Configurazione profili certificato in Configuration Manager

Su un server che esegue Windows Server 2012 R2, installare e configurare il ruolo servizio Registrazione dispositivi di rete per il ruolo del server Servizi certificati Active Directory. Per altre informazioni, vedere Informazioni aggiuntive sul servizio Registrazione dispositivi di rete nella libreria Servizi certificati Active Directory in TechNet.

Controllare e, se necessario, modificare le autorizzazioni di sicurezza per i modelli di certificato usati dal servizio Registrazione dispositivi di rete:

- Per l'account in cui è in esecuzione la console di Configuration Manager: autorizzazione **Lettura**.

  Questa autorizzazione è richiesta in modo che durante l'esecuzione di Creazione guidata profilo di certificato è possibile selezionare il modello di certificato che si desidera usare quando si crea profilo delle impostazioni SCEP. La selezione di un modello di certificato implica che alcune impostazioni nella procedura guidata vengano popolate automaticamente. Questo semplifica la configurazione ed evita la selezione di impostazioni che non sono compatibili con i modelli di certificato usati dal servizio Registrazione dispositivi di rete.

- Per l'account del servizio SCEP usato dal pool di applicazioni del servizio Registrazione dispositivi di rete: autorizzazioni **Lettura** e **Registrazione**.

  Questo non è un requisito specifico di Configuration Manager ma è parte della configurazione del servizio Registrazione dispositivi di rete. Per altre informazioni, vedere [Informazioni aggiuntive sul servizio Registrazione dispositivi di rete](https://go.microsoft.com/fwlink/p/?linkid=309016) nella libreria Servizi certificati Active Directory in TechNet.

Suggerimento
Per identificare i modelli di certificato utilizzati dal servizio Registrazione dispositivi di rete, visualizzare la seguente chiave del Registro di sistema sul server che esegue il servizio Registrazione dispositivi di rete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP.

Distribuire a questo server un certificato PKI che supporta l'autenticazione client. Un certificato adatto potrebbe essere già disponibile sul computer in uso oppure potrebbe essere necessario o preferibile distribuire un certificato in modo specifico per questo scopo. Per altre informazioni sui requisiti richiesti per questo certificato, fare riferimento alle informazioni per "Server su cui è in esecuzione il modulo criteri di Configuration Manager con il servizio ruolo del servizio Registrazione dispositivi di rete" nella sezione Certificati PKI per server nell'argomento Requisiti dei certificati PKI per Configuration Manager.

Suggerimento

Per distribuire più facilmente questo certificato, è possibile usare le istruzioni per Distribuzione del certificato client per punti di distribuzione nell'argomento Esempio dettagliato di distribuzione dei certificati PKI per Configuration Manager: Autorità di certificazione di Windows Server 2008, perché i requisiti del certificato sono gli stessi, con un'eccezione: Non selezionare la casella di controllo Rendi la chiave privata esportabile nella scheda Gestione richiesta delle proprietà dei modelli di certificato. Non è necessario esportare questo certificato con la chiave privata perché sarà possibile accedere all'archivio del computer locale e selezionarlo quando si configura il modulo criteri di Configuration Manager.

Individuare il certificato principale a cui è collegato il certificato di autenticazione client. Quindi esportare questo certificato CA radice in un file di certificato (.cer). Salvare questo file in un percorso protetto a cui sarà possibile accedere in modo sicuro quando si installa e si configura il server di sistema del sito per il punto di registrazione certificati.

Sullo stesso server usare l'editor del Registro di sistema per incrementare il limite dimensione URL predefinito IIS impostando i seguenti valori DWORD delle chiavi del Registro di sistema in HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters:

- Impostare la chiave **MaxFieldLength** su **65534**.

- Impostare la chiave **MaxRequestBytes** su **16777216**.

Per altre informazioni, vedere l'articolo 820129: Impostazioni del Registro di sistema Http.sys per Windows nella Microsoft Knowledge Base.

Sullo stesso server, in Gestione Internet Information Services (IIS), modificare le impostazioni del filtro richieste per l'applicazione /certsrv/mscep, quindi riavviare il server. Nella finestra di dialogo Modifica impostazioni di filtro richieste, verificare che le impostazioni Limiti richiesta corrispondano alle seguenti:

- **Lunghezza contenuto massima consentita (byte)**: **30000000**

- **Lunghezza massima URL (byte)**: **65534**

- **Lunghezza massima stringa di query in (byte)**: **65534**

Per altre informazioni su queste impostazioni e sulla loro configurazione, vedere Limiti richiesta nella Raccolta informazioni di riferimento IIS.

Per poter richiedere un certificato il cui periodo di validità è inferiore a quello del modello di certificato in uso: Questa configurazione è disabilitata per impostazione predefinita da una CA globale (enterprise). Per abilitare questa opzione in una CA globale (enterprise), usare lo strumento della riga di comando Certutil, quindi arrestare e riavviare il servizio certificati usando i seguenti comandi:

1. certutil - setreg Policy\EditFlags +EDITF_ATTRIBUTEENDDATE

2. net stop certsvc

3. net start certsvc

Per altre informazioni, vedere Strumenti e impostazioni servizi certificati nella libreria PKI Technologies in TechNet.

Verificare che il servizio Registrazione dispositivi di rete sia in funzione usando il seguente collegamento come esempio: https://server.contoso.com/certsrv/mscep/mscep.dll. Verrà visualizzata la pagina Web incorporata del servizio Registrazione dispositivi di rete. Questa pagina Web illustra il servizio e spiega che i dispositivi di rete usano l'URL per inviare richieste di certificati.

Nella console di Configuration Manager, fare clic su Amministrazione.

Nell'area di lavoro Amministrazione espandere Configurazione del sito, fare clic su Server e ruoli del sistema del sito, quindi selezionare il server che si desidera usare per il punto di registrazione certificati.

Nella scheda Home, nel gruppo Server, fare clic su Aggiungi ruoli del sistema del sito.

Nella pagina Generale specificare le impostazioni generali per il sistema del sito e quindi fare clic su Avanti.

Nella pagina Proxy fare clic su Avanti. Il punto di registrazione certificati non usa le impostazioni del proxy Internet.

Nella pagina Selezione ruolo del sistema selezionare Punto di registrazione certificati dall'elenco dei ruoli disponibili, quindi fare clic su Avanti.

Nella pagina Punto di registrazione certificati accettare o modificare le impostazioni predefinite, quindi fare clic su Aggiungi.

Nella finestra di dialogo Aggiungi URL e certificato CA radice, specificare quanto segue, quindi fare clic su OK:

1. URL per il servizio di registrazione dispositivi di rete: Specificare l'URL nel formato seguente: https://<server_FQDN>/certsrv/mscep/mscep.dll. Ad esempio, se il FQDN del server che esegue il servizio Registrazione dispositivi di rete è server1.contoso.com, digitare https://server1.contoso.com/certsrv/mscep/mscep.dll.

2. Certificato CA radice: Individuare e selezionare il file del certificato (con estensione cer) creato e salvato nel Passaggio 1: Installare e configurare il servizio Registrazione dispositivi di rete e le dipendenze. Questo certificato CA radice consente al punto di registrazione certificati di convalidare il certificato di autenticazione client che verrà usato dal modulo criteri di Configuration Manager.

Fare clic su Avanti e completare la procedura guidata.

Attendere qualche minuto per consentire il completamento dell'installazione, quindi verificare che il punto di registrazione certificati sia installato correttamente usando uno dei seguenti metodi:

• Nell'area di lavoro Monitoraggio espandere Stato del sistema, fare clic su Stato componente e cercare i messaggi di stato dal componente SMS_CERTIFICATE_REGISTRATION_POINT.

• Nel server del sistema del sito usare il file <Percorso di installazione di ConfigMgr>\Logs\crpsetup.log e il file <Percorso di installazione di ConfigMgr>\Logs\crpmsi.log. Una corretta installazione restituirà un codice di uscita pari a 0.

• Usando un browser, verificare che sia possibile connettersi all'URL del punto di registrazione certificati, ad esempio, https://server1.contoso.com/CMCertificateRegistration. Accertarsi che venga visualizzata una pagina di Errore server per il nome dell'applicazione con una descrizione HTTP 404.

Individuare il file del certificato esportato per la CA radice che il punto di registrazione certificati ha creato automaticamente nella seguente cartella del computer del server del sito primario: <ConfigMgr Installation Path>\inboxes\certmgr.box. Salvare questo file in un percorso protetto a cui sarà possibile accedere in modo sicuro quando si installerà il modulo criteri di Configuration Manager sul server che esegue il servizio Registrazione dispositivi di rete.

Suggerimento
Questo certificato non è immediatamente disponibile in questa cartella. Potrebbe essere necessario attendere (ad esempio, mezz'ora) prima che Configuration Manager copi il file in questo percorso.

Sul server che esegue il servizio Registrazione dispositivi di rete accedere come un amministratore di dominio e copiare i seguenti file dalla cartella <SupportodiInstallazioneConfigMgr>\SMSSETUP\POLICYMODULE\X64 nei supporti di installazione di Configuration Manager in una cartella temporanea:

- PolicyModule.msi

- PolicyModuleSetup.exe

Inoltre, se si dispone di una cartella LanguagePack sul supporto di installazione, copiare questa cartella e il relativo contenuto.

Dalla cartella temporanea, eseguire PolicyModuleSetup.exe per avviare Installazione guidata del modulo criteri di Configuration Manager.

Nella pagina iniziale della configurazione guidata, fare clic su Avanti, accettare le condizioni di licenza, quindi fare clic su Avanti.

Nella pagina Cartella di installazione accettare la cartella di installazione predefinita per il modulo criteri o specificare una cartella alternativa, quindi fare clic su Avanti.

Nella pagina Punto di registrazione certificati, specificare l'URL del punto di registrazione certificati usando l'FQDN del server del sistema del sito e il nome dell'applicazione virtuale specificato nelle proprietà del punto di registrazione certificati. Il nome dell'applicazione virtuale predefinito è CMCertificateRegistration. Ad esempio, se il nome di dominio qualificato (FQDN) del server del sistema del sito è server1.contoso.com ed è stato usato il nome dell'applicazione virtuale, specificare https://server1.contoso.com/CMCertificateRegistration.

Accettare la porta predefinita 443 o specificare un numero di porta alternativo usato dal punto di registrazione certificati, quindi fare clic su Avanti.

Nella pagina Certificato client per il modulo criteri individuare e specificare il certificato di autenticazione client distribuito nel Passaggio 1: Installare e configurare il servizio Registrazione dispositivi di rete e le dipendenze e quindi fare clic su Avanti.

Nella pagina Certificato punto di registrazione certificati fare clic su Sfoglia per selezionare il file del certificato esportato per la CA radice individuata e salvata alla fine del Passaggio 2: Installare e configurare il punto di registrazione certificati.

Fare clic su Avanti e completare la procedura guidata.