Relution Signet Customer Hub

Zertifikat

Die Konfiguration Zertifikat installiert ein einzelnes Zertifikat über eine Richtlinie auf Apple-Geräten. Typische Einsatzzwecke sind Stamm- und Zwischenzertifikate einer eigenen Zertifizierungsstelle, denen das Gerät vertrauen soll, sowie Identitätszertifikate (Zertifikat mit privatem Schlüssel) für Apps oder Webseiten, die sich per Client-Zertifikat anmelden. Als Quelle dient ein hochgeladenes Zertifikat, eine Zertifikatsvorlage oder ein Zertifikat aus dem Profil des Benutzers, der dem Gerät zugewiesen ist.

Voraussetzungen

  • Eine Richtlinie für iOS, macOS, tvOS, watchOS oder visionOS. Relution setzt weder eine Überwachung noch eine bestimmte Einschreibungsart voraus.
  • Für Zertifikat wählen: ein unter Einstellungen → Zertifikate hochgeladenes Zertifikat (siehe Zertifikatsverwaltung →) oder eine Zertifikatsvorlage, z. B. der Built-In CA →. Vorlage und Zertifikat müssen zur Organisation der Richtlinie gehören.
  • Für Benutzerdefiniertes Zertifikat verwenden: ein dem Gerät zugewiesener Benutzer, in dessen Profil ein Zertifikat des gewählten Typs hinterlegt ist.

Allgemein

Der Bereich Allgemein enthält alle Felder der Konfiguration. Speichern ist erst möglich, wenn Name ausgefüllt und ein Zertifikat festgelegt ist.

  • Name (Pflichtfeld): Anzeigename des Zertifikats. Er erscheint in der Konfigurationsliste der Richtlinie und als Name des Eintrags im Profil auf dem Gerät.
  • Zertifikat (Pflichtfeld): legt die Quelle des Zertifikats fest, wahlweise Benutzerdefiniertes Zertifikat verwenden oder Zertifikat wählen (Standard). Die beiden Varianten sind in den folgenden Abschnitten beschrieben.
  • Aktionskanal: nur in macOS-Richtlinien sichtbar, siehe Aktionskanal unter macOS →.

Zertifikat wählen

Über Auswählen öffnet sich der Dialog Zertifikat oder Zertifikatsvorlage auswählen mit zwei Reitern:

  • Zertifikate: hochgeladene Zertifikate mit dem Verwendungszweck Generisch im Status Erstellt, in den Formaten PKCS#1 (Zertifikat ohne privaten Schlüssel, z. B. cer, crt, der, pem) und PKCS#12 (Zertifikat mit privatem Schlüssel, z. B. p12, pfx). Zertifikate, die bereits in einer anderen Konfiguration Zertifikat derselben Richtlinienversion verwendet werden, stehen nicht zur Auswahl.
  • Zertifikatsvorlagen: Vorlagen der Zertifizierungsstellen der Organisation. Relution stellt beim Übertragen der Richtlinie für jedes Gerät ein eigenes Zertifikat aus der Vorlage aus bzw. verwendet ein bereits ausgestelltes Zertifikat weiter, solange es nicht im Zeitraum der automatischen Verlängerung liegt.

Die Auswahl wird mit Bestätigen übernommen. Das gewählte Zertifikat bzw. die gewählte Vorlage erscheint als Eintrag unter dem Feld und lässt sich über das Kreuz am Eintrag wieder entfernen.

Bei einem PKCS#12-Zertifikat überträgt Relution das Passwort, das in der Zertifikatsverwaltung zum Zertifikat hinterlegt ist, zusammen mit dem Zertifikat an das Gerät. Ein eigenes Passwortfeld besitzt die Konfiguration nicht.

Benutzerdefiniertes Zertifikat verwenden

Mit dieser Variante installiert Relution ein Zertifikat aus dem Profil des Benutzers, der dem jeweiligen Gerät zugewiesen ist. Damit erhält jedes Gerät das Zertifikat seines eigenen Benutzers.

  • Zertifikatstyp: Kategorie des Benutzerzertifikats. Zur Auswahl stehen Allgemeines Zertifikat (Standard), WLAN, Exchange, VPN und Apps, S/MIME-Verschlüsselung und S/MIME Signierung.
  • Zertifikatsname: optional. Besitzt der Benutzer mehrere Zertifikate des gewählten Typs, wählt dieses Feld eines davon anhand seines Namens aus. Das Feld kann Platzhalter enthalten, z. B. ${user.email} oder ${device.serialnumber}, die pro Gerät aufgelöst werden. Bleibt das Feld leer, verwendet Relution das Zertifikat mit dem spätesten Ablaufdatum.

Lässt sich kein passendes Zertifikat ermitteln, wird die Konfiguration nicht ohne Zertifikat übertragen. Die Teilaktion schlägt mit einer Begründung fehl, und das Gerät erhält einen Compliance-Hinweis. Ursachen sind:

  • Dem Gerät ist kein Benutzer zugewiesen.
  • Der Benutzer besitzt kein Zertifikat des gewählten Typs.
  • Der Benutzer besitzt kein Zertifikat mit dem angegebenen Zertifikatsname. Der Name muss exakt übereinstimmen.
  • Der Zertifikatsname ergibt nach dem Auflösen der Platzhalter einen leeren Wert, z. B. weil ein Platzhalter für das Gerät nicht gesetzt ist. Relution weicht in diesem Fall bewusst nicht auf ein beliebiges anderes Zertifikat aus.

Weitere Informationen zu Benutzerzertifikaten und Platzhaltern: Erweiterte Platzhalter →

Plattformen

Die Konfiguration steht in Richtlinien für iOS, macOS, tvOS, watchOS und visionOS zur Verfügung und enthält auf allen Plattformen dieselben Felder. Der einzige Unterschied betrifft den Aktionskanal.

Aktionskanal unter macOS

In macOS-Richtlinien erscheint zusätzlich die Auswahl Aktionskanal:

  • Gerät (Standard): Das Zertifikat gilt für das gesamte Gerät, unabhängig vom angemeldeten Benutzer.
  • Benutzer: Das Zertifikat gilt nur für das aktuell angemeldete Benutzerkonto.

Eine über den Kanal Benutzer gesendete Aktion wird erst ausgeführt, wenn ein Benutzer am Mac angemeldet ist, siehe Aktionen bleiben auf Nicht jetzt stehen →.

Unter iOS, tvOS, watchOS und visionOS ist keine Auswahl möglich. Relution überträgt die Konfiguration dort immer über den Gerätekanal.

Besonderheiten

  • Mehrfach pro Richtlinie: Die Konfiguration kann mehrfach in einer Richtlinie angelegt werden. Ein hochgeladenes Zertifikat lässt sich dabei nur in einer davon auswählen.
  • Zertifikate in anderen Konfigurationen: Für WLAN, VPN und Exchange wird ein Identitätszertifikat direkt in der jeweiligen Konfiguration ausgewählt und von Relution mit dieser zusammen übertragen. Eine zusätzliche Konfiguration Zertifikat ist dafür nicht erforderlich.
  • Austausch des Zertifikats: Die Kennung des Zertifikats im Profil entspricht der Kennung des Zertifikats in Relution. Wird in der Konfiguration ein anderes Zertifikat ausgewählt, erkennt das Gerät den Austausch dadurch als Änderung.
  • Compliance: Relution vergleicht die Zertifikate, die eine Richtlinie vorsieht, anhand des allgemeinen Namens (CN) mit den Zertifikaten, die das Gerät als installiert meldet. Fehlt ein Zertifikat auf dem Gerät, meldet Relution einen Compliance-Verstoß wegen fehlender Zertifikate. Lässt sich ein Benutzerzertifikat nicht ermitteln, entsteht ein Compliance-Hinweis, der von selbst verschwindet, sobald das Zertifikat ermittelt und installiert ist.
  • Vertrauen in Stammzertifikate: Laut Apple gelten Stammzertifikate, die über ein MDM-Profil installiert werden, auf iPhone und iPad ohne manuelle Bestätigung in den Einstellungen zur Zertifikatsvertrauensstellung als vertrauenswürdig. Das Verhalten legt das Betriebssystem fest, nicht Relution.

Abgrenzung zu SCEP und Zertifikatsvorlagen

Die Konfiguration Zertifikat überträgt ein fertiges Zertifikat an das Gerät. Bei einem hochgeladenen Zertifikat ist es auf allen Geräten dasselbe, bei einer Zertifikatsvorlage und bei Benutzerzertifikaten erhält jedes Gerät ein eigenes. Schlüssel und Zertifikat entstehen in jedem Fall außerhalb des Geräts.

Mit der Konfiguration SCEP erzeugt dagegen das Gerät den privaten Schlüssel selbst und fordert das Zertifikat direkt bei einem SCEP-Server an. Der private Schlüssel verlässt das Gerät dabei nicht. Für Zertifikatsvorlagen der Built-In CA steht dafür der Vorlagentyp SCEP auf dem Gerät zur Verfügung, siehe Built-In CA →.

Verwandte Themen