Como criar perfis de certificado no Configuration Manager

Para iniciar o Assistente para Criar Perfil de Certificado

1. No console do Gerenciador de Configurações, clique em Ativos e Conformidade.

2. No espaço de trabalho Ativos e Conformidade, expanda Configurações de Conformidade, expanda Acesso ao Recurso da Empresa e clique em Perfis de Certificado.

3. Na guia Início, no grupo Criar, clique em Criar Perfil Certificado.

Para fornecer informações gerais sobre o perfil de certificado

1. Na página Geral do Assistente para Criar Perfil de Certificado, especifique as seguintes informações:

   - **Nome**: insira um nome exclusivo para o perfil de certificado. Você pode usar no máximo 256 caracteres.
   
   - **Descrição**: forneça uma descrição que dê uma visão geral do perfil de certificado e outras informações relevantes que ajudem a identificá-lo no console do Gerenciador de Configurações. Você pode usar no máximo 256 caracteres.
   
   - **Especifique o tipo de perfil de certificado que deseja criar**: Escolha um dos seguintes tipos de perfil de certificado:
   
       - **Certificado da AC confiável**: Selecione este tipo de perfil de certificado se deseja implantar uma autoridade de certificação (AC) raiz confiável, ou intermediar o certificado da AC para formar uma cadeia de confiança de certificado para quando o usuário, ou dispositivo, precisar autenticar outro dispositivo. Por exemplo, o dispositivo pode ser um servidor RADIUS ou VPN (rede virtual privada). Você também deve configurar um perfil de certificado de autoridade de certificação confiável antes de criar um perfil de certificado SCEP. Neste caso, o certificado de autoridade de certificação confiável tem que ser o certificado confiável raiz da AC que emitirá o certificado para o usuário ou dispositivo.
   
       - **Configurações do SCEP**: Selecione este tipo de perfil de certificado se desejar solicitar um certificado para um usuário ou dispositivo, usando o SCEP e o serviço da função de Serviço de Registro de Dispositivo de Rede.
   

Para configurar um certificado de autoridade de certificação confiável

1. Na página Certificado da AC Confiável do Assistente para Criar Perfil de Certificado, especifique as seguintes informações:

   - **Arquivo de certificado**: Clique em **Importar** e então procure pelo arquivo de certificado que deseja utilizar.
   
   - **Repositório de destino**: Para dispositivos que possuem mais de um repositório de certificados, selecione onde armazenar o certificado. Para dispositivos que têm apenas um repositório, esta configuração será ignorada.
   

2. Use o valor da Impressão digital do certificado para verificar se importou o certificado correto.

Para configurar as informações de certificado SCEP

1. Na página Registro do SCEP do Assistente para Criar Perfil de Certificado, especifique as informações a seguir:

   - **Tentativas**: especifique o número de vezes que o dispositivo tenta automaticamente solicitar o certificado de novo ao servidor executando o Serviço de Registro de Dispositivo de Rede. Esta configuração oferece suporte ao cenário em que o gerenciador da AC deve aprovar uma solicitação de certificado antes que ela seja aceita. Esta configuração é normalmente usada em ambientes de alta segurança ou caso tenha uma AC emissora autônoma, ao invés de uma AC corporativa. Você também pode usar essa configuração para fins de teste, a fim de inspecionar as opções de solicitação de certificado antes que os processos da AC emissora processe a solicitação de certificado. Use essa configuração com a **Intervalo entre tentativas (minutos)**.
   
   - **Intervalo entre tentativas (minutos)**: especifique o intervalo, em minutos, entre cada tentativa de registro ao usar uma aprovação de gerenciador de AC antes que a AC emissora processe a solicitação de certificado. Se for usar a aprovação de gerenciador para fins de teste, provavelmente vai preferir especificar um valor baixo para não ter que ficar esperando muito tempo até que o dispositivo tente solicitar o certificado novamente depois que você aprovou a solicitação. No entanto, se for usar a aprovação de gerenciador em uma rede de produção, provavelmente vai preferir especificar um valor alto para dar tempo suficiente ao administrador da AC para que verifique e aprove ou recuse as aprovações pendentes.
   
   - **Limite de renovação (%)**: Especifique o percentual do tempo de vida do certificado que restante antes da renovação das solicitações de dispositivo do certificado.
   
   - **Provedor de Armazenamento de Chaves (KSP)**: Especifique onde a chave para o certificado será armazenada. Escolha um destes valores:
   
       - **Instalar em um Trusted Platform Module (TPM), se houver**: Instala a chave ao TPM. Se o TPM não estiver presente, a chave será instalada no provedor de armazenamento para a chave de software.
   
       - **Instalar em um Trusted Platform Module (TPM), do contrário, falha**: Instala a chave ao TPM. Se o módulo TPM não estiver presente, a instalação falhará.
   
       - **Instalar o provedor de armazenamento de chaves de Software**: Instala a chave para o provedor de armazenamento de chave de software.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Dispositivos para registro de certificado**: Se o perfil de certificado for implantado na coleção de um usuário, escolha permitir o registro do certificado apenas no dispositivo primário do usuário ou em todos os dispositivos em que o usuário faz logon. Se o perfil de certificado for implantado em uma coleção de dispositivos, escolha permitir se o registro do certificado é feito apenas pelo usuário primário do dispositivo ou por todos os usuários que fazem logon nele.
   

2. Na página Propriedades do Certificado do Assistente para Criar Perfil de Certificado, especifique as seguintes informações:

   - **Nome do modelo de certificado**: Clique em **Procurar** para selecionar o nome de um modelo de certificado que o Serviço de Registro de Dispositivo de Rede esteja configurado a usar e que tenha sido adicionado a uma AC emissora. Para procurar pelos modelos de certificado, a conta de usuário que estiver usando para executar o console do Gerenciador de Configurações tem que ter permissão de Leitura para o modelo de certificado. Alternativamente, se não puder usar **Procurar**, digite o nome do modelo de certificado.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/Hh427332.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-important(TechNet.10).jpeg" title="System_CAPS_important" alt="System_CAPS_important" />Importante</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se o nome do modelo de certificado contiver caracteres não ASCII (ex.: caracteres do alfabeto chinês), o certificado não será implantado. Para garantir que o certificado será implantado, primeiro crie uma cópia do modelo do certificado na AC e renomeie a cópia usando caracteres ASCII.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
     Observe o seguinte, dependendo se você navega até o modelo de certificado ou digita o nome do certificado:
   
       - Se você navega para selecionar o nome do modelo de certificado, alguns campos da página são automaticamente populados por meio do modelo de certificado. Em alguns casos, você não pode alterar esses valores, a menos que escolha um modelo de certificado diferente.
   
       - Caso digite o nome do modelo de certificado, certifique-se de que o nome corresponda exatamente com um dos modelos de certificado relacionados no registro do servidor executando o Serviço de Registro de Dispositivo de Rede. Certifique-se de especificar o nome do modelo de certificado e não o nome para exibição do modelo de certificado.
   
         Para encontrar os nomes dos modelos de certificado, navegue até a seguinte chave: HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Cryptography\\MSCEP. Você verá os modelos de certificado listados como os valores para **EncryptionTemplate**, **GeneralPurposeTemplate** e **SignatureTemplate**. Por padrão, o valor para todos os modelos de certificado é **IPSECIntermediateOffline**, que mapeia até o nome de exibição do modelo do **IPSec (solicitação offline)**.
   
         <div class="alert">
   
         <table>
         <colgroup>
         <col style="width: 100%" />
         </colgroup>
         <thead>
         <tr class="header">
         <th><img src="images/Hh427332.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-warning(TechNet.10).jpeg" title="System_CAPS_warning" alt="System_CAPS_warning" />Aviso</th>
         </tr>
         </thead>
         <tbody>
         <tr class="odd">
         <td><p>Como o Gerenciador de Configurações não pode verificar os conteúdos do modelo de certificado quando o nome do modelo de certificado é digitado ao invés de se procurar por ele, você deve ser capaz de selecionar opções às quais o modelo de certificado não oferece suporte e que acarretarão uma falha de solicitação de certificado. Quando isso acontece, uma mensagem de erro é exibida para o w3wp.exe no arquivo CPR.log informando que o nome do modelo no CSR não corresponde com o desafio.</p>
         <p>Ao digitar o nome do modelo do certificado especificado para o valor de <strong>GeneralPurposeTemplate</strong>, você deve selecionar a <strong>Codificação de chave</strong> e as opções de <strong>Assinatura digital</strong> para este perfil de certificado. No entanto, se deseja habilitar apenas a opção <strong>Codificação de chave</strong> neste perfil de certificado, especifique o nome do modelo de certificado para a chave <strong>EncryptionTemplate</strong>. Do mesmo modo, se deseja habilitar apenas a opção <strong>Assinatura digital</strong> neste perfil de certificado, especifique o nome do modelo de certificado para a chave <strong>SignatureTemplate</strong>.</p></td>
         </tr>
         </tbody>
         </table>
   
         </div>
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Tipo de certificado**: Selecione se o certificado será implantado em um dispositivo ou em um usuário.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Formato de nome de entidade**: Na lista, selecione como o Gerenciador de Configurações cria automaticamente o nome da entidade na solicitação de certificado. Se o certificado for para um usuário, você também pode incluir o endereço de email do usuário no nome da entidade.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Nome alternativo da entidade**: Especifique como o Gerenciador de Configurações irá criar automaticamente os valores para o nome alternativo da entidade (SAN) na solicitação de certificado. Se tiver selecionado um tipo de certificado de usuário, por exemplo, você pode incluir o UPN no nome alternativo da entidade.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/Gg712282.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-tip(TechNet.10).jpeg" title="System_CAPS_tip" alt="System_CAPS_tip" />Dica</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se o certificado do cliente for usado para autenticar em um Servidor de Políticas de Rede, você deve definir o nome alternativo da entidade como o UPN.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/Hh427332.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-important(TechNet.10).jpeg" title="System_CAPS_important" alt="System_CAPS_important" />Importante</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Dispositivos iOS oferecem suporte a formatos de nome de entidade limitados e a nomes alternativos de entidade em certificados SCEP. Se você especificar um formato sem suporte, os certificados não serão registrados em dispositivos iOS. Ao configurar um perfil de certificado SCEP para ser implantado em dispositivos iOS, use o <strong>nome Comum</strong> para o <strong>Formato do nome da entidade</strong> e o <strong>nome DNS</strong>, o <strong>endereço de email</strong> ou o <strong>UPN</strong> para o <strong>Nome alternativo da entidade</strong>.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Período de validade do certificado**: Se executou o comando certutil - setreg Policy\\EditFlags +EDITF\_ATTRIBUTEENDDATE na AC emissora, que permite um período de validade personalizado, você pode especificar a quantidade de tempo restante antes que o certificado expire. Para obter mais informações sobre esse comando, consulte [Etapa 1: instalar e configurar o Serviço de Registro de Dispositivo de Rede e as dependências](dn270539\(v=technet.10\).md) no tópico [Configurando perfis de certificado no Configuration Manager](dn270539\(v=technet.10\).md).
   
     Você pode especificar um valor inferior ao período de validade do modelo de certificado especificado, mas não superior. Por exemplo, se o período de validade do certificado em um modelo de certificado for de dois anos, você pode especificar um valor de um ano, mas não de cinco anos. O valor também tem que ser inferior ao período de validade restante do certificado da AC emissora.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Uso de chave**: Especifica opções de uso de chave do certificado. Você pode escolher entre as seguintes opções:
   
       - **Codificação de chave**: Permite a troca de chaves apenas se ela for criptografada.
   
       - **Assinatura digital**: Permitir troca de chaves apenas quando uma assinatura digital ajuda a proteger a chave.
   
         Se você selecionou um modelo de certificado usando **Procurar**, talvez não seja possível alterar essas definições a não ser que você selecione um modelo de certificado diferente.
   
     O modelo de certificado selecionado por você deve ser configurado com uma ou ambas as opções acima de uso da chave. Se não for assim, você verá a mensagem **Uso da chave no CSR não corresponde ao desafio** no arquivo de log do ponto de registro de certificado, **Crp.log**.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Tamanho da chave (bits)**: Selecione o tamanho da chave em bits.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Uso estendido da chave**: Clique em **Selecionar** para adicionar valores para a finalidade desejada do certificado. Na maioria dos casos, o certificado exigirá **Autenticação de cliente** para que o usuário ou dispositivo possa autenticar-se em um servidor. No entanto, você pode adicionar outros usos da chave conforme necessário.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Algoritmo de hash**: Selecione um dos tipos de algoritmo de hash disponíveis para uso com esse certificado. Selecione o nível mais alto de segurança que dá suporte aos dispositivos de conexão.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>O <strong>SHA-1</strong> dá suporte apenas ao SHA-1. O <strong>SHA-2</strong> dá suporte ao SHA-256, SHA-384 e SHA-512. O <strong>SHA-3</strong> dá suporte apenas ao SHA-3.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
   - **Certificado de AC Raiz**: Clique em **Selecionar** para escolher um perfil de certificado de AC raiz configurado anteriormente e implantado para o usuário ou dispositivo raiz. Esse certificado AC deve ser o certificado raiz da AC que emite o certificado que você está configurando nesse perfil de certificado.
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/Hh427332.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-important(TechNet.10).jpeg" title="System_CAPS_important" alt="System_CAPS_important" />Importante</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se especificar um AC raiz que não está implantado no usuário ou dispositivo, o Gerenciador de Configurações não iniciará a solicitação de certificado que você está configurando nesse perfil de certificado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   
     <div class="alert">
   
     <table>
     <colgroup>
     <col style="width: 100%" />
     </colgroup>
     <thead>
     <tr class="header">
     <th><img src="images/JJ851033.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />Observação</th>
     </tr>
     </thead>
     <tbody>
     <tr class="odd">
     <td><p>Se você alterar esse valor após o certificado ser implantado, o certificado antigo será excluído e um novo certificado será solicitado.</p></td>
     </tr>
     </tbody>
     </table>
   
     </div>
   

Para especificar as plataformas com suporte para o perfil de certificado

• Na página Plataformas com suporte do Assistente para Criar Perfil de Certificado, selecione os sistemas operacionais nos quais deseja instalar o perfil de certificado. Ou, clique em Selecionar Tudo para instalar o perfil de certificado em todos os sistemas operacionais disponíveis.