Documentazione tecnica sulla registrazione dei dispositivi

Il servizio Registrazione dispositivi (DRS) è un nuovo servizio Windows incluso nel ruolo del servizio federativo di Active Directory in Windows Server 2012 R2. Il servizio ripristino di emergenza deve essere installato e configurato in tutti i server federativi nella farm AD FS. For information on deploying DRS, see Configure a federation server with Device Registration Service.

Oggetti Active Directory creati quando un dispositivo viene registrato

Gli oggetti Active Directory seguenti vengono creati come parte del servizio Registrazione dispositivi.

Configurazione della registrazione del dispositivo

The Device Registration Configuration is stored in the Configuration naming context of the Active Directory forest. (For example, CN=Device Registration Configuration,CN=Services,<configuration-naming-context>). Questo oggetto viene creato quando viene inizializzata la foresta Active Directory per Registrazione dispositivo.

La configurazione di registrazione del dispositivo include gli elementi seguenti:

• Issuer keys

  Le chiavi pubbliche e private usate per rilasciare il certificato X.509 associato a un dispositivo registrato. Le chiavi private sono protette da DKM.

• Device Registration Service Configuration

  Criteri relativi al servizio registrazione dispositivi.

Contenitore di dispositivi registrati

The device object container is created under one of the domains in the Active Directory forest. Questo contenitore di oggetti conterrà tutti gli oggetti dispositivo per la foresta Active Directory.

Per impostazione predefinita, il contenitore viene creato nello stesso dominio di AD FS. Ad esempio (CN=RegisteredDevices,DC=<contesto di denominazione predefinito>). Questo oggetto viene creato quando viene inizializzata la foresta di Active Directory per la registrazione dei dispositivi.

Dispositivi registrati

Gli oggetti Dispositivo sono oggetti nuovi e leggeri in Active Directory. Vengono usati per rappresentare la relazione tra un utente, un dispositivo e l'azienda. Gli oggetti dispositivo usano un certificato firmato da AD FS per ancorare il dispositivo fisico all'oggetto dispositivo logico in Active Directory.

I dispositivi registrati includono gli elementi seguenti:

• Display Name

  Friendly name of the device. Per i dispositivi Windows, si tratta del nome host del computer.

• ID dispositivo

  Un GUID generato dal server di registrazione dei dispositivi.

• Impronta digitale del certificato

  L'impronta digitale del certificato X.509 utilizzato con il dispositivo registrato.

• Tipo di sistema operativo

  Tipo di sistema operativo nel dispositivo.

• versione del sistema operativo

  Versione del sistema operativo nel dispositivo.

• Is Enabled

  Valore booleano che indica se il dispositivo è abilitato in Active Directory. Solo i dispositivi abilitati sono autorizzati ad accedere ai servizi.

• Tempo dell'ultima utilizzazione approssimativo

  Ora approssimativa in cui il dispositivo è stato usato per accedere a una risorsa. Per limitare il traffico di replica, questo viene aggiornato una sola volta ogni 14 giorni.

• Registered Owner

  Identità di sicurezza (SID) dell'utente che ha aggiunto il dispositivo all'area di lavoro.

Controllo delle revoche di certificati SSL del server AD FS/DRS

Il client Workplace Join verifica la validità del certificato SSL del server AD FS. Se il certificato SSL del server AD FS include un endpoint CRL (Certificate Revocation List), il client deve essere in grado di raggiungere l'endpoint specificato per convalidare il certificato.

Se si usa un ambiente di test e un'autorità di certificazione di test per rilasciare i certificati SSL del server, è possibile scegliere di non includere l'endpoint CRL nei certificati server rilasciati dalla CA. Doing so will allow the Workplace Join client to bypass the CRL check.

Attenzione

Questo non è mai consigliato per i sistemi di produzione