Provedores de credenciais

• A fonte dos certificados.
• O método pelo qual os certificados são obtidos: Assinar um novo certificado ou buscar (recuperar) um certificado e par de chaves existentes.
• Os parâmetros para emissão ou recuperação. Por exemplo, parâmetros de Solicitação de Assinatura de Certificado (CSR), como tamanho da chave, algoritmo da chave e extensões de certificado.
• A maneira como os certificados são entregues ao dispositivo.
• Condições de revogação. Embora todos os certificados sejam revogados no XenMobile quando a relação de gerenciamento é interrompida, a configuração pode especificar uma revogação anterior. Por exemplo, a configuração pode especificar a revogação de um certificado quando a configuração do dispositivo associado é excluída. Além disso, sob algumas condições, a revogação do certificado associado no XenMobile pode ser enviada para a infraestrutura de chave pública (PKI) de back-end. Ou seja, a revogação de certificado no XenMobile pode causar a revogação de certificado na PKI.
• Configurações de renovação. Os certificados obtidos por meio de um determinado provedor de credenciais podem ser renovados automaticamente quando se aproximam da expiração. Ou, separadamente dessa situação, notificações podem ser emitidas quando essa expiração se aproxima.

Métodos de emissão de certificado

Entrega de Certificados

• O certificado de assinatura RA deve ter o uso de chave X.509 de assinatura digital.
• O certificado de criptografia RA deve ter o uso de chave X.509 de cifragem de chave.

Revogação de Certificado

• Revogação interna: A revogação interna afeta o status do certificado conforme mantido pelo XenMobile. O XenMobile considera esse status ao avaliar um certificado apresentado ou ao fornecer informações de status OCSP para um certificado. A configuração do provedor de credenciais determina como esse status é afetado sob várias condições. Por exemplo, o provedor de credenciais pode especificar para sinalizar certificados como revogados quando os certificados são excluídos do dispositivo.
• Revogação propagada externamente: Também conhecida como Revogação XenMobile, este tipo de revogação se aplica a certificados obtidos de uma PKI externa. O certificado é revogado na PKI quando o XenMobile revoga internamente o certificado, sob as condições definidas pela configuração do provedor de credenciais.
• Revogação induzida externamente: Também conhecida como Revogação PKI, este tipo de revogação também se aplica apenas a certificados obtidos de uma PKI externa. Sempre que o XenMobile avalia um determinado status de certificado, o XenMobile consulta a PKI sobre esse status. Se o certificado for revogado, o XenMobile revoga internamente o certificado. Este mecanismo usa o protocolo OCSP.

Renovação de Certificado

Criar um provedor de credenciais

• Uma entidade discricionária, que é interna ao XenMobile, é uma entidade interna. O método de emissão para uma entidade discricionária é sempre uma assinatura. Assinar significa que, a cada operação de emissão, o XenMobile assina um novo par de chaves com o certificado CA selecionado para a entidade. Se o par de chaves é gerado no dispositivo ou no servidor depende do método de distribuição que você selecionar.
• Uma entidade externa, que faz parte da sua infraestrutura corporativa, inclui a CA da Microsoft.

1. No console do XenMobile, clique no ícone de engrenagem no canto superior direito e, em seguida, clique em Configurações > Provedores de Credenciais.
2. Na página Provedores de Credenciais, clique em Adicionar.
   A página Provedores de Credenciais: Informações Gerais é exibida.
3. Na página Provedores de Credenciais: Informações Gerais, faça o seguinte:
   • Nome: Digite um nome exclusivo para a nova configuração do provedor. Esse nome é usado posteriormente para identificar a configuração em outras partes do console do XenMobile.
   • Descrição: Descreva o provedor de credenciais. Embora este campo seja opcional, uma descrição pode fornecer detalhes úteis sobre este provedor de credenciais.
   • Entidade emissora: Clique na entidade emissora do certificado.
   • Método de emissão: Clique em Assinar ou Buscar para servir como o método que o sistema usa para obter certificados da entidade configurada. Para autenticação de certificado de cliente, use Assinar.
   • Se a lista Modelo estiver disponível, selecione o modelo que você adicionou na entidade PKI para o provedor de credenciais.
     Esses modelos ficam disponíveis quando as Entidades de Serviços de Certificado da Microsoft são adicionadas em Configurações > Entidades PKI.
4. Clique em Avançar.
   A página Provedores de Credenciais: Solicitação de Assinatura de Certificado é exibida.
5. Na página Provedores de Credenciais: Solicitação de Assinatura de Certificado, configure o seguinte de acordo com a sua configuração de certificado:
   • Algoritmo de chave: Escolha o algoritmo de chave para o novo par de chaves. Os valores disponíveis são RSA, DSA e ECDSA.
   • Tamanho da chave: Digite o tamanho, em bits, do par de chaves. Este campo é obrigatório.
     Os valores permitidos dependem do tipo de chave. Por exemplo, o tamanho máximo para chaves DSA é de 1024 bits. Para evitar falsos negativos, que dependem do hardware e software subjacentes, o XenMobile não impõe tamanhos de chave. Sempre teste as configurações do provedor de credenciais em um ambiente de teste antes de ativá-las em produção.
   • Algoritmo de assinatura: Clique em um valor para o novo certificado. Os valores dependem do algoritmo de chave.
   • Nome do assunto: Obrigatório. Digite o Nome Distinto (DN) do novo assunto do certificado. Por exemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
     Por exemplo, para autenticação de certificado de cliente, use estas configurações:
     • Algoritmo de chave: RSA
     • Tamanho da chave: 2048
     • Algoritmo de assinatura: SHA256withRSA
     • Nome do assunto: cn=$user.username
   • Para adicionar uma entrada à tabela Nomes alternativos do assunto, clique em Adicionar. Selecione o tipo de nome alternativo e, em seguida, digite um valor na segunda coluna.
     Para autenticação de certificado de cliente, especifique:
     • Tipo: Nome Principal do Usuário
     • Valor: $user.userprincipalname
       Assim como no nome do Assunto, você pode usar macros do XenMobile no campo de valor.
6. Clique em Avançar.
   A página Provedores de Credenciais: Distribuição é exibida.
7. Na página Provedores de Credenciais: Distribuição, faça o seguinte:
   • Na lista Certificado da CA emissora, clique no certificado da CA oferecido. Como o provedor de credenciais usa uma entidade de CA discricionária, o certificado da CA para o provedor de credenciais é sempre o certificado da CA configurado na própria entidade. O certificado da CA é apresentado aqui para consistência com as configurações que usam entidades externas.
   • Em Selecionar modo de distribuição, clique em uma das seguintes formas de gerar e distribuir chaves:
     • Preferir centralizado: Geração de chave no lado do servidor: A Citrix recomenda esta opção centralizada. Ela oferece suporte a todas as plataformas compatíveis com o XenMobile e é necessária ao usar a autenticação do Citrix Gateway. As chaves privadas são geradas e armazenadas no servidor e distribuídas para os dispositivos do usuário.
     • Preferir distribuído: Geração de chave no lado do dispositivo: As chaves privadas são geradas e armazenadas nos dispositivos do usuário. Este modo distribuído usa SCEP e requer um certificado de criptografia RA com o keyUsage keyEncryption e um certificado de assinatura RA com o KeyUsage digitalSignature. O mesmo certificado pode ser usado para criptografia e assinatura.
     • Apenas distribuído: Geração de chave no lado do dispositivo: Esta opção funciona da mesma forma que Preferir distribuído: Geração de chave no lado do dispositivo, exceto que, como é "Apenas", em vez de "Preferir", nenhuma opção está disponível se a geração de chave no lado do dispositivo falhar ou não estiver disponível.
   Se você selecionou Preferir distribuído: Geração de chave no lado do dispositivo ou Apenas distribuído: Geração de chave no lado do dispositivo, clique no certificado de assinatura RA e no certificado de criptografia RA. O mesmo certificado pode ser usado para ambos. Novos campos aparecem para esses certificados.
8. Clique em Avançar.
   A página Provedores de Credenciais: Revogação XenMobile é exibida. Nesta página, você configura as condições sob as quais o XenMobile sinaliza internamente os certificados, emitidos por meio desta configuração de provedor, como revogados.
9. Na página Provedores de Credenciais: Revogação XenMobile, faça o seguinte:
   • Em Revogar certificados emitidos, selecione uma das opções que indicam quando revogar certificados.
   • Para direcionar o XenMobile a enviar uma notificação quando o certificado for revogado: Defina o valor de Enviar notificação como Ativado e escolha um modelo de notificação.
   • Para revogar o certificado na PKI quando o certificado for revogado do XenMobile: Defina Revogar certificado na PKI como Ativado e, na Lista de entidades, clique em um modelo. A Lista de entidades mostra todas as entidades disponíveis com recursos de revogação. Quando o certificado é revogado do XenMobile, uma chamada de revogação é enviada para a PKI selecionada na Lista de entidades.
10. Clique em Avançar.
    A página Provedores de Credenciais: PKI de Revogação é exibida. Nesta página, você identifica quais ações tomar na PKI se o certificado for revogado. Você também tem a opção de criar uma mensagem de notificação.
11. Na página Provedores de Credenciais: PKI de Revogação, faça o seguinte se quiser revogar certificados da PKI:
    • Altere a configuração de Habilitar verificações de revogação externas para Ativado. Mais campos relacionados à PKI de revogação aparecem.
    • Na lista Certificado CA do respondedor OCSP, clique no nome distinto (DN) do assunto do certificado.
      Você pode usar macros do XenMobile para os valores do campo DN. Por exemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • Na lista Quando o certificado for revogado, clique em uma das seguintes ações a serem tomadas na entidade PKI quando o certificado for revogado:
      • Não fazer nada.
      • Renovar o certificado.
      • Revogar e limpar o dispositivo.
    • Para direcionar o XenMobile a enviar uma notificação quando o certificado for revogado: Defina o valor de Enviar notificação como Ativado.
      Você pode escolher entre duas opções de notificação:
    • Se você selecionar Selecionar modelo de notificação, poderá selecionar uma mensagem de notificação pré-escrita que poderá personalizar. Esses modelos estão na lista de modelos de notificação.
    • Se você selecionar Inserir detalhes da notificação, poderá escrever sua própria mensagem de notificação. Além de fornecer o endereço de e-mail do destinatário e a mensagem, você pode definir a frequência com que a notificação é enviada.
12. Clique em Avançar.
    A página Provedores de Credenciais: Renovação é exibida. Nesta página, você pode configurar o XenMobile para fazer o seguinte:
    • Renovar o certificado. Você pode, opcionalmente, enviar uma notificação na renovação e, opcionalmente, excluir certificados já expirados da operação.
    • Emitir uma notificação para certificados que se aproximam da expiração (notificação antes da renovação).
13. Na página Provedores de Credenciais: Renovação, faça o seguinte se quiser renovar certificados quando eles expirarem:
    Defina Renovar certificados quando eles expirarem como Ativado. Mais campos são exibidos.
    • No campo Renovar quando o certificado estiver dentro de, digite quantos dias antes da expiração para renovar o certificado.
    • Opcionalmente, selecione Não renovar certificados que já expiraram. Neste caso, "já expirado" significa que a data NotAfter está no passado, não que foi revogado. O XenMobile não renova certificados depois que são revogados internamente.
    Para direcionar o XenMobile a enviar uma notificação quando o certificado for renovado: Defina Enviar notificação como Ativado. Para direcionar o XenMobile a enviar uma notificação quando o certificado se aproximar da expiração: Defina Notificar quando o certificado se aproximar da expiração como Ativado. Para qualquer uma dessas opções, você pode escolher entre duas opções de notificação:
    • Selecionar modelo de notificação: Selecione uma mensagem de notificação pré-escrita que você pode personalizar. Esses modelos estão na lista de modelos de notificação.
    • Inserir detalhes da notificação: Escreva sua própria mensagem de notificação. Forneça o endereço de e-mail do destinatário, uma mensagem e uma frequência para o envio da notificação.
    No campo Notificar quando o certificado estiver dentro de, digite quantos dias antes da expiração do certificado para enviar a notificação.
14. Clique em Salvar.
    O provedor de credenciais aparece na tabela Provedor de Credenciais.