Pianificare i certificati PKI in Configuration Manager

Si applica a: Configuration Manager (Current Branch)

Configuration Manager utilizza certificati digitali basati su PKI (Public Key Infrastructure), se disponibili. L'uso di questi certificati è consigliato per una maggiore sicurezza, ma non è necessario per la maggior parte degli scenari. Devi distribuire e gestire questi certificati indipendentemente da Configuration Manager.

Questo articolo fornisce informazioni sui certificati PKI in Configuration Manager per aiutarti a pianificare l'implementazione. Per informazioni più generali sull'uso dei certificati in Configuration Manager, vedere Certificati in Configuration Manager.

Revoca del certificato PKI

Quando si usano certificati PKI con Configuration Manager, pianificare l'uso di un elenco di revoche di certificati (CRL). I dispositivi utilizzano il CRL per verificare il certificato nel computer che si connette. Il CRL è un file creato e firmato da un'autorità di certificazione (CA). Contiene un elenco di certificati emessi dalla CA ma revocati. Quando un amministratore di certificati revoca i certificati, la relativa identificazione personale viene aggiunta al CRL. Ad esempio, se un certificato emesso è noto o sospettato di essere compromesso.

IIS controlla sempre il CRL per i certificati client e non è possibile modificare questa configurazione in Configuration Manager. Per impostazione predefinita, i client di Configuration Manager controllano sempre il CRL per i sistemi del sito. Disabilitare questa impostazione specificando una proprietà del sito e specificando una proprietà CCMSetup.

I computer che usano il controllo della revoca dei certificati ma non riescono a individuare il CRL si comportano come se tutti i certificati nella catena di certificazione fossero revocati. Questo comportamento è dovuto al fatto che non possono verificare se i certificati sono presenti nell'elenco di revoche di certificati. In questo scenario, tutte le connessioni che richiedono certificati e includono il controllo CRL hanno esito negativo. Quando si verifica che il CRL sia accessibile passando al relativo percorso HTTP, è importante notare che il client di Configuration Manager viene eseguito come SISTEMA LOCALE. Il test dell'accessibilità CRL con un Web browser in un contesto utente potrebbe avere esito positivo, ma l'account computer potrebbe essere bloccato quando si tenta di stabilire una connessione HTTP allo stesso URL CRL. Ad esempio, può essere bloccato a causa di una soluzione di filtro Web interna come un proxy. Aggiungere l'URL CRL all'elenco approvato per qualsiasi soluzione di filtro Web.

Il controllo del CRL ogni volta che viene usato un certificato offre maggiore sicurezza contro l'uso di un certificato revocato. Introduce un ritardo della connessione e una maggiore elaborazione sul client. L'organizzazione potrebbe richiedere questo controllo di sicurezza per i client su Internet o una rete non attendibile.

Consulta gli amministratori PKI prima di decidere se i client di Configuration Manager devono controllare il CRL. Quando entrambe le condizioni seguenti sono vere, è consigliabile mantenere abilitata questa opzione in Configuration Manager:

• L'infrastruttura PKI supporta un CRL, che viene pubblicato in tutti i client di Configuration Manager. Questi client possono includere dispositivi su Internet e in foreste non attendibili.

• Il requisito di controllare il CRL per ogni connessione a un sistema del sito configurato per l'uso di un certificato PKI è maggiore dei requisiti seguenti:

  • Connessioni più veloci
  • Elaborazione efficiente sul client
  • Il rischio che i client non riescano a connettersi ai server se non riescono a individuare il CRL

Certificati radice attendibili PKI

Se i sistemi del sito IIS usano certificati client PKI per l'autenticazione client tramite HTTP o per l'autenticazione e la crittografia del client tramite HTTPS, potrebbe essere necessario importare i certificati CA radice come proprietà del sito. Ecco i due scenari:

• I sistemi operativi vengono distribuiti tramite Configuration Manager e i punti di gestione accettano solo connessioni client HTTPS.

• Si usano certificati client PKI che non sono concatenati a un certificato radice considerato attendibile dai punti di gestione.

  Nota

  Quando si rilasciano certificati PKI client dalla stessa gerarchia di CA che rilascia i certificati server usati per i punti di gestione, non è necessario specificare questo certificato CA radice. Tuttavia, se si utilizzano più gerarchie di CA e non si è certi che si considerino attendibili l'una dell'altra, importare la CA radice per la gerarchia di CA dei client.

Se è necessario importare i certificati CA radice per Configuration Manager, esportarli dalla CA emittente o dal computer client. Se si esporta il certificato dalla CA emittente, che è anche la CA radice, non esportare la chiave privata. Archiviare il file di certificato esportato in un percorso sicuro per evitare manomissioni. È necessario accedere al file quando si configura il sito. Se si accede al file in rete, verificare che la comunicazione sia protetta da manomissioni tramite IPsec.

Se un certificato CA radice importato viene rinnovato, importare il certificato rinnovato.

Questi certificati CA radice importati e il certificato CA radice di ogni punto di gestione creano l'elenco delle autorità di certificazione esistenti. I computer di Configuration Manager usano questo elenco nei modi seguenti:

• Quando i client si connettono ai punti di gestione, il punto di gestione verifica che il certificato client sia concatenato a un certificato radice attendibile nell'elenco delle autorità di certificazione del sito. In caso contrario, il certificato viene rifiutato e la connessione PKI ha esito negativo.

• Quando i client selezionano un certificato PKI e dispongono di un elenco di autorità di certificazione, selezionano un certificato concatenato a un certificato radice attendibile nell'elenco delle autorità di certificazione. Se non c'è corrispondenza, il client non seleziona un certificato PKI. Per altre informazioni, vedere Selezione del certificato client PKI.

Selezione del certificato client PKI

Se i sistemi del sito IIS usano certificati client PKI per l'autenticazione client tramite HTTP o per l'autenticazione client e la crittografia tramite HTTPS, pianificare il modo in cui i client Windows selezionano il certificato da usare per Configuration Manager.

In molti casi, la configurazione e il comportamento predefiniti sono sufficienti. Il client di Configuration Manager nei computer Windows filtra più certificati utilizzando questi criteri nell'ordine seguente:

1. Elenco autorità emittenti certificati: Il certificato è concatenato a una CA radice considerata attendibile dal punto di gestione.

2. Il certificato si trova nell'archivio certificati predefinito di Personale.

3. Il certificato è valido, non revocato e non scaduto. Il controllo di validità verifica anche che la chiave privata sia accessibile.

4. Il certificato dispone della funzionalità di autenticazione client.

5. Il nome del soggetto del certificato contiene il nome del computer locale come sottostringa.

6. Il certificato ha il periodo di validità più lungo.

Configurare i client per l'utilizzo dell'elenco di autorità di certificazione usando i meccanismi seguenti:

• Pubblicare il file con le informazioni del sito di Configuration Manager in Active Directory Domain Services.

• Installare i client tramite push client.

• I client lo scaricano dal punto di gestione dopo essere stati assegnati con successo al proprio sito.

• Specificarlo durante l'installazione del client come proprietà CCMSetup client.msi di CCMCERTISSUERS.

Se i client non hanno l'elenco delle autorità di certificazione alla prima installazione e non sono ancora assegnati al sito, salteranno questo controllo. Quando i client hanno l'elenco delle autorità di certificazione e non hanno un certificato PKI concatenato a un certificato radice attendibile nell'elenco delle autorità di certificazione, la selezione del certificato non riesce. I client non continuano con gli altri criteri di selezione dei certificati.

Nella maggior parte dei casi, il client di Configuration Manager identifica correttamente un certificato PKI univoco e appropriato. In caso contrario, anziché selezionare il certificato in base alla funzionalità di autenticazione client, è possibile impostare due metodi di selezione alternativi:

• Una corrispondenza di stringa parziale nel nome del soggetto del certificato client. Questo metodo è una corrispondenza senza distinzione tra maiuscole e minuscole. È appropriato se si usa il nome di dominio completo (FQDN) di un computer nel campo dell'oggetto e si vuole che la selezione del certificato sia basata sul suffisso del dominio, ad esempio contoso.com. È possibile utilizzare questo metodo di selezione per identificare qualsiasi stringa di caratteri sequenziali nel nome dell'oggetto del certificato che differenzia il certificato dagli altri nell'archivio certificati client.

  Nota

  Non è possibile utilizzare la corrispondenza parziale della stringa con il nome alternativo dell'oggetto (SAN) come impostazione del sito. Anche se è possibile specificare una corrispondenza di stringa parziale per il SAN usando CCMSetup, verrà sovrascritta dalle proprietà del sito negli scenari seguenti:

  • I client recuperano le informazioni sul sito pubblicate in Active Directory Domain Services.
  • I client vengono installati tramite l'installazione push client.

  Usare una corrispondenza di stringa parziale nel SAN solo quando si installano i client manualmente e quando non recuperano informazioni sul sito da Active Directory Domain Services. Queste condizioni si applicano, ad esempio, ai client solo internet.

• Una corrispondenza tra i valori dell'attributo nome soggetto del certificato client o i valori dell'attributo nome alternativo soggetto (SAN). Questo metodo è una corrispondenza con distinzione tra maiuscole e minuscole. È appropriato se si usa un nome distinto X500 o identificatori di oggetto (OID) equivalenti in conformità con RFC 3280 e si desidera che la selezione del certificato sia basata sui valori degli attributi. È possibile specificare solo gli attributi e i relativi valori necessari per identificare o convalidare in modo univoco il certificato e differenziarlo dagli altri nell'archivio certificati.

La tabella seguente mostra i valori degli attributi supportati da Configuration Manager per i criteri di selezione dei certificati client:

Se dopo l'applicazione dei criteri di selezione vengono individuati più certificati appropriati, è possibile ignorare la configurazione predefinita per selezionare il certificato con il periodo di validità più lungo. È invece possibile specificare che non è selezionato alcun certificato. In questo scenario, il client non può comunicare con i sistemi del sito IIS con un certificato PKI. Il client invia un messaggio di errore al punto di stato di fallback assegnato per avvisare l'utente dell'errore di selezione del certificato. È quindi possibile modificare o perfezionare i criteri di selezione dei certificati.

Il comportamento del client dipende quindi dal fatto che la connessione non riuscita sia avvenuta tramite HTTPS o HTTP:

• Se la connessione non riuscita è avvenuta tramite HTTPS: il client tenta di connettersi tramite HTTP e usa il certificato autofirmato del client.

• Se la connessione non è riuscita tramite HTTP: il client tenta di connettersi di nuovo tramite HTTP usando il certificato client autofirmato.

Per identificare un certificato client PKI univoco, è anche possibile specificare un archivio personalizzato diverso da quello predefinito di Personale nell'archivio computer . Creare un archivio certificati personalizzato all'esterno di Configuration Manager. È necessario essere in grado di distribuire i certificati in questo archivio personalizzato e rinnovarli prima della scadenza del periodo di validità.

Per altre informazioni, vedere Configurare le impostazioni per i certificati PKI client.

Strategia di transizione per i certificati PKI

Le opzioni di configurazione flessibili in Configuration Manager consentono di eseguire gradualmente la transizione dei client e del sito per l'uso dei certificati PKI per proteggere gli endpoint client. I certificati PKI offrono una maggiore sicurezza e consentono di gestire i client Internet.

Questo piano introduce prima i certificati PKI per l'autenticazione solo su HTTP, quindi per l'autenticazione e la crittografia su HTTPS. Seguendo questo piano per introdurre gradualmente questi certificati, si riduce il rischio che i client diventino non gestiti. Potrai inoltre beneficiare della massima sicurezza supportata da Configuration Manager.

A causa del numero di opzioni e scelte di configurazione in Configuration Manager, non esiste un unico modo per eseguire la transizione di un sito in modo che tutti i client utilizzino connessioni HTTPS. I passaggi seguenti forniscono indicazioni generali:

1. Installare il sito di Configuration Manager e configurarlo in modo che i sistemi del sito accettino connessioni client tramite HTTPS e HTTP.

2. Configurare la scheda Sicurezza comunicazioni nelle proprietà del sito. Configurare Impostazioni di sistema del sito su HTTP o HTTPS e selezionare Usa certificato client PKI (funzionalità di autenticazione client) se disponibile. Per altre informazioni, vedere Configurare le impostazioni per i certificati PKI client.

3. Distribuzione pilota di un'infrastruttura PKI per i certificati client. Per una distribuzione di esempio, vedere Distribuire il certificato client per i computer Windows.

4. Installare i client utilizzando il metodo di installazione push del client. Per altre informazioni, vedere Come installare i client di Configuration Manager tramite push client.

5. Monitorare la distribuzione e lo stato del client usando i report e le informazioni nella console di Configuration Manager.

6. Tenere traccia del numero di client che usano un certificato PKI client visualizzando la colonna Certificato client nell'area di lavoro Asset e conformità , nodo Dispositivi .

   Nota

   Per i client che dispongono anche di un certificato PKI, la console di Configuration Manager mostra la proprietà Certificato client come Autofirmato. La proprietà Certificato client del pannello di controllo client mostra PKI.

   È anche possibile distribuire Configuration Manager HTTPS Readiness Assessment Tool (CMHttpsReadiness.exe) nei computer. Usare quindi i report per visualizzare quanti computer possono usare un certificato PKI client con Configuration Manager.

   Nota

   Quando si installa il client Configuration Manager, viene installato lo strumento CMHttpsReadiness.exe nella %windir%\CCM cartella. Quando si esegue questo strumento, sono disponibili le opzioni della riga di comando seguenti:

   • /Store:<Certificate store name>: questa opzione corrisponde alla proprietà CCMCERTSTORE client.msi -/Issuers:<Case-sensitive issuer common name>: questa opzione corrisponde alla proprietà CCMCERTISSUERS client.msi
   • /Criteria:<Selection criteria>: questa opzione corrisponde alla proprietà CCMCERTSEL client.msi
   • /SelectFirstCert: questa opzione è uguale alla proprietà CCMFIRSTCERT client.msi

   Lo strumento invia informazioni al CMHttpsReadiness.log nella CCM\Logs directory.

   Per ulteriori informazioni, vedere Informazioni sulle proprietà di installazione del client.

7. Quando si è certi che un numero sufficiente di client usi correttamente il certificato PKI del client per l'autenticazione tramite HTTP, seguire questa procedura:

   1. Distribuire un certificato del server Web PKI in un server membro che esegue un altro punto di gestione per il sito e configurare tale certificato in IIS. Per altre informazioni, vedere Distribuire il certificato del server Web per i sistemi del sito che eseguono IIS.

   2. Installare il ruolo del punto di gestione nel server. Configurare l'opzione Connessioni client nelle proprietà del punto di gestione per HTTPS.

8. Monitorare e verificare che i client con un certificato PKI usino il nuovo punto di gestione tramite HTTPS. Per verificare, è possibile utilizzare la registrazione IIS o i contatori delle prestazioni.

9. Riconfigurare altri ruoli del sistema del sito per l'uso delle connessioni client HTTPS. Se si vogliono gestire i client su Internet, assicurarsi che i sistemi del sito abbiano un nome di dominio completo di Internet. Configurare singoli punti di gestione e punti di distribuzione per accettare connessioni client da Internet.

   Importante

   Prima di configurare i ruoli del sistema del sito per accettare connessioni da Internet, esaminare le informazioni di pianificazione e i prerequisiti per la gestione dei client basata su Internet. Per altre informazioni, vedere Comunicazioni tra endpoint.

10. Estendere l'implementazione del certificato PKI per i client e per i sistemi del sito che eseguono IIS. Configurare i ruoli del sistema del sito per le connessioni client HTTPS e le connessioni Internet, in base alle esigenze.

11. Per la massima sicurezza: Quando si è certi che tutti i client usano un certificato PKI client per l'autenticazione e la crittografia, modificare le proprietà del sito in modo da usare solo HTTPS.

Passaggi successivi

• Configurare la sicurezza

• Informazioni di riferimento tecniche sui controlli crittografici

• Requisiti del certificato PKI