Перейти к содержимому

Pfx файл сертификата как установить

  • автор:

Импорт ключа ЭП в формате PFX

1. Скопируйте на целевой компьютер файл с расширением PFX, полученный экспортом электронной подписи. Откройте файл (установите на него курсор и дважды щелкните мышью или нажмите Enter) и следуйте инструкции установщика, ориентируясь на скриншоты ниже:

ImportPFX1.png

ImportPFX2.png

ImportPFX3.png

3a. Если при экспорте файл был защищен паролем, введите пароль:

ImportPFX3-2.png

3b. Если подразумевается, что может потребоваться импортировать с вашего компьютера ЭП на другие рабочие места, укажите эту опцию:

ImportPFX3-1.png

ImportPFX4.png

5. Нужно указать место, куда импортируется закрытый контейнер ЭП. На выбор предлагаются токены, флешки и реестр. Рекомендуется использовать реестр, в этом случае не потребуется никаких дополнительных устройств.

ImportPFX5.png

7. Придумайте и введите пароль два раза. Сделайте всё, чтобы он не был утерян, т.к. восстановление пароля будет проблематично.

ImportPFX6.png

8. Введите пароль из пункта 7 ещё раз и поставьте галочку «Запомнить пароль»:

ImportPFX7.png

См. также

  • Экспорт ключа ЭП в формате PFX
  • 1С8:Настройка ЭЦП и программ для работы с ней

Установка сертификатов клиента для Пользовательских VPN-подключений

Если для конфигурации VPN-подключения P2S пользователя Виртуальной глобальной сети настроена как обязательная проверка подлинности на основе сертификата, на каждом клиентском компьютере должен быть локально установлен сертификат клиента. Эта статья поможет вам установить сертификат клиента локально на клиентский компьютер. Можно также использовать Intune для установки определенных профилей и сертификатов VPN-клиентов.

Windows

  1. Когда сертификат клиента будет экспортирован, найдите PFX-файл и скопируйте его на клиентский компьютер.
  2. На клиентском компьютере дважды щелкните PFX -файл, чтобы установить его. Для параметра Расположение хранилища оставьте значение Текущий пользователь, а затем выберите кнопку Далее.
  3. На странице Файл для импорта не вносите никаких изменений. Выберите Далее.
  4. На странице Защита с помощью закрытого ключа введите пароль для сертификата или проверьте, правильно ли выбран субъект безопасности, а затем выберите кнопку Далее.
  5. На странице Хранилище сертификатов оставьте расположение по умолчанию и выберите кнопку Далее.
  6. Нажмите кнопку Готово. На странице Предупреждение системы безопасности для установки сертификата выберите Да. Вы можете выбрать «Да» для этого предупреждения системы безопасности, так как вы создали сертификат.
  7. Сертификат успешно импортирован.

macOS

  1. Найдите PFX-файл сертификата и скопируйте его на компьютер Mac. Сертификат для компьютера Mac можно получить разными способами. Например, файл сертификата можно отправить по электронной почте.
  2. Дважды щелкните сертификат. Вам будет предложено ввести пароль, и сертификат будет автоматически установлен, либо появится поле Добавить сертификаты. В поле Добавить сертификаты выберите Добавить, чтобы начать установку.
  3. Выберите Вход в раскрывающемся списке.
  4. Введите пароль, созданный при экспорте сертификата клиента. Этот пароль защищает закрытый ключ сертификата. Нажмите кнопку ОК.
  5. Выберите Добавить, чтобы добавить сертификат.
  6. Чтобы просмотреть добавленный сертификат, откройте приложение Keychain Access и перейдите на вкладку Сертификаты.

Linux

Сертификат клиента для Linux устанавливается в клиенте в рамках настройки. Используйте Инструкции по настройке клиента VPN-шлюз — Linux.

Импорт профилей сертификатов PFX

Узнайте, как создать профиль сертификата путем импорта учетных данных из внешних сертификатов. В этой статье рассматриваются конкретные сведения о профилях сертификатов для обмена личной информацией (PFX). Дополнительные сведения о создании и настройке этих профилей см. в разделе Профили сертификатов.

Configuration Manager поддерживает различные типы хранилищ сертификатов для разных устройств и версий ОС. Например, Windows 10 и Windows 10 Mobile. Дополнительные сведения см. в разделе Предварительные требования к профилю сертификата.

Используйте Configuration Manager для импорта учетных данных сертификата, а затем подготовки PFX-файлов на устройствах. Эти файлы можно использовать для создания пользовательских сертификатов для поддержки зашифрованного обмена данными.

Создание профиля

  1. В консоли Configuration Manager перейдите в рабочую область Активы и соответствие, разверните узел Параметры соответствия, Разверните узел Доступ к ресурсам компании, а затем выберите Профили сертификатов.
  2. На вкладке Главная ленты в группе Создать выберите Создать профиль сертификата.
  3. На странице Общиемастера создания профиля сертификатов укажите следующие сведения:
    • Имя. Введите уникальное имя профиля сертификата. Можно использовать не более 256 символов.
    • Описание. Укажите описание, которое содержит общие сведения о профиле сертификата, который помогает идентифицировать его в консоли Configuration Manager. Можно использовать не более 256 символов.
  4. Выберите Обмен личной информацией — параметры PKCS #12 (PFX) — Импорт. Этот параметр импортирует сведения из существующего сертификата для создания профиля сертификата.

Примечание. Параметр Создать запрашивает сертификат от имени пользователя из подключенного локального центра сертификации (ЦС). Затем этот процесс безопасно доставляет сертификат клиентам в виде PFX-файлов. Дополнительные сведения см. в статье Создание профилей сертификатов PFX с помощью центра сертификации.

  • Установка в доверенный платформенный модуль (TPM) при наличии
  • В противном случае произойдет сбой установки в доверенный платформенный модуль (TPM)
  • Установка в Windows Hello для бизнеса в противном случае произойдет сбой
  • Установка в поставщик хранилища ключей программного обеспечения

Развертывание профиля

После создания и подготовки профиля сертификата он теперь доступен в узле Профили сертификатов . Дополнительные сведения о его развертывании см. в разделе Развертывание профилей доступа к ресурсам.

Назначение основных пользователей

Назначьте целевых пользователей в качестве основных пользователей на Windows 10 устройствах, на которых необходимо установить PFX-сертификаты. Дополнительные сведения см. в статье Сопоставление пользователей и устройств.

Подготовка скрипта создания PFX

Чтобы импортировать сертификат PFX, используйте следующие Configuration Manager командлетов PowerShell для подготовки скрипта Создания PFX:

  • Get-CMClientCertificatePfx
  • Import-CMClientCertificatePfx
  • Remove-CMClientCertificatePfx

Пример скрипта

Чтобы подготовить PFX-файл в профиле сертификата для пользователя, откройте PowerShell на компьютере с помощью консоли Configuration Manager. Измените переменные со значениями из среды.

# The display name of your PFX Import certificate profile $PfxProfileDisplayName = "ImportPFX" # The password you used to protect/encrypt the external PFX file that was created/exported from your certificate storage provider # If you omit this password, PowerShell will securely prompt you for it. You can specify it as a parameter for process automation. $password = "" # The username of the user who will receive this PFX certificate on their device $user = "Melissa" # The full path to the PFX file you exported from the certificate store $pfxfile = "c:\p1.pfx" # If the target user isn't in the same domain as the user running this script, specify a different domain Import-CMClientCertificatePfx -UserName "$env:USERDOMAIN\$user" -Password (ConvertTo-SecureString -String $password -AsPlainText -Force) -CertificateProfilePfx (Get-CMCertificateProfilePfx -Fast -Name $PfxProfileDisplayName) -Path $pfxfile

Настройка и использование импортированных сертификатов PKCS в Intune

В Microsoft Intune можно использовать импортированные сертификаты с парой открытых ключей (PKCS), которые обычно используются для шифрования S/MIME с профилями электронной почты. Некоторые профили электронной почты в Intune позволяют включать S/MIME, чтобы определить сертификат для подписи S/MIME и сертификат шифрования S/MIME.

Как было объявлено в этом Microsoft Tech Community блоге, поддержка библиотеки проверки подлинности Azure Active Directory (ADAL) заканчивается в декабре 2022 г. Чтобы скрипты PowerShell или пользовательский код продолжали работать для импорта пользовательских PFX-сертификатов в Intune, их необходимо обновить, чтобы использовать библиотеку проверки подлинности Майкрософт (MSAL). Кроме того, глобальный идентификатор приложения Intune должен быть обновлен уникальным идентификатором приложения (клиента), назначенным вашему приложению после его регистрации в Microsoft Entra идентификатор, чтобы предотвратить проблемы с проверкой подлинности в будущем.

В GitHub пример скрипта PowerShell для упрощения импорта сертификатов PFX был обновлен для ссылки на MSAL и идентификатор приложения (клиента) Microsoft Entra. Примеры скриптов, приведенные в этой статье, также обновляются, если это применимо.

Дополнительные сведения см. в файле сведений проекта PowerShell PFXImport на сайте GitHub и скачайте обновленный пример скрипта.

Шифрование S/MIME — это сложная задача, так как электронная почта шифруется с помощью определенного сертификата:

  • Необходимо иметь закрытый ключ сертификата, с помощью которого было зашифровано электронное письмо на целевом устройстве, чтобы это письмо можно было расшифровать.
  • Перед истечением срока действия сертификата на устройстве следует импортировать новый сертификат, чтобы устройства могли продолжить расшифровку новых сообщений электронной почты. Продление этих сертификатов не поддерживается.
  • Сертификаты шифрования продлеваются регулярно. Это означает, что вам может потребоваться сохранить предыдущие сертификаты на устройствах, чтобы гарантировать возможность расшифровки старых писем.

Так как один и тот же сертификат нужно использовать на разных устройствах, для этого нельзя использовать профили сертификатов SCEP или PKCS, так как соответствующие механизмы доставки сертификатов передают уникальный сертификат на каждое устройство.

См. сведения об использовании S/MIME с Intune в статье Использование S/MIME для шифрования электронной почты.

Поддерживаемые платформы

Intune поддерживает импорт сертификатов PFX для следующих платформ:

  • Администратор устройств Android
  • Android Enterprise:
    • Полностью управляемая платформа
    • Корпоративный рабочий профиль
    • Личный рабочий профиль

    Microsoft Intune прекращает поддержку управления администраторами устройств Android на устройствах с доступом к Google Mobile Services (GMS) 30 августа 2024 г. После этой даты регистрация устройств, техническая поддержка, исправления ошибок и исправления безопасности будут недоступны. Если в настоящее время вы используете управление администраторами устройств, мы рекомендуем перейти на другой вариант управления Android в Intune до окончания поддержки. Дополнительные сведения см. в статье Прекращение поддержки администратора устройств Android на устройствах GMS.

    Требования

    Чтобы использовать импортированные сертификаты PKCS с Intune, необходима следующая инфраструктура:

    • Соединитель сертификатов для Microsoft Intune Соединитель сертификатов обрабатывает запросы к PFX-файлам, импортированным в Intune для шифрования электронной почты S/MIME для конкретного пользователя. Убедитесь, что каждый устанавливаемый соединитель имеет доступ к закрытому ключу, используемому для шифрования паролей отправленных PFX-файлов. Дополнительные сведения о соединителе сертификатов см. в следующих статьях.
      • Обзор соединителя сертификатов для Microsoft Intune.
      • Предварительные требования.
      • Установка и настройка.

      Как это работает

      Когда вы используете Intune для развертывания импортированного сертификата PFX для пользователя, кроме самого устройства задействовано еще два компонента:

      • Служба Intune. В ней хранятся сертификаты PFX в зашифрованном состоянии и выполняется развертывание сертификата на устройстве пользователя. Пароли, защищающие закрытые ключи сертификатов, шифруются перед их передачей с помощью аппаратного модуля безопасности (HSM) или шифрования Windows. Это гарантирует, что Intune не сможет получить доступ к закрытому ключу в любое время.
      • Соединитель сертификатов для Microsoft Intune. Когда устройство запрашивает сертификат PFX, импортированный в Intune, зашифрованный пароль, сертификат и открытый ключ устройства передаются в соединитель. Соединитель расшифровывает пароль с помощью локального закрытого ключа, а затем повторно шифрует пароль (и все профили plist при использовании iOS) с помощью ключа устройства перед отправкой сертификата обратно в Intune. Затем Intune доставляет сертификат на устройство, после чего устройство расшифровывает его с помощью закрытого ключа устройства и устанавливает сертификат.

      Импорт сертификатов PFX в Intune

      Для импорта в Intune пользовательских сертификатов PFX используется Microsoft Graph. Вспомогательный модуль, доступный для скачивания в этом репозитории GitHub, предоставляет командлеты, упрощающие эту задачу.

      Если вы предпочитаете использовать c Graph собственное пользовательское решение, используйте тип ресурса userPFXCertificate.

      Сборка командлетов PFXImport PowerShell Project

      Чтобы использовать командлеты PowerShell, вам нужно самостоятельно выполнить сборку проекта с помощью Visual Studio. Этот простой процесс можно запустить на сервере, но мы рекомендуем выполнять его на локальном компьютере.

      1. Перейдите в корневой каталог репозитория Intune-Resource-Access на сайте GitHub, а затем скачайте или клонируйте репозиторий с помощью Git на свой компьютер. Кнопка скачивания на сайте GitHub
      2. Перейдите в .\Intune-Resource-Access-develop\src\PFXImportPowershell\ и откройте проект с помощью Visual Studio, используя файл PFXImportPS.sln.
      3. Вверху перейдите из режима Отладка в режим Выпуск.
      4. Перейдите в меню Сборка и выберите Собрать PFXImportPS. Через несколько секунд вы увидите подтверждение Успешно сборки в нижней левой части Visual Studio. Параметры сборки в Visual Studio
      5. В ходе сборки в .\Intune-Resource-Access-develop\src\PFXImportPowershell\PFXImportPS\bin\Release создается папка с модулем PowerShell. Эта папка Release будет использоваться на следующих шагах.

      Создание открытого ключа шифрования

      Сертификаты PFX и их закрытые ключи импортируются в Intune. Пароль, защищающий закрытый ключ, шифруется с помощью открытого ключа, хранящегося локально. Для создания и хранения пар открытого и закрытого ключей можно использовать шифрование Windows, аппаратный модуль безопасности или другой тип шифрования. В зависимости от типа используемого шифрования пара открытого и закрытого ключей может быть экспортирована в виде файла для резервного копирования.

      Модуль PowerShell предоставляет методы для создания ключа с помощью шифрования Windows. Для создания ключа также можно использовать другие средства.

      Создание ключа шифрования с помощью шифрования Windows
      1. Скопируйте созданную в Visual Studio папку Release на сервер, на котором установлен соединитель сертификатов для Microsoft Intune. В этой папке находится модуль PowerShell.
      2. На сервере откройте PowerShell с правами администратора и перейдите в папку Release, содержащую модуль PowerShell.
      3. Чтобы импортировать модуль, выполните команду Import-Module .\IntunePfxImport.psd1 .
      4. Затем выполните команду Add-IntuneKspKey -ProviderName «Microsoft Software Key Storage Provider» -KeyName «PFXEncryptionKey» .

      Совет Используемый поставщик необходимо выбрать еще раз при импорте сертификатов PFX. Вы можете использовать поставщик хранилища ключей Microsoft Software Key Storage Provider или другой поставщик. Ключу можно задать произвольное имя.

      Использование аппаратного модуля безопасности (HSM)

      Для создания и хранения пары открытого и закрытого ключей можно использовать аппаратный модуль безопасности (HSM). Дополнительные сведения см. в документации поставщика HSM.

      Импорт сертификатов PFX

      В следующем примере сертификаты PFX импортируются с помощью командлетов PowerShell. Выбор параметров определяется вашими задачами.

      • Предполагаемое назначение (группирование сертификатов по тегам):
        • unassigned
        • smimeEncryption
        • smimeSigning
        • oaepSha256
        • oaepSha384
        • oaepSha512

        Выберите поставщик хранилища ключей, соответствующий поставщику, используемому для создания ключа.

        Импорт сертификата PFX
        1. Экспортируйте сертификаты из любого центра сертификации (ЦС), следуя инструкциям из документации поставщика. Для служб сертификатов Microsoft Active Directory можно использовать этот пример скрипта.
        2. На сервере откройте PowerShell с правами администратора и перейдите к папке Release, содержащей модуль PowerShell IntunePfxImport.psd1.

        Примечание. Для клиентов GCC High и DoD перед запуском модуля IntunePfxImport.psd1 необходимо внести изменения, описанные ниже. С помощью текстового редактора или интегрированной среды сценариев PowerShell измените файл, чтобы обновить конечные точки службы для среды GCC High. Обратите внимание, что эти обновления изменяют коды URI с суффикса .com на .us. В общем в IntunePfxImport.psd1 есть два обновления: одно для AuthURI, а другое — для GraphURI.

        PrivateData = @ < AuthURI = "login.microsoftonline.us" GraphURI = "https://graph.microsoft.us" SchemaVersion = "beta" ClientId = "00000000-0000-0000-0000-000000000000" # Client Id from Azure app registration ClientSecret = "" # client secret from app registration when using application permissions to authenticate TenantId = "00000000-0000-0000-0000-000000000000" # TenantId is required when using client secret >

        Сохранив изменения, перезапустите PowerShell.

        Примечание. При выполнении аутентификации для входа в Graph необходимо предоставить разрешения для AppID. Если вы впервые используете эту служебную программу, вам понадобятся права глобального администратора. Командлеты PowerShell используют тот же идентификатор AppID, что и в примерах PowerShell для Intune.

        Примечание. При импорте сертификата из другой системы (не сервера, на котором установлен соединитель), выполните следующую команду, которая добавляет путь к файлу ключа: $userPFXObject = New-IntuneUserPfxCertificate -PathToPfxFile «» $SecureFilePassword «» «» «» «» «» «» VPN не поддерживается в качестве IntendedPurpose.

        Сведения о других доступных командах см. файле сведений в этом репозитории на сайте GitHub.

        Создание профиля импортированного сертификата PKCS

        После импорта сертификатов в Intune создайте профиль импортированного сертификата PKCS и назначьте его Microsoft Entra группам.

        После создания профиля сертификата, импортированного PKCS, значения Назначение и Поставщик хранилища ключей в профиле будут доступными только для чтения без возможности изменения. Если для любого из этих параметров требуется другое значение, создайте и разверните новый профиль.

        1. Войдите в Центр администрирования Microsoft Intune.
        2. Выберите и перейдите кразделу Профили> конфигурации устройств>Создать профиль.
        3. Укажите следующие свойства:
          • Платформа: выберите платформу устройств.
          • Профиль: выберите элемент Импортированный сертификат PKCS. Либо выберите элементы Шаблоны>Импортированный сертификат PKCS.
        4. Нажмите Создать.
        5. В разделе Основные укажите следующие свойства.
          • Имя. Введите описательное имя для профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Профиль импортированного сертификата PKCS для компании.
          • Описание: введите описание профиля. Этот необязательный параметр, но мы рекомендуем его использовать.
        6. Нажмите кнопку Далее.
        7. В разделе Параметры конфигурации укажите следующие свойства:
          • Предполагаемое назначение: указывает предполагаемое назначение сертификатов, импортированных для этого профиля. Администраторы могут импортировать сертификаты с разными назначениями (например, для подписывания или шифрования S/MIME). Предполагаемое назначение, выбранное в профиле сертификата, соответствует профилю сертификата с соответствующими импортированными сертификатами. Предполагаемое назначение обозначается тегом для группирования импортированных сертификатов. При этом нет гарантии, что импортированные сертификаты с определенным тегом будут соответствовать предполагаемому назначению.
          • Поставщик хранилища ключей (KSP) — для Windows выберите место для хранения ключей на устройстве.
        8. Этот шаг применяется только к профилям устройств Android Enterprise для полностью управляемого, выделенного и Corporate-Owned рабочего профиля. В разделе Приложения настройте доступ к сертификатам , чтобы управлять предоставлением доступа к сертификатам приложениям. Варианты:
          • Требовать утверждения пользователем для приложений(по умолчанию) — пользователи должны утвердить использование сертификата всеми приложениями.
          • Предоставление автоматического предоставления для определенных приложений (требуется утверждение пользователем для других приложений) — с помощью этого параметра выберите Добавить приложения, а затем выберите одно или несколько приложений, которые будут автоматически использовать сертификат без вмешательства пользователя.
        9. Нажмите кнопку Далее.
        10. В разделе Назначения выберите пользователей или группы, которые будут принимать ваш профиль. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств. Нажмите кнопку Далее.
        11. (Применимо только к Windows 10/11.) В разделе Правила применимости укажите правила применимости, чтобы уточнить назначение этого профиля. Вы можете как назначить, так и не назначать профиль на основе выпуска ОС или версии устройства. Сведения о правилах применимости см. в руководстве по созданию профиля устройства в Microsoft Intune. Нажмите кнопку Далее.
        12. В окне Проверка и создание проверьте параметры. При выборе «Создать» внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

        Поддержка сторонних партнеров

        Следующие партнеры предоставляют поддерживаемые методы или средства, которые можно использовать для импорта сертификатов PFX в Intune.

        DigiCert

        При использовании службы платформы PKI DigiCert можно использовать средство импорта сертификатов Intune/MIME DigiCert для импорта сертификатов PFX в Intune. Если используется это средство, следовать инструкциям, указанным в разделе Импорт сертификатов PFX в Intune этой статьи, не требуется.

        Дополнительные сведения о средстве импорта DigiCert и о том, как получить это средство, см. в статье https://knowledge.digicert.com/tutorials/microsoft-intune.html базы знаний DigiCert.

        EverTrust

        Если вы используете EverTrust в качестве решения PKI, автономного или объединенного с существующей инфраструктурой PKI, вы можете настроить EverTrust Horizon для импорта сертификатов PFX в Intune. По завершении интеграции вам не нужно будет выполнять инструкции из раздела Импорт сертификатов PFX в Intune этой статьи.

        Дополнительные сведения об интеграции EverTrust с Intune см. на странице https://evertrust.fr/horizon-and-intune-integration/.

        KeyTalk

        Если вы используете службу KeyTalk, то можете настроить ее для импорта сертификатов PFX в Intune. По завершении интеграции вам не нужно будет выполнять инструкции из раздела Импорт сертификатов PFX в Intune этой статьи.

        Дополнительные сведения об интеграции KeyTalk с Intune см. на странице https://keytalk.com/support.

        Дальнейшие действия

        В пользовательском интерфейсе Intune устройства Windows Server отображаются в отличие от клиентов Windows для сценария управления безопасностью для Microsoft Defender для конечной точки

        Для поддержки сценария управления безопасностью для Microsoft Defender для конечной точки (конфигурация безопасности MDE) Intune скоро различит устройства Windows в Microsoft Entra идентификаторе как Windows Server для устройств под управлением Windows Server или Windows для устройств под управлением Windows Server. Windows 10 или Windows 11.

        Благодаря этому изменению вы сможете улучшить таргетинг политик для Microsoft Defender для конечной точки конфигурации безопасности. Например, вы сможете использовать динамические группы, состоящие только из устройств Windows Server или только клиентских устройств Windows (Windows 10/11).

        Обратная связь

        Были ли сведения на этой странице полезными?

        Похожие публикации:
        1. Авито доставка не забирают товар что делать
        2. Как зарегистрировать карту абсолют банк в приложении
        3. Приложение кошелек отзывы как работает
        4. Расходы на маркетинг это какие расходы

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *