Χρήση της ανανέωσης πιστοποιητικών βάσει προφίλ στο macOS

Το macOS Catalina και παλαιότερες εκδόσεις περιλαμβάνουν υποστήριξη για την ανανέωση πιστοποιητικών που λήφθηκαν από ένα προφίλ διαμόρφωσης.

Μπορείτε να χρησιμοποιήσετε το macOS για να ανανεώσετε την εγγραφή πιστοποιητικών με το προφίλ διαμόρφωσής σας με δύο τρόπους:

• Το πρωτόκολλο Simple Certificate Enrollment Protocol (SCEP), το οποίο συχνά χρησιμοποιεί μια υπηρεσία εγγραφής συσκευών δικτύου (Network Device Enrollment Service – NDES) μιας αρχής έκδοσης πιστοποιητικών της Microsoft.

• Το πρωτόκολλο DCOM/RPC (ADCertificate), το οποίο βασίζεται σε μια αρχή έκδοσης πιστοποιητικών (CA) του Microsoft Windows Server.

Πληροφορίες για τα πιστοποιητικά

Στο macOS, μπορείτε να λάβετε και να ανανεώσετε το πιστοποιητικό σας με το ίδιο προφίλ. Το macOS σας ειδοποιεί όταν πλησιάζει η ημερομηνία λήξης ενός πιστοποιητικού:

• Όταν απομένουν 15 ημέρες μέχρι την ημερομηνία λήξης του πιστοποιητικού, λαμβάνετε μια υπόμνηση.

• Όταν απομένουν λιγότερες από 15 ημέρες από την ημερομηνία λήξης του, εμφανίζεται ένα μπάνερ στο Κέντρο γνωστοποιήσεων. Αυτή η γνωστοποίηση επαναλαμβάνεται μία φορά την ημέρα μέχρι να λήξει το πιστοποιητικό ή μέχρι να το ενημερώσετε ή να το αφαιρέσετε.

Για να ενημερώσετε ένα πιστοποιητικό, στο παράθυρο «Προφίλ» στις Προτιμήσεις συστήματος, κάντε κλικ στο προφίλ πιστοποιητικού και στη συνέχεια κάντε κλικ στην επιλογή «Ενημέρωση».

Ανανέωση μέσω ADCertificate

Στο παράθυρο «Προφίλ» στις Προτιμήσεις συστήματος, κάντε κλικ στο κουμπί «Ενημέρωση» για να δημιουργήσετε ένα νέο ιδιωτικό κλειδί. Το νέο ιδιωτικό κλειδί χρησιμοποιείται για την υπογραφή του αιτήματος πιστοποιητικού που αποστέλλεται στην αρχή έκδοσης πιστοποιητικών. Το νέο πιστοποιητικό από την αρχή έκδοσης πιστοποιητικών αντιστοιχίζεται με το νέο ιδιωτικό κλειδί.

Το αρχικό πιστοποιητικό και το ιδιωτικό κλειδί που δημιουργήθηκαν κατά την εγκατάσταση του προφίλ παραμένουν στην κλειδοθήκη.

Μάθετε πώς να κάνετε αυτόματη ανανέωση πιστοποιητικών που παρέχονται μέσω ενός προφίλ διαμόρφωσης.

Ανανέωση μέσω SCEP

Κάντε κλικ στο κουμπί «Ενημέρωση» στο παράθυρο «Προφίλ» στις Προτιμήσεις συστήματος. Το τρέχον ιδιωτικό κλειδί χρησιμοποιείται για την υπογραφή του αιτήματος πιστοποιητικού που αποστέλλεται στην αρχή έκδοσης πιστοποιητικών. Όταν η αρχή έκδοσης πιστοποιητικών ανανεώσει το πιστοποιητικό, αυτό θα αντιστοιχιστεί με το αρχικό ιδιωτικό κλειδί.

Το αρχικό πιστοποιητικό που δημιουργήθηκε κατά την εγκατάσταση του προφίλ παραμένει στην κλειδοθήκη.

Ανανέωση από τη γραμμή εντολών

Στο macOS 10.12 Sierra και νεότερη έκδοση, μπορείτε να ανανεώσετε τα πιστοποιητικά ADCertificate και SCEP που δημιουργούνται από προφίλ με την εντολή /usr/bin/profiles. Χρησιμοποιήστε την ακόλουθη σύνταξη στη γραμμή εντολών:

profiles -W -p

Μπορείτε να βρείτε την τιμή «profileIdentifier» παραθέτοντας τα εγκατεστημένα προφίλ με το όρισμα εντολής -L.

Δημιουργία γνωστοποιήσεων ανανέωσης

Στο Yosemite και σε νεότερες εκδόσεις του macOS εμφανίζεται μια καθημερινή γνωστοποίηση όταν απομένουν λιγότερες από 14 ημέρες μέχρι τη λήξη του πιστοποιητικού.

Μπορείτε να αλλάξετε την ώρα εμφάνισης της καθημερινής γνωστοποίησης με δύο παραμέτρους διαμόρφωσης που ονομάζονται CertificateRenewalTimeInterval και CertificateRenewalTimePercent:

Μπορείτε να εφαρμόσετε την παράμετρο CertificateRenewalTimePercent με την εξής σύνταξη:

sudo defaults write /Library/Preferences/com.apple.mdmclient CertificateRenewalTimePercent -int 25

Μπορείτε να χρησιμοποιήσετε αυτές τις δύο ρυθμίσεις μαζί:

• Αν η παράμετρος CertificateRenewalTimeInterval έχει οριστεί στο προφίλ, χρησιμοποιήστε αυτήν την τιμή.

• Αν η παράμετρος CertificateRenewalTimeInterval δεν έχει οριστεί στο προφίλ, αλλά έχει οριστεί στον πελάτη, χρησιμοποιήστε την τιμή της παραμέτρου CertificateRenewalTimePercent.

Αν δεν έχει οριστεί καμία τιμή, το χρονικό διάστημα ορίζεται σε 14 ημέρες.

Μάθετε περισσότερα

Το προφίλ που χρησιμοποιήσατε για τη δημιουργία του πιστοποιητικού ADCert ή SCEP ενδέχεται να αφαιρεθεί. Αν χρησιμοποιείτε το Mavericks ή μια νεότερη έκδοση του macOS, το πιο πρόσφατο πιστοποιητικό και το ιδιωτικό κλειδί αφαιρούνται από την κλειδοθήκη, αλλά το αρχικό πιστοποιητικό δεν αφαιρείται. Πρέπει να το διαγράψετε.

Το προφίλ που χρησιμοποιήσατε για τη λήψη του πιστοποιητικού ενδέχεται να έχει άλλα φορτία συνδεδεμένα με το πιστοποιητικό. Παραδείγματα φορτίων είναι τα Δίκτυο: EAP-TLS, VPN: Έλεγχος ταυτότητας βάσει πιστοποιητικού κατ' απαίτηση. Όταν το πιστοποιητικό ανανεώνεται, οι εξαρτημένες διαμορφώσεις ενημερώνονται για το νέο πιστοποιητικό.

Μετά την ανανέωση ενός πιστοποιητικού, το εγκατεστημένο προφίλ συσχετίζεται με το νέο πιστοποιητικό. Όταν ανανεώνεται ένα πιστοποιητικό, δεν εγκαθίστανται ούτε δημιουργούνται πρόσθετα προφίλ.