Perfis de certificado raiz confiável para Microsoft Intune

Ao usar o Intune para provisionar dispositivos com certificados para acessar os seus recursos e rede corporativos, use um perfil de certificado confiável para implantar o certificado raiz confiável nesses dispositivos. Certificados raiz confiáveis estabelecem uma relação de confiança do dispositivo com a AC raiz ou intermediária (emissora) da qual os outros certificados são emitidos.

Você implementa o perfil de certificado confiável aos mesmos dispositivos e usuários que recebem os perfis de certificado d0o Protocolo de Inscrição de Certificado Simples (SCEP), Padrões de Criptografia de Chave Pública (PKCS) e PKCS importados.

Exporte o Certificado de Autoridade de Certificação raiz confiável

Para usar certificados importados PKCS, SCEP e PKCS, os dispositivos devem confiar em sua Autoridade de Certificação raiz. Para estabelecer confiança, exporte o certificado de Autoridade de Certificação Raiz Confiável e quaisquer certificados de Autoridade de Certificação intermediários ou emissores como um certificado público (.cer). Obtenha esses certificados de AC emissora ou de dispositivos que confiam na AC emissora.

Para exportar o certificado, consulte a documentação da autoridade de certificação. É necessário exportar o certificado público como um arquivo codificado .cer por DER. Não exporte uma chave privada, um .pfx arquivo.

Você usa esse .cer arquivo ao criar perfis de certificado confiáveis para implantar esse certificado em seus dispositivos.

Crie os perfis do certificado confiável

Antes de criar um perfil de certificado importado SCEP, PKCS ou PKCS, crie e implante um perfil de certificado confiável. Implante o perfil de certificado confiável nos mesmos grupos que recebem os outros tipos de perfil de certificado. Esta etapa garante que cada dispositivo possa reconhecer a legitimidade de sua CA, incluindo VPN, Wi-Fi e perfis de e-mail.

Os perfis de Certificado SCEP referenciam de forma direta um perfil de certificado confiável. Os perfis de Certificado PKCS não referenciam diretamente o perfil de certificado confiável, mas sim o servidor que hospeda a AC. Os perfis de certificados PKCS importados não referenciam diretamente o perfil de certificado confiável, mas podem usá-lo no dispositivo. Implantar um perfil de certificado confiável nos dispositivos garante que essa relação de confiança seja estabelecida. Quando um dispositivo não confia na AC raiz, a política de perfil de certificado SCEP ou PKCS falha.

Crie um perfil de certificado confiável separado para cada plataforma de dispositivo que você deseja suportar, assim como você faz para perfis de certificado importados SCEP, PKCS e PKCS.

Perfis de certificado confiável para o administrador do dispositivo Android

Esse recurso aplica-se a:

• Android 10 e versões anteriores em dispositivos não KNOX
• Android 12 e versões anteriores em dispositivos Samsung KNOX

Como os perfis de certificado SCEP exigem que o certificado raiz confiável seja instalado em um dispositivo e faça referência a um perfil de certificado confiável que, por sua vez, faz referência a esse certificado, use as seguintes etapas para contornar essa limitação:

1. Provisione manualmente o dispositivo com o certificado raiz confiável. Para obter diretrizes de exemplo, confira a seção a seguir.

2. Implante no dispositivo um perfil de certificado raiz confiável que faça referência ao certificado raiz confiável que você instalou no dispositivo.

3. Implante um perfil de certificado SCEP no dispositivo que faz referência ao perfil de certificado raiz confiável.

Esse problema não se limita aos perfis de certificado SCEP. Portanto, planeje instalar manualmente o certificado raiz confiável nos dispositivos aplicáveis caso seu uso de modelos de certificado PKCS, ou modelos de certificado PKCS Importado o exija.

Saiba mais sobre as alterações no suporte para o administrador de dispositivos Android em techcommunity.microsoft.com.

Provisionar manualmente um dispositivo com o certificado raiz confiável

As diretrizes a seguir podem ajudar você a provisionar dispositivos manualmente com um certificado raiz confiável.

1. Baixe ou transfira o certificado raiz confiável para o dispositivo Android. Por exemplo, você pode usar um email para distribuir o certificado para os usuários do dispositivo ou solicitar que eles o baixem de um local seguro. Quando o certificado estiver no dispositivo, ele deverá ser aberto, nomeado e salvo. Salvar o certificado o adiciona ao repositório de certificados do Usuário no dispositivo.

   1. Para abrir o certificado no dispositivo, um usuário precisa localizar e tocar (abrir) nele. Por exemplo, após enviar o certificado por email, um usuário do dispositivo pode tocar ou abrir o anexo do certificado.
   2. Quando o certificado é aberto, o usuário precisa informar seu PIN ou autenticar-se no dispositivo para gerenciar o certificado.

2. Após a autenticação, o certificado é aberto e precisa ser nomeado para que possa ser salvo no repositório de certificados dos Usuários. O nome do certificado deve corresponder ao nome do certificado que está no perfil de Certificado Raiz Confiável enviado ao dispositivo. Depois de nomear o certificado, ele pode ser salvo.

3. Depois de salvo, o certificado está pronto para uso. Para confirmar se o certificado está no local correto no dispositivo:

   1. Abra Configurações>Segurança>Credenciais confiáveis. O caminho real para Credenciais confiáveis pode variar por dispositivo.
   2. Abra a guia Usuário e localize o certificado.
   3. Se estiver presente na lista de certificados do Usuário, o certificado terá sido instalado corretamente.

4. Com um certificado raiz instalado em um dispositivo, você ainda precisa implantar o seguinte para provisionar os certificados SCEP ou PKCS:

   • Um perfil de Certificado Confiável que faz referência a esse certificado
   • O perfil SCEP ou PKCS que faz referência ao perfil de certificado para provisionar os certificados SCEP ou PKCS.

Para criar um perfil de certificado confiável

1. Entre no Centro de administração do Microsoft Intune.

2. Selecione e vá para Dispositivos>,Gerenciar dispositivos>, Configuração, Criar>.

   

3. Insira as seguintes propriedades:

   • Plataforma: Escolha a plataforma dos dispositivos que devem receber esse perfil.
   • Perfil: dependendo da plataforma escolhida, selecione Certificado confiável ou selecione Modelos>de certificado confiável.

   Importante

   Em 22 de outubro de 2022, o Microsoft Intune encerrou o suporte para dispositivos que executam o Windows 8.1. A assistência técnica e as atualizações automáticas para esses dispositivos não estão disponíveis.

4. Selecionar Criar.

5. Em Noções básicas, insira as seguintes propriedades:

   • Nome: insira um nome descritivo para o perfil. Nomeie seus perfis para que você possa identificá-los facilmente mais tarde. Por exemplo, um bom nome de perfil é Perfil de certificado confiável para a empresa.
   • Descrição: insira uma descrição para o perfil. Essa configuração é opcional, mas recomendada.

6. Selecione Avançar.

7. Em Definições de configuração, especifique o .cer arquivo do certificado de autoridade de certificação raiz confiável que você exportou anteriormente.

   Somente para dispositivos Windows, selecione o Repositório de Destino para o certificado confiável de:

   • Repositório de certificados do computador – Raiz
   • Repositório de certificados do computador – Intermediário
   • Repositório de certificados do usuário – Intermediário

   

8. Selecione Avançar.

9. Em Tarefas, selecione o usuário ou grupos que devem receber seu perfil. Para obter mais informações sobre a atribuição de perfis, consulte Atribuir perfis de usuário e dispositivo.

   Selecione Avançar.

10. (Aplica-se apenas ao Windows) Em Regras de Aplicabilidade, especifique as regras de aplicabilidade para refinar a atribuição desse perfil. Você pode optar por atribuir ou não atribuir o perfil com base na edição ou na versão do sistema operacional de um dispositivo.

    Para obter mais informações, confira Regras de aplicabilidade em Criar um perfil de dispositivo no Microsoft Intune.

11. Em Examinar + criar, examine as configurações. Quando você seleciona Criar, as alterações são salvas, e o perfil é atribuído. A política também é mostrada na lista de perfis.

Próximas etapas

Criar perfis de certificado:

• Configurar a infraestrutura para dar suporte aos Certificados SCEP com o Intune
• Configurar e gerenciar certificados PKCS com o Intune
• Criar um perfil de certificado PKCS importado