Opcional: Criar um certificado de assinatura de código para o Controle de Aplicativos para Empresas

Ao implantar o Controle de Aplicativos para Empresas, talvez seja necessário assinar arquivos de catálogo ou políticas de Controle de Aplicativos internamente. Para fazer essa assinatura, você precisará usar o serviço de Assinatura Confiável da Microsoft, um certificado de assinatura de código emitido publicamente ou uma CA interna. Se você comprou um certificado de assinatura de código, ignore este artigo e siga outros artigos listados no Guia de implantação do Controle de Aplicativos para Empresas.

Se você tiver uma CA interna, complete essas etapas para criar um certificado de assinatura do código.

1. Abra o snap-in Console de Gerenciamento Microsoft (MMC) Autoridade de Certificação e selecione a CA emissora.

2. Quando conectado, clique com o botão direito do mouse em Modelos de Certificado e selecione Gerenciar para abrir o Console de Modelos de Certificação.

   

   Figura 1. Gerenciar os modelos de certificado

3. No painel de navegação, clique com o botão direito do mouse no certificado de Assinatura de Código e selecione Duplicar Modelo.

4. Na guia Compatibilidade , desmarque a caixa de seleção Mostrar alterações resultantes . Selecione Windows Server 2012 na lista Autoridade de Certificação e Windows 8 / Windows Server 2012 na lista Destinatário do Certificado .

5. Na guia Geral , especifique o Nome de exibição do modelo e Nome do modelo. Este exemplo usa o nome Certificado de Assinatura do Catálogo de Controle de Aplicativos.

6. Na guia Tratamento de Solicitação , marque a caixa de seleção Permitir que a chave privada seja exportada .

7. Na guia Extensões, marque a caixa de marcar Restrições Básicas e selecione Editar.

8. Na caixa de diálogo Editar Extensão das Restrições Básicas, selecione Habilitar esta extensão, conforme mostrado na Figura 2.

   

   Figura 2. Selecionar restrições no novo modelo

9. Caso um gerenciador de certificados seja necessário para aprovar algum certificado emitido, na guia Requisitos de Emissão, selecione Aprovação do gerenciador de certificados de autoridade de certificação.

10. Na guia Nome do Requerente , selecione Fornecer na solicitação.

11. Na guia Segurança , verifique se alguma conta será usada para solicitar o certificado tem o direito de registrar o certificado.

12. Selecione OK para criar o modelo e feche o Console do Modelo de Certificado.

Quando esse modelo de certificado tiver sido criado, você deverá publicá-lo no repositório de modelos publicados da CA. Para isso, conclua as seguintes etapas:

1. No snap-in do MMC da Autoridade de Certificação, clique com o botão direito do mouse em Modelos de Certificação, aponte para Novo e selecione Modelo de Certificado para Emitir, conforme mostrado na Figura 3.

   

   Figura 3. Selecione o novo modelo de certificado a ser emitido

   Uma lista de modelos disponíveis para emissão é exibida, incluindo o modelo que você criou.

2. Selecione o certificado de assinatura do Catálogo de Controle de Aplicativos e selecione OK.

Agora que o modelo está disponível para ser emitido, você deve solicitar um do computador que executa o Windows 10 ou o Windows 11 no qual você cria e assina arquivos de catálogo. Para começar, abra o MMC e conclua as seguintes etapas:

1. No MMC, no menu Arquivo , selecione Adicionar/Remover Snap-in. Clique duas vezes em Certificadose selecione My user account.

2. No snap-in Certificados, clique com o botão direito do mouse na pasta Armazenamento pessoal, aponte para Todas as Tarefas e selecione Solicitar Novo Certificado.

3. Selecione Avançar duas vezes para acessar a lista de seleção de certificados.

4. Na lista Solicitar Certificado, selecione o certificado de assinatura de código recém-criado e o texto azul que solicita informações adicionais, conforme mostrado na Figura 4.

   

   Figura 4. Obter mais informações para o certificado de assinatura de código

5. Na caixa de diálogo Propriedades do Certificado, para Tipo, selecione Nome comum. Em Valor, especifique um nome significativo para o certificado (neste exemplo, selecionamos $ContosoSigningCert) e, em seguida, selecione Adicionar. Quando adicionado, selecione OK.

6. Registre e conclua.

Esse certificado deve ser instalado no repositório pessoal do usuário no computador que assinará os arquivos de catálogo e as políticas de integridade do código. Se a assinatura for realizada no mesmo computador usado para solicitar o certificado, você poderá ignorar as etapas a seguir. Se você for assinar em outro computador, precisará exportar o certificado .pfx com as chaves e propriedades necessárias. Para isso, conclua as seguintes etapas:

1. Clique com o botão direito do mouse no certificado, aponte para Todas as Tarefas e selecione Exportar.

2. Selecione Avançar e, em seguida, selecione Sim, exportar a chave privada.

3. Escolha as configurações padrão e selecione Exportar todas as propriedades estendidas.

4. Defina uma senha, selecione um caminho de exportação e, em seguida, selecione AppControlCatSigningCert.pfx como o nome do arquivo.

Quando o certificado tiver sido exportado, importe-o para o armazenamento pessoal do usuário que assinará os arquivos de catálogo ou as políticas de integridade de código no computador específico que as assinará.