Configurando um servidor de Atestado de Integridade de Dispositivo (DHA) local

Last published : Oct 21, 2026
Você pode habilitar o Atestado de Integridade de Dispositivo (DHA) para dispositivos móveis Windows 10 e Windows 11 por meio de um servidor Windows local. Para habilitar o DHA localmente, primeiro você configura um servidor DHA.
Depois de configurar o servidor DHA, você cria uma política do XenMobile Server para habilitar o serviço DHA local. Para obter informações sobre como criar esta política, consulte Política de dispositivo de Atestado de Integridade de Dispositivo.
Related information
Conceitos Avançados

Pré-requisitos para um servidor DHA

  • Um servidor executando o Windows Server Technical Preview 5 ou posterior, instalado usando a opção de instalação Experiência Desktop.
  • Um ou mais dispositivos cliente Windows 10 e Windows 11. Esses dispositivos devem ter TPM 1.2 ou 2.0 executando a versão mais recente do Windows.
  • Estes certificados:
    • Certificado SSL DHA: Um certificado SSL x.509 que se encadeia a uma raiz confiável corporativa com uma chave privada exportável. Este certificado protege as comunicações de dados DHA em trânsito, incluindo as seguintes comunicações:
      • servidor para servidor (serviço DHA e servidor MDM)
      • servidor para cliente (serviço DHA e um dispositivo Windows 10 ou Windows 11)
    • Certificado de assinatura DHA: Um certificado x.509 que se encadeia a uma raiz confiável corporativa com uma chave privada exportável. O serviço DHA usa este certificado para assinatura digital.
    • Certificado de criptografia DHA: Um certificado x.509 que se encadeia a uma raiz confiável corporativa com uma chave privada exportável. O serviço DHA também usa este certificado para criptografia.
  • Escolha um destes modos de validação de certificado:
    • EKCert: O modo de validação EKCert é otimizado para dispositivos em organizações que não estão conectadas à Internet. Dispositivos que se conectam a um serviço DHA executando no modo de validação EKCert não têm acesso direto à Internet.
    • AIKCert: O modo de validação AIKCert é otimizado para ambientes operacionais que têm acesso à Internet. Dispositivos que se conectam a um serviço DHA executando no modo de validação AIKCert devem ter acesso direto à Internet e podem obter um certificado AIK da Microsoft.

Adicionar a função de servidor DHA ao servidor Windows

  1. No servidor Windows, se o Gerenciador do Servidor ainda não estiver aberto, clique em Iniciar e depois em Gerenciador do Servidor.
  2. Clique em Adicionar funções e recursos.
  3. Na página Antes de começar, clique em Avançar.
  4. Na página Selecionar tipo de instalação, clique em Instalação baseada em função ou recurso e depois em Avançar.
  5. Na página Selecionar servidor de destino, clique em Selecionar um servidor do pool de servidores, selecione o servidor e depois clique em Avançar.
  6. Na página Selecionar funções de servidor, selecione a caixa de seleção Atestado de Integridade do Dispositivo.
  7. Opcional: Clique em Adicionar Recursos para instalar outros serviços de função e recursos necessários.
  8. Clique em Avançar.
  9. Na página Selecionar recursos, clique em Avançar.
  10. Na página Função de Servidor Web (IIS), clique em Avançar.
  11. Na página Selecionar serviços de função, clique em Avançar.
  12. Na página Serviço de Atestado de Integridade do Dispositivo, clique em Avançar.
  13. Na página Confirmar seleções de instalação, clique em Instalar.
  14. Quando a instalação for concluída, clique em Fechar.

Adicionar o certificado SSL ao armazenamento de certificados do servidor

  1. Vá para o arquivo de certificado SSL e selecione-o.
  2. Selecione Usuário atual como o local de armazenamento e clique em Avançar.
    Imagem do Windows Server Manager
  3. Digite a senha da chave privada.
  4. Certifique-se de que a opção de importação Incluir todas as propriedades estendidas esteja selecionada. Clique em Avançar.
    Imagem do Windows Server Manager
  5. Quando esta janela aparecer, clique em Sim.
    Imagem do Windows Server Manager
  6. Confirme se o certificado está instalado:
    1. Abra uma janela do Prompt de Comando.
    2. Digite mmc e pressione a tecla Enter. Para visualizar certificados no armazenamento da máquina local, você deve estar na função de Administrador.
    3. No menu Arquivo, clique em Adicionar/Remover Snap-in.
    4. Clique em Adicionar.
    5. Na caixa de diálogo Adicionar Snap-in Autônomo, selecione Certificados.
    6. Clique em Adicionar.
    7. Na caixa de diálogo Certificates snap-in, selecione Minha conta de usuário. (Se você estiver conectado como titular de uma conta de serviço, selecione Conta de serviço.)
    8. Na caixa de diálogo Selecionar Computador, clique em Concluir.
      Imagem do Gerenciador de Servidores do Windows
  7. Vá para Gerenciador de Servidores > IIS e selecione Certificados de Servidor na lista de ícones.
    Imagem do Gerenciador de Servidores do Windows
  8. No menu Ação, selecione Importar... para importar o certificado SSL.
    Imagem do Gerenciador de Servidores do Windows

Recupere e salve a impressão digital do certificado

  1. Na barra de pesquisa do Explorador de Arquivos, digite mmc.
  2. Na janela Raiz do Console, clique em Arquivo > Adicionar/Remover Snap-in….
    Imagem do Explorador de Arquivos do Windows
  3. Selecione o certificado de um snap-in disponível e adicione-o aos snap-ins selecionados.
    Imagem de Adicionar ou Remover Snap-ins do Windows
  4. Selecione Minha conta de usuário.
    Imagem de Adicionar ou Remover Snap-ins do Windows(/en-us/xenmobile/server/media/configure-dha-thumbprint3.png)
  5. Selecione o certificado e clique em OK.
    Imagem de Adicionar ou Remover Snap-ins do Windows(/en-us/xenmobile/server/media/configure-dha-thumbprint4.png)
  6. Clique duas vezes no certificado e selecione a guia Detalhes. Role para baixo para ver o thumbprint do certificado.
    Imagem de Adicionar ou Remover Snap-ins do Windows(/en-us/xenmobile/server/media/configure-dha-thumbprint5.png)
  7. Copie o thumbprint para um arquivo. Remova os espaços ao usar o thumbprint em comandos do PowerShell.

Instalar os certificados de assinatura e criptografia

Execute estes comandos do PowerShell no servidor Windows para instalar os certificados de assinatura e criptografia.
Substitua o espaço reservado ReplaceWithThumbprint e coloque-o entre aspas duplas, conforme mostrado.
$key = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -like "ReplaceWithThumbprint"}

$keyname = $key.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

$keypath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\" + $keyname icacls $keypath /grant IIS_IUSRS`:R

Extrair o certificado raiz TPM e instalar o pacote de certificados confiáveis

Execute estes comandos no servidor Windows:
mkdir .\TrustedTpm

expand -F:\* .\TrustedTpm.cab .\TrustedTpm

cd .\TrustedTpm

.\setup.cmd

Configurar o serviço DHA

Execute este comando no servidor Windows para configurar o serviço DHA.
Substitua o espaço reservado ReplaceWithThumbprint.
Install-DeviceHealthAttestation -EncryptionCertificateThumbprint ReplaceWithThumbprint

-SigningCertificateThumbprint ReplaceWithThumbprint

-SslCertificateStoreName My -SslCertificateThumbprint ReplaceWithThumbprint

-SupportedAuthenticationSchema "AikCertificate"
Execute estes comandos no servidor Windows para configurar a política de cadeia de certificados para o serviço DHA:
$policy = Get-DHASCertificateChainPolicy

$policy.RevocationMode = "NoCheck"

Set-DHASCertificateChainPolicy -CertificateChainPolicy $policy
Responda a estes prompts da seguinte forma:
  Confirm

    Are you sure you want to perform this action?

    Performing the operation "Install-DeviceHealthAttestation" on target "WIN-N27D1FKCEBT".

    [Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

    Adding SSL binding to website 'Default Web Site'.

    Add SSL binding?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding application pool 'DeviceHealthAttestation_AppPool' to IIS.

    Add application pool?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding web application 'DeviceHealthAttestation' to website 'Default Web Site'.

    Add web application?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding firewall rule 'Device Health Attestation Service' to allow inbound connections on port(s) '443'.

    Add firewall rule?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Setting initial configuration for Device Health Attestation Service.

    Set initial configuration?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Registering User Access Logging.

    Register User Access Logging?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

Verificar a configuração

Para verificar se o DHASActiveSigningCertificate está ativo, execute este comando no servidor:
Get-DHASActiveSigningCertificate
Se o certificado estiver ativo, o tipo de certificado (Assinatura) e o thumbprint serão exibidos.
Para verificar se o DHASActiveSigningCertificate está ativo, execute estes comandos no servidor
Substitua o placeholder ReplaceWithThumbprint e coloque-o entre aspas duplas, conforme mostrado.
Set-DHASActiveEncryptionCertificate -Thumbprint "ReplaceWithThumbprint" -Force

Get-DHASActiveEncryptionCertificate
Se o certificado estiver ativo, o thumbprint aparecerá.
Para fazer uma verificação final, acesse este URL:
https://<dha.myserver.com>/DeviceHeathAttestation/ValidateHealthCertificate/v1
Se o serviço DHA estiver em execução, aparecerá “Método não permitido”.
Imagem da verificação do serviço DHA