Configurando perfis de certificado no Configuration Manager

Em um servidor que está executando o Windows Server 2012 R2, instale e configure o serviço de função Serviço de Registro de Dispositivo de Rede para a função de servidor Serviços de Certificados do Active Directory. Para mais informações, consulte Diretrizes do Serviço de Registro de Dispositivo de Rede na biblioteca de Serviços de Certificados do Active Directory no TechNet.

Verifique e, se necessário, modifique as permissões de segurança dos modelos de certificado que o Serviço de Registro de Dispositivo de Rede está usando:

- Para a conta que executa o console do Gerenciador de Configurações: Permissão de **Leitura**.

  Essa permissão é necessária para que, quando executar o Assistente para Criar Perfil de Certificado, você possa procurar pelo modelo de certificado que deseja utilizar e selecioná-lo ao criar um perfil de configurações do SCEP. Selecionar um modelo de certificado significa que algumas configurações do assistente são preenchidas automaticamente, de forma que você tenha menos configurações para definir e de que haja menos risco de selecionar configurações não compatíveis com os modelos de certificado que o Serviço de Registro de Dispositivo de Rede está usando.

- Para a conta de serviço do SCEP que o pool de aplicativos do Serviço de Registro de Dispositivo de Rede usa: permissões **Ler** e **Registrar**.

  Este requisito não é específico para o Gerenciador de Configurações, mas faz parte da configuração do Serviço de Registro de Dispositivo de Rede. Para mais informações, consulte [Diretrizes do Serviço de Registro de Dispositivo de Rede](https://go.microsoft.com/fwlink/p/?linkid=309016) na biblioteca de Serviços de Certificados do Active Directory no TechNet.

Dica
Para identificar quais modelos de certificado o Serviço de Registro de Dispositivo de Rede está usando, exiba a seguinte chave do Registro no servidor que está executando o Serviço de Registro de Dispositivo de Rede: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP.

Observação
Essas são as permissões de segurança padrão adequadas para a maioria dos ambientes. No entanto, você pode usar uma configuração de segurança alternativa. Para obter mais informações, consulte Planejando permissões de modelo de certificado para os perfis de certificado no Configuration Manager.

Implante um certificado PKI neste servidor que ofereça suporte à autenticação de clientes. Talvez você já tenha um certificado apropriado instalado no computador que possa usar, ou talvez tenha que (ou ainda prefira) implantar um certificado especificamente para este propósito. Para obter mais informações sobre os requisitos desse certificado, consulte os detalhes para “Servidores que executam o Módulo de Política do Configuration Manager com o serviço de função Serviço de Registro de Dispositivo de Rede” na seção Certificados PKI para servidores no tópico Requisitos de certificado PKI para o Configuration Manager.

Dica

Se precisar de ajuda para implantar esse certificado, você poderá usar as instruções de Implantando o certificado do cliente para pontos de distribuição no tópico Exemplo passo a passo para implantação dos certificados PKI para o Configuration Manager: Autoridade de certificação do Windows Server 2008, pois os requisitos de certificado são os mesmos, com uma exceção: Não selecione a caixa de seleção Permitir que a chave particular seja exportada na guia Tratamento de solicitação das propriedades do modelo de certificado. Não é necessário exportar este certificado com a chave privada porque você poderá navegar até a loja local do Computador e selecioná-lo ao configurar o Módulo de Política do Gerenciador de Configurações.

Localize o certificado raiz ao qual o certificado de autenticação de cliente se encadeia. Em seguida, exporte esse certificado da AC raiz para um arquivo de certificado (.cer). Salve esse arquivo em local seguro de onde possa acessá-lo mais tarde quando for instalar e configurar o servidor de sistema para o ponto de registro de certificado.

No mesmo servidor, use o editor de Registro para aumentar o tamanho limite da URL padrão para o IIS, definindo as seguintes chaves do Registro de valores DWORD no HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters:

- Defina a chave **MaxFieldLength** como **65534**.

- Defina a chave **MaxRequestBytes** como **16777216**.

Para obter mais informações, leia o artigo 820129: Configurações de Registro Http.sys para Windows na Base de Dados de Conhecimento Microsoft.

No mesmo servidor, no Gerenciador do IIS (Serviços de Informações da Internet), modifique as configurações de filtragem de solicitação do aplicativo /certsrv/mscep e reinicie o servidor. Na caixa de diálogo Editar Configurações de Filtragem de Solicitações, as configurações de Limites de Solicitações devem ser as seguintes:

- **Tamanho máximo de conteúdo permitido (Bytes)**: **30000000**

- **Tamanho máximo da URL (Bytes)**: **65534**

- **Cadeia de caracteres de consulta máxima (Bytes)**: **65534**

Para obter mais informações sobre estas configurações e sobre como defini-las, consulte Limites de solicitações na Biblioteca de Referência do IIS.

Se deseja poder solicitar um certificado com um período de validade inferior ao do modelo do certificado que está utilizando: Por padrão, essa configuração é desabilitada para uma AC corporativa. Para habilitar essa opção em uma AC corporativa, use a ferramenta de linha de comando Certutil, pare e reinicie o serviço de certificado usando os comandos a seguir:

1. certutil - setreg Policy\EditFlags +EDITF_ATTRIBUTEENDDATE

2. net stop certsvc

3. net start certsvc

Para mais informações, consulte Configurações e Ferramentas dos Serviços de Certificados na biblioteca de Tecnologias PKI no TechNet.

Verifique se o Serviço de Registro de Dispositivo de Rede está funcionando usando o seguinte link como exemplo: https://server.contoso.com/certsrv/mscep/mscep.dll. Você deverá ver a página da Web interna do Serviço de Registro de Dispositivo de Rede. Esta página da Web explica sobre o que é o serviço e explica que os dispositivos de rede usam a URL para submeterem os pedidos de certificado.

No console do Gerenciador de Configurações, clique em Administração.

No espaço de trabalho Administração, expanda Configuração de Site, clique em Funções de Servidores e Sistema de Site e selecione o servidor a ser usado para o ponto de registro do certificado.

Na guia Início, no grupo Servidor, clique em Adicionar Funções do Sistema de Site.

Na página Geral, especifique as configurações gerais para o sistema de site e clique em Próximo.

Na página Proxy, clique em Avançar. O ponto de registro de certificado não usa as configurações de proxy da internet.

Na página Seleção de Função do Sistema, selecione Ponto de Registro de Certificado na lista de funções disponíveis e clique em Avançar.

Na página Ponto de Registro de Certificado, aceite ou altere as configurações padrão e clique em Adicionar.

Na caixa de diálogo Adicionar URL e Certificado da AC Raiz, especifique o seguinte e clique em OK:

1. URL do Serviço de Registro de Dispositivo de Rede: Especifique a URL no seguinte formato: https://<server_FQDN>/certsrv/mscep/mscep.dll. Por exemplo, se o FQDN do servidor que está executando o Serviço de Registro de Dispositivo de Rede for server1.contoso.com, digite https://server1.contoso.com/certsrv/mscep/mscep.dll.

2. Certificado de AC Raiz: Navegue até e selecione o arquivo de certificado (.cer) criado e salvo na Etapa 1: Instale e configure o Serviço de Registro de Dispositivo de Rede e dependências. Este certificado da AC raiz permite que o ponto de registro de certificado valide o certificado de autenticação de cliente que o Módulo de Política do Gerenciador de Configurações ira usar.

Observação
Se estiver usando mais do que um servidor executando o Serviço de Registro de Dispositivo de Rede, clique em Adicionar para especificar os detalhes para os outros servidores.

Clique em Próximo e conclua o assistente.

Espere alguns minutos até que a instalação seja finalizada e verifique se o ponto de registro de certificado foi instalado com êxito, usando qualquer um dos métodos a seguir:

• No espaço de trabalho Monitoramento, expanda Status do Sistema, clique em Status do Componente e procure pelas mensagens de status do componente SMS_CERTIFICATE_REGISTRATION_POINT.

• No servidor do sistema de sites, use o arquivo <ConfigMgr Installation Path>\Logs\crpsetup.log e o arquivo <ConfigMgr Installation Path>\Logs\crpmsi.log. Uma instalação bem-sucedida retornará um código de saída igual a 0.

• Usando um navegador, verifique se é possível se conectar à URL do ponto de registro de certificado, por exemplo, https://server1.contoso.com/CMCertificateRegistration. Uma página de Erro do Servidor será exibida para o nome do aplicativo com uma descrição HTTP 404.

Localize o arquivo de certificado exportado para a AC raiz que o ponto de registro de certificado criou automaticamente na seguinte pasta no computador do servidor do site primário: <ConfigMgr Installation Path>\inboxes\certmgr.box. Salve este arquivo em um local seguro, onde você possa acessá-lo mais tarde quando for instalar o Módulo de Política do Gerenciador de Configurações no servidor que executa o Serviço de Registro de Dispositivo de Rede.

Dica
Este certificado não está imediatamente disponível nessa pasta. Talvez você precise esperar um pouco (ex.: meia hora) até que o Gerenciador de Configurações copie o arquivo para este local.

No servidor que executa o Serviço de Registro de Dispositivo de Rede, faça logon como administrador de domínio e copie os seguintes arquivos da pasta <ConfigMgrInstallationMedia>\SMSSETUP\POLICYMODULE\X64 na mídia de instalação do Gerenciador de Configurações para uma pasta temporária:

- PolicyModule.msi

- PolicyModuleSetup.exe

Além disso, se você possuir uma pasta LanguagePack na mídia de instalação, copie essa pasta e todo o seu conteúdo.

Execute PolicyModuleSetup.exe na pasta temporária para iniciar o Assistente de Instalação do Módulo de Política do Gerenciador de Configurações.

Na página inicial do assistente, clique em Avançar, aceite os temos da licença e clique em Avançar.

Na página Pasta de Instalação, aceite a pasta de instalação padrão do módulo de política ou especifique uma pasta alternativa e clique em Avançar.

Na página Ponto de Registro de Certificado, especifique a URL do ponto de registro de certificado usando o FQDN do servidor de sistema do site e o nome do aplicativo virtual especificado nas propriedades do ponto de registro de certificado. O nome padrão do aplicativo virtual é CMCertificateRegistration. Por exemplo, se o servidor de sistema do site tiver um FQDN igual a server1.contoso.com e você usou o nome padrão do aplicativo virtual, especifique https://server1.contoso.com/CMCertificateRegistration.

Aceite a porta padrão 443 ou especifique o número alternativo de porta que o ponto de registro de certificado está utilizando e clique em Avançar.

Na página Certificado do Cliente para o Módulo de Política, navegue até e especifique o certificado de autenticação de cliente implantado na Etapa 1: Instale e configure o Serviço de Registro de Dispositivo de Rede e dependências e clique em Próximo.

Na página Certificado do Ponto de Registro de Certificado, clique em Procurar para selecionar o arquivo de certificado exportado para a AC raiz localizado e salvo ao final da Etapa 2: Instale e configure o ponto de registro de certificado.

Observação

Se você não salvou este arquivo de certificado anteriormente, ele estará localizado em Clique em Próximo e conclua o assistente. Agora que você concluiu as etapas de configuração para instalar o Serviço de Registro de Dispositivo de Rede e as dependências, o ponto de registro de certificado e o Módulo de Política do Gerenciador de Configurações, você está pronto para implantar certificados em usuários e dispositivos criando e implantando os perfis de certificado. Para obter mais informações sobre como criar perfis de certificado, consulte Como criar perfis de certificado no Configuration Manager. Se desejar desinstalar o Módulo de Política do Gerenciador de Configurações, use Programas e Recursos no Painel de Controle. Consulte também Perfis de certificado no Configuration Manager