Certificaatprofielen maken

Van toepassing op: Configuration Manager (current branch)

Gebruik certificaatprofielen in Configuration Manager om beheerde apparaten in te richten met de certificaten die ze nodig hebben om toegang te krijgen tot bedrijfsbronnen. Voordat u certificaatprofielen maakt, moet u de certificaatinfrastructuur instellen zoals beschreven in Certificaatinfrastructuur instellen.

In dit artikel wordt beschreven hoe u vertrouwde basiscertificaatprofielen en SCEP-certificaatprofielen (Simple Certificate Enrollment Protocol) maakt. Als u PFX-certificaatprofielen wilt maken, raadpleegt u PFX-certificaatprofielen maken.

Een certificaatprofiel maken:

1. Start de wizard Certificaatprofiel maken.
2. Geef algemene informatie over het certificaat op.
3. Een certificaat voor vertrouwde certificeringsinstanties (CA) configureren.
4. SCEP-certificaatgegevens configureren.
5. Geef ondersteunde platforms op voor het certificaatprofiel.

De wizard starten

Ga als volgt te werk om het Create Certificate Profile te starten:

1. Ga in de Configuration Manager-console naar de werkruimte Activa en naleving, vouw Nalevingsinstellingen en Bedrijfsresourcetoegang uit en selecteer vervolgens het knooppunt Certificaatprofielen.

2. Selecteer op het tabblad Start van het lint in de groep Maken de optie Certificaatprofiel maken.

Algemeen

Geef op de pagina Algemeen van de wizard Certificaatprofiel maken de volgende informatie op:

• Naam: Voer een unieke naam in voor het certificaatprofiel. U kunt maximaal 256 tekens gebruiken.

• Beschrijving: geef een beschrijving op die een overzicht geeft van het certificaatprofiel. Neem ook andere relevante informatie op die het identificeren in de Configuration Manager-console mogelijk maakt. U kunt maximaal 256 tekens gebruiken.

• Geef het type certificaatprofiel op dat u wilt maken:

  • Vertrouwd certificeringscertificaat: selecteer dit type om een vertrouwd basiscertificeringsinstantie (CA) of tussenliggende CA-certificaat te implementeren om een certificaatvertrouwensketen te vormen wanneer de gebruiker of het apparaat een ander apparaat moet verifiëren. Het apparaat kan bijvoorbeeld een RADIUS-server (Remote Authentication Dial-In User Service) of een VPN-server (Virtual Private Network) zijn.

    Configureer ook een vertrouwd CA-certificaatprofiel voordat u een SCEP-certificaatprofiel kunt maken. In dit geval moet het vertrouwde certificaat voor de certificeringsinstantie zijn die het certificaat verleent aan de gebruiker of het apparaat.

  • SCEP-instellingen (Simple Certificate Enrollment Protocol): selecteer dit type om een certificaat aan te vragen voor een gebruiker of apparaat met de functieservice Simple Certificate Enrollment Protocol en de NDES-functie (Network Device Enrollment Service).

  • Personal Information Exchange PKCS #12 (PFX)-instellingen - Importeren: selecteer deze optie om een PFX-certificaat te importeren. Zie PFX-certificaatprofielen importeren voor meer informatie.

  • Personal Information Exchange PKCS #12 (PFX)-instellingen - Maken: selecteer deze optie om PFX-certificaten te verwerken met behulp van een certificeringsinstantie. Zie PFX-certificaatprofielen maken voor meer informatie.

Vertrouwd certificaat van certificeringsinstantie

1. Geef op de pagina Vertrouwd certificeringscertificaat van de wizard Certificaatprofiel maken de volgende informatie op:

   • Certificaatbestand: Selecteer Importeren en blader naar het certificaatbestand.

   • Doelarchief: voor apparaten met meer dan één certificaatarchief selecteert u waar u het certificaat wilt opslaan. Voor apparaten met slechts één opslagruimte wordt deze instelling genegeerd.

2. Gebruik de vingerafdrukwaarde van het certificaat om te controleren of u het juiste certificaat hebt geïmporteerd.

SCEP-certificaten

1. SCEP-servers

Geef op de pagina SCEP-servers van de wizard Certificaatprofiel maken de URL's op voor de NDES-servers die certificaten uitgeven via SCEP. U kunt automatisch een NDES-URL toewijzen op basis van de configuratie van het certificaatregistratiepunt, of URL's handmatig toevoegen.

2. SCEP-inschrijving

Vul de SCEP-inschrijvingspagina van de wizard Certificaatprofiel maken in.

• Nieuwe pogingen: geef het aantal keren op dat het apparaat de certificaataanvraag automatisch opnieuw probeert aan de NDES-server. Deze instelling ondersteunt het scenario waarin een CA-manager een certificaataanvraag moet goedkeuren voordat deze wordt geaccepteerd. Deze instelling wordt doorgaans gebruikt voor omgevingen met een hoge beveiliging of als u een zelfstandige uitgevende certificeringsinstantie hebt in plaats van een bedrijfscertificeringsinstantie. U kunt deze instelling ook gebruiken voor testdoeleinden, zodat u de opties voor certificaataanvragen kunt controleren voordat de verlenende certificeringsinstantie de certificaataanvraag verwerkt. Gebruik deze instelling met de instelling Vertraging (minuten) voor nieuwe pogingen .

• Vertraging voor opnieuw proberen (minuten): Geef het interval in minuten op tussen elke inschrijvingspoging wanneer u goedkeuring door een CA-manager gebruikt voordat de verlenende certificeringsinstantie de certificaataanvraag verwerkt. Als u goedkeuring van manager gebruikt voor testdoeleinden, geeft u een lage waarde op. U hoeft dan niet lang te wachten tot het apparaat de certificaataanvraag opnieuw probeert uit te voeren nadat u de aanvraag hebt goedgekeurd.

  Als u goedkeuring van manager gebruikt in een productienetwerk, geeft u een hogere waarde op. Dit gedrag geeft de CA-beheerder voldoende tijd om goedkeuringen in behandeling goed te keuren of te weigeren.

• Verlengingsdrempel (%): Geef het percentage van de levensduur van het certificaat op dat overblijft voordat het apparaat om verlenging van het certificaat vraagt.

• Key Storage Provider (KSP): geef op waar de sleutel van het certificaat is opgeslagen. Kies een van de volgende waarden:

  • Installeren op Trusted Platform Module (TPM), indien aanwezig: installeert de sleutel tot de TPM. Als de TPM niet aanwezig is, wordt de sleutel geïnstalleerd voor de opslagprovider voor de softwaresleutel.

  • Installeren op TPM (Trusted Platform Module) mislukt anders mislukt: installeert de sleutel voor de TPM. Als de TPM-module niet aanwezig is, mislukt de installatie.

  • Installeren op Windows Hello voor Bedrijven mislukt niet: Deze optie is beschikbaar voor apparaten met Windows 10 of hoger. Hiermee kunt u het certificaat opslaan in het archief van Windows Hello voor Bedrijven, dat wordt beveiligd door meervoudige verificatie. Zie Windows Hello voor Bedrijven voor meer informatie.

    Opmerking

    Deze optie biedt geen ondersteuning voor smartcardaanmelding voor het uitgebreide sleutelgebruik op de pagina Certificaateigenschappen.

  • Installeren in Software Key Storage Provider: installeert de sleutel voor de opslagprovider voor de softwaresleutel.

• Apparaten voor certificaatinschrijving: als u het certificaatprofiel implementeert naar een gebruikersverzameling, mag certificaatinschrijving alleen worden toegestaan op het primaire apparaat van de gebruiker of op elk apparaat waarop de gebruiker zich aanmeldt.

  Als u het certificaatprofiel implementeert naar een apparaatverzameling, moet u certificaatinschrijving toestaan voor alleen de primaire gebruiker van het apparaat of voor alle gebruikers die zich aanmelden bij het apparaat.

3. Certificaateigenschappen

Geef op de pagina Certificaateigenschappen van de wizard Certificaatprofiel maken de volgende informatie op:

• Naam van certificaatsjabloon: Selecteer de naam van een certificaatsjabloon die u hebt geconfigureerd in NDES en hebt toegevoegd aan een verlenende certificeringsinstantie. Als u naar certificaatsjablonen wilt bladeren, heeft uw gebruikersaccount een leesmachtiging voor de certificaatsjabloon nodig. Als u niet naar het certificaat kunt bladeren , typt u de naam in.

  Belangrijk

  Als de naam van de certificaatsjabloon niet-ASCII-tekens bevat, wordt het certificaat niet geïmplementeerd. (Een voorbeeld van deze tekens is afkomstig uit het Chinese alfabet.) Als u wilt controleren of het certificaat is geïmplementeerd, maakt u eerst een kopie van de certificaatsjabloon op de certificeringsinstantie. Wijzig vervolgens de naam van de kopie met ASCII-tekens.

  • Als u bladert om de naam van de certificaatsjabloon te selecteren, worden sommige velden op de pagina automatisch ingevuld vanuit de certificaatsjabloon. In sommige gevallen kunt u deze waarden niet wijzigen, tenzij u een andere certificaatsjabloon kiest.

  • Als u de naam van de certificaatsjabloon typt , zorg er dan voor dat de naam exact overeenkomt met een van de certificaatsjablonen. Deze moet overeenkomen met de namen die worden vermeld in het register van de NDES-server. Let erop dat u de naam van de certificaatsjabloon opgeeft en niet de weergavenaam van de certificaatsjabloon.

    Blader naar de volgende registersleutel om de namen van certificaatsjablonen te vinden: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP. De certificaatsjablonen worden vermeld als de waarden voor EncryptionTemplate, GeneralPurposeTemplate en SignatureTemplate. De waarde voor alle drie de certificaatsjablonen is standaard ingesteld op IPSECIntermediateOffline, wat overeenkomt met de sjabloonweergavenaam IPSec (Offlineaanvraag).

    Waarschuwing

    Wanneer u de naam van de certificaatsjabloon typt, kan Configuration Manager de inhoud van de certificaatsjabloon niet controleren. U kunt mogelijk opties selecteren die niet worden ondersteund door de certificaatsjabloon, waardoor de certificaataanvraag mogelijk mislukt. Wanneer dit gedrag optreedt, ziet u een foutbericht voor w3wp.exe in het CPR.log bestand waarvoor de sjabloonnaam in de CSR (Certificate Signing Request) en de vraag niet overeenkomen.

    Wanneer u de naam van de certificaatsjabloon typt die is opgegeven voor de waarde GeneralPurposeTemplate , selecteert u de opties Sleutelcodering en Digitale handtekening voor dit certificaatprofiel. Als u alleen de sleutelcoderingsoptie wilt inschakelen in dit certificaatprofiel, geeft u de naam van de certificaatsjabloon op voor de sleutel EncryptionTemplate . Als u alleen de optie voor digitale handtekeningen wilt inschakelen in dit certificaatprofiel, geeft u de naam van de certificaatsjabloon op voor de SignatureTemplate-sleutel .

• Certificaattype: geef aan of u het certificaat wilt implementeren op een apparaat of een gebruiker.

• Indeling van onderwerpnaam: selecteer hoe Configuration Manager automatisch de naam van het onderwerp in de certificaataanvraag maakt. Als het certificaat voor een gebruiker is bestemd, kunt u ook het e-mailadres van de gebruiker in de onderwerpnaam opnemen.

  Opmerking

  Als u IMEI-nummer of serienummer selecteert, kunt u onderscheid maken tussen verschillende apparaten die eigendom zijn van dezelfde gebruiker. Deze apparaten kunnen bijvoorbeeld een gemeenschappelijke naam hebben, maar geen IMEI-nummer of serienummer. Als het apparaat geen IMEI of serienummer rapporteert, wordt het certificaat uitgegeven met de algemene naam.

• Alternatieve naam voor onderwerp: geef op hoe Configuration Manager automatisch de waarden voor de alternatieve naam voor het onderwerp (SAN) maakt in de certificaataanvraag. Als u bijvoorbeeld een gebruikerscertificaattype hebt geselecteerd, kunt u de UPN (User Principal Name) in de alternatieve onderwerpnaam opnemen. Als het clientcertificaat wordt geverifieerd bij een Network Policy Server, stelt u de alternatieve naam van het onderwerp in op de UPN.

• Geldigheidsduur van certificaat: Als u een aangepaste geldigheidsperiode instelt voor de verlenende certificeringsinstantie, geeft u de resterende tijd op voordat het certificaat verloopt.

  Tip

  Stel een aangepaste geldigheidsperiode in met de volgende opdrachtregel: certutil -setreg Policy\EditFlags +EDITF_ATTRIBUTEENDDATE Zie Certificaatinfrastructuur voor meer informatie over deze opdracht.

  U kunt een waarde opgeven die lager is dan de geldigheidsperiode in de opgegeven certificaatsjabloon, maar niet hoger. Als de geldigheidsduur van het certificaat in de certificaatsjabloon bijvoorbeeld twee jaar is, kunt u de waarde één jaar opgeven, maar niet vijf jaar. De waarde moet ook lager zijn dan de resterende geldigheidsduur van het certificaat van de verlenende certificeringsinstantie.

• Sleutelgebruik: geef opties voor het gebruik van sleutels op voor het certificaat. Kies uit de volgende opties:

  • Sleutelcodering: Sleuteluitwisseling alleen toestaan wanneer de sleutel is versleuteld.

  • Digitale handtekening: sta sleuteluitwisseling alleen toe wanneer een digitale handtekening de sleutel beveiligt.

  Als u naar een certificaatsjabloon hebt gezocht, kunt u deze instellingen niet wijzigen, tenzij u een andere certificaatsjabloon selecteert.

  Configureer de geselecteerde certificaatsjabloon met een van de twee bovenstaande opties voor sleutelgebruik. Als dat niet het geval is, ziet u het volgende bericht in het logboekbestand van het registratiepunt van het certificaat, Crp.log: Het gebruik van sleutels in CSR en challenge komen niet overeen

• Sleutelgrootte (bits): Selecteer de grootte van de sleutel in bits.

• Uitgebreid sleutelgebruik: Voeg waarden toe voor het beoogde doel van het certificaat. In de meeste gevallen is voor het certificaat clientverificatie vereist, zodat de gebruiker of het apparaat zich kan verifiëren bij een server. U kunt indien nodig andere belangrijke functies toevoegen.

• Hash-algoritme: Selecteer een van de beschikbare hash-algoritmetypen om met dit certificaat te gebruiken. Selecteer het hoogste beveiligingsniveau dat de verbindende apparaten ondersteunen.

  Opmerking

  SHA-2 ondersteunt SHA-256, SHA-384 en SHA-512. SHA-3 ondersteunt alleen SHA-3.

• Basiscertificeringsinstantie: kies een basiscertificeringsprofiel dat u eerder hebt geconfigureerd en geïmplementeerd voor de gebruiker of het apparaat. Dit CA-certificaat moet het basiscertificaat zijn voor de certificeringsinstantie die het certificaat verleent dat u in dit certificaatprofiel configureert.

  Belangrijk

  Als u een basiscertificaat van een certificeringsinstantie opgeeft dat niet is geïmplementeerd voor de gebruiker of het apparaat, initieert Configuration Manager de certificaataanvraag die u in dit certificaatprofiel configureert, niet.

Ondersteunde platformen

Selecteer op de pagina Ondersteunde platforms van de wizard Certificaatprofiel maken de versies van het besturingssysteem waarin u het certificaatprofiel wilt installeren. Kies Alles selecteren om het certificaatprofiel te installeren op alle beschikbare besturingssystemen.

Volgende stappen

Het nieuwe certificaatprofiel wordt weergegeven in het knooppunt Certificaatprofielen in de werkruimte Activa en Compliance . Het is klaar voor implementatie op gebruikers of apparaten. Zie Profielen implementeren voor meer informatie.