--- title: "Como integrar com uma CA Microsoft" slug: "clm-integrate-microsoft-ca" updated: 2026-11-06T14:59:59Z published: 2026-11-06T14:59:59Z canonical: "docs.senhasegura.io/clm-integrate-microsoft-ca" --- > ## Documentation Index > Fetch the complete documentation index at: https://docs.senhasegura.io/llms.txt > Use this file to discover all available pages before exploring further. # Como integrar com uma CA Microsoft Este documento fornece informações sobre como integrar com uma CA Microsoft sem a necessidade de permissão de administrador de domínio ou local. Para mais informações sobre os campos da CA Microsoft, veja [Autoridades certificadoras](/v4-2/docs/pt/certificate-authorities-plugins#microsoft-ca). ## Requisitos - Os seguintes grupos de acesso no Active Directory (AD): - **Domain Users** - **Remote Management Users** - Permissões na Autoridade certificadora (CA). Veja [Habilitar permissões na CA](/v4-2/docs/pt/clm-integrate-microsoft-ca#habilitar-permiss%C3%B5es-na-ca) para mais informações. - Permissões para fornecer acesso no recursos WinRM. Veja [Fornecer acesso aos recursos WinRM](/v4-2/docs/pt/clm-integrate-microsoft-ca#fornecer-acesso-aos-recursos-winrm) para mais informações. - Permissão para fornecer acesso ao namespace WMI. Veja [Fornecer acesso ao namespace WMI](/v4-2/docs/pt/clm-integrate-microsoft-ca#fornecer-acesso-ao-namespace-wmi) para mais informações. Info - Se você não deseja fornecer acesso não administrativo detalhado conforme as permissões acima, pode conceder permissão de administrador local à autoridade certificadora Microsoft. No entanto, essa prática não é recomendada, pois concede privilégios excessivos, aumentando a superfície de ataque e potencialmente comprometendo a segurança do sistema. É crucial minimizar os privilégios para garantir o princípio de menor privilégio e proteger informações sensíveis. - Os passos a seguir foram realizados e validados no Windows Server 2019. ## Habilitar permissões na CA 1. No objeto da CA, clique em **Propriedades > Segurança**. 2. Habilite a permissão **Solicitar certificado**. 3. Forneça permissão para o usuário de serviço no template do certificado que será utilizado pelo CLM para assinar certificados. 1. Abra o console da CA. 2. Clique em **Templates de certificados > Gerenciamento**. 3. No console, encontre o template e clique em **Propriedades**. 4. Vá até a aba **Segurança** e adicione o usuário de serviço que deseja fornecer permissão ao clicar na caixa de seleção **Enroll**. 5. Clique em **OK** para salvar as alterações. ## Fornecer acesso aos recursos WinRM 1. Abra o prompt de comando. 2. Execute os seguintes comandos: 1. `winrm configSDDL default` 1. Após executar os comandos, selecione a permissão **Executar** na coluna **Permitir**. 2. `Set-PSSessionConfiguration -Name Microsoft.PowerShell -ShowSecurityDescriptorUI` 1. Após executar os comandos, selecione a permissão **Controle total** na coluna **Permitir**. ## Fornecer acesso ao namespace WMI 1. Abra o comando **Executar** do Windows, digite `wmimgmt.msc` e aperte **Enter**. 2. No console **WmiMgmt**, e clique em **Propriedades** em **WMIControl (Local)**. 3. Na aba **Segurança**, selecione **Root**, e clique em **Security** para configurar permissões. 4. Adicione o grupo **Remote Management Users** na seção de grupos ou nomes de usuário. 5. Selecione o grupo adicionado e clique em **Avançadas** para acessar as configurações avançadas de segurança. 6. Edite as permissões e altere os valores da coluna **Aplicável a** para **Esta pasta e subpastas**. 7. Marque as seguintes permissões: 1. **Executar métodos** 2. **Ativar conta** 3. **Ativação remota** ## Integrar com uma CA Microsoft 1. No Segura™, na barra de navegação, passe o mouse sobre o **Menu de produtos** e selecione **Certificate Manager**. 2. No menu lateral, selecione **Gerenciamento** > **Autoridades** > **Autoridades certificadoras**. 3. No canto superior direito, clique em **Adicionar**, e selecione **Microsoft CA**. 4. No campo **Nome ***, insira um nome para identificar a CA. 5. Selecione o botão **Status** para ativar ou desativar a CA. 6. No campo **IP para conexão com a CA ***, insira o IP de conexão com a CA. 7. No campo **Nome do host da CA ***, insira o nome do host da CA. 1. Para obter o nome completo do host da CA, execute o comando `certutil` no servidor da Microsoft CA e copie o valor da linha **Config**. 8. No campo **Plugin para conexão ***, selecione o plugin para conexão. 9. No campo **Porta**, insira a porta para conexão. 10. No campo **Credencial de acesso ***, selecione a credencial de acesso. 11. Clique em **Salvar**. ## Template de certificado O Segura® assina cada certificado com um template de certificado da CA Microsoft: - Ao assinar uma requisição pela interface, você insere o template no campo **Template de assinatura**, na aba **Template de assinatura**. O template padrão é `webserver`. - Requisições criadas pela API usam o template `webserver`. O usuário de serviço precisa da permissão **Enroll** em todos os templates utilizados. Veja [Habilitar permissões na CA](/v4-2/docs/pt/clm-integrate-microsoft-ca#habilitar-permiss%C3%B5es-na-ca) para mais informações. Atenção A renovação automática não mantém o template do certificado original. O certificado renovado é assinado com o template `webserver`, então o período de validade e as demais configurações do template podem ser diferentes das do certificado original. ## Comportamento do Network Connector Diferente das CAs DigiCert e Let's Encrypt, a CA Microsoft não tem o campo **Usar Network Connector?**. A rota de conexão vem do dispositivo vinculado à **Credencial de acesso** selecionada: - Se o dispositivo tiver um Network Connector configurado, a CA utiliza esse Network Connector para emitir e revogar certificados. - Se o dispositivo não tiver um Network Connector, o Segura® usa o Network Connector padrão configurado para o ambiente. Se o Network Connector padrão não conseguir abrir o túnel, o Segura® se conecta diretamente à CA. Se o Network Connector do próprio dispositivo estiver inacessível, o Segura® nunca usa outra rota: - **Assinatura:** a requisição não falha. Ela aguarda e tenta novamente de forma automática até que o Network Connector volte a ficar disponível. - **Revogação:** o status da revogação muda para erro, e o Segura® não tenta novamente.