Proveedores de credenciales

• El origen de los certificados.
• El método en que se obtienen los certificados: Firmar un nuevo certificado u obtener (recuperar) un certificado y un par de claves existentes.
• Los parámetros para la emisión o recuperación. Por ejemplo, los parámetros de la solicitud de firma de certificado (CSR), como el tamaño de la clave, el algoritmo de la clave y las extensiones del certificado.
• La forma en que se entregan los certificados al dispositivo.
• Condiciones de revocación. Aunque todos los certificados se revocan en XenMobile cuando se interrumpe la relación de administración, la configuración podría especificar una revocación anterior. Por ejemplo, la configuración puede especificar la revocación de un certificado cuando se elimina la configuración del dispositivo asociada. Además, bajo algunas condiciones, la revocación del certificado asociado en XenMobile podría enviarse a la infraestructura de clave pública (PKI) de back-end. Es decir, la revocación de certificados en XenMobile puede provocar la revocación de certificados en la PKI.
• Configuración de renovación. Los certificados obtenidos a través de un proveedor de credenciales determinado pueden renovarse automáticamente cuando se acercan a su caducidad. O, independientemente de esa situación, se pueden emitir notificaciones cuando se acerca esa caducidad.

Métodos de emisión de certificados

Entrega de certificados

• El certificado de firma de RA debe tener el uso de clave X.509 de firma digital.
• El certificado de cifrado de RA debe tener el uso de clave X.509 de cifrado de clave.

Revocación de certificados

• Revocación interna: La revocación interna afecta al estado del certificado tal como lo mantiene XenMobile. XenMobile tiene en cuenta este estado al evaluar un certificado presentado o al proporcionar información de estado OCSP para un certificado. La configuración del proveedor de credenciales determina cómo se ve afectado este estado bajo diversas condiciones. Por ejemplo, el proveedor de credenciales podría especificar que los certificados se marquen como revocados cuando se eliminan del dispositivo.
• Revocación propagada externamente: También conocida como Revocación XenMobile, este tipo de revocación se aplica a los certificados obtenidos de una PKI externa. El certificado se revoca en la PKI cuando XenMobile revoca internamente el certificado, bajo las condiciones definidas por la configuración del proveedor de credenciales.
• Revocación inducida externamente: También conocida como Revocación PKI, este tipo de revocación también solo se aplica a los certificados obtenidos de una PKI externa. Siempre que XenMobile evalúa un estado de certificado dado, XenMobile consulta a la PKI sobre ese estado. Si el certificado está revocado, XenMobile revoca internamente el certificado. Este mecanismo utiliza el protocolo OCSP.

Renovación de certificados

Crear un proveedor de credenciales

• Una entidad discrecional, que es interna a XenMobile, es una entidad interna. El método de emisión para una entidad discrecional es siempre una firma. Firma significa que con cada operación de emisión, XenMobile firma un nuevo par de claves con el certificado de CA seleccionado para la entidad. Si el par de claves se genera en el dispositivo o en el servidor depende del método de distribución que seleccione.
• Una entidad externa, que forma parte de su infraestructura corporativa, incluye Microsoft CA.

1. En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha y, a continuación, haga clic en Parámetros > Proveedores de credenciales.
2. En la página Proveedores de credenciales, haga clic en Agregar.
   Aparece la página Proveedores de credenciales: Información general.
3. En la página Proveedores de credenciales: Información general, haga lo siguiente:
   • Nombre: Escriba un nombre único para la nueva configuración del proveedor. Este nombre se utiliza más adelante para identificar la configuración en otras partes de la consola de XenMobile.
   • Descripción: Describa el proveedor de credenciales. Aunque este campo es opcional, una descripción puede proporcionar detalles útiles sobre este proveedor de credenciales.
   • Entidad emisora: Haga clic en la entidad emisora del certificado.
   • Método de emisión: Haga clic en Firmar o Obtener para que sirva como método que el sistema utiliza para obtener certificados de la entidad configurada. Para la autenticación de certificados de cliente, utilice Firmar.
   • Si la lista Plantilla está disponible, seleccione la plantilla que agregó en la entidad PKI para el proveedor de credenciales.
     Estas plantillas están disponibles cuando se agregan entidades de servicios de certificados de Microsoft en Parámetros > Entidades PKI.
4. Haga clic en Siguiente.
   Aparece la página Proveedores de credenciales: Solicitud de firma de certificado.
5. En la página Proveedores de credenciales: Solicitud de firma de certificado, configure lo siguiente según la configuración de su certificado:
   • Algoritmo de clave: Elija el algoritmo de clave para el nuevo par de claves. Los valores disponibles son RSA, DSA y ECDSA.
   • Tamaño de clave: Escriba el tamaño, en bits, del par de claves. Este campo es obligatorio.
     Los valores permitidos dependen del tipo de clave. Por ejemplo, el tamaño máximo para las claves DSA es de 1024 bits. Para evitar falsos negativos, que dependen del hardware y software subyacentes, XenMobile no impone tamaños de clave. Pruebe siempre las configuraciones del proveedor de credenciales en un entorno de prueba antes de activarlas en producción.
   • Algoritmo de firma: Haga clic en un valor para el nuevo certificado. Los valores dependen del algoritmo de clave.
   • Nombre del sujeto: Obligatorio. Escriba el Nombre Distinguido (DN) del nuevo sujeto del certificado. Por ejemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
     Por ejemplo, para la autenticación de certificado de cliente, utilice esta configuración:
     • Algoritmo de clave: RSA
     • Tamaño de clave: 2048
     • Algoritmo de firma: SHA256withRSA
     • Nombre del sujeto: cn=$user.username
   • Para agregar una entrada a la tabla Nombres alternativos del sujeto, haga clic en Agregar. Seleccione el tipo de nombre alternativo y, a continuación, escriba un valor en la segunda columna.
     Para la autenticación de certificado de cliente, especifique:
     • Tipo: Nombre principal de usuario
     • Valor: $user.userprincipalname
       Al igual que con el nombre del sujeto, puede usar macros de XenMobile en el campo de valor.
6. Haga clic en Siguiente.
   Aparece la página Proveedores de credenciales: Distribución.
7. En la página Proveedores de credenciales: Distribución, haga lo siguiente:
   • En la lista Certificado de CA emisor, haga clic en el certificado de CA ofrecido. Dado que el proveedor de credenciales utiliza una entidad de CA discrecional, el certificado de CA para el proveedor de credenciales es siempre el certificado de CA configurado en la propia entidad. El certificado de CA se presenta aquí para mantener la coherencia con las configuraciones que utilizan entidades externas.
   • En Seleccionar modo de distribución, haga clic en una de las siguientes formas de generar y distribuir claves:
     • Preferir centralizado: Generación de claves en el servidor: Citrix recomienda esta opción centralizada. Es compatible con todas las plataformas compatibles con XenMobile y es necesaria cuando se utiliza la autenticación de Citrix Gateway. Las claves privadas se generan y almacenan en el servidor y se distribuyen a los dispositivos de los usuarios.
     • Preferir distribuido: Generación de claves en el dispositivo: Las claves privadas se generan y almacenan en los dispositivos de los usuarios. Este modo distribuido utiliza SCEP y requiere un certificado de cifrado de RA con el uso de clave keyUsage keyEncryption y un certificado de firma de RA con el uso de clave KeyUsage digitalSignature. Se puede usar el mismo certificado para el cifrado y la firma.
     • Solo distribuido: Generación de claves en el dispositivo: Esta opción funciona igual que Preferir distribuido: Generación de claves en el dispositivo, excepto que, al ser "Solo" en lugar de "Preferir", no hay ninguna opción disponible si la generación de claves en el dispositivo falla o no está disponible.
   Si seleccionó Preferir distribuido: Generación de claves en el dispositivo o Solo distribuido: Generación de claves en el dispositivo, haga clic en el certificado de firma de RA y el certificado de cifrado de RA. Se puede usar el mismo certificado para ambos. Aparecen nuevos campos para estos certificados.
8. Haga clic en Siguiente.
   Aparece la página Proveedores de credenciales: Revocación de XenMobile. En esta página, se configuran las condiciones bajo las cuales XenMobile marca internamente como revocados los certificados emitidos a través de esta configuración de proveedor.
9. En la página Proveedores de credenciales: Revocación de XenMobile, haga lo siguiente:
   • En Revocar certificados emitidos, seleccione una de las opciones que indican cuándo revocar certificados.
   • Para indicar a XenMobile que envíe una notificación cuando se revoque el certificado: Establezca el valor de Enviar notificación en Activado y elija una plantilla de notificación.
   • Para revocar el certificado en la PKI cuando el certificado se revoca de XenMobile: Establezca Revocar certificado en PKI en Activado y, en la Lista de entidades, haga clic en una plantilla. La Lista de entidades muestra todas las entidades disponibles con capacidades de revocación. Cuando el certificado se revoca de XenMobile, se envía una llamada de revocación a la PKI seleccionada de la Lista de entidades.
10. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: PKI de revocación. En esta página, identifique qué acciones realizar en la PKI si se revoca el certificado. También tiene la opción de crear un mensaje de notificación.
11. En la página Proveedores de credenciales: PKI de revocación, haga lo siguiente si quiere revocar certificados de la PKI:
    • Cambie la configuración de Habilitar comprobaciones de revocación externas a Activado. Aparecen más campos relacionados con la PKI de revocación.
    • En la lista Certificado de CA del respondedor OCSP, haga clic en el nombre distintivo (DN) del asunto del certificado.
      Puede usar macros de XenMobile para los valores del campo DN. Por ejemplo: CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • En la lista Cuando se revoca el certificado, haga clic en una de las siguientes acciones para realizar en la entidad PKI cuando se revoque el certificado:
      • No hacer nada.
      • Renovar el certificado.
      • Revocar y borrar el dispositivo.
    • Para que XenMobile envíe una notificación cuando se revoque el certificado: Establezca el valor de Enviar notificación en Activado.
      Puede elegir entre dos opciones de notificación:
    • Si selecciona Seleccionar plantilla de notificación, puede seleccionar un mensaje de notificación preescrito que luego puede personalizar. Estas plantillas se encuentran en la lista Plantilla de notificación.
    • Si selecciona Introducir detalles de notificación, puede escribir su propio mensaje de notificación. Además de proporcionar la dirección de correo electrónico del destinatario y el mensaje, puede establecer la frecuencia con la que se envía la notificación.
12. Haga clic en Siguiente.
    Aparece la página Proveedores de credenciales: Renovación. En esta página, puede configurar XenMobile para realizar lo siguiente:
    • Renovar el certificado. Puede, opcionalmente, enviar una notificación al renovar y, opcionalmente, excluir los certificados ya caducados de la operación.
    • Enviar una notificación para los certificados que están próximos a caducar (notificación antes de la renovación).
13. En la página Proveedores de credenciales: Renovación, realice lo siguiente si quiere renovar los certificados cuando caduquen:
    Establezca Renovar certificados cuando caduquen en Activado. Aparecen más campos.
    • En el campo Renovar cuando el certificado esté dentro de, escriba cuántos días antes de la caducidad se debe renovar el certificado.
    • Opcionalmente, seleccione No renovar certificados que ya hayan caducado. En este caso, "ya caducado" significa que la fecha NotAfter está en el pasado, no que se haya revocado. XenMobile no renueva los certificados después de que se hayan revocado internamente.
    Para indicar a XenMobile que envíe una notificación cuando se haya renovado el certificado: Establezca Enviar notificación en Activado. Para indicar a XenMobile que envíe una notificación cuando el certificado esté próximo a caducar: Establezca Notificar cuando el certificado esté próximo a caducar en Activado. Para cualquiera de estas opciones, puede elegir entre dos opciones de notificación:
    • Seleccionar plantilla de notificación: Seleccione un mensaje de notificación preescrito que luego podrá personalizar. Estas plantillas se encuentran en la lista de plantillas de notificación.
    • Introducir detalles de notificación: Escriba su propio mensaje de notificación. Proporcione la dirección de correo electrónico del destinatario, un mensaje y una frecuencia para enviar la notificación.
    En el campo Notificar cuando el certificado esté dentro de, escriba cuántos días antes de la caducidad del certificado se debe enviar la notificación.
14. Haga clic en Guardar.
    El proveedor de credenciales aparece en la tabla de proveedores de credenciales.