Entidades PKI

Last published : Oct 21, 2026
Una configuración de entidad de infraestructura de clave pública (PKI) de XenMobile® representa un componente que realiza operaciones PKI reales (emisión, revocación e información de estado). Estos componentes son internos o externos a XenMobile. Los componentes internos se denominan discrecionales. Los componentes externos forman parte de su infraestructura corporativa.
XenMobile admite los siguientes tipos de entidades PKI:
  • Servicios de certificados de Microsoft
  • Entidades de certificación (CA) discrecionales
XenMobile admite los siguientes servidores CA:
  • Windows Server 2019
  • Windows Server 2016
Nota:
Los servidores Windows 2012 R2, 2012 y 2008 R2 ya no son compatibles, ya que han llegado al final de su vida útil. Para obtener más información, consulte la documentación del ciclo de vida de los productos de Microsoft.
Related information
Certificados y autenticación

Conceptos comunes de PKI

Independientemente de su tipo, cada entidad PKI tiene un subconjunto de las siguientes capacidades:
  • Firmar: Emitir un nuevo certificado, basado en una solicitud de firma de certificado (CSR).
  • Obtener: Recuperar un certificado y un par de claves existentes.
  • Revocar: Revocar un certificado de cliente.

Acerca de los certificados de CA

Cuando configure una entidad PKI, indique a XenMobile qué certificado de CA es el firmante de los certificados emitidos por (o recuperados de) esa entidad. Esa entidad PKI puede devolver certificados (obtenidos o recién firmados) firmados por cualquier número de CA diferentes.
Proporcione el certificado de cada una de estas CA como parte de la configuración de la entidad PKI. Para ello, cargue los certificados en XenMobile y luego haga referencia a ellos en la entidad PKI. Para las CA discrecionales, el certificado es implícitamente el certificado de CA firmante. Para las entidades externas, debe especificar el certificado manualmente.
Importante:
Cuando cree una plantilla de entidad de servicios de certificados de Microsoft, evite posibles problemas de autenticación con los dispositivos inscritos: No utilice caracteres especiales en el nombre de la plantilla. Por ejemplo, no utilice: ! : $ ( ) # % + * ~ ? | { } [ ]

Servicios de certificados de Microsoft

XenMobile se comunica con los servicios de certificados de Microsoft a través de su interfaz de inscripción web. XenMobile solo admite la emisión de nuevos certificados a través de esa interfaz. Si la CA de Microsoft genera un certificado de usuario de Citrix Gateway, Citrix Gateway admite la renovación y revocación de esos certificados.
Para crear una entidad PKI de CA de Microsoft en XenMobile, debe especificar la URL base de la interfaz web de los servicios de certificados. Si lo desea, utilice la autenticación de cliente SSL para proteger la conexión entre XenMobile y la interfaz web de los servicios de certificados.

Agregar una entidad de servicios de certificados de Microsoft

  1. En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola y, a continuación, haga clic en Entidades PKI.
  2. En la página Entidades PKI, haga clic en Agregar.
    Aparece un menú de tipos de entidad PKI.
  3. Haga clic en Entidad de servicios de certificados de Microsoft.
    Aparece la página Entidad de servicios de certificados de Microsoft: Información general.
  4. En la página Entidad de servicios de certificados de Microsoft: Información general, configure estos parámetros:
    • Nombre: Escriba un nombre para la nueva entidad, que utilizará más adelante para hacer referencia a ella. Los nombres de las entidades deben ser únicos.
    • URL raíz del servicio de inscripción web: Escriba la URL base de su servicio de inscripción web de CA de Microsoft; por ejemplo, https://192.0.2.13/certsrv/. La URL puede usar HTTP simple o HTTP-over-SSL.
    • Nombre de la página certnew.cer: El nombre de la página certnew.cer. Utilice el nombre predeterminado a menos que lo haya cambiado por algún motivo.
    • certfnsh.asp: El nombre de la página certfnsh.asp. Utilice el nombre predeterminado a menos que lo haya cambiado por algún motivo.
    • Tipo de autenticación: Elija el método de autenticación que desea utilizar.
      • Ninguno
      • HTTP Basic: Escriba el nombre de usuario y la contraseña necesarios para conectarse.
      • Certificado de cliente: Elija el certificado de cliente SSL correcto.
  5. Haga clic en Probar conexión para asegurarse de que el servidor es accesible. Si no es accesible, aparecerá un mensaje indicando que la conexión ha fallado. Compruebe la configuración.
  6. Haga clic en Siguiente.
    Aparece la página Entidad de servicios de certificados de Microsoft: Plantillas. En esta página, se especifican los nombres internos de las plantillas que admite su CA de Microsoft. Al crear proveedores de credenciales, se selecciona una plantilla de la lista definida aquí. Cada proveedor de credenciales que utiliza esta entidad usa exactamente una de estas plantillas.
    Para conocer los requisitos de las plantillas de los servicios de certificados de Microsoft, consulte la documentación de Microsoft para su versión de Microsoft Server. XenMobile no tiene requisitos para los certificados que distribuye, aparte de los formatos de certificado indicados en Certificados.
  7. En la página Entidad de servicios de certificados de Microsoft: Plantillas, haga clic en Agregar, escriba el nombre de la plantilla y, a continuación, haga clic en Guardar. Repita este paso para cada plantilla que desee agregar.
  8. Haga clic en Siguiente.
    Aparece la página Entidad de servicios de certificados de Microsoft: Parámetros HTTP. En esta página, se especifican los parámetros personalizados que XenMobile debe agregar a la solicitud HTTP a la interfaz de inscripción web de Microsoft. Los parámetros personalizados solo son útiles para los scripts personalizados que se ejecutan en la CA.
  9. En la página Entidad de servicios de certificados de Microsoft: Parámetros HTTP, haga clic en Agregar, escriba el nombre y el valor de los parámetros HTTP que desea agregar y, a continuación, haga clic en Siguiente.
    Aparece la página Entidad de servicios de certificados de Microsoft: Certificados de CA. En esta página, debe informar a XenMobile sobre los firmantes de los certificados que el sistema obtiene a través de esta entidad. Cuando se renueve su certificado de CA, actualícelo en XenMobile. XenMobile aplica el cambio a la entidad de forma transparente.
  10. En la página Entidad de servicios de certificados de Microsoft: Certificados de CA, seleccione los certificados que desea usar para esta entidad.
  11. Haga clic en Guardar.
    La entidad aparece en la tabla Entidades PKI.

Lista de revocación de certificados (CRL) de Citrix ADC

XenMobile admite la lista de revocación de certificados (CRL) solo para una entidad de certificación de terceros. Si tiene una CA de Microsoft configurada, XenMobile utiliza Citrix ADC para administrar la revocación.
Al configurar la autenticación basada en certificados de cliente, considere si debe configurar el ajuste de la lista de revocación de certificados (CRL) de Citrix ADC Habilitar actualización automática de CRL. Este paso garantiza que el usuario de un dispositivo en modo solo MAM no pueda autenticarse utilizando un certificado existente en el dispositivo.
XenMobile vuelve a emitir un nuevo certificado, ya que no restringe a un usuario la generación de un certificado de usuario después de que uno haya sido revocado. Esta configuración aumenta la seguridad de las entidades PKI cuando la CRL comprueba las entidades PKI caducadas.

CA discrecionales

Se crea una CA discrecional cuando se proporciona a XenMobile un certificado de CA y la clave privada asociada. XenMobile gestiona internamente la emisión, revocación e información de estado de los certificados, según los parámetros que especifique.
Al configurar una CA discrecional, puede activar la compatibilidad con el Protocolo de estado de certificados en línea (OCSP) para esa CA. Si y solo si habilita la compatibilidad con OCSP, la CA agrega la extensión id-pe-authorityInfoAccess a los certificados que emite la CA. La extensión apunta al respondedor OCSP interno de XenMobile en la siguiente ubicación:
https://<server>/<instance>/ocsp
Al configurar el servicio OCSP, especifique un certificado de firma OCSP para la entidad discrecional en cuestión. Puede usar el propio certificado de CA como firmante. Para evitar la exposición innecesaria de su clave privada de CA (recomendado): Cree un certificado de firma OCSP delegado, firmado por el certificado de CA, e incluya esta extensión: id-kp-OCSPSigning extendedKeyUsage.
El servicio de respondedor OCSP de XenMobile admite respuestas OCSP básicas y los siguientes algoritmos de hash en las solicitudes:
  • SHA-1
  • SHA-224
  • SHA-256
  • SHA-384
  • SHA-512
Las respuestas se firman con SHA-256 y el algoritmo de clave del certificado de firma (DSA, RSA o ECDSA).

Añadir CA discrecionales

  1. En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola y, a continuación, haga clic en Más > Entidades PKI.
  2. En la página Entidades PKI, haga clic en Agregar.
    Aparece un menú de tipos de entidades PKI.
  3. Haga clic en CA discrecional.
    Aparece la página CA discrecional: Información general.
  4. En la página CA discrecional: Información general, haga lo siguiente:
    • Nombre: Escriba un nombre descriptivo para la CA discrecional.
    • Certificado de CA para firmar solicitudes de certificado: Haga clic en un certificado para que la CA discrecional lo use para firmar solicitudes de certificado.
      Esta lista de certificados se genera a partir de los certificados de CA con claves privadas que cargó en XenMobile en Configurar > Parámetros > Certificados.
  5. Haga clic en Siguiente.
    Aparece la página CA discrecional: Parámetros.
  6. En la página CA discrecional: Parámetros, haga lo siguiente:
    • Generador de números de serie: La CA discrecional genera números de serie para los certificados que emite. En esta lista, haga clic en Secuencial o No secuencial para determinar cómo se generan los números.
    • Siguiente número de serie: Escriba un valor para determinar el siguiente número emitido.
    • Certificado válido durante: Escriba el número de días durante los que el certificado es válido.
    • Uso de clave: Identifique el propósito de los certificados emitidos por la CA discrecional estableciendo las claves adecuadas en Activado. Una vez configurada, la CA se limita a emitir certificados para esos fines.
    • Uso de clave extendido: Para agregar más parámetros, haga clic en Agregar, escriba el nombre de la clave y, a continuación, haga clic en Guardar.
  7. Haga clic en Siguiente.
    Aparece la página CA discrecional: Distribución.
  8. En la página CA discrecional: Distribución, seleccione un modo de distribución:
    • Centralizado: generación de claves en el servidor. Citrix recomienda la opción centralizada. Las claves privadas se generan y almacenan en el servidor y se distribuyen a los dispositivos de usuario.
    • Distribuido: generación de claves en el dispositivo. Las claves privadas se generan en los dispositivos de usuario. Este modo distribuido utiliza SCEP y requiere un certificado de cifrado RA con la extensión keyUsage keyEncryption y un certificado de firma RA con la extensión keyUsage digitalSignature. El mismo certificado se puede utilizar tanto para cifrado como para firma.
  9. Haga clic en Siguiente.
    La página CA discrecional: Protocolo de estado de certificado en línea (OCSP) aparece.
    En la página CA discrecional: Protocolo de estado de certificado en línea (OCSP), haga lo siguiente:
    • Si desea añadir una extensión AuthorityInfoAccess (RFC2459) a los certificados firmados por esta CA, establezca Habilitar compatibilidad con OCSP para esta CA en Activado. Esta extensión apunta al respondedor OCSP de la CA en https://<server>/<instance>/ocsp.
    • Si ha habilitado la compatibilidad con OCSP, seleccione un certificado de CA de firma de OCSP. Esta lista de certificados se genera a partir de los certificados de CA que cargó en XenMobile.
  10. Haga clic en Guardar.
    La CA discrecional aparece en la tabla Entidades PKI.