Guia de implementação de confiança de certificados híbridos

Este artigo descreve as funcionalidades ou cenários do Windows Hello para Empresas que se aplicam a:

• Tipo de implementação:híbrido
• Tipo de
• Tipo de associação:associados híbridos ao Microsoft Entra

Requisitos

Antes de iniciar a implementação, reveja os requisitos descritos no artigo Planear uma Implementação do Windows Hello para Empresas .

Certifique-se de que os seguintes requisitos são cumpridos antes de começar:

Etapas de implantação

Autenticação federada no Microsoft Entra ID

A confiança de certificados híbridos do Windows Hello para Empresas requer que o Active Directory seja federado com o Microsoft Entra ID através do AD FS. Também tem de configurar o farm do AD FS para suportar dispositivos registados no Microsoft Entra.

Se não estiver familiarizado com o AD FS e os serviços de federação:

• Rever os principais conceitos do AD FS antes de implementar o farm do AD FS
• Reveja o guia de estrutura do AD FS para conceber e planear o seu serviço de federação

Assim que tiver a estrutura do AD FS pronta, reveja a implementação de um farm de servidores de federação para configurar o AD FS no seu ambiente

O farm do AD FS usado com o Windows Hello para Empresas deve ser o Windows Server 2016 com a atualização mínima KB4088889 (14393.2155).

Registo de dispositivos e repetição de escrita de dispositivos

Os dispositivos Windows têm de estar registados no Microsoft Entra ID. Os dispositivos podem ser registados no Microsoft Entra ID através da associação do Microsoft Entra ou da associação híbrida do Microsoft Entra.
Para dispositivos associados híbridos do Microsoft Entra, reveja a documentação de orientação sobre o plano da sua página de implementação de associação híbrida do Microsoft Entra .

Veja o guia Configurar a associação híbrida do Microsoft Entra para domínios federados para saber mais sobre como utilizar o Microsoft Entra Connect Sync para configurar o registo de dispositivos do Microsoft Entra.
Para obter uma configuração manual do farm do AD FS para suportar o registo de dispositivos, veja o guia Configurar o AD FS para o registo de dispositivos do Microsoft Entra .

As implementações de confiança de certificados híbridas requerem a funcionalidade de write-back do dispositivo . A autenticação no AD FS precisa que o utilizador e o dispositivo se autentiquem. Em geral, os usuários estão sincronizados, diferente dos dispositivos. Isto impede o AD FS de autenticar o dispositivo e resulta em falhas de inscrição de certificados do Windows Hello para Empresas. Por este motivo, as implementações do Windows Hello para Empresas precisam de repetição de escrita de dispositivos.

Se tiver configurado manualmente o AD FS ou se tiver executado a Sincronização do Microsoft Entra Connect através das Definições Personalizadas, tem de se certificar de que configura a repetição de escrita de dispositivos e a autenticação de dispositivos no farm do AD FS. Para obter mais informações, veja Configurar a Repetição de Escrita de Dispositivos e a Autenticação de Dispositivos.

Infraestrutura de chave pública

É necessária uma infraestrutura de chaves públicas (PKI) empresarial como âncora de fidedignidade para autenticação. Os controladores de domínio necessitam de um certificado para os clientes Windows confiarem nos mesmos.
A PKI empresarial e uma autoridade de registo de certificados (CRA) são necessárias para emitir certificados de autenticação para os utilizadores. A implementação de confiança de certificados híbridos utiliza o AD FS como uma CRA.

Durante o aprovisionamento do Windows Hello para Empresas, os utilizadores recebem um certificado de início de sessão através da CRA.

Próximas etapas