Fournisseurs d'informations d'identification

• La source des certificats.
• La méthode d'obtention des certificats : signature d'un nouveau certificat ou récupération (restauration) d'un certificat et d'une paire de clés existants.
• Les paramètres d'émission ou de récupération : par exemple, les paramètres de demande de signature de certificat (CSR), tels que la taille de la clé, l'algorithme de clé et les extensions de certificat.
• La manière dont les certificats sont livrés à l'appareil.
• Conditions de révocation : bien que tous les certificats soient révoqués dans Citrix Endpoint Management lorsque la relation de gestion est rompue, la configuration peut spécifier une révocation antérieure. Par exemple, la configuration peut spécifier de révoquer un certificat lorsque la configuration d'appareil associée est supprimée. De plus, dans certaines conditions, la révocation du certificat associé dans Citrix Endpoint Management peut être envoyée à l'infrastructure à clé publique (PKI) du back-end. Autrement dit, la révocation de certificat dans Citrix Endpoint Management peut entraîner la révocation de certificat sur la PKI.
• Paramètres de renouvellement : les certificats obtenus via un fournisseur d'informations d'identification donné peuvent se renouveler automatiquement à l'approche de leur expiration. Ou, indépendamment de cette situation, des notifications peuvent être émises à l'approche de cette expiration.

Méthode d'émission de certificat

Distribution de certificats

• Le certificat de signature RA doit avoir l'utilisation de clé X.509 de signature numérique.
• Le certificat de chiffrement RA doit avoir l'utilisation de clé X.509 de chiffrement de clé.

Révocation de certificat

• Révocation interne : La révocation interne affecte le statut du certificat tel que maintenu par Citrix Endpoint Management. Citrix Endpoint Management prend en compte ce statut lors de l'évaluation d'un certificat présenté ou lors de la fourniture d'informations de statut OCSP pour un certificat. La configuration du fournisseur d'informations d'identification détermine comment ce statut est affecté dans diverses conditions. Par exemple, le fournisseur d'informations d'identification peut spécifier de marquer les certificats comme révoqués lorsque les certificats sont supprimés de l'appareil.
• Révocation propagée en externe : Également connue sous le nom de Révocation Citrix Endpoint Management, ce type de révocation s'applique aux certificats obtenus d'une PKI externe. Le certificat est révoqué sur la PKI lorsque Citrix Endpoint Management révoque le certificat en interne, dans les conditions définies par la configuration du fournisseur d'informations d'identification.
• Révocation induite en externe : Également connue sous le nom de Révocation PKI, ce type de révocation s'applique également uniquement aux certificats obtenus d'une PKI externe. Chaque fois que Citrix Endpoint Management évalue le statut d'un certificat donné, Citrix Endpoint Management interroge la PKI sur ce statut. Si le certificat est révoqué, Citrix Endpoint Management révoque le certificat en interne. Ce mécanisme utilise le protocole OCSP.

Renouvellement de certificat

Créer un fournisseur d'informations d'identification

• Une entité discrétionnaire, qui est interne à Citrix Endpoint Management, est une entité interne. La méthode d'émission pour une entité discrétionnaire est toujours une signature. Signer signifie qu'à chaque opération d'émission, Citrix Endpoint Management signe une nouvelle paire de clés avec le certificat d'autorité de certification sélectionné pour l'entité. La génération de la paire de clés sur l'appareil ou sur le serveur dépend de la méthode de distribution que vous sélectionnez.
• Une entité externe, qui fait partie de votre infrastructure d'entreprise, inclut Microsoft CA.

1. Dans la console Citrix Endpoint Management, cliquez sur l'icône d'engrenage dans le coin supérieur droit, puis cliquez sur Paramètres > Fournisseurs d'informations d'identification.
2. Sur la page Fournisseurs d'informations d'identification, cliquez sur Ajouter.
   La page Fournisseurs d'informations d'identification : Informations générales s'affiche.
3. Sur la page Fournisseurs d'informations d'identification : Informations générales, procédez comme suit :
   • Nom : Saisissez un nom unique pour la nouvelle configuration du fournisseur. Ce nom est utilisé ultérieurement pour identifier la configuration dans d'autres parties de la console Citrix Endpoint Management.
   • Description : Décrivez le fournisseur d'informations d'identification. Bien que ce champ soit facultatif, une description peut fournir des détails utiles sur ce fournisseur d'informations d'identification.
   • Entité émettrice : Cliquez sur l'entité émettrice de certificat.
   • Méthode d'émission : Cliquez sur Signer ou Récupérer pour définir la méthode utilisée par le système pour obtenir les certificats de l'entité configurée. Pour l'authentification par certificat client, utilisez Signer.
   • Si la liste Modèle est disponible, sélectionnez le modèle que vous avez ajouté sous l'entité PKI pour le fournisseur d'informations d'identification.
     Ces modèles deviennent disponibles lorsque des entités de services de certificats Microsoft sont ajoutées sous Paramètres > Entités PKI.
4. Cliquez sur Suivant.
   La page Fournisseurs d'informations d'identification : Demande de signature de certificat s'affiche.
5. Sur la page Fournisseurs d'informations d'identification : Demande de signature de certificat, configurez les éléments suivants en fonction de la configuration de votre certificat :
   • Algorithme de clé : Choisissez l'algorithme de clé pour la nouvelle paire de clés. Les valeurs disponibles sont RSA, DSA et ECDSA.
   • Taille de clé : Saisissez la taille, en bits, de la paire de clés. Ce champ est obligatoire.
     Les valeurs autorisées dépendent du type de clé. Par exemple, la taille maximale pour les clés DSA est de 2048 bits. Pour éviter les faux négatifs, qui dépendent du matériel et du logiciel sous-jacents, Citrix Endpoint Management n'impose pas de tailles de clé. Testez toujours les configurations de fournisseur d'informations d'identification dans un environnement de test avant de les activer en production.
   • Algorithme de signature : Cliquez sur une valeur pour le nouveau certificat. Les valeurs dépendent de l'algorithme de clé.
   • Nom du sujet : Obligatoire. Saisissez le nom unique (DN) du nouveau sujet de certificat. Par exemple : CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
     Par exemple, pour l'authentification par certificat client, utilisez ces paramètres :
     • Algorithme de clé : RSA
     • Taille de clé : 2048
     • Algorithme de signature : SHA256withRSA
     • Nom du sujet : cn=$user.username
   • Pour ajouter une entrée à la table Noms alternatifs du sujet, cliquez sur Ajouter. Sélectionnez le type de nom alternatif, puis saisissez une valeur dans la deuxième colonne.
     Pour l'authentification par certificat client, spécifiez :
     • Type : Nom d'utilisateur principal
     • Valeur : $user.userprincipalname
       Comme pour le nom du sujet, vous pouvez utiliser les macros Citrix Endpoint Management dans le champ de valeur.
6. Cliquez sur Suivant.
   La page Fournisseurs d'informations d'identification : Distribution s'affiche.
7. Sur la page Fournisseurs d'informations d'identification : Distribution, effectuez les opérations suivantes :
   • Dans la liste Certificat d'autorité de certification émettrice, cliquez sur le certificat d'autorité de certification proposé. Étant donné que le fournisseur d'informations d'identification utilise une entité d'autorité de certification discrétionnaire, le certificat d'autorité de certification pour le fournisseur d'informations d'identification est toujours le certificat d'autorité de certification configuré sur l'entité elle-même. Le certificat d'autorité de certification est présenté ici pour des raisons de cohérence avec les configurations qui utilisent des entités externes.
   • Dans Sélectionner le mode de distribution, cliquez sur l'une des méthodes suivantes pour générer et distribuer les clés :
     • Préférer centralisé : Génération de clés côté serveur : Citrix recommande cette option centralisée. Elle prend en charge toutes les plateformes prises en charge par Citrix Endpoint Management et est requise lors de l'utilisation de l'authentification NetScaler Gateway. Les clés privées sont générées et stockées sur le serveur, puis distribuées aux appareils des utilisateurs.
     • Préférer distribué : Génération de clés côté appareil : Les clés privées sont générées et stockées sur les appareils des utilisateurs. Ce mode distribué utilise SCEP et nécessite un certificat de chiffrement RA avec le keyUsage keyEncryption et un certificat de signature RA avec le KeyUsage digitalSignature. Le même certificat peut être utilisé pour le chiffrement et la signature.
     • Uniquement distribué : Génération de clés côté appareil : Cette option fonctionne de la même manière que Préférer distribué : Génération de clés côté appareil, à la différence que, comme il s'agit de « Uniquement » plutôt que de « Préférer », aucune option n'est disponible si la génération de clés côté appareil échoue ou n'est pas disponible.
   Si vous avez sélectionné Préférer distribué : Génération de clés côté appareil ou Uniquement distribué : Génération de clés côté appareil, cliquez sur le certificat de signature RA et le certificat de chiffrement RA. Le même certificat peut être utilisé pour les deux. De nouveaux champs apparaissent pour ces certificats.
8. Cliquez sur Suivant.
   La page Fournisseurs d'informations d'identification : Révocation Citrix Endpoint Management s'affiche. Sur cette page, vous configurez les conditions dans lesquelles Citrix Endpoint Management marque en interne les certificats, émis via cette configuration de fournisseur, comme révoqués.
9. Sur la page Fournisseurs d'informations d'identification : Révocation Citrix Endpoint Management, effectuez les opérations suivantes :
   • Dans Révoquer les certificats émis, sélectionnez l'une des options indiquant quand révoquer les certificats.
   • Pour demander à Citrix Endpoint Management d'envoyer une notification lorsque le certificat est révoqué : Définissez la valeur de Envoyer une notification sur Activé et choisissez un modèle de notification.
   • Pour révoquer le certificat sur l'infrastructure à clés publiques (PKI) lorsque le certificat est révoqué de Citrix Endpoint Management : définissez Révoquer le certificat sur PKI sur Activé et, dans la Liste des entités, cliquez sur un modèle. La Liste des entités affiche toutes les entités disponibles avec des capacités de révocation. Lorsque le certificat est révoqué de Citrix Endpoint Management, un appel de révocation est envoyé à l'infrastructure à clés publiques (PKI) sélectionnée dans la Liste des entités.
10. Cliquez sur Suivant.
    La page Fournisseurs d'informations d'identification : révocation PKI s'affiche. Sur cette page, vous identifiez les actions à entreprendre sur l'infrastructure à clés publiques (PKI) si le certificat est révoqué. Vous avez également la possibilité de créer un message de notification.
11. Sur la page Fournisseurs d'informations d'identification : révocation PKI, effectuez les opérations suivantes si vous souhaitez révoquer des certificats de l'infrastructure à clés publiques (PKI) :
    • Définissez le paramètre Activer les vérifications de révocation externes sur Activé. D'autres champs liés à la révocation PKI apparaissent.
    • Dans la liste Certificat d'autorité de certification du répondeur OCSP, cliquez sur le nom distinctif (DN) du sujet du certificat.
      Vous pouvez utiliser les macros Citrix Endpoint Management pour les valeurs du champ DN. Par exemple : CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • Dans la liste Lorsque le certificat est révoqué, cliquez sur l'une des actions suivantes à effectuer sur l'entité PKI lorsque le certificat est révoqué :
      • Ne rien faire.
      • Renouveler le certificat.
      • Révoquer et effacer l'appareil.
    • Pour que Citrix Endpoint Management envoie une notification lorsque le certificat est révoqué : définissez la valeur de Envoyer une notification sur Activé.
      Vous pouvez choisir entre deux options de notification :
    • Si vous sélectionnez Sélectionner un modèle de notification, vous pouvez choisir un message de notification pré-écrit que vous pourrez ensuite personnaliser. Ces modèles se trouvent dans la liste des modèles de notification.
    • Si vous sélectionnez Saisir les détails de la notification, vous pouvez rédiger votre propre message de notification. En plus de fournir l'adresse e-mail du destinataire et le message, vous pouvez définir la fréquence d'envoi de la notification.
12. Cliquez sur Suivant.
    La page Fournisseurs d'informations d'identification : Renouvellement s'affiche. Sur cette page, vous pouvez configurer Citrix Endpoint Management pour effectuer les opérations suivantes :
    • Renouveler le certificat. Vous pouvez éventuellement envoyer une notification lors du renouvellement, et éventuellement exclure les certificats déjà expirés de l'opération.
    • Émettre une notification pour les certificats qui approchent de l'expiration (notification avant le renouvellement).
13. Sur la page Fournisseurs d'informations d'identification : Renouvellement, effectuez les opérations suivantes si vous souhaitez renouveler les certificats lorsqu'ils expirent :
    Définissez Renouveler les certificats lorsqu'ils expirent sur Activé. D'autres champs apparaissent.
    • Dans le champ Renouveler lorsque le certificat arrive à échéance dans, saisissez le nombre de jours avant l'expiration pour renouveler le certificat.
    • Éventuellement, sélectionnez Ne pas renouveler les certificats déjà expirés. Dans ce cas, « déjà expiré » signifie que la date NotAfter est passée, et non qu'il a été révoqué. Citrix Endpoint Management ne renouvelle pas les certificats après leur révocation interne.
    Pour que Citrix Endpoint Management envoie une notification lorsque le certificat a été renouvelé : Définissez Envoyer une notification sur Activé. Pour que Citrix Endpoint Management envoie une notification lorsque le certificat approche de l'expiration : Définissez Notifier lorsque le certificat approche de l'expiration sur Activé. Pour l'un ou l'autre de ces choix, vous pouvez choisir entre deux options de notification :
    • Sélectionner un modèle de notification : Sélectionnez un message de notification prédéfini que vous pourrez ensuite personnaliser. Ces modèles se trouvent dans la liste des modèles de notification.
    • Saisir les détails de la notification : Rédigez votre propre message de notification. Indiquez l'adresse e-mail du destinataire, un message et une fréquence d'envoi de la notification.
    Dans le champ Notifier lorsque le certificat arrive à échéance dans, saisissez le nombre de jours avant l'expiration du certificat pour envoyer la notification.
14. Cliquez sur Enregistrer.
    Le fournisseur d'informations d'identification apparaît dans le tableau des fournisseurs d'informations d'identification.