Como integrar com uma CA Microsoft

Este documento fornece informações sobre como integrar com uma CA Microsoft sem a necessidade de permissão de administrador de domínio ou local. Para mais informações sobre os campos da CA Microsoft, veja Autoridades certificadoras.

Requisitos

• Os seguintes grupos de acesso no Active Directory (AD):
  • Domain Users
  • Remote Management Users
• Permissões na Autoridade certificadora (CA). Veja Habilitar permissões na CA para mais informações.
• Permissões para fornecer acesso no recursos WinRM. Veja Fornecer acesso aos recursos WinRM para mais informações.
• Permissão para fornecer acesso ao namespace WMI. Veja Fornecer acesso ao namespace WMI para mais informações.

Habilitar permissões na CA

1. No objeto da CA, clique em Propriedades > Segurança.
2. Habilite a permissão Solicitar certificado.
3. Forneça permissão para o usuário de serviço no template do certificado que será utilizado pelo CLM para assinar certificados.
   1. Abra o console da CA.
   2. Clique em Templates de certificados > Gerenciamento.
   3. No console, encontre o template e clique em Propriedades.
   4. Vá até a aba Segurança e adicione o usuário de serviço que deseja fornecer permissão ao clicar na caixa de seleção Enroll.
   5. Clique em OK para salvar as alterações.

Fornecer acesso aos recursos WinRM

1. Abra o prompt de comando.
2. Execute os seguintes comandos:
   1. winrm configSDDL default
      1. Após executar os comandos, selecione a permissão Executar na coluna Permitir.
   2. Set-PSSessionConfiguration -Name Microsoft.PowerShell -ShowSecurityDescriptorUI
      1. Após executar os comandos, selecione a permissão Controle total na coluna Permitir.

Fornecer acesso ao namespace WMI

1. Abra o comando Executar do Windows, digite wmimgmt.msc e aperte Enter.
2. No console WmiMgmt, e clique em Propriedades em WMIControl (Local).
3. Na aba Segurança, selecione Root, e clique em Security para configurar permissões.
4. Adicione o grupo Remote Management Users na seção de grupos ou nomes de usuário.
5. Selecione o grupo adicionado e clique em Avançadas para acessar as configurações avançadas de segurança.
6. Edite as permissões e altere os valores da coluna Aplicável a para Esta pasta e subpastas.
7. Marque as seguintes permissões:
   1. Executar métodos
   2. Ativar conta
   3. Ativação remota

Integrar com uma CA Microsoft

1. No Segura™, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione Certificate Manager.
2. No menu lateral, selecione Gerenciamento > Autoridades > Autoridades certificadoras.
3. No canto superior direito, clique em Adicionar, e selecione Microsoft CA.
4. No campo Nome *, insira um nome para identificar a CA.
5. Selecione o botão Status para ativar ou desativar a CA.
6. No campo IP para conexão com a CA *, insira o IP de conexão com a CA.
7. No campo Nome do host da CA *, insira o nome do host da CA.
   1. Para obter o nome completo do host da CA, execute o comando certutil no servidor da Microsoft CA e copie o valor da linha Config.
8. No campo Plugin para conexão *, selecione o plugin para conexão.
9. No campo Porta, insira a porta para conexão.
10. No campo Credencial de acesso *, selecione a credencial de acesso.
11. Clique em Salvar.

Template de certificado

O Segura® assina cada certificado com um template de certificado da CA Microsoft:

• Ao assinar uma requisição pela interface, você insere o template no campo Template de assinatura, na aba Template de assinatura. O template padrão é webserver.
• Requisições criadas pela API usam o template webserver.

O usuário de serviço precisa da permissão Enroll em todos os templates utilizados. Veja Habilitar permissões na CA para mais informações.

Comportamento do Network Connector

Diferente das CAs DigiCert e Let's Encrypt, a CA Microsoft não tem o campo Usar Network Connector?. A rota de conexão vem do dispositivo vinculado à Credencial de acesso selecionada:

• Se o dispositivo tiver um Network Connector configurado, a CA utiliza esse Network Connector para emitir e revogar certificados.
• Se o dispositivo não tiver um Network Connector, o Segura® usa o Network Connector padrão configurado para o ambiente. Se o Network Connector padrão não conseguir abrir o túnel, o Segura® se conecta diretamente à CA.

Se o Network Connector do próprio dispositivo estiver inacessível, o Segura® nunca usa outra rota:

• Assinatura: a requisição não falha. Ela aguarda e tenta novamente de forma automática até que o Network Connector volte a ficar disponível.
• Revogação: o status da revogação muda para erro, e o Segura® não tenta novamente.