Configuración de un servidor local de Atestación de estado del dispositivo

Last published : Oct 21, 2026
Puede habilitar la Atestación de estado del dispositivo (DHA) para dispositivos móviles con Windows 10 y Windows 11 a través de un servidor Windows local. Para habilitar DHA localmente, primero debe configurar un servidor DHA.
Después de configurar el servidor DHA, cree una directiva de Citrix Endpoint Management para habilitar el servicio DHA local. Para obtener más información, consulte Directiva de dispositivo de Atestación de estado del dispositivo.
Related information
Conceptos avanzados

Requisitos previos para un servidor DHA

  • Un servidor que ejecute Windows Server Technical Preview 5 o posterior, instalado con la opción de instalación Experiencia de escritorio.
  • Uno o varios dispositivos cliente con Windows 10 y Windows 11. Estos dispositivos deben tener TPM 1.2 o 2.0 y ejecutar la versión más reciente de Windows.
  • Estos certificados:
    • Certificado SSL de DHA: Un certificado SSL x.509 que se encadena a una raíz de confianza empresarial con una clave privada exportable. Este certificado protege las comunicaciones de datos de DHA en tránsito, incluidas:
      • comunicaciones de servidor a servidor (servicio DHA y servidor MDM)
      • comunicaciones de servidor a cliente (servicio DHA y un dispositivo Windows 10 o Windows 11)
    • Certificado de firma de DHA: Un certificado x.509 que se encadena a una raíz de confianza empresarial con una clave privada exportable. El servicio DHA utiliza este certificado para la firma digital.
    • Certificado de cifrado de DHA: Un certificado x.509 que se encadena a una raíz de confianza empresarial con una clave privada exportable. El servicio DHA también utiliza este certificado para el cifrado.
  • Elija uno de estos modos de validación de certificados:
    • EKCert: El modo de validación EKCert está optimizado para dispositivos en organizaciones que no están conectadas a Internet. Los dispositivos que se conectan a un servicio DHA que se ejecuta en modo de validación EKCert no tienen acceso directo a Internet.
    • AIKCert: El modo de validación AIKCert está optimizado para entornos operativos que sí tienen acceso a Internet. Los dispositivos que se conectan a un servicio DHA que se ejecuta en modo de validación AIKCert deben tener acceso directo a Internet y pueden obtener un certificado AIK de Microsoft.

Agregar el rol de servidor DHA al servidor Windows

  1. En el servidor Windows, si el Administrador del servidor no está abierto, haga clic en Inicio y, a continuación, en Administrador del servidor.
  2. Haga clic en Agregar roles y características.
  3. En la página Antes de empezar, haga clic en Siguiente.
  4. En la página Seleccionar tipo de instalación, haga clic en Instalación basada en roles o en características y, a continuación, en Siguiente.
  5. En la página Seleccionar servidor de destino, haga clic en Seleccionar un servidor del grupo de servidores, seleccione el servidor y, a continuación, haga clic en Siguiente.
  6. En la página Seleccionar roles de servidor, seleccione la casilla Atestación de estado del dispositivo.
  7. Opcional: Haga clic en Agregar características para instalar otros servicios de rol y características necesarios.
  8. Haga clic en Siguiente.
  9. En la página Seleccionar características, haga clic en Siguiente.
  10. En la página Rol de servidor web (IIS), haga clic en Siguiente.
  11. En la página Seleccionar servicios de rol, haga clic en Siguiente.
  12. En la página Servicio de atestación de estado del dispositivo, haga clic en Siguiente.
  13. En la página Confirmar selecciones de instalación, haga clic en Instalar.
  14. Cuando la instalación haya finalizado, haga clic en Cerrar.

Añadir el certificado SSL al almacén de certificados del servidor

  1. Vaya al archivo del certificado SSL y selecciónelo.
  2. Para la ubicación del almacén, seleccione Usuario actual y, a continuación, haga clic en Siguiente.
    Administrador de Windows Server
  3. Escriba la contraseña de la clave privada.
  4. Asegúrese de que la opción de importación Incluir todas las propiedades extendidas esté seleccionada. Haga clic en Siguiente.
    Administrador de Windows Server
  5. Cuando aparezca esta ventana, haga clic en Sí.
    Administrador de Windows Server
  6. Confirme que el certificado está instalado:
    1. Abra una ventana del símbolo del sistema.
    2. Escriba mmc y pulse la tecla Intro. Para ver los certificados en el almacén de la máquina local, debe tener el rol de administrador.
    3. En el menú Archivo, haga clic en Agregar o quitar complemento.
    4. Haga clic en Agregar.
    5. En el cuadro de diálogo Agregar complemento independiente, seleccione Certificados.
    6. Haga clic en Agregar.
    7. En el cuadro de diálogo del complemento Certificados, seleccione Mi cuenta de usuario. (Si ha iniciado sesión como titular de una cuenta de servicio, seleccione Cuenta de servicio.)
    8. En el cuadro de diálogo Seleccionar equipo, haga clic en Finalizar.
      Administrador del servidor de Windows
  7. Vaya a Administrador del servidor > IIS y seleccione Certificados de servidor de la lista de iconos.
    Administrador del servidor de Windows
  8. En el menú Acción, seleccione Importar... para importar el certificado SSL.
    Administrador del servidor de Windows

Recuperar y guardar la huella digital del certificado

  1. En la barra de búsqueda del Explorador de archivos, escriba mmc.
  2. En la ventana Raíz de la consola, haga clic en Archivo > Agregar o quitar complemento.
    Explorador de archivos de Windows
  3. Seleccione el certificado de un complemento disponible y agréguelo a los complementos seleccionados.
    Agregar o quitar complementos de Windows
  4. Seleccione Mi cuenta de usuario.
    Complementos de Windows para agregar o quitar
  5. Seleccione el certificado y haga clic en Aceptar.
    Complementos de Windows para agregar o quitar
  6. Haga doble clic en el certificado y seleccione la ficha Detalles. Desplácese hacia abajo para ver la huella digital del certificado.
    Complementos de Windows para agregar o quitar
  7. Copie la huella digital en un archivo. Elimine los espacios al usar la huella digital en los comandos de PowerShell.

Instalar los certificados de firma y cifrado

Ejecute estos comandos de PowerShell en el servidor Windows para instalar los certificados de firma y cifrado.
Sustituya el marcador de posición ReplaceWithThumbprint y enciérrelo entre comillas dobles, tal como se muestra.
$key = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -like "ReplaceWithThumbprint"}

$keyname = $key.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

$keypath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\" + $keyname icacls $keypath /grant IIS_IUSRS`:R

Extraer el certificado raíz de TPM e instalar el paquete de certificados de confianza

Ejecute estos comandos en el servidor Windows:
mkdir .\TrustedTpm

expand -F:\* .\TrustedTpm.cab .\TrustedTpm

cd .\TrustedTpm

.\setup.cmd

Configurar el servicio DHA

Ejecute este comando en el servidor Windows para configurar el servicio DHA.
Sustituya el marcador de posición ReplaceWithThumbprint.
Install-DeviceHealthAttestation -EncryptionCertificateThumbprint ReplaceWithThumbprint

-SigningCertificateThumbprint ReplaceWithThumbprint

-SslCertificateStoreName My -SslCertificateThumbprint ReplaceWithThumbprint

-SupportedAuthenticationSchema "AikCertificate"
Ejecute estos comandos en el servidor Windows para configurar la directiva de cadena de certificados para el servicio DHA:
$policy = Get-DHASCertificateChainPolicy

$policy.RevocationMode = "NoCheck"

Set-DHASCertificateChainPolicy -CertificateChainPolicy $policy
Responda a estas indicaciones de la siguiente manera:
  Confirm

    Are you sure you want to perform this action?

    Performing the operation "Install-DeviceHealthAttestation" on target "[Machine Name]".

    [Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

    Adding SSL binding to website 'Default Web Site'.

    Add SSL binding?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding application pool 'DeviceHealthAttestation_AppPool' to IIS.

    Add application pool?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding web application 'DeviceHealthAttestation' to website 'Default Web Site'.

    Add web application?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding firewall rule 'Device Health Attestation Service' to allow inbound connections on port(s) '443'.

    Add firewall rule?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Setting initial configuration for Device Health Attestation Service.

    Set initial configuration?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Registering User Access Logging.

    Register User Access Logging?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

Comprobar la configuración

Para comprobar si el DHASActiveSigningCertificate está activo, ejecute este comando en el servidor:
Get-DHASActiveSigningCertificate
Si el certificado está activo, se muestran el tipo de certificado (Firma) y la huella digital.
Para comprobar si el DHASActiveSigningCertificate está activo, ejecute estos comandos en el servidor:
Sustituya el marcador de posición ReplaceWithThumbprint y enciérrelo entre comillas dobles, como se muestra.
Set-DHASActiveEncryptionCertificate -Thumbprint "ReplaceWithThumbprint" -Force

Get-DHASActiveEncryptionCertificate
Si el certificado está activo, aparece la huella digital.
Para realizar una comprobación final, vaya a esta URL:
https://<dha.myserver.com>/DeviceHeathAttestation/ValidateHealthCertificate/v1
Si el servicio DHA se está ejecutando, aparece “Method not allowed” (Método no permitido).
Comprobación del servicio DHA