Proveedores de credenciales

Last published : Oct 21, 2026
Los proveedores de credenciales son las configuraciones de certificado reales que se utilizan en las distintas partes del sistema Citrix Endpoint Management. Los proveedores de credenciales definen las fuentes, los parámetros y los ciclos de vida de los certificados. Esas operaciones se producen tanto si los certificados forman parte de las configuraciones de dispositivos como si son independientes (es decir, se envían tal cual al dispositivo).
La inscripción de dispositivos restringe el ciclo de vida del certificado. Es decir, Citrix Endpoint Management no emite certificados antes de la inscripción, aunque Citrix Endpoint Management podría emitir algunos certificados como parte de la inscripción. Además, los certificados emitidos desde la PKI interna en el contexto de una inscripción se revocan cuando se revoca la inscripción. Una vez que finaliza la relación de administración, no queda ningún certificado válido.
Puede utilizar una configuración de proveedor de credenciales en muchos lugares, de modo que una configuración puede regir cualquier número de certificados al mismo tiempo. La unidad se centra entonces en el recurso de implementación y en la implementación. Por ejemplo, si el proveedor de credenciales P se implementa en el dispositivo D como parte de la configuración C: La configuración de emisión para P determina el certificado que se implementa en D. Del mismo modo, la configuración de renovación para D se aplica cuando se actualiza C. Y la configuración de revocación para D también se aplica cuando se elimina C o cuando se revoca D.
Según esas reglas, la configuración del proveedor de credenciales en Citrix Endpoint Management determina lo siguiente:
  • El origen de los certificados.
  • El método en que se obtienen los certificados: Firmar un nuevo certificado o recuperar un certificado y un par de claves existentes.
  • Los parámetros para la emisión o recuperación: Por ejemplo, parámetros de solicitud de firma de certificado (CSR), como el tamaño de la clave, el algoritmo de clave y las extensiones de certificado.
  • La forma en que se entregan los certificados al dispositivo.
  • Condiciones de revocación: Aunque todos los certificados se revocan en Citrix Endpoint Management cuando se interrumpe la relación de administración, la configuración podría especificar una revocación anterior. Por ejemplo, la configuración puede especificar la revocación de un certificado cuando se elimina la configuración de dispositivo asociada. Además, bajo algunas condiciones, la revocación del certificado asociado en Citrix Endpoint Management podría enviarse a la infraestructura de clave pública (PKI) de back-end. Es decir, la revocación de certificados en Citrix Endpoint Management podría causar la revocación de certificados en la PKI.
  • Configuración de renovación: Los certificados obtenidos a través de un proveedor de credenciales determinado pueden renovarse automáticamente cuando se acercan a su caducidad. O, independientemente de esa situación, se pueden emitir notificaciones cuando se acerca esa caducidad.
La disponibilidad de las opciones de configuración depende principalmente del tipo de entidad PKI y del método de emisión que seleccione para un proveedor de credenciales.
Related information
Certificados y autenticación

Método de emisión de certificados

Puede obtener un certificado, lo que se conoce como método de emisión, mediante la firma.
Con este método, la emisión implica crear una nueva clave privada, crear una CSR y enviar la CSR a una entidad de certificación (CA) para su firma. Citrix Endpoint Management admite el método de firma tanto para entidades de servicios de certificados de MS como para entidades de CA discrecionales.
Un proveedor de credenciales utiliza el método de emisión de firma.

Entrega de certificados

Hay dos modos de entrega de certificados disponibles en Citrix Endpoint Management: centralizado y distribuido. El modo distribuido utiliza el Protocolo simple de inscripción de certificados (SCEP) y solo está disponible en situaciones en las que el cliente admite el protocolo (solo iOS). El modo distribuido es obligatorio en algunas situaciones.
Para que un proveedor de credenciales admita la entrega distribuida (asistida por SCEP), es necesario un paso de configuración especial: la configuración de los certificados de la Autoridad de registro (RA). Los certificados de RA son necesarios porque, si utiliza el protocolo SCEP, Citrix Endpoint Management actúa como un delegado (un registrador) de la autoridad de certificación real. Citrix Endpoint Management debe demostrar al cliente que tiene la autoridad para actuar como tal. Esa autoridad se establece cargando los certificados mencionados anteriormente en Citrix Endpoint Management.
Se requieren dos funciones de certificado distintas (aunque un solo certificado puede cumplir ambos requisitos): firma de RA y cifrado de RA. Las restricciones para estas funciones son las siguientes:
  • El certificado de firma de RA debe tener el uso de clave X.509 de firma digital.
  • El certificado de cifrado de RA debe tener el uso de clave X.509 de cifrado de clave.
Para configurar los certificados de RA del proveedor de credenciales, cargue los certificados en Citrix Endpoint Management y, a continuación, vincúlelos en el proveedor de credenciales.
Un proveedor de credenciales se considera compatible con la entrega distribuida solo si el proveedor tiene un certificado configurado para las funciones de certificado. Puede configurar cada proveedor de credenciales para que prefiera el modo centralizado, el modo distribuido o para que requiera el modo distribuido. El resultado real depende del contexto: si el contexto no admite el modo distribuido, pero el proveedor de credenciales requiere este modo, la implementación falla. Del mismo modo, si el contexto requiere el modo distribuido, pero el proveedor de credenciales no admite el modo distribuido, la implementación falla. En todos los demás casos, se respeta la configuración preferida.
La siguiente tabla muestra la distribución de SCEP en Citrix Endpoint Management:
Contexto SCEP admitido SCEP requerido
Servicio de perfiles de iOS Sí Sí
Inscripción en la administración de dispositivos móviles (MDM) de iOS Sí No
Perfiles de configuración de iOS Sí No
Inscripción en SHTP No No
Configuración de SHTP No No
Inscripción de tabletas Windows No No
Configuración de tablet Windows No, excepto para la directiva de dispositivos de red, que es compatible con las versiones de Windows 10 y Windows 11 No

Revocación de certificados

Existen tres tipos de revocación.
  • Revocación interna: La revocación interna afecta al estado del certificado tal como lo mantiene Citrix Endpoint Management. Citrix Endpoint Management considera este estado al evaluar un certificado presentado o al proporcionar información de estado OCSP para un certificado. La configuración del proveedor de credenciales determina cómo se ve afectado este estado bajo diversas condiciones. Por ejemplo, el proveedor de credenciales podría especificar que los certificados se marquen como revocados cuando se eliminan del dispositivo.
  • Revocación propagada externamente: También conocida como Revocación de Citrix Endpoint Management, este tipo de revocación se aplica a los certificados obtenidos de una PKI externa. El certificado se revoca en la PKI cuando Citrix Endpoint Management revoca internamente el certificado, bajo las condiciones definidas por la configuración del proveedor de credenciales.
  • Revocación inducida externamente: También conocida como Revocación de PKI, este tipo de revocación también se aplica únicamente a los certificados obtenidos de una PKI externa. Cada vez que Citrix Endpoint Management evalúa el estado de un certificado determinado, Citrix Endpoint Management consulta a la PKI sobre dicho estado. Si el certificado está revocado, Citrix Endpoint Management revoca internamente el certificado. Este mecanismo utiliza el protocolo OCSP.
Estos tres tipos no son exclusivos, sino que se aplican conjuntamente. Una revocación externa o un hallazgo independiente pueden causar una revocación interna. Una revocación interna puede afectar potencialmente a una revocación externa.

Renovación de certificados

Una renovación de certificado es la combinación de la revocación del certificado existente y la emisión de otro certificado.
Citrix Endpoint Management intenta primero obtener el nuevo certificado antes de revocar el certificado anterior, para evitar la interrupción del servicio si la emisión falla. Para la entrega distribuida (compatible con SCEP), la revocación también solo ocurre después de que el certificado se haya instalado correctamente en el dispositivo. De lo contrario, la revocación ocurre antes de que el nuevo certificado se envíe al dispositivo. Esa revocación es independiente del éxito o fracaso de la instalación del certificado.
La configuración de revocación requiere que especifique una duración determinada (en días). Cuando el dispositivo se conecta, el servidor verifica si la fecha NotAfter del certificado es posterior a la fecha actual, menos la duración especificada. Si el certificado cumple esa condición, Citrix Endpoint Management intenta renovar el certificado.

Crear un proveedor de credenciales

La configuración de un proveedor de credenciales varía principalmente en función de la entidad emisora y el método de emisión que seleccione para el proveedor de credenciales. Puede distinguir entre proveedores de credenciales que utilizan una entidad interna o una entidad externa:
  • Una entidad discrecional, que es interna a Citrix Endpoint Management, es una entidad interna. El método de emisión para una entidad discrecional es siempre firmar. Firmar significa que, con cada operación de emisión, Citrix Endpoint Management firma un nuevo par de claves con el certificado de CA seleccionado para la entidad. Si el par de claves se genera en el dispositivo o en el servidor depende del método de distribución que seleccione.
  • Una entidad externa, que forma parte de su infraestructura corporativa, incluye Microsoft CA.
  1. En la consola de Citrix Endpoint Management, haga clic en el icono de engranaje en la esquina superior derecha y, a continuación, haga clic en Settings > Credential Providers.
  2. En la página Credential Providers, haga clic en Add.
    Aparece la página Credential Providers: General Information.
  3. En la página Credential Providers: General Information, haga lo siguiente:
    • Nombre: Escriba un nombre único para la nueva configuración del proveedor. Este nombre se utiliza más adelante para identificar la configuración en otras partes de la consola de Citrix Endpoint Management.
    • Descripción: Describa el proveedor de credenciales. Aunque este campo es opcional, una descripción puede proporcionar detalles útiles sobre este proveedor de credenciales.
    • Entidad emisora: Haga clic en la entidad emisora del certificado.
    • Método de emisión: Haga clic en Sign o Fetch para que sirva como método que el sistema utiliza para obtener certificados de la entidad configurada. Para la autenticación de certificados de cliente, utilice Sign.
    • Si la lista Template está disponible, seleccione la plantilla que agregó en la entidad PKI para el proveedor de credenciales.
      Estas plantillas están disponibles cuando se agregan entidades de servicios de certificados de Microsoft en Settings > PKI Entities.
  4. Haga clic en Next.
    Aparece la página Credential Providers: Certificate Signing Request.
  5. En la página Proveedores de credenciales: Solicitud de firma de certificado, configure lo siguiente según la configuración de su certificado:
    • Algoritmo de clave: Elija el algoritmo de clave para el nuevo par de claves. Los valores disponibles son RSA, DSA y ECDSA.
    • Tamaño de clave: Escriba el tamaño, en bits, del par de claves. Este campo es obligatorio.
      Los valores permitidos dependen del tipo de clave. Por ejemplo, el tamaño máximo para las claves DSA es de 2048 bits. Para evitar falsos negativos, que dependen del hardware y software subyacentes, Citrix Endpoint Management no impone tamaños de clave. Pruebe siempre las configuraciones del proveedor de credenciales en un entorno de prueba antes de activarlas en producción.
    • Algoritmo de firma: Haga clic en un valor para el nuevo certificado. Los valores dependen del algoritmo de clave.
    • Nombre del sujeto: Obligatorio. Escriba el Nombre Distinguido (DN) del nuevo sujeto del certificado. Por ejemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
      Por ejemplo, para la autenticación de certificados de cliente, utilice esta configuración:
      • Algoritmo de clave: RSA
      • Tamaño de clave: 2048
      • Algoritmo de firma: SHA256withRSA
      • Nombre del sujeto: cn=$user.username
    • Para añadir una entrada a la tabla Nombres alternativos del sujeto, haga clic en Añadir. Seleccione el tipo de nombre alternativo y, a continuación, escriba un valor en la segunda columna.
      Para la autenticación de certificados de cliente, especifique:
      • Tipo: Nombre principal de usuario
      • Valor: $user.userprincipalname
        Al igual que con el nombre del sujeto, puede usar macros de Citrix Endpoint Management en el campo de valor.
  6. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: Distribución.
  7. En la página Proveedores de credenciales: Distribución, haga lo siguiente:
    • En la lista Certificado de CA emisor, haga clic en el certificado de CA ofrecido. Dado que el proveedor de credenciales utiliza una entidad de CA discrecional, el certificado de CA para el proveedor de credenciales es siempre el certificado de CA configurado en la propia entidad. El certificado de CA se presenta aquí para mantener la coherencia con las configuraciones que utilizan entidades externas.
    • En Seleccionar modo de distribución, haga clic en una de las siguientes formas de generar y distribuir claves:
      • Preferir centralizado: Generación de claves en el servidor: Citrix recomienda esta opción centralizada. Es compatible con todas las plataformas compatibles con Citrix Endpoint Management y es necesaria cuando se utiliza la autenticación de NetScaler Gateway. Las claves privadas se generan y almacenan en el servidor y se distribuyen a los dispositivos de los usuarios.
      • Preferir distribuido: Generación de claves en el dispositivo: Las claves privadas se generan y almacenan en los dispositivos de los usuarios. Este modo distribuido utiliza SCEP y requiere un certificado de cifrado de RA con el uso de clave keyEncryption y un certificado de firma de RA con el uso de clave digitalSignature. Se puede usar el mismo certificado para el cifrado y la firma.
      • Solo distribuido: Generación de claves en el dispositivo: Esta opción funciona igual que Preferir distribuido: Generación de claves en el dispositivo, salvo que, al ser "Solo" en lugar de "Preferir", no hay ninguna opción disponible si la generación de claves en el dispositivo falla o no está disponible.
    Si seleccionó Preferir distribuido: Generación de claves en el dispositivo o Solo distribuido: Generación de claves en el dispositivo, haga clic en el certificado de firma de RA y en el certificado de cifrado de RA. Se puede usar el mismo certificado para ambos. Aparecen nuevos campos para estos certificados.
  8. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: Revocación de Citrix Endpoint Management. En esta página, se configuran las condiciones bajo las cuales Citrix Endpoint Management marca internamente como revocados los certificados emitidos a través de esta configuración de proveedor.
  9. En la página Proveedores de credenciales: Revocación de Citrix Endpoint Management, haga lo siguiente:
    • En Revocar certificados emitidos, seleccione una de las opciones que indican cuándo revocar certificados.
    • Para indicar a Citrix Endpoint Management que envíe una notificación cuando se revoque el certificado: Establezca el valor de Enviar notificación en Activado y elija una plantilla de notificación.
    • Para revocar el certificado en la PKI cuando se revoca el certificado de Citrix Endpoint Management: Establezca Revocar certificado en PKI en Activado y, en la Lista de entidades, haga clic en una plantilla. La Lista de entidades muestra todas las entidades disponibles con capacidades de revocación. Cuando el certificado se revoca de Citrix Endpoint Management, se envía una llamada de revocación a la PKI seleccionada de la Lista de entidades.
  10. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: PKI de revocación. En esta página, identifique las acciones que se deben realizar en la PKI si se revoca el certificado. También tiene la opción de crear un mensaje de notificación.
  11. En la página Proveedores de credenciales: PKI de revocación, haga lo siguiente si quiere revocar certificados de la PKI:
    • Cambie la configuración de Habilitar comprobaciones de revocación externas a Activado. Aparecen más campos relacionados con la PKI de revocación.
    • En la lista Certificado de CA del respondedor OCSP, haga clic en el nombre distintivo (DN) del sujeto del certificado.
      Puede usar macros de Citrix Endpoint Management para los valores de campo de DN. Por ejemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • En la lista Cuando se revoca el certificado, haga clic en una de las siguientes acciones que se realizarán en la entidad PKI cuando se revoque el certificado:
      • No hacer nada.
      • Renovar el certificado.
      • Revocar y borrar el dispositivo.
    • Para indicar a Citrix Endpoint Management que envíe una notificación cuando se revoque el certificado: Establezca el valor de Enviar notificación en Activado.
      Puede elegir entre dos opciones de notificación:
    • Si selecciona Seleccionar plantilla de notificación, puede seleccionar un mensaje de notificación preescrito que luego puede personalizar. Estas plantillas se encuentran en la lista Plantilla de notificación.
    • Si selecciona Introducir detalles de notificación, puede escribir su propio mensaje de notificación. Además de proporcionar la dirección de correo electrónico del destinatario y el mensaje, puede establecer la frecuencia con la que se envía la notificación.
  12. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: Renovación. En esta página, puede configurar Citrix Endpoint Management para que haga lo siguiente:
    • Renovar el certificado. Opcionalmente, puede enviar una notificación de renovación y, opcionalmente, excluir de la operación los certificados ya caducados.
    • Emitir una notificación para los certificados próximos a caducar (notificación antes de la renovación).
  13. En la página Proveedores de credenciales: Renovación, haga lo siguiente si quiere renovar los certificados cuando caduquen:
    Establezca Renovar certificados cuando caduquen en Activado. Aparecen más campos.
    • En el campo Renovar cuando el certificado esté dentro de, escriba cuántos días antes de la caducidad se debe renovar el certificado.
    • Opcionalmente, seleccione No renovar los certificados que ya hayan caducado. En este caso, "ya caducado" significa que la fecha NotAfter es anterior, no que se haya revocado. Citrix Endpoint Management no renueva los certificados después de que se hayan revocado internamente.
    Para indicar a Citrix Endpoint Management que envíe una notificación cuando se haya renovado el certificado: Establezca Enviar notificación en Activado. Para indicar a Citrix Endpoint Management que envíe una notificación cuando el certificado esté próximo a caducar: Establezca Notificar cuando el certificado esté próximo a caducar en Activado. Para cualquiera de estas opciones, puede elegir entre dos opciones de notificación:
    • Seleccionar plantilla de notificación: Seleccione un mensaje de notificación preescrito que luego podrá personalizar. Estas plantillas se encuentran en la lista de plantillas de notificación.
    • Introducir detalles de la notificación: Escriba su propio mensaje de notificación. Proporcione la dirección de correo electrónico del destinatario, un mensaje y una frecuencia para enviar la notificación.
    En el campo Notificar cuando el certificado esté dentro de, escriba cuántos días antes de la caducidad del certificado se debe enviar la notificación.
  14. Haga clic en Guardar.
    El proveedor de credenciales aparece en la tabla de proveedores de credenciales.