Criar e atribuir perfis de Certificado SCEP no Intune

Depois de configurar a infraestrutura para dar suporte a certificados do protocolo SCEP, você poderá criar e, em seguida, atribuir perfis de certificado do protocolo SCEP a usuários e dispositivos no Intune.

Para que os dispositivos usem um perfil de Certificado SCEP, eles precisam confiar na AC (Autoridade de Certificação) raiz confiável. A confiança na AC raiz é mais bem estabelecida com a implantação de um perfil de certificado confiável no mesmo grupo que recebe o perfil de certificado SCEP. Os perfis de certificado confiável provisionam o certificado de AC Raiz Confiável.

Dispositivos que executam o Android Enterprise podem exigir um PIN para que o SCEP possa provisioná-los com um certificado. Para obter mais informações, confira os Requisitos de PIN do Android Enterprise.

Atualizar conector de certificado: requisitos de mapeamento forte para KB5014754

Aplica-se a:

• Windows
• Android
• iOS
• macOS

O KDC (Centro de Distribuição de Chaves) exige que os objetos de usuário ou dispositivo sejam fortemente mapeados para o Active Directory para autenticação baseada em certificado. Isso significa que o SAN (nome alternativo da entidade) do certificado deve conter uma extensão SID (identificador de segurança) que mapeie para o SID do usuário ou dispositivo no Active Directory. Quando um usuário ou dispositivo se autentica com um certificado no Active Directory, o KDC verifica o SID para verificar se o certificado foi mapeado e emitido para o usuário ou dispositivo correto. O requisito de mapeamento protege contra falsificação de certificado e garante que a autenticação baseada em certificado no KDC continue funcionando.

O mapeamento forte é necessário para todos os certificados implantados pelo Microsoft Intune e usados para autenticação baseada em certificados no KDC. A solução de mapeamento forte é aplicável a certificados de usuário em todas as plataformas. Para certificados de dispositivo, aplica-se apenas a dispositivos Windows de ingresso híbrido do Microsoft Entra. Se os certificados nesses cenários não atenderem aos requisitos de mapeamento forte até a data completa do modo de imposição, a autenticação será negada.

Para implementar a solução de mapeamento forte para certificados SCEP entregues por meio do Intune, você deve adicionar a OnpremisesSecurityIdentifier variável à SAN no perfil SCEP.

Essa variável deve fazer parte do atributo URI. Você pode criar um novo perfil SCEP ou editar um existente para adicionar o atributo URI.

Depois de adicionar o atributo URI e o valor ao perfil de certificado, o Microsoft Intune acrescenta o atributo SAN com a marca e o SID resolvido. Exemplo de formatação: tag:microsoft.com,2022-09-14:sid:<value> neste ponto, o perfil do certificado atende aos requisitos de mapeamento forte.

Para garantir que seu perfil SCEP atenda aos requisitos de mapeamento sólidos, crie um perfil de certificado SCEP no centro de administração do Microsoft Intune ou modifique um perfil existente com o novo atributo e valor SAN. Como pré-requisito, os usuários e dispositivos devem ser sincronizados do Active Directory para o Microsoft Entra ID. Para obter mais informações, consulte Como objetos e credenciais são sincronizados em um domínio gerenciado do Microsoft Entra Domain Services.

Para obter mais informações sobre os requisitos do KDC e a data de aplicação do mapeamento forte, consulte KB5014754: Alterações na autenticação baseada em certificado nos controladores de domínio do Windows .

Requisitos de certificado S/MIME para CA pública de terceiros

O nome da entidade do certificado (SN) em todos os certificados S/MIME deve incluir as seguintes informações:

• Atributo de nome próprio
• Atributo de sobrenome

Em termos do Microsoft Intune, esses atributos são necessários para você ao usar perfis de certificado SCEP do Intune com parceiros de CA públicos de terceiros para emitir certificados S/MIME para email seguro. Para obter uma lista desses parceiros CA, consulte Parceiros de autoridade de certificação de terceiros.

As autoridades de certificação públicas rejeitarão solicitações de certificado de dispositivos registrados no Intune que omitirem os atributos de nome e sobrenome do nome da entidade. Esse requisito se aplica a novos certificados e renovações.

Quando você edita um perfil de certificado existente para incluir esses atributos, ele dispara uma reemissão de todos os certificados, o que pode incorrer em custos adicionais, dependendo do seu contrato com a autoridade de certificação.

Para evitar a interrupção do serviço, conclua as seguintes etapas no Centro de administração do Microsoft Intune:

1. Examine os perfis de certificado SCEP do Intune usados para cenários S/MIME.

2. Atualize o formato do nome da entidade para incluir essas variáveis:

   • G={{GivenName}}
   • SN={{Sobrenome}}

   Você pode inserir variáveis no perfil SCEP em Definições de> configuraçãoFormato do nome da entidade.

   

3. Alterações de teste. Antes da implantação ampla, crie um novo perfil e atribua um pequeno grupo de usuários.

4. Não confie em atualizações automáticas. O Intune não modifica perfis em seu nome devido ao risco de atributos duplicados e reemissão não intencional de certificados.

Criar um perfil de certificado SCEP

1. Entre no Centro de administração do Microsoft Intune.

2. Selecione e vá para Dispositivos>,Gerenciar dispositivos>, Configuração, Criar>.

3. Insira as seguintes propriedades:

   • Plataforma: Escolha a plataforma de seus dispositivos.

   • Perfil: Selecione certificado SCEP. Ou selecione Modelos>Certificado SCEP.

     Para Android Enterprise, o Tipo de perfil é dividido em duas categorias, Perfil de Trabalho Totalmente Gerenciado, Dedicado e de Propriedade Corporativa e Perfil de Trabalho de Propriedade Pessoal. Certifique-se de selecionar o perfil de certificado SCEP correto para os dispositivos que você gerencia.

     Os perfis de certificado SCEP do Perfil de Trabalho Totalmente Gerenciado, Dedicado e de Propriedade Corporativa têm as seguintes limitações:

     1. Em Monitoramento, os relatórios de certificado não estão disponíveis para perfis de certificado SCEP do Proprietário do Dispositivo .
     2. Você não pode usar o Intune para revogar certificados que foram provisionados por perfis de certificado SCEP para o proprietário do dispositivo. Você pode gerenciar a revogação por meio de um processo externo ou diretamente com a autoridade de certificação.
     3. Para dispositivos Android Enterprise dedicados, os perfis de certificado SCEP têm suporte para autenticação, VPN e configuração de rede Wi-Fi. Os perfis de certificado SCEP em dispositivos Android Enterprise dedicados não têm suporte para autenticação de aplicativo.

     Para Android (AOSP), as seguintes limitações se aplicam:

     1. Em Monitoramento, os relatórios de certificado não estão disponíveis para perfis de certificado SCEP do Proprietário do Dispositivo .
     2. Você não pode usar o Intune para revogar certificados que foram provisionados por perfis de certificado SCEP para Proprietários de Dispositivos. Você pode gerenciar a revogação por meio de um processo externo ou diretamente com a autoridade de certificação.
     3. Os perfis de certificado SCEP têm suporte para Wi-Fi configuração de rede. O suporte ao perfil de configuração de VPN não está disponível. Uma atualização futura poderá incluir suporte para perfis de configuração de VPN.
     4. As variáveis a seguir não estão disponíveis para uso nos perfis de certificado SCEP do Android (AOSP). O suporte para essas variáveis virá em uma atualização futura.
        • onPremisesSamAccountName
        • OnPrem_Distinguished_Name
        • Departamento

     Observação

     O proprietário do dispositivo é equivalente aos dispositivos de propriedade corporativa. Os seguintes são considerados proprietários do dispositivo:

     • Android Enterprise - Perfil de trabalho totalmente gerenciado, dedicado e Corporate-Owned
     • Android AOSP
       • Afinidade de usuário
       • Sem usuário

4. Selecionar Criar.

5. Em Noções básicas, insira as seguintes propriedades:

   • Nome: insira um nome descritivo para o perfil. Nomeie seus perfis para que você possa identificá-los facilmente mais tarde. Por exemplo, um bom nome de perfil é Perfil SCEP para toda a empresa.
   • Descrição: Insira uma descrição para o perfil. Essa configuração é opcional, mas recomendada.

6. Selecione Avançar.

7. Em Definições de configuração, conclua as seguintes configurações:

   • Canal de implantação: selecione como você deseja implantar o perfil. Essa configuração também determina o conjunto de chaves onde os certificados vinculados são armazenados, portanto, é importante selecionar o canal apropriado.

     Sempre selecione o canal de implantação do usuário em perfis com certificados de usuário. O canal do usuário armazena certificados no conjunto de chaves do usuário. Sempre selecione o canal de implantação de dispositivo em perfis com certificados de dispositivo. O canal do dispositivo armazena certificados no repositório de chaves do sistema.

     Não é possível editar o canal de implantação após a implantação do perfil. Você deve criar um novo perfil para selecionar um canal diferente.

   • Tipo de certificado:

     (Aplica-se a: Android, Android Enterprise, Android (AOSP), iOS/iPadOS, macOS e Windows)

     Selecione um tipo, dependendo de como você planeja usar o perfil de certificado:

     • Usuário: Certificados de usuário podem conter atributos de usuário e dispositivo no assunto e no SAN do certificado.

     • Dispositivo: Os certificados de dispositivo só podem conter atributos de dispositivo no assunto e na SAN do certificado.

       Use Dispositivo para cenários como dispositivos sem usuário (como quiosques) ou para dispositivos Windows. Em dispositivos Windows, o certificado é colocado no repositório de certificados do computador local.

       Para macOS, se esse perfil estiver configurado para usar o canal de implantação do dispositivo, você poderá selecionar Usuário ou Dispositivo. Se o perfil estiver configurado para usar o canal de implantação do usuário, você poderá selecionar somente Usuário.

     Observação

     Armazenamento de certificados provisionados pelo SCEP:

     • macOS - Os certificados provisionados com o SCEP são sempre colocados no conjunto de chaves do sistema (também chamado de repositório do sistema ou conjunto de chaves do dispositivo) do dispositivo, a menos que você selecione o canal de implantação do usuário.

     • Android: os dispositivos têm um repositório de certificados VPN e aplicativos e um repositório de certificados WiFi. O Intune sempre armazena certificados SCEP na loja de aplicativos e VPN de um dispositivo. O uso da VPN e da loja de aplicativos torna o certificado disponível para uso por qualquer outro aplicativo.

       Contudo, quando um certificado SCEP também está associado a um perfil de Wi-Fi, o Intune também instala o certificado no repositório de Wi-Fi.

       Quando configurado para aplicativos VPN, o usuário será solicitado a selecionar o certificado correto. Não há suporte para a aprovação de certificado silencioso para cenários totalmente gerenciados (ou BYOD). Se tudo estiver configurado corretamente, o certificado correto já deverá estar pré-selecionado na caixa de diálogo.

   • Formato de nome de entidade:

     Insira texto para informar ao Intune como criar automaticamente o nome da entidade na solicitação de certificado. As opções para o formato de nome da entidade dependem do Tipo de certificado selecionado, Usuário ou Dispositivo.

     Dica

     Se o comprimento do nome da entidade exceder 64 caracteres, talvez seja necessário desabilitar a imposição do comprimento do nome em sua autoridade de certificação interna. Para obter mais informações, consulte Desabilitar a imposição de comprimento DN

     Observação

     Há um problema conhecido com caracteres especiais com escape em CSRs para usar SCEP para obter certificados quando o nome da entidade na CSR (Solicitação de Assinatura de Certificado) resultante inclui um dos seguintes caracteres como um caractere de escape (seguido por uma barra invertida \):

     • +
     • ;
     • ,
     • =

     Observação

     A partir do Android 12, o Android não oferece mais suporte ao uso dos seguintes identificadores de hardware para dispositivos de perfil de trabalho de propriedade pessoal :

     • Número de série
     • IMEI
     • MEID

     Os perfis de certificado do Intune para dispositivos de perfil de trabalho de propriedade pessoal que dependem dessas variáveis no nome da entidade ou na SAN não provisionarão um certificado em dispositivos que executam o Android 12 ou posterior no momento em que o dispositivo foi registrado no Intune. Os dispositivos que se registraram antes da atualização para o Android 12 ainda podem receber certificados desde que o Intune obteve anteriormente os identificadores de hardware dos dispositivos.

     Para obter mais informações sobre isso e outras alterações introduzidas com o Android 12, consulte a postagem no blog Suporte do Android Day Zero para Microsoft Endpoint Manager.

     • Tipo de certificado de usuário

       Use a caixa de texto para inserir um formato de nome de entidade personalizado, incluindo texto estático e variáveis. Há suporte para duas opções de variável: Nome Comum (CN) e Email (E).

       Email (E) normalmente seria definido com a variável {{EmailAddress}}. Por exemplo: E={{EmailAddress}}

       Nome Comum (CN) pode ser definido para qualquer uma das seguintes variáveis:

       • CN={{UserName}}: O nome de usuário do usuário, como janedoe.
       • CN={{UserPrincipalName}}: O nome UPN do usuário, como janedoe@contoso.com.
       • CN={{AAD_Device_ID}}: uma ID atribuída quando você registra um dispositivo no Microsoft Entra ID. Essa ID normalmente é usada para autenticar com o Microsoft Entra ID.
       • CN={{DeviceId}}: uma ID atribuída quando você registra um dispositivo no Intune.

       Observação

       Evite usar {{DeviceId}} para o nome da entidade em dispositivos Windows. Em determinados casos, o certificado gerado com esse nome de assunto faz com que a sincronização com o Intune falhe.

       • CN = {{SERIALNUMBER}}: o SN (número de série) exclusivo normalmente usado pelo fabricante para identificar um dispositivo

       • CN = {{IMEINumber}}: o número exclusivo do IMEI (Identidade Internacional de Equipamento Móvel) usado para identificar um dispositivo móvel.

       • CN={{OnPrem_Distinguished_Name}}: Uma sequência de nomes diferenciados relativos separados por vírgula, como CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

         Para usar a variável {{OnPrem_Distinguished_Name}}:

         • Certifique-se de sincronizar o atributo de usuário onpremisesdistinguishedname usando o Microsoft Entra Connect com seu Microsoft Entra ID.
         • Se o valor CN contiver uma vírgula, o formato de nome da entidade deverá estar entre aspas. Por exemplo: CN="{{OnPrem_Distinguished_Name}}"

       • CN={{OnPremisesSamAccountName}}: os administradores podem sincronizar o atributo samAccountName do Active Directory para o Microsoft Entra ID usando o Microsoft Entra Connect em um atributo chamado onPremisesSamAccountName. O Intune pode substituir essa variável como parte de uma solicitação de emissão de certificados na entidade de um certificado. O atributo samAccountName é o nome de entrada do usuário usado para dar suporte a clientes e servidores de uma versão anterior do Windows (pré-Windows 2000). O formato de nome de login do usuário é: DomainName\testUserou somente testUser.

         Para usar a variável {{OnPremisesSamAccountName}}, sincronize o atributo de usuário OnPremisesSamAccountName usando o Microsoft Entra Connect com seu Microsoft Entra ID.

       Todas as variáveis de dispositivo listadas na seção Tipo de certificado de dispositivo a seguir também podem ser usadas em nomes de entidades de certificado do usuário.

       Usando uma combinação de uma ou diversas dessas variáveis e cadeias de caracteres estáticas, você pode criar um formato de nome de entidade personalizado, como: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

       Este exemplo inclui um formato de nome de entidade que usa as variáveis CN e E, além de cadeias de caracteres para os valores Unidade Organizacional, Organização, Localização, Estado e País. Função CertStrToName descreve essa função e suas cadeias de caracteres compatíveis.

       Os atributos de usuário não são compatíveis com dispositivos que não têm associações de usuário, como dispositivos registrados como Android Enterprise dedicado. Por exemplo, um perfil que usa CN={{UserPrincipalName}} no assunto ou SAN não poderá obter o nome UPN quando não houver nenhum usuário no dispositivo.

     • Tipo de certificado de dispositivo

       As opções de formato para o Formato de nome da entidade incluem as seguintes variáveis:

       • {{AAD_Device_ID}} ou {{AzureADDeviceId}} - Qualquer variável pode ser usada para identificar um dispositivo por seu Microsoft Entra ID.
       • {{DeviceId}} - A ID do dispositivo do Intune
       • {{Device_Serial}}
       • {{Device_IMEI}}
       • {{SerialNumber}}
       • {{IMEINumber}}
       • {{WiFiMacAddress}}
       • {{IMEI}}
       • {{DeviceName}}
       • {{FullyQualifiedDomainName}}(Aplicável apenas para dispositivos Windows e associados ao domínio)
       • {{MEID}}

       Você pode especificar essas variáveis e o texto estático na caixa de texto. Por exemplo, o nome comum para um dispositivo chamado Device1 pode ser adicionado como CN={{DeviceName}}Device1.

       Importante

       • Ao especificar uma variável, coloque o nome dela entre chaves duplas {{ }}, como mostrado no exemplo, para evitar um erro.
       • As propriedades do dispositivo usadas na entidade ou no SAN de um certificado de dispositivo, como IMEI, SerialNumber e FullyQualifiedDomainName, são propriedades que podem ser falsificadas por uma pessoa com acesso ao dispositivo.
       • Um dispositivo precisa dar suporte a todas as variáveis especificadas em um perfil de certificado para que esse perfil seja instalado nesse dispositivo. Por exemplo, se {{IMEI}} for usado no nome da entidade de um perfil SCEP e for atribuído a um dispositivo que não tenha um número IMEI, o perfil não será instalado.

   • Nome alternativo da entidade: Configure o nome alternativo da entidade (SAN) na solicitação de certificado. Você pode inserir mais de um nome alternativo da entidade. O valor de texto pode conter variáveis e texto estático.

     Observação

      Os seguintes perfis do Android Enterprise não dão suporte ao uso da variável {{UserName}} para a SAN:

     • Perfil de trabalho totalmente gerenciado, dedicado e Corporate-Owned

     Selecione um dos atributos de SAN disponíveis:

     • Endereço de email
     • Nome UPN
     • DNS
     • URI (Uniform Resource Identifier)

     O tipo de certificado escolhido determina a variável SAN.

     Observação

     A partir do Android 12, o Android não oferece mais suporte ao uso dos seguintes identificadores de hardware para dispositivos de perfil de trabalho de propriedade pessoal :

     • Número de série
     • IMEI
     • MEID

     Os perfis de certificado do Intune para dispositivos de perfil de trabalho de propriedade pessoal que dependem dessas variáveis no nome da entidade ou na SAN não provisionarão um certificado em dispositivos que executam o Android 12 ou posterior no momento em que o dispositivo foi registrado no Intune. Os dispositivos que se registraram antes da atualização para o Android 12 ainda podem receber certificados desde que o Intune obteve anteriormente os identificadores de hardware dos dispositivos.

     Para obter mais informações sobre isso e outras alterações introduzidas com o Android 12, consulte a postagem no blog Suporte do Android Day Zero para Microsoft Endpoint Manager.

     • Tipo de certificado de usuário

       Com o tipo de certificado de usuário , você pode usar qualquer uma das variáveis de certificado de usuário ou dispositivo descritas acima na seção Nome da Entidade.

       Por exemplo, os tipos de certificado de usuário podem incluir o nome UPN no nome alternativo da entidade. Se um certificado do cliente for usado para se autenticar em um Servidor de Políticas de Rede, defina o nome alternativo da entidade como o UPN.

       O Microsoft Intune também dá suporte ao OnPremisesSecurityIdentifier, uma variável compatível com os requisitos de mapeamento forte do KDC (Centro de Distribuição de Chaves) para autenticação baseada em certificado. Você deve adicionar a variável aos certificados de usuário que se autenticam com o KDC. Você pode adicionar a variável, formatada como {{OnPremisesSecurityIdentifier}}, a perfis novos e existentes no centro de administração do Microsoft Intune. Essa variável tem suporte em certificados de usuário para macOS, iOS e Windows e só funciona com o atributo URI.

     • Tipo de certificado de dispositivo

       Com o tipo de certificado de dispositivo , você pode usar qualquer uma das variáveis descritas na seção Tipo de certificado de dispositivo para Nome da Entidade.

       Para especificar um valor para um atributo, inclua o nome da variável com chaves, seguido pelo texto da variável. Por exemplo, um valor para o atributo DNS pode ser adicionado como {{AzureADDeviceId}}.domain.com, em que .domain.com é o texto. Para um usuário chamado User1, um endereço de Email pode aparecer como {{FullyQualifiedDomainName}}User1@Contoso.com.

       Usando uma combinação de uma ou várias dessas variáveis e cadeias de caracteres de texto estáticas, você pode criar um formato de nome alternativo de assunto personalizado, como {{UserName}}-Home.

       O Microsoft Intune também dá suporte ao OnPremisesSecurityIdentifier, uma variável compatível com os requisitos de mapeamento forte do KDC (Centro de Distribuição de Chaves) para autenticação baseada em certificado. Você deve adicionar a variável aos certificados de dispositivo que se autenticam com o KDC. Você pode adicionar a variável, formatada como {{OnPremisesSecurityIdentifier}}, a perfis novos e existentes no centro de administração do Microsoft Intune. Essa variável tem suporte em certificados de dispositivo para dispositivos ingressados híbridos do Microsoft Entra e só funciona com o atributo URI.

       Importante

       • Ao usar uma variável de certificado do dispositivo, coloque o nome dela entre chaves duplas {{ }}.
       • Não use chaves { }, símbolos de barra vertical | nem ponto e vírgula ; no texto após a variável.
       • As propriedades do dispositivo usadas na entidade ou no SAN de um certificado de dispositivo, como IMEI, SerialNumber e FullyQualifiedDomainName, são propriedades que podem ser falsificadas por uma pessoa com acesso ao dispositivo.
       • Um dispositivo precisa dar suporte a todas as variáveis especificadas em um perfil de certificado para que esse perfil seja instalado nesse dispositivo. Por exemplo, se {{IMEI}} for usado no SAN de um perfil SCEP e for atribuído a um dispositivo que não tenha um número IMEI, o perfil não será instalado.

   • Período de validade do certificado:

     Você pode inserir um valor inferior ao período de validade no modelo de certificado, mas não superior. Se você configurou o modelo de certificado para configurar períodos de validade de certificados personalizados, use essa configuração para especificar a quantidade de tempo restante antes que o certificado expire.

     O Intune dá suporte a um período de validade de até 24 meses.

     Por exemplo, se o período de validade do certificado em um modelo de certificado for de dois anos, você poderá inserir um valor de um ano, mas não de cinco anos. O valor também tem que ser inferior ao período de validade restante do certificado da AC emissora.

     Planeje o uso de um período de validade de cinco dias ou mais. Quando o período de validade é inferior a cinco dias, há uma alta probabilidade de o certificado entrar em um estado quase expirado ou expirado, o que pode fazer com que o agente MDM em dispositivos rejeite o certificado antes de ser instalado.

   • Provedor de armazenamento de chaves (KSP):

     (Aplica-se a: Windows)

     Especifique o local de armazenamento da chave para o certificado. Escolha um dos seguintes valores:

     • Registrar no KSP do TPM (Trusted Platform Module) se existir; caso contrário, no KSP de Software
     • Registrar no KSP do TPM (Trusted Platform Module); caso contrário, falha
     • Inscreva-se no Windows Hello para Empresas, caso contrário, falhará
     • Registrar no Software KSP

   • Uso de chave:

     Selecione as opções de uso de chave para o certificado:

     • Assinatura digital: Permitir a troca de chaves apenas quando uma assinatura digital ajudar a proteger a chave.
     • Codificação de chave: Permitir a troca de chaves apenas quando a chave é criptografada.

   • Tamanho da chave (bits):

     Selecione o número de bits contidos na chave:

     • Não configurado

     • 1024

     • 2048

     • 4096 - Um tamanho de chave de 4096 é suportado para as seguintes plataformas:

       • Android (todos)
       • iOS/iPadOS 14 e posterior
       • macOS 11 e posterior
       • Windows (todos)

       Observação

       Para dispositivos Windows, o armazenamento de chaves de 4096 bits tem suporte apenas no Provedor de Armazenamento de Chave de Software (KSP). Os itens a seguir não dão suporte ao armazenamento de chaves desse tamanho:

       • O TPM (Trusted Platform Module) de hardware. Como solução alternativa, você pode usar o KSP de software para armazenamento de chaves.
       • Windows Hello para Empresas. Não há nenhuma solução alternativa para o Windows Hello para Empresas no momento.

   • Algoritmo de hash:

     (Aplica-se a Android, Android (AOSP), Android Enterprise e Windows)

     Selecione um dos tipos de algoritmo de hash disponíveis para uso com esse certificado. Selecione o nível mais alto de segurança que dá suporte aos dispositivos de conexão.

     OBSERVAÇÃO: dispositivos Android AOSP e Android Enterprise selecionarão o algoritmo mais forte suportado - SHA-1 será ignorado e SHA-2 será usado em seu lugar.

   • Certificado Raiz:

     Selecione o perfil de certificado confiável configurado anteriormente e atribuído aos usuários e dispositivos aplicáveis nesse perfil de Certificado SCEP. O perfil de certificado confiável é usado para provisionar usuários e dispositivos com o Certificado de Autoridade de Certificação raiz confiável. Para obter informações sobre o perfil de certificado confiável, confira Exportar o Certificado de Autoridade de Certificação raiz confiável e Criar perfis de certificado confiável em Usar certificados para autenticação no Intune.

     Observação

     Se você tiver um infraestrutura de PKI de vários níveis, como uma Autoridade de Certificação Raiz e uma Autoridade de Certificação Emissora, selecione o perfil certificado Raiz Confiável de nível superior que valida a Autoridade de Certificação Emissora.

   • Uso estendido de chave:

     Adicione valores para a finalidade desejada do certificado. Na maioria dos casos, o certificado exige a autenticação de cliente, de modo que o usuário ou o dispositivo possa se autenticar em um servidor. Adicione mais usos de chave, conforme necessário.

   • Limite de renovação (%):

     Insira o percentual do tempo de vida restante do certificado antes da renovação das solicitações de dispositivo do certificado. Por exemplo, se você inserir 20, haverá uma tentativa de renovação do certificado quando o certificado estiver 80% expirado. As tentativas de renovação continuarão até que a renovação seja bem-sucedida. A renovação gera um novo certificado, o que resulta em um novo par de chaves pública/privada.

     Observação

     Comportamento de renovação no iOS/iPadOS e macOS: os certificados só podem ser renovados durante a fase de limite de renovação. Além disso, o dispositivo deve ser desbloqueado durante a sincronização com o Intune. Se a renovação não tiver sido bem-sucedida, o certificado expirado permanecerá no dispositivo e o Intune não disparará mais uma renovação. Além disso, o Intune não oferece uma opção para reimplantar certificados expirados. Os dispositivos afetados precisam ser excluídos temporariamente do perfil SCEP para remover o certificado expirado e solicitar um novo.

   • URLs de servidor SCEP:

     Insira uma ou mais URLs para os servidores NDES que emitem certificados por meio do protocolo SCEP. Por exemplo, insira algo como https://ndes.contoso.com/certsrv/mscep/mscep.dll.

     Para permitir que dispositivos na Internet obtenham certificados, você deve especificar a URL do NDES externa à sua rede corporativa. A URL pode ser HTTP ou HTTPS. No entanto, para dar suporte aos seguintes dispositivos, a URL do servidor SCEP deve usar HTTPS:

     • Administrador de dispositivo Android
     • Proprietário do dispositivo Android Enterprise
     • Perfil de trabalho de propriedade corporativa do Android Enterprise
     • Perfil de trabalho de propriedade pessoal do Android Enterprise

     Adicione outras URLs SCEP para balanceamento de carga, conforme necessário. Os dispositivos fazem três chamadas separadas ao servidor NDES. A primeira é para obter as funcionalidades dos servidores, a segunda é para obter uma chave pública e a última para enviar uma solicitação de assinatura. Quando você usa várias URLs, é possível que o balanceamento de carga resulte em uma URL diferente sendo usada para chamadas subsequentes para um Servidor NDES. Se um servidor diferente for contatado para uma chamada seguinte durante a mesma solicitação, a solicitação falhará.

     O comportamento para gerenciar a URL do servidor NDES é específico para cada plataforma de dispositivo:

     • Android: O dispositivo faz uma escolha aleatória na lista de URLs recebidas na política SCEP e, em seguida, percorre a lista até que um servidor NDES acessível seja encontrado. Em seguida, o dispositivo continua usando essa mesma URL e esse mesmo servidor durante todo o processo. Se o dispositivo não puder acessar nenhum dos servidores NDES, o processo falhará.
     • iOS/iPadOS: O Intune escolhe aleatoriamente as URLs e fornece uma única URL para um dispositivo. Se o dispositivo não puder acessar o servidor NDES, a solicitação SCEP falhará.
     • Windows: A lista de URLs de NDES é aleatória e, em seguida, passada para o dispositivo Windows, que as tenta na ordem recebida, até que uma disponível seja encontrada. Se o dispositivo não puder acessar nenhum dos servidores NDES, o processo falhará.

     Se um dispositivo não conseguir acessar o mesmo servidor NDES com êxito durante uma das três chamadas ao servidor NDES, a solicitação SCEP falhará. Por exemplo, isso pode acontecer quando uma solução de balanceamento de carga fornece uma URL diferente na segunda ou na terceira chamada ao servidor NDES ou fornece outro servidor NDES com base em uma URL virtualizada para o NDES. Após uma solicitação com falha, um dispositivo tenta executar o processo novamente no próximo ciclo de política, começando com a lista aleatória de URLs do NDES (ou uma só URL para o iOS/iPadOS).

8. Esta etapa se aplica somente a perfis de dispositivos Android Enterprise para perfil de trabalho totalmente gerenciado, dedicado e Corporate-Owned.

   Em Aplicativos, configure o acesso de certificado para gerenciar como o acesso ao certificado é concedido aos aplicativos. Escolha entre:

   • Exigir aprovação do usuário para aplicativos(padrão) – os usuários devem aprovar o uso de um certificado por todos os aplicativos.
   • Conceder silenciosamente para aplicativos específicos (exigir aprovação do usuário para outros aplicativos) – com essa opção, selecione Adicionar aplicativos e, em seguida, selecione um ou mais aplicativos que usarão silenciosamente o certificado sem interação do usuário.

9. Selecione Avançar.

10. Em Atribuições, selecione o usuário ou os grupos que receberão seu perfil. Para obter mais informações sobre a atribuição de perfis, consulte Atribuir perfis de usuário e dispositivo.

    Selecione Avançar.

11. (Aplica-se apenas ao Windows) Em Regras de Aplicabilidade, especifique as regras de aplicabilidade para refinar a atribuição desse perfil. Você pode optar por atribuir ou não atribuir o perfil com base na edição ou na versão do sistema operacional de um dispositivo.

    Para obter mais informações, confira Regras de aplicabilidade em Criar um perfil de dispositivo no Microsoft Intune.

12. Em Examinar + criar, examine as configurações. Quando você seleciona Criar, as alterações são salvas, e o perfil é atribuído. A política também é mostrada na lista de perfis.

Evitar solicitações de assinatura de certificado com caracteres especiais de escape

Há um problema conhecido em solicitações de certificado SCEP e PKCS que incluem um Nome de Entidade (CN) com um ou mais dos caracteres especiais a seguir como um caractere de escape. Os nomes de entidades que incluem um dos caracteres especiais como um caractere de escape resultam em um CSR com um nome de entidade incorreto. Um nome de entidade incorreto resulta em falha na validação do desafio SCEP do Intune e na não emissão do certificado.

Os caracteres especiais são:

• +
• ,
• ;
• =

Quando o nome da entidade incluir um dos caracteres especiais, use uma das seguintes opções para contornar essa limitação:

• Encapsule com aspas o valor de CN que contém o caractere especial.
• Remova o caractere especial do valor de CN.

Por exemplo, você tem um nome de entidade que aparece como Usuário de teste (TestCompany, LLC). Um CSR que inclui um CN que tem a vírgula entre TestCompany e LLC apresenta um problema. O problema pode ser evitado com o uso de aspas em todo o CN ou com a remoção da vírgula entre TestCompany e LLC:

• Adicionar aspas: CN="Test User (TestCompany, LLC)",OU=UserAccounts,DC=corp,DC=contoso,DC=com
• Remover a vírgula: CN=Test User (TestCompany LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

No entanto, as tentativas de retirar a vírgula usando um caractere de barra invertida falharão com um erro nos logs do CRP:

• Vírgula com escape: CN=Test User (TestCompany\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

O erro é semelhante ao seguinte:

Subject Name in CSR CN="Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com" and challenge CN=Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com do not match

  Exception: System.ArgumentException: Subject Name in CSR and challenge do not match

   at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

Exception:    at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

   at Microsoft.ConfigurationManager.CertRegPoint.Controllers.CertificateController.VerifyRequest(VerifyChallengeParams value

Atribuir o perfil de certificado

Atribua perfis de Certificado SCEP da mesma maneira que você implanta perfis de dispositivo para outras finalidades.

Considere o seguinte antes de continuar:

• Quando você atribui perfis de Certificado SCEP a grupos, o arquivo do Certificado de Autoridade de Certificação raiz confiável (conforme especificado no perfil do certificado confiável) é instalado no dispositivo. O dispositivo usa o perfil de Certificado SCEP para criar uma solicitação de certificado para esse Certificado de Autoridade de Certificação raiz confiável.

• O perfil de Certificado SCEP é instalado somente em dispositivos que executam a plataforma especificada durante a criação do perfil de certificado.

• Você pode atribuir perfis de certificado para coleções de usuários ou coleções de dispositivos.

• Para publicar um certificado em um dispositivo rapidamente depois que o dispositivo for registrado, atribua o perfil de certificado a um grupo de usuários em vez de um grupo de dispositivos. Se você atribuir um grupo de dispositivos, um registro de dispositivo completo será necessário para que o dispositivo receba políticas.

• Se você usar o cogerenciamento para o Intune e o Gerenciador de Configurações, no Gerenciador de Configurações, defina o controle deslizante da carga de trabalho para as Políticas de Acesso ao Recurso como Intune ou Intune Piloto. Essa configuração permite que clientes Windows iniciem o processo de solicitação do certificado.

Próximas etapas

Atribuir perfis

Solucionar problemas de implantação de perfis de certificado SCEP