U kunt certificaatverificatie inschakelen en configureren in de beheerconsole.

Over deze taak

U kunt x509-certificaatverificatie configureren om toe te staan dat clients worden geverifieerd met certificaten op hun desktop en mobiele apparaten. Zie Een certificaat of smartcardadapter configureren voor gebruik met VMware Identity Manager.

Voorwaarden

  • Haal het basiscertificaat en de tussencertificaten op van de certificatieautoriteit die de certificaten die door uw gebruikers worden voorgesteld, heeft ondertekend.

  • (Optioneel) Lijst met object-id (OID) van geldige certificaatbeleidsregels voor certificaatverificatie.

  • Voor intrekkingscontrole, de bestandslocatie van de CRL en de URL van de OCSP-server.

  • (Optioneel) Bestandslocatie van handtekeningcertificaat van OCSP-antwoord.

  • Inhoud van instemmingsformulier wanneer een instemmingsformulier vóór verificatie wordt weergegeven.

Procedure

  1. Selecteer Installatie op het tabblad Identiteits- en toegangsbeheer van de beheerconsole.
  2. Selecteer op de pagina Connectors de koppeling Werker voor de connector die wordt geconfigureerd.
  3. Klik op Verificatieadapters en klik vervolgens op Certificaatverificatieadapter.
  4. Configureer de pagina Verificatieadapter voor de certificaatservice.
    Opmerking:

    Een sterretje geeft aan dat dit veld moet worden ingevuld. De overige velden zijn optioneel.

    Optie

    Beschrijving

    *Naam

    Een naam is vereist. De standaardnaam is Certificaatverificatieadapter. U kunt deze naam wijzigen.

    Certificaatadapter inschakelen

    Schakel het selectievakje in om certificaatverificatie in te schakelen.

    *Basis- en tussen-CA-certificaten

    Selecteer de certificaatbestanden die moeten worden geüpload. U kunt meerdere basis-CA-certificaten en tussen-CA-certificaten die gecodeerd zijn als DER of PEM, selecteren.

    Geüploade CA-certificaten

    De geüploade certificaatbestanden worden weergegeven in de sectie Geüploade CA-certificaten van het formulier.

    E-mail gebruiken indien certificaat geen UPN bevat

    Als de primaire naam van de gebruiker (User Principal Name, UPN) niet bestaat in het certificaat, schakelt u dit selectievakje in om het kenmerk E-mailadres te gebruiken als de extensie van de Alternatieve naam voor onderwerp om gebruikersaccounts te valideren.

    Certificaatbeleid geaccepteerd

    Maak een lijst met object-id's die worden geaccepteerd in de certificaatbeleidextensies.

    Voer de object-id's (OID's) in voor het certificaatuitgiftebeleid. Klik op Nog een waarde toevoegen om aanvullende OID's toe te voegen.

    Intrekken certificaat inschakelen

    Schakel het selectievakje in om certificaatintrekkingscontrole in te schakelen. Intrekkingscontrole voorkomt dat gebruikers waarvan de gebruikerscertificaten zijn ingetrokken, verificatie kunnen uitvoeren.

    CRL van certificaten gebruiken

    Schakel het selectievakje in om de certificaatintrekkingslijst (certificate revocation list, CRL) te gebruiken die werd gepubliceerd door de certificatieautoriteit die de certificaten heeft uitgegeven, om de status van een certificaat, ingetrokken of niet-ingetrokken, te valideren.

    CRL-locatie

    Voer het serverbestandspad of het lokale bestandspad in waarvan de CRL moet worden opgehaald.

    Intrekken OCSP inschakelen

    Schakel het selectievakje in om het certificaatvalidatieprotocol (Online Certificate Status Protocol, OCSP) te gebruiken om de intrekkingsstatus van een certificaat op te halen.

    CRL gebruiken bij OCSP-fout

    Als u zowel CRL als OCSP configureert, kunt u dit vakje inschakelen om terug te vallen op CRL als de OCSP-controle niet beschikbaar is.

    OCSP Nonce verzenden

    Schakel dit selectievakje in als u wilt dat de unieke id van de OCSP-aanvraag in het antwoord wordt verzonden.

    OCSP-URL

    Als u OCSP-intrekking inschakelt, voert u het OCSP-serveradres voor intrekkingscontrole in.

    Ondertekeningscertificaat van OCSP-responder

    Voer het pad in naar het OCSP-certificaat voor de responder, /path/to/file.cer.

    Toestemmingsformulier inschakelen vóór verificatie

    Schakel dit selectievakje in om een pagina met een toestemmingsformulier te laten weergeven voordat gebruikers zich bij de Workspace ONE-portal aanmelden met behulp van certificaatverificatie.

    Inhoud van toestemmingsformulier

    Typ in dit tekstvak de tekst die in het toestemmingsformulier moet worden weergegeven.

  5. Klik op Opslaan.

Volgende stappen

  • Voeg de certificaatverificatiemethode toe aan het standaardtoegangsbeleid. Zie Verificatiemethoden beheren die op gebruikers worden toegepast.

  • Als Certificaatverificatie is geconfigureerd en de serverapparaat wordt ingesteld achter een load-balancer, dan zorgt u ervoor dat de VMware Identity Manager Connector is geconfigureerd met SSL-passthrough op de load-balancer en dat deze niet is geconfigureerd om SSL op de load-balancer te beëindigen. Deze configuratie zorgt ervoor dat de SSL-handshake plaatsvindt tussen de connector en de client om het certificaat door te geven naar de connector.