> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Usar certificados de identidad para la autenticación 802.1X

> Implementa certificados de identidad para la autenticación de red 802.1X con Iru Endpoint. Configura SCEP, entidades de certificación y perfiles de Wi-Fi o Ethernet.

<Callout icon="apple" color="#B84A7A" iconType="regular">La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro</Callout>

### Acerca de los certificados de identidad

En la autenticación 802.1X, los certificados de identidad autentican al cliente y al servidor. Son especialmente importantes en el método EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). EAP-TLS usa certificados digitales para autenticar tanto al cliente (solicitante) como al servidor (servidor de autenticación). Esta autenticación mutua garantiza que ambas partes confíen en la identidad de la otra antes de establecer una conexión segura.

<Note>
  Los certificados de identidad se pueden usar tanto en el [Library Item Wi-Fi](/es/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item) como en el [Library Item Ethernet](/es/endpoint/library/library-items-profiles/configure-the-ethernet-library-item).
</Note>

### Configurar un certificado de identidad

Ciertos tipos de autenticación requieren o permiten especificar un certificado de identidad para verificar la identidad del dispositivo. Estos certificados pueden proceder de diversas fuentes. Para la autenticación de red, asegúrate de que los certificados de identidad incluyan el derecho Client Authentication en su Extended Key Usage (EKU). Colabora con tu administrador de red para asegurarte de que el servicio de certificados y las plantillas estén configurados correctamente para tu red.

Si usas Microsoft Active Directory Certificate Services, puedes emitir certificados de identidad mediante la [descripción general de la integración de AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview). Los servidores de AD CS se agregan durante la [configuración de la integración de AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration), y las solicitudes de certificados dependen de la [plantilla de certificado de equipo de AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-create-a-computer-certificate-template) configurada.

### Obtener un certificado de identidad con AD CS

Puedes obtener certificados de identidad con Microsoft Active Directory Certificate Services.

<Note>
  Para implementar certificados de AD CS, primero debe configurarse la [integración de AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview).
</Note>

<Steps>
  <Step title="Selecciona AD CS como fuente de identidad">
    En **Identity certificate**, elige **AD CS Certificate**.
  </Step>

  <Step title="Abre la configuración de AD CS">
    Selecciona **Configure AD CS Certificate** para abrir el panel de configuración de AD CS.
  </Step>

  <Step title="Introduce el nombre del certificado">
    Introduce un **Certificate name**. Aparece en el perfil de configuración en Ajustes del Sistema.
  </Step>

  <Step title="Introduce el sujeto del certificado">
    Introduce un **Certificate subject**. Normalmente identifica el dispositivo dentro de la entidad de certificación. Puedes usar un valor estático o una variable global como `$SERIAL_NUMBER`.
  </Step>

  <Step title="Configura los nombres alternativos del sujeto">
    Agrega los **Subject Alternative Names (SANs)** necesarios que se enviarán en la solicitud de certificado.
  </Step>

  <Step title="Agrega el URI de asignación segura cuando sea necesario">
    Para admitir los requisitos de asignación segura de certificados de la actualización de Windows [KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16), agrega este valor de SAN URI: `$ADCS_STRONG_MAPPING_ID`. Para obtener una guía completa, consulta [Configuración de la asignación segura de certificados de Active Directory](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-strong-mapping-configuration).
  </Step>

  <Step title="Establece la plantilla y el servidor de AD CS">
    Introduce el **Template name** de la plantilla de certificado de equipo de AD CS usada para generar certificados de AD CS y, a continuación, selecciona un **AD CS server** en el menú desplegable.
  </Step>

  <Step title="Selecciona el tamaño de clave y las opciones de clave privada">
    Selecciona un **Key size**. Opcionalmente, elige **Allow apps to access the private key** y **Prevent the private key data from being extracted from the keychain** según tus requisitos de seguridad.
  </Step>

  <Step title="Guarda la configuración">
    Selecciona **Listo**.
  </Step>
</Steps>

### Obtener un certificado de identidad con SCEP

Puedes obtener certificados de identidad mediante Simple Certificate Enrollment Protocol (SCEP).

<Steps>
  <Step title="Selecciona el tipo de certificado SCEP">
    Si quieres que el dispositivo cliente obtenga un certificado de identidad de un servicio SCEP, elige **SCEP** en **Identity certificate**.
  </Step>

  <Step title="Configura el certificado SCEP">
    Selecciona **Configure SCEP Certificate**. Se abre un panel que te permite configurar las opciones de SCEP.
  </Step>

  <Step title="Configura los detalles del servidor SCEP">
    Introduce la URL del servidor SCEP en **URL**. Opcionalmente, especifica un **Nombre** según lo requiera tu servidor SCEP (a menudo, el nombre de la CA a la que el servicio SCEP solicita un certificado). Opcionalmente, introduce la clave precompartida como el **Challenge** que espera el servidor SCEP. Opcionalmente, introduce la **Fingerprint** esperada del certificado de la entidad de certificación.
  </Step>

  <Step title="Configura el sujeto del certificado">
    Opcionalmente, proporciona el nombre que quieres que aparezca como **Asunto** de la identidad del certificado. Puedes usar un valor estático o una variable global, como CN=\$EMAIL.
  </Step>

  <Step title="Configura los nombres alternativos del sujeto">
    Selecciona **Specify Subject Alternative Names (SAN)** si quieres proporcionar SAN para la identidad del certificado. Para cada SAN que quieras proporcionar, selecciona **Add SAN Type**, selecciona el tipo de SAN que quieres agregar: **DNS Name**, **RFC 822 Name**, **Uniform Resource Identifier** o **NT Principal Name**, e introduce el valor asociado que quieras agregar para cada tipo de SAN. Puedes usar un valor estático o una variable global.
  </Step>

  <Step title="Configura los ajustes de la clave">
    Elige el **Key size**. Colabora con tu administrador de red para asegurarte de elegir un tamaño de clave compatible; las claves más largas suelen proporcionar mayor seguridad. En **Key usage**, elige si quieres permitir que las claves se usen para **Signing**, **Encryption**, **Both signing and encryption** o **Ninguno**. Colabora con tu administrador de red para determinar qué derechos son necesarios.

    <Frame>
      <img src="https://mintcdn.com/iru/Ly6qLp_EGhIu2ep-/assets/media/images/iru-configure-scep-details.png?fit=max&auto=format&n=Ly6qLp_EGhIu2ep-&q=85&s=f8ec74ea0b5dc3de4d3cc092a7f10ce1" alt="Interfaz de configuración de los detalles del certificado SCEP" width="1962" height="1970" data-path="assets/media/images/iru-configure-scep-details.png" />
    </Frame>
  </Step>

  <Step title="Configura los ajustes de reintento">
    Si quieres que el dispositivo vuelva a intentar obtener automáticamente un certificado si el primer intento falla, selecciona **Retries** e introduce el número de reintentos. El valor predeterminado es 3. Si quieres introducir un retraso entre reintentos, selecciona **Retry delay** y especifica el número de segundos entre reintentos. El valor predeterminado es un retraso de 10 segundos entre reintentos.
  </Step>

  <Step title="Configura los ajustes de seguridad y acceso">
    Selecciona **Don't allow key to be extracted** para impedir que se exporte la clave privada de la identidad del certificado desde el llavero de macOS. Selecciona **Allow access to all apps** si quieres permitir automáticamente que todas las apps accedan a la clave privada de la identidad del certificado y la usen.
  </Step>

  <Step title="Configura la administración de certificados">
    Selecciona **Certificate expiration notification** y especifica el número de días antes del vencimiento del certificado en que se empezará a notificar al usuario. De forma predeterminada, se notifica al usuario 14 días antes del vencimiento. Selecciona **Automatic profile redistribution** para renovar automáticamente el certificado el número de días especificado antes de que venza. De forma predeterminada, el certificado se renueva automáticamente 30 días antes del vencimiento.

    <Note>
      Cuando **Automatic profile redistribution** está habilitado, especifica una variable global de usuario en los Subject Alternative Names (SAN) si se requiere información del usuario en el certificado. Esto es necesario porque el ID del Library Item Wi-Fi se agrega al Common Name del sujeto del certificado para hacer un seguimiento de la renovación del certificado.
    </Note>
  </Step>

  <Step title="Guarda la configuración de SCEP">
    Selecciona **Listo** para guardar la configuración del certificado SCEP.
  </Step>
</Steps>

### Importar un archivo PKCS #12

Puedes proporcionar un único certificado de identidad para todos los dispositivos configurados subiendo un archivo con formato PKCS #12. Esto significa que todos los dispositivos usarán el mismo certificado, lo que dificulta que los administradores de red identifiquen dispositivos individuales por su inicio de sesión. Sin embargo, también significa que, si el certificado se ve comprometido, puede usarse para acceder a la red. Revocar este certificado impedirá que todos los dispositivos configurados accedan a la red.

<Steps>
  <Step title="Selecciona el tipo de certificado PKCS #12">
    Si quieres proporcionar un certificado en formato PKCS #12, elige **PKCS #12** en **Identity certificate**.
  </Step>

  <Step title="Configura el certificado PKCS #12">
    Selecciona **Configure PKCS #12** para abrir el panel **Configure PKCS #12**.
  </Step>

  <Step title="Sube el certificado">
    Sube el certificado codificado en PKCS #12 en **Certificado** (arrastra el archivo o elige el archivo). Los tipos de archivo aceptados son `.p12` y `.pfx`.
  </Step>

  <Step title="Introduce la contraseña del certificado">
    En el campo **Certificate password**, introduce la contraseña del certificado.

    <Frame>
      <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-certificate-type-pkcs12.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=ba093d448a0e5b85f54a21c4cebce04a" alt="Tipo de certificado PKCS 12 con los campos de carga del certificado y contraseña del certificado" width="898" height="1050" data-path="assets/media/images/iru-certificate-type-pkcs12.png" />
    </Frame>
  </Step>

  <Step title="Configura los ajustes exclusivos de Apple">
    Expande **Apple only settings** y, a continuación, configura lo siguiente según sea necesario:

    * **Certificate name**: introduce el nombre para mostrar del certificado.
    * **Allow apps to access the private key**: selecciona esta opción si quieres que todas las apps tengan acceso a la clave privada.
    * **Prevent the private key data from being extracted in the keychain**: selecciona esta opción si no quieres que los datos de la clave privada se puedan extraer del llavero. De forma predeterminada, los datos de la clave privada se pueden extraer.

    <Frame>
      <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-certificate-pkcs12-apple-only-options.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=c003c8e025d95c751e7100a0e0783530" alt="Ajustes exclusivos de Apple de PKCS 12 con Certificate name y opciones de clave privada" width="1750" height="540" data-path="assets/media/images/iru-certificate-pkcs12-apple-only-options.png" />
    </Frame>
  </Step>

  <Step title="Completa la configuración">
    Selecciona **Listo** para completar la configuración del certificado PKCS #12.
  </Step>
</Steps>

### Artículos relacionados

<CardGroup cols={2}>
  <Card title="Descripción general de la autenticación de red" icon="wifi" href="/es/endpoint/networking-and-connectivity/network-authentication-overview">
    Compara los tipos de autenticación Wi-Fi y cuándo usar opciones empresariales o no empresariales
  </Card>

  <Card title="Configurar el Library Item Wi-Fi" icon="wifi" href="/es/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item">
    Configura el Library Item Wi-Fi para la implementación de red
  </Card>

  <Card title="Configurar el Library Item Ethernet" icon="network-wired" href="/es/endpoint/library/library-items-profiles/configure-the-ethernet-library-item">
    Configura la autenticación 802.1X para redes cableadas
  </Card>

  <Card title="Configurar los tipos de EAP (Extensible Authentication Protocol)" icon="apple" href="/es/endpoint/library/deployment-guides/apple/configure-eap-extensible-authentication-protocol-types">
    Configura los tipos de EAP para la autenticación 802.1X
  </Card>
</CardGroup>