una variabile conforme ai requisiti di mapping rigoroso del Centro distribuzione chiavi (KDC) per l'autenticazione basata su certificati. È necessario aggiungere la variabile ai certificati del dispositivo che eseguono l'autenticazione con il KDC. È possibile aggiungere la variabile, formattata come {{OnPremisesSecurityIdentifier}}, a profili nuovi ed esistenti nell'interfaccia di amministrazione di Microsoft Intune. Questa variabile è supportata nei certificati di dispositivo per i dispositivi aggiunti all'ambiente ibrido di Microsoft Entra e funziona solo con l'attributo URI.

       Importante

       • Quando usi una variabile di certificato del dispositivo, racchiudi il nome della variabile tra parentesi graffe doppie {{ }}.
       • Non usare parentesi graffe { }, simboli |di pipe e punti e virgola ;, nel testo che segue la variabile.
       • Le proprietà del dispositivo usate nell'oggetto o nel SAN di un certificato del dispositivo, come IMEI, SerialNumber e FullyQualifiedDomainName, sono proprietà che potrebbero essere oggetto di spoofing da parte di una persona con accesso al dispositivo.
       • Affinché tale profilo possa essere installato nel dispositivo, un dispositivo deve supportare tutte le variabili specificate in un profilo di certificato. Ad esempio, se {{IMEI}} viene utilizzato nella SAN di un profilo SCEP e viene assegnato a un dispositivo che non ha un numero IMEI, l'installazione del profilo non riesce.

   • Periodo di validità del certificato:

     È possibile immettere un valore inferiore al periodo di validità nel modello di certificato, ma non superiore. Se il modello di certificato è stato configurato per configurare periodi di validità dei certificati personalizzati, utilizzare questa impostazione per specificare la quantità di tempo rimanente prima della scadenza del certificato.

     Intune supporta un periodo di validità fino a 24 mesi.

     Ad esempio, se il periodo di validità del certificato nel modello di certificato è due anni, è possibile immettere il valore di un anno, ma non il valore di cinque anni. Il valore deve inoltre essere inferiore al periodo di validità rimanente del certificato della CA emittente.

     Pianificare di utilizzare un periodo di validità di cinque giorni o più. Quando il periodo di validità è inferiore a cinque giorni, c'è un'alta probabilità che il certificato entri in uno stato prossimo alla scadenza o scaduto, il che può indurre l'agente MDM nei dispositivi a rifiutare il certificato prima che sia installato.

   • Provider di archiviazione chiavi (KSP):

     (Si applica a: Windows)

     Specifica dove è archiviata la chiave del certificato. Scegli uno dei seguenti valori:

     • Eseguire la registrazione al KSP TPM (Trusted Platform Module), se presente, altrimenti KSP software
     • Iscrizione al KSP TPM (Trusted Platform Module), altrimenti non riesce
     • Eseguire la registrazione a Windows Hello for Business, altrimenti non andare a buon fine
     • Iscrizione al software KSP

   • Utilizzo chiave:

     Selezionare le opzioni di utilizzo chiave per il certificato:

     • Firma digitale: consente lo scambio di chiavi solo quando una firma digitale consente di proteggere la chiave.
     • Crittografia delle chiavi: consente lo scambio di chiavi solo quando la chiave è crittografata.

   • Dimensione chiave (bit):

     Selezionare il numero di bit contenuti nella chiave:

     • Non configurata

     • 1024

     • 2048

     • 4096 - La dimensione della chiave 4096 è supportata per le piattaforme seguenti:

       • Android (tutti)
       • iOS/iPadOS 14 e versioni successive
       • macOS 11 e versioni successive
       • Windows (tutti)

       Nota

       Per i dispositivi Windows, l'archiviazione delle chiavi a 4096 bit è supportata solo nel provider di archiviazione delle chiavi software (KSP). I seguenti elementi non supportano l'archiviazione di chiavi di queste dimensioni:

       • Il TPM (Trusted Platform Module) hardware. Come soluzione alternativa è possibile usare il software KSP per l'archiviazione delle chiavi.
       • Windows Hello for Business. Al momento non è disponibile alcuna soluzione alternativa per Windows Hello for Business.

   • Algoritmo hash:

     (Si applica a Android, Android (AOSP), Android Enterprise e Windows)

     Selezionare uno dei tipi di algoritmi hash disponibili da usare con questo certificato. Seleziona il livello di sicurezza più sicuro supportato dai dispositivi di connessione.

     NOTA: i dispositivi Android AOSP e Android Enterprise selezioneranno l'algoritmo più forte supportato: SHA-1 verrà ignorato e verrà utilizzato SHA-2.

   • Certificato radice:

     Selezionare il profilo del certificato attendibile configurato e assegnato in precedenza agli utenti e ai dispositivi applicabili per questo profilo di certificato SCEP. Il profilo del certificato attendibile viene usato per eseguire il provisioning di utenti e dispositivi con il certificato CA radice attendibile. Per informazioni sul profilo del certificato attendibile, vedere Esportare il certificato CA radice attendibile e Creare profili di certificati attendibili in Usare i certificati per l'autenticazione in Intune.

     Nota

     Se si dispone di un'infrastruttura PKI a più livelli, ad esempio un'autorità di certificazione radice e un'autorità di certificazione emittente, selezionare il profilo del certificato radice attendibile di primo livello che convalida l'autorità di certificazione emittente.

   • Utilizzo esteso dei tasti:

     Aggiungere i valori per lo scopo previsto del certificato. Nella maggior parte dei casi, il certificato richiede l'autenticazione del client in modo che l'utente o il dispositivo possa eseguire l'autenticazione in un server. Se necessario, è possibile aggiungere altri utilizzi delle chiavi.

   • Soglia di rinnovo (%):

     Immettere la percentuale della durata del certificato che rimane prima che il dispositivo richieda il rinnovo del certificato. Ad esempio, se si immette 20, verrà tentato il rinnovo del certificato quando il certificato è scaduto all'80%. I tentativi di rinnovo continuano fino a quando il rinnovo non va a buon fine. Il rinnovo genera un nuovo certificato che genera una nuova coppia di chiavi pubblica/privata.

     Nota

     Comportamento di rinnovo in iOS/iPadOS e macOS: i certificati possono essere rinnovati solo durante la fase di soglia di rinnovo. Inoltre, il dispositivo deve essere sbloccato durante la sincronizzazione con Intune. Se il rinnovo non è andato a buon fine, il certificato scaduto rimarrà nel dispositivo e Intune non attiverà più un rinnovo. Inoltre, Intune non offre un'opzione per ridistribuire i certificati scaduti. I dispositivi interessati devono essere esclusi temporaneamente dal profilo SCEP per rimuovere il certificato scaduto e richiederne uno nuovo.

   • URL del server SCEP:

     Immettere uno o più URL per i server del servizio Registrazione dispositivi di rete che rilasciano certificati tramite SCEP. Ad esempio, immettere qualcosa di simile a https://ndes.contoso.com/certsrv/mscep/mscep.dll.

     Per consentire ai dispositivi su Internet di ottenere certificati, è necessario specificare l'URL del servizio Registrazione registrazione di rete esterno alla rete aziendale. L'URL può essere HTTP o HTTPS. Tuttavia, per supportare i dispositivi seguenti, l'URL del server SCEP deve usare HTTPS:

     • Amministratore del dispositivo Android
     • Proprietario di un dispositivo Android Enterprise
     • Profilo aziendale Android Enterprise di proprietà dell'azienda
     • Profilo di lavoro personale di Android Enterprise

     Se necessario, è possibile aggiungere altri URL SCEP per il bilanciamento del carico. I dispositivi effettuano tre chiamate separate al server Dispositivo registrazione dispositivi. Il primo è ottenere le funzionalità del server, il successivo ottenere una chiave pubblica e quindi inviare una richiesta di firma. Quando si usano più URL, è possibile che il bilanciamento del carico determini l'utilizzo di un URL diverso per le chiamate successive a un server TSS. Se viene contattato un server diverso per una chiamata successiva durante la stessa richiesta, la richiesta avrà esito negativo.

     Il comportamento per la gestione dell'URL del server NDES è specifico per ogni piattaforma del dispositivo:

     • Android: il dispositivo rende casuale l'elenco degli URL ricevuti nel criterio SCEP e quindi esamina l'elenco fino a trovare un server NDES accessibile. Il dispositivo continua quindi a usare lo stesso URL e server per l'intero processo. Se il dispositivo non riesce ad accedere ad alcuno dei server del servizio Registrazione dispositivi, il processo avrà esito negativo.
     • iOS/iPadOS: Intune rende casuali gli URL e fornisce un singolo URL a un dispositivo. Se il dispositivo non riesce ad accedere al server NDES, la richiesta SCEP ha esito negativo.
     • Windows: l'elenco degli URL di Registrazione dei dispositivi mobili viene randomizzato e quindi passato al dispositivo Windows, che quindi li prova nell'ordine ricevuto, finché non ne viene trovato uno disponibile. Se il dispositivo non riesce ad accedere ad alcuno dei server del servizio Registrazione dispositivi, il processo avrà esito negativo.

     Se un dispositivo non riesce a raggiungere lo stesso server del servizio Registrazione dispositivi di rete durante una delle tre chiamate al server del servizio Registrazione dispositivi, la richiesta SCEP non riesce. Ciò può verificarsi, ad esempio, quando una soluzione di bilanciamento del carico fornisce un URL diverso per la seconda o la terza chiamata al server NDES oppure fornisce un server NDES effettivo diverso in base a un URL virtualizzato per il servizio Registrazione dispositivi. Dopo una richiesta non riuscita, un dispositivo riprova il processo nel ciclo di criteri successivo, a partire dall'elenco casuale di URL di Registrazione registrazione dispositivi di rete (o un singolo URL per iOS/iPadOS).

8. Questo passaggio si applica solo ai profili dei dispositivi Android Enterprise per il profilo di lavoro completamente gestito, dedicato e Corporate-Owned.

   In App configurare l'accesso al certificato per gestire il modo in cui viene concesso l'accesso al certificato alle applicazioni. Scegliere una delle opzioni seguenti:

   • Richiedi l'approvazione dell'utente per le app(impostazione predefinita): gli utenti devono approvare l'uso di un certificato da parte di tutte le applicazioni.
   • Concedi automaticamente per app specifiche (richiedere l'approvazione dell'utente per altre app): con questa opzione selezionare Aggiungi app e quindi selezionare una o più app che useranno automaticamente il certificato senza interazione dell'utente.

9. Seleziona Avanti.

10. In Assegnazioni selezionare gli utenti o i gruppi che riceveranno il profilo. Per altre informazioni sull'assegnazione di profili, vedere Assegnare profili utente e dispositivo.

    Seleziona Avanti.

11. (Si applica solo a Windows) In Regole di applicabilità specificare le regole di applicabilità per perfezionare l'assegnazione del profilo. È possibile scegliere di assegnare o meno il profilo in base all'edizione del sistema operativo o alla versione di un dispositivo.

    Per ulteriori informazioni, vedere Regole di applicabilità in Creare un profilo dispositivo in Microsoft Intune.

12. In Rivedi e crea rivedere le impostazioni. Quando si seleziona Crea, le modifiche vengono salvate e il profilo viene assegnato. Il criterio viene visualizzato anche nell'elenco dei profili.

Evitare le richieste di firma dei certificati con caratteri speciali di escape

Esiste un problema noto per le richieste di certificati SCEP e PKCS che includono un nome soggetto (CN) con uno o più dei caratteri speciali seguenti come carattere di escape. I nomi di soggetti che includono uno dei caratteri speciali come carattere di escape restituiscono un CSR con un nome di soggetto non corretto. Un nome dell'oggetto non corretto causa l'esito negativo della convalida della challenge SCEP di Intune e l'emissione di alcun certificato.

I caratteri speciali sono:

• +
• ,
• ;
• =

Quando il nome dell'oggetto include uno dei caratteri speciali, usare una delle seguenti opzioni per ovviare a questa limitazione:

• Incapsulare il valore CN contenente il carattere speciale tra virgolette.
• Rimuovere il carattere speciale dal valore NC.

Ad esempio, si dispone di un nome soggetto visualizzato come Utente di test (TestCompany, LLC). Un CSR che include un CN che ha la virgola tra TestCompany e LLC presenta un problema. Il problema può essere evitato inserendo virgolette intorno all'intero CN o rimuovendo la virgola tra TestCompany e LLC:

• Aggiungere virgolette: CN="Test User (TestCompany, LLC)",OU=UserAccounts,DC=corp,DC=contoso,DC=com
• Rimuovere la virgola: CN=Test User (TestCompany LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

Tuttavia, i tentativi di escape della virgola usando una barra rovesciata avranno esito negativo con un errore nei log CRP:

• Virgola sottoposta a escape: CN=Test User (TestCompany\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

L'errore è simile al seguente:

Subject Name in CSR CN="Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com" and challenge CN=Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com do not match

  Exception: System.ArgumentException: Subject Name in CSR and challenge do not match

   at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

Exception:    at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

   at Microsoft.ConfigurationManager.CertRegPoint.Controllers.CertificateController.VerifyRequest(VerifyChallengeParams value

Assegnare il profilo del certificato

Assegnare i profili di certificato SCEP nello stesso modo in cui si distribuiscono i profili di dispositivo per altri scopi.

Prima di continuare, tenere presente quanto segue:

• Quando si assegnano profili di certificato SCEP ai gruppi, il file di certificato CA radice attendibile (come specificato nel profilo di certificato attendibile) viene installato nel dispositivo. Il dispositivo usa il profilo di certificato SCEP per creare una richiesta di certificato per il certificato CA radice attendibile.

• Il profilo di certificato SCEP viene installato solo nei dispositivi che eseguono la piattaforma specificata al momento della creazione del profilo di certificato.

• È possibile assegnare profili di certificato a raccolte utenti o a raccolte di dispositivi.

• Per pubblicare rapidamente un certificato in un dispositivo dopo la registrazione del dispositivo, assegna il profilo del certificato a un gruppo di utenti anziché a un gruppo di dispositivi. Se si assegna a un gruppo di dispositivi, è necessaria una registrazione completa del dispositivo prima che il dispositivo riceva i criteri.

• Se si usa la co-gestione per Intune e Gestione configurazione, in Gestione configurazione impostare il dispositivo di scorrimento del carico di lavoro per i criteri di accesso alle risorse su Intune o Pilot Intune. Questa impostazione consente ai client Windows di avviare il processo di richiesta del certificato.

Passaggi successivi

Assegnare profili

Risolvere i problemi di distribuzione dei profili di certificato SCEP