Delen via

Overzicht van CNG v3-certificaten

  • Artikel

Configuration Manager ondersteunt Cryptografie: CNG-certificaten (Next Generation). Configuration Manager clients kunnen een PKI-clientverificatiecertificaat gebruiken met de persoonlijke sleutel die wordt gegenereerd en opgeslagen in een CNG Key Storage Provider (KSP). Met KSP-ondersteuning ondersteunen Configuration Manager clients persoonlijke sleutels op basis van hardware, zoals een TPM-KSP voor PKI-clientverificatiecertificaten.

Opmerking

Bij het gebruik van CNG-certificaten ondersteunen Configuration Manager clients alleen certificaten die gebruikmaken van het cryptografische RSA-algoritme.

Ondersteunde scenario's

U kunt Cryptografie-API: CNG v3-certificaatsjablonen (Next Generation) gebruiken voor de volgende scenario's:

  • Clientregistratie en communicatie met een HTTPS-beheerpunt
  • Softwaredistributie en toepassingsimplementatie met een HTTPS-distributiepunt
  • Besturingssysteemimplementatie
  • Client Messaging SDK (met meest recente update) en ISV-proxy
  • Cmg-configuratie (Cloud Management Gateway)
  • Door gebruikers gerichte beschikbare toepassingen in Software Center

Gebruik ook CNG v3-certificaten voor de volgende HTTPS-serverfuncties:

  • Beheerpunt
  • Distributiepunt
  • Software-updatepunt
  • Statusmigratiepunt
  • Certificaatregistratiepunt, inclusief de NDES-server met de module Configuration Manager-beleid

Opmerking

CNG is achterwaarts compatibel met Crypto API (CAPI). CAPI-certificaten blijven ondersteund, zelfs wanneer CNG-ondersteuning is ingeschakeld op de client.

Niet-ondersteunde scenario's

De volgende scenario's worden momenteel niet ondersteund:

  • De volgende serverfuncties zijn niet operationeel wanneer ze zijn geïnstalleerd in de HTTPS-modus met een CNG v3-certificaat dat is gebonden aan de website in Internet Information Services (IIS):

    • Inschrijvingspunt
    • Proxypunt voor inschrijving

CNG-certificaten gebruiken

Als u CNG v3-certificaten wilt gebruiken, moet uw certificeringsinstantie (CA) CNG-certificaatsjablonen opgeven voor doelmachines. Sjabloondetails variëren afhankelijk van het scenario; De volgende eigenschappen zijn echter vereist:

  • Tabblad Compatibiliteit

    • Certificeringsinstantie moet Windows Server 2008 of hoger zijn. (Windows Server 2012 wordt aanbevolen.)

    • De ontvanger van het certificaat moet Windows Vista/Server 2008 of hoger zijn. (Windows 8/Windows Server 2012 wordt aanbevolen.)

  • Tabblad Cryptografie

    • Providercategorie moet Sleutelopslagprovider zijn. (vereist)

    • Algoritmenaam moet RSA zijn. (vereist)

    • De aanvraag moet een van de volgende providers gebruiken: moet worden Microsoft Provider van softwaresleutelopslag.

Opmerking

De vereisten voor uw omgeving of organisatie kunnen afwijken. Neem contact op met uw PKI-expert. Het belangrijkste punt om te overwegen is dat een certificaatsjabloon een sleutelopslagprovider moet gebruiken om te profiteren van CNG.

Voor de beste resultaten raden we u aan de onderwerpnaam op te bouwen op basis van Active Directory-gegevens. Gebruik de DNS-naam voor de indeling van de onderwerpnaam en neem de DNS-naam op in de alternatieve onderwerpnaam. Anders moet u deze informatie opgeven wanneer het apparaat wordt ingeschreven bij het certificaatprofiel.