La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro
Acerca de los certificados de identidad
En la autenticación 802.1X, los certificados de identidad autentican al cliente y al servidor. Son especialmente importantes en el método EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). EAP-TLS usa certificados digitales para autenticar tanto al cliente (solicitante) como al servidor (servidor de autenticación). Esta autenticación mutua garantiza que ambas partes confíen en la identidad de la otra antes de establecer una conexión segura.Los certificados de identidad se pueden usar tanto en el Library Item Wi-Fi como en el Library Item Ethernet.
Configurar un certificado de identidad
Ciertos tipos de autenticación requieren o permiten especificar un certificado de identidad para verificar la identidad del dispositivo. Estos certificados pueden proceder de diversas fuentes. Para la autenticación de red, asegúrate de que los certificados de identidad incluyan el derecho Client Authentication en su Extended Key Usage (EKU). Colabora con tu administrador de red para asegurarte de que el servicio de certificados y las plantillas estén configurados correctamente para tu red. Si usas Microsoft Active Directory Certificate Services, puedes emitir certificados de identidad mediante la descripción general de la integración de AD CS. Los servidores de AD CS se agregan durante la configuración de la integración de AD CS, y las solicitudes de certificados dependen de la plantilla de certificado de equipo de AD CS configurada.Obtener un certificado de identidad con AD CS
Puedes obtener certificados de identidad con Microsoft Active Directory Certificate Services.Para implementar certificados de AD CS, primero debe configurarse la integración de AD CS.
1
Selecciona AD CS como fuente de identidad
En Identity certificate, elige AD CS Certificate.
2
Abre la configuración de AD CS
Selecciona Configure AD CS Certificate para abrir el panel de configuración de AD CS.
3
Introduce el nombre del certificado
Introduce un Certificate name. Aparece en el perfil de configuración en Ajustes del Sistema.
4
Introduce el sujeto del certificado
Introduce un Certificate subject. Normalmente identifica el dispositivo dentro de la entidad de certificación. Puedes usar un valor estático o una variable global como
$SERIAL_NUMBER.5
Configura los nombres alternativos del sujeto
Agrega los Subject Alternative Names (SANs) necesarios que se enviarán en la solicitud de certificado.
6
Agrega el URI de asignación segura cuando sea necesario
Para admitir los requisitos de asignación segura de certificados de la actualización de Windows KB5014754, agrega este valor de SAN URI:
$ADCS_STRONG_MAPPING_ID. Para obtener una guía completa, consulta Configuración de la asignación segura de certificados de Active Directory.7
Establece la plantilla y el servidor de AD CS
Introduce el Template name de la plantilla de certificado de equipo de AD CS usada para generar certificados de AD CS y, a continuación, selecciona un AD CS server en el menú desplegable.
8
Selecciona el tamaño de clave y las opciones de clave privada
Selecciona un Key size. Opcionalmente, elige Allow apps to access the private key y Prevent the private key data from being extracted from the keychain según tus requisitos de seguridad.
9
Guarda la configuración
Selecciona Listo.
Obtener un certificado de identidad con SCEP
Puedes obtener certificados de identidad mediante Simple Certificate Enrollment Protocol (SCEP).1
Selecciona el tipo de certificado SCEP
Si quieres que el dispositivo cliente obtenga un certificado de identidad de un servicio SCEP, elige SCEP en Identity certificate.
2
Configura el certificado SCEP
Selecciona Configure SCEP Certificate. Se abre un panel que te permite configurar las opciones de SCEP.
3
Configura los detalles del servidor SCEP
Introduce la URL del servidor SCEP en URL. Opcionalmente, especifica un Nombre según lo requiera tu servidor SCEP (a menudo, el nombre de la CA a la que el servicio SCEP solicita un certificado). Opcionalmente, introduce la clave precompartida como el Challenge que espera el servidor SCEP. Opcionalmente, introduce la Fingerprint esperada del certificado de la entidad de certificación.
4
Configura el sujeto del certificado
Opcionalmente, proporciona el nombre que quieres que aparezca como Asunto de la identidad del certificado. Puedes usar un valor estático o una variable global, como CN=$EMAIL.
5
Configura los nombres alternativos del sujeto
Selecciona Specify Subject Alternative Names (SAN) si quieres proporcionar SAN para la identidad del certificado. Para cada SAN que quieras proporcionar, selecciona Add SAN Type, selecciona el tipo de SAN que quieres agregar: DNS Name, RFC 822 Name, Uniform Resource Identifier o NT Principal Name, e introduce el valor asociado que quieras agregar para cada tipo de SAN. Puedes usar un valor estático o una variable global.
6
Configura los ajustes de la clave
Elige el Key size. Colabora con tu administrador de red para asegurarte de elegir un tamaño de clave compatible; las claves más largas suelen proporcionar mayor seguridad. En Key usage, elige si quieres permitir que las claves se usen para Signing, Encryption, Both signing and encryption o Ninguno. Colabora con tu administrador de red para determinar qué derechos son necesarios.
7
Configura los ajustes de reintento
Si quieres que el dispositivo vuelva a intentar obtener automáticamente un certificado si el primer intento falla, selecciona Retries e introduce el número de reintentos. El valor predeterminado es 3. Si quieres introducir un retraso entre reintentos, selecciona Retry delay y especifica el número de segundos entre reintentos. El valor predeterminado es un retraso de 10 segundos entre reintentos.
8
Configura los ajustes de seguridad y acceso
Selecciona Don’t allow key to be extracted para impedir que se exporte la clave privada de la identidad del certificado desde el llavero de macOS. Selecciona Allow access to all apps si quieres permitir automáticamente que todas las apps accedan a la clave privada de la identidad del certificado y la usen.
9
Configura la administración de certificados
Selecciona Certificate expiration notification y especifica el número de días antes del vencimiento del certificado en que se empezará a notificar al usuario. De forma predeterminada, se notifica al usuario 14 días antes del vencimiento. Selecciona Automatic profile redistribution para renovar automáticamente el certificado el número de días especificado antes de que venza. De forma predeterminada, el certificado se renueva automáticamente 30 días antes del vencimiento.
Cuando Automatic profile redistribution está habilitado, especifica una variable global de usuario en los Subject Alternative Names (SAN) si se requiere información del usuario en el certificado. Esto es necesario porque el ID del Library Item Wi-Fi se agrega al Common Name del sujeto del certificado para hacer un seguimiento de la renovación del certificado.
10
Guarda la configuración de SCEP
Selecciona Listo para guardar la configuración del certificado SCEP.
Importar un archivo PKCS #12
Puedes proporcionar un único certificado de identidad para todos los dispositivos configurados subiendo un archivo con formato PKCS #12. Esto significa que todos los dispositivos usarán el mismo certificado, lo que dificulta que los administradores de red identifiquen dispositivos individuales por su inicio de sesión. Sin embargo, también significa que, si el certificado se ve comprometido, puede usarse para acceder a la red. Revocar este certificado impedirá que todos los dispositivos configurados accedan a la red.1
Selecciona el tipo de certificado PKCS #12
Si quieres proporcionar un certificado en formato PKCS #12, elige PKCS #12 en Identity certificate.
2
Configura el certificado PKCS #12
Selecciona Configure PKCS #12 para abrir el panel Configure PKCS #12.
3
Sube el certificado
Sube el certificado codificado en PKCS #12 en Certificado (arrastra el archivo o elige el archivo). Los tipos de archivo aceptados son
.p12 y .pfx.4
Introduce la contraseña del certificado
En el campo Certificate password, introduce la contraseña del certificado.
5
Configura los ajustes exclusivos de Apple
Expande Apple only settings y, a continuación, configura lo siguiente según sea necesario:
- Certificate name: introduce el nombre para mostrar del certificado.
- Allow apps to access the private key: selecciona esta opción si quieres que todas las apps tengan acceso a la clave privada.
- Prevent the private key data from being extracted in the keychain: selecciona esta opción si no quieres que los datos de la clave privada se puedan extraer del llavero. De forma predeterminada, los datos de la clave privada se pueden extraer.
6
Completa la configuración
Selecciona Listo para completar la configuración del certificado PKCS #12.
Artículos relacionados
Descripción general de la autenticación de red
Compara los tipos de autenticación Wi-Fi y cuándo usar opciones empresariales o no empresariales
Configurar el Library Item Wi-Fi
Configura el Library Item Wi-Fi para la implementación de red
Configurar el Library Item Ethernet
Configura la autenticación 802.1X para redes cableadas
Configurar los tipos de EAP (Extensible Authentication Protocol)
Configura los tipos de EAP para la autenticación 802.1X