Un proveedor de certificados es un recurso que guarda una conexión SCEP, es decir, el servidor al que los dispositivos piden los certificados y el desafío con el que demuestran que pueden hacerlo. Sobre esa conexión, cada proveedor tiene uno o varios perfiles de certificado: el nombre de autoridad, la configuración de la clave y el sujeto de un tipo de certificado. Cuando necesitas un certificado distinto, añades un perfil en lugar de crear otro proveedor.
Después, tus políticas eligen el proveedor y el perfil que necesitan, desde un payload SCEP de Apple o una red Wi-Fi WPA-EAP de Android.
Un Auth Connector, un Connector Token y un desafío sirven a todos los perfiles de un proveedor. No tienes que desplegar un conector por perfil.
Crear o editar un proveedor de certificados
En el panel de Applivery, ve a Recursos 1. En el menú lateral izquierdo, selecciona Proveedores de certificados 2 y haz clic en + Crear Proveedor de certificado 3, o abre un proveedor existente.
Name: el nombre que verás al elegir el proveedor desde una política.
Description: opcional.
Type: SCEP.
En un proveedor existente, esta sección muestra también su ID y su Connector Token.
URL del servidor (obligatorio): la URL del servidor SCEP. Para NDES, por ejemplo:
https://<tu-servidor-ndes>/certsrv/mscep/mscep.dll.Huella digital de la CA: la huella SHA-1 de la CA emisora. Para obtenerla, abre el certificado de la CA que usa el servidor NDES, ve a la sección Extensiones y copia la entrada Huella digital de la CA.
Retries: cuántas veces se reintenta la solicitud si falla.
Retry Delay: el tiempo, en segundos, entre reintentos.
Modo: NDES.
URL:
https://<tu-servidor-ndes>/certsrv/mscep_admin.Nombre de usuario: un usuario de dominio con permisos para la plantilla de certificado configurada en el servidor NDES.
Contraseña: la contraseña de ese usuario.
Rellena al menos un perfil con su nombre de autoridad, su clave y su sujeto.
Haz clic en Guardar y vuelve a abrir el proveedor para copiar el Connector Token que aparece en la parte superior. Lo necesitarás para desplegar el Auth Connector.
Perfiles de certificado
Cada perfil define la autoridad, la clave y el sujeto de los certificados solicitados, y comparte la configuración del servidor y del desafío. Las políticas eligen el perfil que usan.
La sección Certificate Profiles muestra un contador con el número de perfiles del proveedor, y cada perfil tiene su propia pestaña.
Uno de los perfiles es el perfil Default: su pestaña muestra (Default) y su nombre lleva la etiqueta Default. Un proveedor siempre tiene uno.
+ Add profile añade otra pestaña.
Los perfiles que no son el Default tienen un control para eliminarlos. No puedes eliminar el perfil Default ni un perfil que una política siga usando.
Nombre del perfil y nombre de autoridad
Nombre del perfil: la etiqueta que verás en el panel y al elegir el perfil desde una política.
Nombre de la autoridad: identifica el perfil o la plantilla que se solicita, por ejemplo
mycompany-pki. Introduce el nombre de la CA intermedia o emisora exactamente como aparece en el certificado de la CA.
Configuración de la clave
Key Usage: los usos permitidos de la clave: Both, Signing o Encryption.
Tamaño de la clave: el tamaño de la clave generada: 1024, 2048 o 4096. Normalmente 2048 o 4096, según tu política de seguridad.
Tipo de clave: RSA.
Key Is Extractable: si la clave se puede extraer del almacén de claves.
Allow All Apps Access: si todas las apps pueden acceder a la clave.
Configuración del sujeto
Los campos marcados con el símbolo {} admiten etiquetas de interpolación, marcadores que Applivery sustituye por datos del dispositivo o del empleado al desplegar el certificado. Los campos sin el símbolo no las admiten.
Subject: el sujeto del certificado. Admite etiquetas de interpolación, por ejemplo
CN={{user.email}}.NT Principal: el User Principal Name (UPN) en formato NT. Admite etiquetas de interpolación.
URI: URL o URN asociadas. Haz clic en Add para cada una.
Email: el nombre RFC822. Haz clic en Add para cada uno.
DNS: nombres de dominio válidos. Haz clic en Add para cada uno.
Si guardas metadatos propios en tus empleados, como una clave cn o upn, puedes usarlos con {{user.metadata.PROPERTY}}, por ejemplo CN={{user.metadata.cn}} o {{user.metadata.upn}}.
Usar un perfil en una política de Apple
El payload SCEP (com.apple.security.scep) configura los ajustes de Simple Certificate Enrollment Protocol (SCEP). Su tarjeta indica iOS 10.0, macOS 10.12 Sierra, tvOS 10.0, watchOS 3.0 y visionOS 1.1.
En el payload SCEP de tu política de Apple, pon la Fuente en Proveedor de certificados.
La tarjeta muestra el proveedor seleccionado, con las opciones Cambiar y Ver detalles.
En Perfil, selecciona el perfil que necesitas de ese proveedor. El perfil por defecto aparece como (Default).
{/* SCREENSHOT 5: SCEP de Apple, Certificate Provider y perfil. Callouts: 1 Source = Certificate Provider, 2 tarjeta del proveedor, 3 desplegable Profile, 4 perfil Default en la lista. Oculta el Payload UUID */}
Cada configuración SCEP elige un proveedor y un perfil.
Usar un perfil en una red Wi-Fi de Android
Desde una política Android, ve a WiFi → + Añadir red Wi-Fi, como se explica en Configurar redes Wi-Fi, y después:
Pon Seguridad en WPA-EAP.
En la configuración EAP, pon Outer en EAP-TLS.
Pon Certificate Type en Certificate Provider.
Elige el proveedor de certificados y después el perfil.
El agente de Android instala en el almacén de claves del dispositivo el certificado solicitado por SCEP.
Si tienes previsto bloquear los cambios manuales de Wi-Fi en el dispositivo, asegúrate de que al menos una red válida y probada ya esté declarada en la política — de lo contrario, el dispositivo podría perder el acceso Wi-Fi por completo.
Ejemplo
Tienes un servidor NDES y necesitas dos certificados distintos:
Crea un proveedor de certificados con la URL del servidor NDES y el desafío, usando tus propios valores de
<tu-servidor-ndes>.En el primer perfil, introduce el nombre de autoridad tal como aparece en el certificado de la CA emisora, Tamaño de la clave 2048, Key Usage Both y Subject
CN={{user.email}}.Haz clic en + Add profile y crea un segundo perfil, con su propio nombre de autoridad y su propio sujeto, para otro destino de tu política.
Tu payload SCEP de Apple y tu red WPA-EAP de Android eligen cada uno el perfil que necesitan, sin un segundo proveedor de certificados.
Proveedores creados antes de los perfiles de certificado
Si creaste un proveedor de certificados antes de que existieran los perfiles, ábrelo: su nombre de autoridad, su clave y su sujeto forman ahora el perfil Default. El nombre de autoridad, que antes estaba en la configuración del servidor, está ahora en ese perfil.
Las políticas que ya usaban el proveedor siguen usando su perfil Default, así que no tienes que volver a crear nada. El Connector Token sigue en el proveedor, y puedes añadir más perfiles con + Add profile.