Usar certificados de autenticação no Microsoft Intune

Use os certificados com o Intune para autenticar seus usuários em aplicativos e recursos corporativos pelos perfis de VPN, Wi-Fi ou e-mail. Quando você usa certificados para autenticar essas conexões, seus usuários finais não precisam inserir nomes de usuário e senhas, o que pode tornar seu acesso contínuo. Os certificados também são usados para assinatura e criptografia de e-mail usando S/MIME.

Introdução aos certificados com o Intune

Os certificados fornecem acesso autenticado sem atraso nas duas fases a seguir:

  • Fase de autenticação: a autenticidade do usuário é verificada para confirmar que o usuário é quem afirma ser.
  • Fase de autorização: o usuário está sujeito às condições em que uma determinação é feita sobre se o usuário deve receber acesso.

Os cenários de uso típicos para certificados incluem:

  • Autenticação de rede (por exemplo, 802.1x) com certificados de dispositivo ou de usuário
  • Autenticação com servidores VPN usando certificados de dispositivo ou de usuário
  • Assinatura de email com base em certificados de usuário

O Intune dá suporte ao protocolo SCEP, aos PKCS (Padrões de Criptografia por Chave Pública) e aos certificados PKCS importados como métodos para provisionar certificados em dispositivos. Os diferentes métodos de provisionamento têm requisitos e resultados diferentes. Por exemplo:

  • O SCEP provisiona certificados exclusivos para cada solicitação do certificado.
  • O PKCS provisiona cada dispositivo com um certificado exclusivo.
  • Com PKCS Importados, você pode implantar o mesmo certificado exportado de uma fonte, como um servidor de email, para vários destinatários. Esse certificado compartilhado é útil para garantir que todos os usuários ou dispositivos possam descriptografar emails que foram criptografados por esse certificado.

Para provisionar um usuário ou dispositivo com um tipo específico de certificado, o Intune usa um perfil de certificado.

Além dos três tipos de certificado e métodos de provisionamento, você precisa de um certificado raiz confiável de uma CA (autoridade de certificação) confiável. A AC pode ser uma Autoridade de Certificação local da Microsoft ou uma Autoridade de Certificação de terceiros. O certificado raiz confiável estabelece uma relação de confiança do dispositivo com a AC raiz ou intermediária (emissora) da qual os outros certificados são emitidos. Para implantar esse certificado, use o perfil de certificado confiável e implante-o nos mesmos dispositivos e usuários que recebem os perfis de certificado para SCEP, PKCS e PKCS importados.

Dica

O Intune também dá suporte ao uso de Credenciais derivadas para ambientes que exigem o uso de cartões inteligentes.

O que é necessário para usar certificados

  • Uma Autoridade de Certificação. Sua AC é a fonte de confiança que os certificados referenciam para autenticação. Você pode usar uma AC da Microsoft ou uma AC de terceiros.
  • Infraestrutura local. A infraestrutura necessária depende dos tipos de certificado que você usa:
  • Um certificado raiz confiável. Antes de implantar perfis de certificado SCEP ou PKCS, implante o certificado raiz confiável de sua AC usando um perfil de certificado confiável. Esse perfil ajuda a estabelecer a confiança do dispositivo de volta para a AC e é exigida pelos outros perfis de certificado.

Com um certificado raiz confiável implantado, você está pronto para implantar perfis de certificado para provisionar usuários e dispositivos com certificados para autenticação.

Qual perfil de certificado usar

As comparações a seguir não são abrangentes, mas pretendem ajudar a distinguir o uso dos diferentes tipos de perfil de certificado.

Tipo de perfil Detalhes
Certificado confiável Use para implantar a chave pública (certificado) de uma AC raiz ou AC intermediária em usuários e dispositivos a fim de estabelecer uma relação de confiança de volta com a AC de origem. Outros perfis de certificado exigem o perfil de certificado confiável e o certificado raiz dele.
Certificado SCEP Exibe um modelo para uma solicitação de certificado para usuários e dispositivos. Cada certificado provisionado usando o SCEP é exclusivo e vinculado ao usuário ou dispositivo que solicita o certificado.

Com o SCEP, você pode implantar certificados em dispositivos sem afinidade de usuário, incluindo o uso do SCEP para provisionar um certificado no KIOSK ou em um dispositivo sem usuário.
Certificado PKCS Implanta um modelo para uma solicitação de certificado que especifica um tipo de certificado de usuário ou de dispositivo.

- As solicitações de um tipo de usuário de certificado sempre exigem afinidade de usuário. Quando implantado em um usuário, cada um dos dispositivos do usuário recebe um certificado exclusivo. Quando implantado em um dispositivo com um usuário, esse usuário é associado ao certificado desse dispositivo. Quando implantado em um dispositivo sem usuário, nenhum certificado é provisionado.
- Os modelos com um tipo de dispositivo de certificado não exigem afinidade de usuário para provisionar um certificado. A implantação em um dispositivo provisiona o dispositivo. A implantação para um usuário provisiona o dispositivo no qual o usuário está conectado com um certificado.
Certificado importado PKCS Implanta um certificado em vários dispositivos e usuários, que dá suporte a cenários como assinatura e criptografia S/MIME. Por exemplo, implantando o mesmo certificado em cada dispositivo, cada dispositivo pode descriptografar emails recebidos desse mesmo servidor de email.

Outros métodos de implantação de certificado são insuficientes para esse cenário, pois o SCEP cria um certificado exclusivo para cada solicitação e o PKCS associa um certificado diferente para cada usuário, com diferentes usuários recebendo certificados diferentes.

Certificados e uso compatíveis com o Intune

Tipo Autenticação Autenticação S/MIME Criptografia S/MIME
Certificado PKCS (Public Key Cryptography Standards) importado
PKCS#12 (ou PFX)
Protocolo SCEP

Para implantar esses certificados, crie e atribua perfis de certificado a dispositivos.

Cada perfil de certificado individual que você criou oferece suporte a uma única plataforma. Por exemplo, se você usar certificados PKCS, crie um perfil de certificado PKCS para Android e um perfil de certificado PKCS separado para iOS/iPadOS. Se você também usar certificados SCEP para essas duas plataformas, crie um perfil de certificado SCEP para Android e outro para iOS/iPadOS.

Considerações gerais quando você usa uma Autoridade de Certificação da Microsoft

Quando você usa uma Autoridade de Certificação da Microsoft (CA):

Considerações gerais sobre o uso de uma Autoridade de Certificação de terceiros

Quando usar uma autoridade de certificação (CA) de terceiros (não Microsoft):

Perfis de certificado e plataformas compatíveis

Plataforma Perfil de certificado confiável Perfil de Certificado PKCS Perfil de Certificado SCEP Perfil de certificado PKCS importado
Administrador de dispositivo Android
(ver Nota 1)
Android Enterprise
- totalmente gerenciado (proprietário do dispositivo)
Android Enterprise
- Dedicado (Proprietário do Dispositivo)
Android Enterprise
- Corporate-Owned Perfil de Trabalho
Android Enterprise
- Personally-Owned Perfil de Trabalho
Android (AOSP)
iOS/iPadOS
macOS
Windows 8.1 e posterior
Windows
(ver Nota 2)
(ver Nota 2)
(ver Nota 2)

Importante

Em 22 de outubro de 2022, o Microsoft Intune encerrou o suporte para dispositivos que executam o Windows 8.1. A assistência técnica e as atualizações automáticas para esses dispositivos não estão disponíveis.

Importante

O gerenciamento de administrador de dispositivos Android (DA) foi descontinuado e não está mais disponível para dispositivos com acesso ao Google Mobile Services (GMS). Se você usa o gerenciamento de DA no momento, recomendamos mudar para outra opção de gerenciamento do Android. A documentação de suporte e ajuda permanece disponível para alguns dispositivos Android 15 e anteriores sem GMS. Para obter mais informações, consulte Encerrando o suporte para administrador de dispositivos Android em dispositivos GMS.

Conteúdo relacionado

Mais recursos:

Crie os perfis de certificado:

Saiba mais sobre o Certificate Connector para Microsoft Intune

  • Last updated on