Certificado de cliente ou certificado mais autenticação de domínio

1. Adicione um snap-in de certificado ao Microsoft Management Console.
2. Adicione o modelo à Autoridade de Certificação (CA).
3. Crie um certificado PFX a partir do servidor CA.

1. Carregue o certificado para o XenMobile.
2. Criar a entidade PKI para autenticação baseada em certificado.
3. Configurar provedores de credenciais.
4. Configurar o Citrix Gateway para entregar um certificado de usuário para autenticação.

• Autenticação de cliente
• Infraestrutura de perfil SSL
• Configurando e Vinculando uma Política de Autenticação de Certificado de Cliente

Pré-requisitos

• Ao criar um modelo de Entidade de Serviços de Certificado da Microsoft, evite possíveis problemas de autenticação com dispositivos registrados, excluindo caracteres especiais. Por exemplo, não use estes caracteres no nome do modelo: : ! $ () # % + * ~ ? | {} []
• Para configurar a Autenticação baseada em Certificado para o Exchange ActiveSync, consulte este blog da Microsoft. Configure o site do servidor da autoridade de certificação (CA) para que o Exchange ActiveSync exija certificados de cliente.
• Se você usar certificados de servidor privados para proteger o tráfego do ActiveSync para o Exchange Server, certifique-se de que os dispositivos móveis tenham todos os certificados Raiz/Intermediários necessários. Caso contrário, a autenticação baseada em certificado falhará durante a configuração da caixa de correio no Secure Mail. No Console do IIS do Exchange, você deve:
  • Adicionar um site para uso do XenMobile com o Exchange e vincular o certificado do servidor web.
  • Usar a porta 9443.
  • Para esse site, você deve adicionar dois aplicativos, um para "Microsoft-Server-ActiveSync" e outro para "EWS". Para ambos os aplicativos, em Configurações SSL, selecione Exigir SSL.

Adicionar um snap-in de certificado ao Microsoft Management Console

1. Abra o console e clique em Adicionar/Remover Snap-ins.
2. Adicione os seguintes snap-ins:
   • Modelos de Certificado
   • Certificados (Computador Local)
   • Certificados - Usuário Atual
   • Autoridade de Certificação (Local)
   
3. Expanda Modelos de Certificado.
   
4. Selecione o modelo Usuário e Duplicar Modelo.
   
5. Forneça o nome de exibição do Modelo.
   Importante:
   Não é recomendado selecionar a opção Publicar certificado no Active Directory. Se esta opção for selecionada, ela cria certificados de cliente para todos os usuários no Active Directory, o que pode sobrecarregar seu banco de dados do Active Directory.

6. Selecione Windows 2003 Server para o tipo de modelo. No servidor Windows 2012 R2, em Compatibilidade, selecione Autoridade de certificação e defina o destinatário como Windows 2003.
7. Em Segurança, configure o seguinte:
   1. Clique em Adicionar e selecione a conta de usuário do AD que o XenMobile Server usa para gerar certificados.
      Importante:
      Adicione apenas o usuário da conta de serviço aqui. Adicione a permissão de Registro apenas a esta conta de usuário do AD.
      Conforme descrito posteriormente neste artigo, você cria um certificado .pfx de usuário usando a conta de serviço. Para obter informações, consulte Criando um certificado PFX do servidor CA.
      
   2. Revogue a permissão de Registro de Usuários do Domínio.
      
8. Em Criptografia, certifique-se de fornecer o tamanho da chave. Você inserirá o tamanho da chave posteriormente ao configurar o XenMobile.
   
9. Em Nome do Assunto, selecione Fornecer na solicitação. Aplique as alterações e salve.
   

Adicionando o modelo à Autoridade de Certificação

1. Vá para Autoridade de Certificação e selecione Modelos de Certificado.
2. Clique com o botão direito no painel direito e selecione Novo > Modelo de Certificado a Ser Emitido.
   
3. Selecione o modelo que você criou na etapa anterior e clique em OK para adicioná-lo à Autoridade de Certificação.
   

Criando um certificado PFX a partir do servidor CA

1. Crie um certificado .pfx de usuário usando a conta de serviço com a qual você fez login. O .pfx é carregado para o XenMobile, que então solicita um certificado de usuário em nome dos usuários que registram seus dispositivos.
2. Em Usuário Atual, expanda Certificados.
3. Clique com o botão direito no painel direito e, em seguida, clique em Solicitar Novo Certificado.
   
4. A tela Registro de Certificado é exibida. Clique em Avançar.
   
5. Selecione Política de Registro do Active Directory e, em seguida, clique em Avançar.
   
6. Selecione o modelo Usuário e, em seguida, clique em Registrar.
   
7. Exporte o arquivo .pfx que você criou na etapa anterior.
   
8. Clique em Sim, exportar a chave privada.
   
9. Selecione Incluir todos os certificados no caminho de certificação, se possível e marque a caixa de seleção Exportar todas as propriedades estendidas.
   
10. Defina uma senha para usar ao carregar este certificado no XenMobile.
    
11. Salve o certificado em seu disco rígido.

Carregando o certificado para o XenMobile

1. No console do XenMobile, clique no ícone de engrenagem no canto superior direito. A tela Configurações é exibida.
2. Clique em Certificados e, em seguida, clique em Importar.
3. Insira os seguintes parâmetros:
   • Importar: Keystore
   • Tipo de Keystore: PKCS #12
   • Usar como: Servidor
   • Arquivo Keystore: Clique em Procurar para selecionar o certificado .pfx que você criou.
   • Senha: Insira a senha que você criou para este certificado.
   
4. Clique em Importar.
5. Verifique se o certificado foi instalado corretamente. Um certificado instalado corretamente é exibido como um certificado de Usuário.

Criando a entidade PKI para autenticação baseada em certificado

1. Em Configurações, vá para Mais > Gerenciamento de Certificados > Entidades PKI.
2. Clique em Adicionar e depois clique em Entidade de Serviços de Certificado Microsoft. A tela Entidade de Serviços de Certificado Microsoft: Informações Gerais é exibida.
3. Insira os seguintes parâmetros:
   • Nome: Digite qualquer nome
   • URL raiz do serviço de registro da Web: https://RootCA-URL/certsrv/ (Certifique-se de adicionar a última barra, /, no caminho da URL.)
   • Nome da página certnew.cer: certnew.cer (valor padrão)
   • certfnsh.asp: certfnsh.asp (valor padrão)
   • Tipo de autenticação: Certificado de cliente
   • Certificado de cliente SSL: Selecione o Certificado de Usuário a ser usado para emitir o certificado de cliente XenMobile.
   Tela de configuração de certificados(/en-us/xenmobile/server/media/add-pki-entity-1.png)
4. Em Modelos, adicione o modelo que você criou ao configurar o certificado Microsoft. Não adicione espaços.
   Tela de configuração de certificados(/en-us/xenmobile/server/media/add-pki-entity-2.png)
5. Ignore os Parâmetros HTTP e, em seguida, clique em Certificados CA.
6. Selecione o nome da CA raiz que corresponde ao seu ambiente. Essa CA raiz faz parte da cadeia importada do certificado de cliente do XenMobile.
   Tela de configuração de certificados(/en-us/xenmobile/server/media/add-pki-entity-3.png)
7. Clique em Salvar.

Configurando provedores de credenciais

1. Em Configurações, vá para Mais > Gerenciamento de Certificados > Provedores de Credenciais.
2. Clique em Adicionar.
3. Em Geral, insira os seguintes parâmetros:
   • Nome: Digite qualquer nome.
   • Descrição: Digite qualquer descrição.
   • Entidade emissora: Selecione a entidade PKI criada anteriormente.
   • Método de emissão: SIGN
   • Modelos: Selecione o modelo adicionado na entidade PKI.
   
4. Clique em Solicitação de Assinatura de Certificado e insira os seguintes parâmetros:
   • Algoritmo de chave: RSA
   • Tamanho da chave: 2048
   • Algoritmo de assinatura: SHA256withRSA
   • Nome do assunto: cn=$user.username
   Para Nomes Alternativos do Assunto, clique em Adicionar e insira os seguintes parâmetros:
   • Tipo: Nome Principal do Usuário
   • Valor: $user.userprincipalname
   
5. Clique em Distribuição e insira os seguintes parâmetros:
   • Certificado da CA Emissora: Selecione a CA Emissora que assinou o Certificado de Cliente XenMobile.
   • Selecionar modo de distribuição: Selecione Preferir centralizado: Geração de chave no lado do servidor.
   
6. Para as próximas duas seções, Revogação XenMobile e Revogação PKI, defina os parâmetros conforme necessário. Neste exemplo, ambas as opções são ignoradas.
7. Clique em Renovação.
8. Para Renovar certificados quando eles expirarem, selecione ATIVADO.
9. Deixe todas as outras configurações como padrão ou altere-as conforme necessário.
   
10. Clique em Salvar.

Configurando o Secure Mail para usar autenticação baseada em certificado

Configurando a entrega de certificado do Citrix ADC no XenMobile

1. Faça logon no console do XenMobile e clique no ícone de engrenagem no canto superior direito. A tela Configurações é exibida.
2. Em Servidor, clique em Citrix Gateway.
3. Se o Citrix Gateway ainda não tiver sido adicionado, clique em Adicionar e especifique as configurações:
   • URL Externa: https://YourCitrixGatewayURL
   • Tipo de Logon: Certificado e domínio
   • Senha Necessária: DESATIVADO
   • Definir como Padrão: ATIVADO
4. Para Entregar certificado de usuário para autenticação, selecione Ativado.
   
5. Para Provedor de Credenciais, selecione um provedor e clique em Salvar.
6. Para usar os atributos sAMAccount nos certificados de usuário como alternativa ao Nome Principal de Usuário (UPN), configure o conector LDAP no XenMobile da seguinte forma: Vá para Configurações > LDAP, selecione o diretório e clique em Editar, e selecione sAMAccountName em Pesquisar usuário por.
   

Solução de problemas da sua configuração de certificado de cliente

1. Os usuários registram seus dispositivos móveis.
2. O XenMobile solicita que os usuários criem um PIN do Citrix.
3. Os usuários são então redirecionados para a Loja XenMobile.
4. Quando os usuários iniciam o Secure Mail, o XenMobile não solicita credenciais de usuário para a configuração da caixa de correio. Em vez disso, o Secure Mail solicita o certificado do cliente do Secure Hub e o envia para o Microsoft Exchange Server para autenticação. Se o XenMobile solicitar credenciais quando os usuários iniciarem o Secure Mail, verifique sua configuração.

1. Se o Microsoft Exchange Server ActiveSync usar certificados de servidor SSL privados para proteger o tráfego, verifique se os certificados Raiz/Intermediário estão instalados no dispositivo móvel.
2. Verifique se o tipo de autenticação selecionado para o ActiveSync é Exigir certificados de cliente.
   
3. No Microsoft Exchange Server, verifique o site Microsoft-Server-ActiveSync para verificar se a autenticação de mapeamento de certificado de cliente está ativada. Por padrão, a autenticação de mapeamento de certificado de cliente está desativada. A opção está em Editor de Configuração > Segurança > Autenticação.
   
   Depois de selecionar True, certifique-se de clicar em Aplicar para que as alterações entrem em vigor.
4. Verifique as configurações do Citrix Gateway no console do XenMobile: Certifique-se de que Entregar certificado de usuário para autenticação esteja ATIVADO e que o Provedor de credenciais tenha o perfil correto selecionado.