凭据提供程序

• 证书的来源。
• 获取证书的方法：签署新证书或获取（恢复）现有证书和密钥对。
• 颁发或恢复的参数。例如，证书签名请求 (CSR) 参数，如密钥大小、密钥算法和证书扩展。
• 证书交付到设备的方式。
• 撤销条件。尽管当管理关系断开时，XenMobile 中的所有证书都会被撤销，但配置可以指定更早的撤销。例如，配置可以指定在关联的设备配置被删除时撤销证书。此外，在某些条件下，XenMobile 中关联证书的撤销可能会发送到后端公钥基础设施 (PKI)。也就是说，XenMobile 中的证书撤销可能导致 PKI 上的证书撤销。
• 续订设置。通过给定凭据提供程序获取的证书在临近过期时可以自动续订。或者，与此情况分开，当过期临近时可以发出通知。

证书颁发方法

证书交付

• RA 签名证书必须具有 X.509 密钥用法数字签名。
• RA 加密证书必须具有 X.509 密钥用法密钥加密。

证书吊销

• 内部吊销： 内部吊销会影响 XenMobile 维护的证书状态。XenMobile 在评估所提供的证书或提供证书的 OCSP 状态信息时会考虑此状态。凭据提供程序配置决定了此状态在各种条件下的受影响方式。例如，凭据提供程序可能会指定在从设备中删除证书时将证书标记为已吊销。
• 外部传播吊销： 也称为 XenMobile 吊销，此类吊销适用于从外部 PKI 获取的证书。当 XenMobile 在凭据提供程序配置定义的条件下内部吊销证书时，证书会在 PKI 上被吊销。
• 外部诱导吊销： 也称为 PKI 吊销，此类吊销也仅适用于从外部 PKI 获取的证书。每当 XenMobile 评估给定证书状态时，XenMobile 都会向 PKI 查询该状态。如果证书被吊销，XenMobile 会内部吊销该证书。此机制使用 OCSP 协议。

证书续订

创建凭据提供程序

• 自由裁量实体是 XenMobile 内部的实体，属于内部实体。自由裁量实体的颁发方法始终是签名。签名意味着在每次颁发操作中，XenMobile 都会使用为该实体选择的 CA 证书对新的密钥对进行签名。密钥对是在设备上还是在服务器上生成，取决于您选择的分发方法。
• 外部实体是公司基础结构的一部分，包括 Microsoft CA。

1. 在 XenMobile 控制台中，单击右上角的齿轮图标，然后单击设置 > 凭据提供程序。
2. 在凭据提供程序页面上，单击添加。
   此时将显示凭据提供程序: 常规信息页面。
3. 在凭据提供程序: 常规信息页面上，执行以下操作：
   • 名称： 键入新提供程序配置的唯一名称。此名称稍后用于在 XenMobile 控制台的其他部分中标识此配置。
   • 说明： 描述凭据提供程序。尽管此字段是可选的，但说明可以提供有关此凭据提供程序的有用详细信息。
   • 颁发实体： 单击证书颁发实体。
   • 颁发方法： 单击签名或提取，作为系统从配置的实体获取证书的方法。对于客户端证书身份验证，请使用签名。
   • 如果模板列表可用，请选择在凭据提供程序的 PKI 实体下添加的模板。
     在设置 > PKI 实体中添加 Microsoft 证书服务实体后，这些模板将可用。
4. 单击下一步。
   此时将显示凭据提供程序: 证书签名请求页面。
5. 在凭据提供程序: 证书签名请求页面上，根据您的证书配置进行以下配置：
   • 密钥算法： 为新的密钥对选择密钥算法。可用值为 RSA、DSA 和 ECDSA。
   • 密钥大小： 输入密钥对的大小（以位为单位）。此字段为必填项。
     允许的值取决于密钥类型。例如，DSA 密钥的最大大小为 1024 位。为避免假阴性（这取决于底层硬件和软件），XenMobile 不强制执行密钥大小。在生产环境中激活凭据提供程序配置之前，请务必在测试环境中对其进行测试。
   • 签名算法： 为新证书单击一个值。值取决于密钥算法。
   • 主题名称： 必填。输入新证书主题的专有名称 (DN)。例如：CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
     例如，对于客户端证书身份验证，请使用以下设置：
     • 密钥算法： RSA
     • 密钥大小： 2048
     • 签名算法： SHA256withRSA
     • 主题名称： cn=$user.username
   • 要向主题备用名称表中添加条目，请单击添加。选择备用名称的类型，然后在第二列中键入一个值。
     对于客户端证书身份验证，请指定：
     • 类型： 用户主体名称
     • 值： $user.userprincipalname
       与主题名称一样，您可以在值字段中使用 XenMobile 宏。
6. 单击下一步。
   出现凭据提供程序: 分发页面。
7. 在凭据提供程序: 分发页面上，执行以下操作：
   • 在颁发 CA 证书列表中，单击提供的 CA 证书。由于凭据提供程序使用自由裁量的 CA 实体，因此凭据提供程序的 CA 证书始终是实体本身上配置的 CA 证书。此处显示 CA 证书是为了与使用外部实体的配置保持一致。
   • 在选择分发模式中，单击以下生成和分发密钥的方式之一：
     • 首选集中式: 服务器端密钥生成： Citrix 建议使用此集中式选项。它支持 XenMobile 支持的所有平台，并且在使用 Citrix Gateway 身份验证时是必需的。私钥在服务器上生成和存储，并分发到用户设备。
     • 首选分布式: 设备端密钥生成： 私钥在用户设备上生成和存储。此分布式模式使用 SCEP，并且需要一个具有 keyUsage keyEncryption 的 RA 加密证书和一个具有 KeyUsage digitalSignature 的 RA 签名证书。同一个证书可用于加密和签名。
     • 仅分布式: 设备端密钥生成： 此选项的工作方式与“首选分布式: 设备端密钥生成”相同，不同之处在于，由于它是“仅”，而不是“首选”，因此如果设备端密钥生成失败或不可用，则没有可用选项。
   如果您选择了首选分布式: 设备端密钥生成或仅分布式: 设备端密钥生成，请单击 RA 签名证书和 RA 加密证书。同一个证书可用于两者。这些证书将显示新字段。
8. 单击下一步。
   出现凭据提供程序: 吊销 XenMobile页面。在此页面上，您可以配置 XenMobile 在何种条件下将通过此提供程序配置颁发的证书内部标记为已吊销。
9. 在凭据提供程序: 吊销 XenMobile页面上，执行以下操作：
   • 在吊销已颁发证书中，选择指示何时吊销证书的选项之一。
   • 要指示 XenMobile 在证书被吊销时发送通知：将发送通知的值设置为开，然后选择一个通知模板。
   • 当证书从 XenMobile 撤销时，在 PKI 上撤销证书：将 Revoke certificate on PKI 设置为 On，然后在 Entity list 中，单击一个模板。实体列表显示所有具有撤销功能的可用实体。当证书从 XenMobile 撤销时，撤销调用将发送到从实体列表中选择的 PKI。
10. 单击 Next。
    此时将显示 Credential Providers: Revocation PKI 页面。在此页面上，您可以确定如果证书被撤销，应在 PKI 上执行哪些操作。您还可以选择创建通知消息。
11. 在 Credential Providers: Revocation PKI 页面上，如果要从 PKI 撤销证书，请执行以下操作：
    • 将 Enable external revocation checks 的设置更改为 On。将显示更多与撤销 PKI 相关的字段。
    • 在 OCSP responder CA certificate 列表中，单击证书主题的专有名称 (DN)。
      您可以将 XenMobile 宏用于 DN 字段值。例如：CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • 在 When certificate is revoked 列表中，单击以下操作之一，以在证书被撤销时对 PKI 实体执行操作：
      • 不执行任何操作。
      • 续订证书。
      • 撤销并擦除设备。
    • 要指示 XenMobile 在证书被撤销时发送通知：将 Send notification 的值设置为 On。
      您可以选择两种通知选项：
    • 如果选择 Select notification template，则可以选择一个预先编写的通知消息，然后对其进行自定义。这些模板位于通知模板列表中。
    • 如果选择 Enter notification details，则可以编写自己的通知消息。除了提供收件人的电子邮件地址和消息外，您还可以设置通知的发送频率。
12. 单击 下一步。
    凭据提供程序: 续订 页面出现。在此页面上，您可以配置 XenMobile 以执行以下操作：
    • 续订证书。您可以选择在续订时发送通知，并可选择从操作中排除已过期的证书。
    • 针对即将过期的证书发出通知（续订前的通知）。
13. 在 凭据提供程序: 续订 页面上，如果要续订过期证书，请执行以下操作：
    将 证书过期时续订 设置为 开。将显示更多字段。
    • 在 证书在以下天数内到期时续订 字段中，键入证书到期前多少天续订证书。
    • （可选）选择 不续订已过期的证书。在这种情况下，“已过期”表示 NotAfter 日期已过，而不是已吊销。XenMobile 不会在证书内部吊销后续订它们。
    要指示 XenMobile 在证书续订时发送通知：将 发送通知 设置为 开。要指示 XenMobile 在证书即将到期时发送通知：将 证书即将到期时通知 设置为 开。 对于上述任一选择，您可以选择以下两种通知选项：
    • 选择通知模板： 选择一个预先编写的通知消息，然后您可以对其进行自定义。这些模板位于通知模板列表中。
    • 输入通知详细信息： 编写您自己的通知消息。提供收件人的电子邮件地址、消息以及发送通知的频率。
    在 证书在以下天数内到期时通知 字段中，键入证书到期前多少天发送通知。
14. 单击 保存。
    凭据提供程序显示在凭据提供程序表中。