Como administrador, puedes usar la extensión de inscripción de certificados para Chrome OS a fin de permitir que un usuario obtenga un certificado de dispositivos o de usuario de forma manual o automática. También puedes configurar la renovación automática de los certificados existentes que están por vencer.
Antes de usar la extensión, asegúrate de que los usuarios tengan acceso y que la extensión y la política administrada asociada estén configuradas correctamente. Para obtener más ayuda con la configuración de la extensión, consulta la sección Guía de implementación de extensiones.
Tipos de solicitudes de certificados
Hay dos tipos de solicitudes de certificado: solicitudes de certificados de usuario y solicitudes de certificados de dispositivos.
- Las solicitudes de certificados de usuario generan un certificado para el usuario específico que envía la solicitud, no para el dispositivo en general. Los certificados de usuario solo son válidos para el usuario que accedió a esa máquina, no para otros usuarios que también la puedan usar.
- Las solicitudes de certificados de dispositivos generan un certificado para todo el dispositivo que envía la solicitud, no solo para el usuario que la envía. Los certificados de dispositivo son válidos para todos los usuarios que pertenecen a la misma organización en la máquina, lo que generalmente es necesario para los dispositivos que se usan en sesiones de invitado administradas o en modo kiosco.
Aprovisionamiento de certificados sin credenciales ingresadas por el usuario
Puedes configurar la extensión de inscripción de certificado para aprovisionar o renovar automáticamente un certificado sin que el usuario deba ingresar credenciales manualmente.
Cuando configuras una de las nuevas opciones de aprovisionamiento o renovación, la extensión detecta automáticamente si un certificado aún no está aprovisionado en un dispositivo o si caducará pronto, lo que activa una notificación que le solicita al usuario que obtenga un certificado o lo renueve. El usuario debe hacer clic en la notificación y la extensión inicia el proceso de obtención o renovación del certificado. Para obtener más información, consulta la sección Guía de implementación de extensiones.
Inscribe un certificadoPara inscribir automáticamente un certificado preconfigurado, el usuario debe seguir estos pasos:
- Haz clic en la notificación Inscribir certificado .
- (Opcional) Selecciona la casilla Inscribir certificado en todo el dispositivo para solicitar un certificado de dispositivo. Si la casilla no está marcada, se solicitará un certificado de usuario.
- Haz clic en Inscribirse.
Para renovar un certificado, el usuario solo debe hacer clic en la notificación Recordatorio de renovación del certificado.
Aprovisionamiento de certificados con credenciales ingresadas por el usuario
Puedes configurar la extensión de inscripción de certificado para permitir que los usuarios aprovisionen un certificado manualmente.
Flujos de usuarios principales
Los flujos de usuarios de la extensión se desglosan en categorías principales y secundarias. Un flujo de usuarios principal, que se describe en esta sección, es lo que un usuario suele encontrar.
Crea una solicitud de certificado de usuarioLas solicitudes de certificados de usuario son solicitudes que deben dar como resultado la emisión de un certificado para el usuario específico que envía la solicitud, no para el dispositivo en general. Los certificados de usuario solo son válidos para el usuario que accedió a esa máquina, no para otros usuarios que también la puedan usar.
- Haz clic o navega por las pestañas hasta el campo Nombre de usuario.
- Ingresa tu nombre de usuario.
- Haz clic o navega por las pestañas hasta el campo Contraseña.
- Escribe tu contraseña.
- Desmarca la casilla “Todo el dispositivo”.
Las solicitudes de certificado de dispositivo son solicitudes que deben dar como resultado la emisión de un certificado para todo el dispositivo que envía la solicitud, no solo para el usuario que la envía. Los certificados de dispositivo son válidos para todos los usuarios que pertenecen a la misma organización en la máquina, lo que generalmente es necesario para los dispositivos que se usan en sesiones públicas o en modo kiosco.
- Haz clic o navega por las pestañas hasta el campo Nombre de usuario.
- Ingresa tu nombre de usuario.
- Haz clic o navega por las pestañas hasta el campo Contraseña.
- Escribe tu contraseña.
- Marca la casilla Todo el dispositivo.
Independientemente del tipo de solicitud que se envíe (usuario o dispositivo), el proceso para enviarla es el mismo.
- Crea una solicitud de certificado de dispositivo o de usuario, como se especifica en los pasos anteriores.
- Navega hasta el botón para inscribirte.
- Haz clic en Inscribirse.
Una vez que se envía una solicitud, el resultado ideal es una respuesta exitosa del servidor que incluirá el certificado solicitado.
- Envía una solicitud de certificado, como se especificó anteriormente.
- Espera a que se reciba la respuesta.
- Cuando se recibe una respuesta, aparece un cuadro de diálogo con un mensaje de éxito que indica que el certificado se recibió y se importó.
- Selecciona Aceptar en el cuadro de diálogo, presiona la tecla Escape o haz clic fuera del cuadro de diálogo para cerrarlo cuando termines.
Una vez que se envía una solicitud, a veces puede fallar por diversos motivos. Una respuesta de error encapsula estos errores y le informará al usuario cuál es el problema.
- Envía una solicitud de certificado, como se especificó anteriormente.
- Espera a que se reciba la respuesta.
- Cuando se recibe una respuesta, aparece un cuadro de diálogo con un mensaje que indica que se produjo un error.
- Selecciona Aceptar en el cuadro de diálogo, presiona la tecla Escape o haz clic fuera del cuadro de diálogo para cerrarlo cuando termines.
- Si el error se puede corregir (como un nombre de usuario no válido), entonces será suficiente con la corrección y el reenvío de la solicitud. Si no es así (como cuando el servidor rechaza la solicitud), el usuario debe buscar ayuda.
Flujos de usuarios secundarios
Los siguientes flujos de usuarios secundarios no deberían ocurrir con mucha frecuencia.
Recibe una respuesta de certificado pendienteUna vez que se envía una solicitud, a veces el servidor puede establecer esa solicitud como pendiente para que alguien la revise y apruebe o rechace manualmente más tarde. Una respuesta pendiente encapsula este flujo y le informará al usuario sobre la información relevante para verificar el estado de la solicitud más tarde.
- Envía una solicitud de certificado, como se especificó anteriormente.
- Espera a que se reciba la respuesta.
- Cuando se recibe una respuesta, aparece un cuadro de diálogo con un mensaje pendiente que indica que la solicitud se estableció como pendiente. También mostrará el URI de inscripción y el ID de la solicitud, que son necesarios para verificarlos más tarde.
- Copia el URI de inscripción y el ID de la solicitud en algún lugar para consultarlos más adelante.
- Selecciona Aceptar en el cuadro de diálogo, presiona la tecla Escape o haz clic fuera del cuadro de diálogo para cerrarlo cuando termines.
Si un usuario tiene un certificado pendiente, es posible que quiera consultar el estado del certificado en algún momento. Para crear y enviar solicitudes de certificados pendientes, el usuario debe navegar a la IU de solicitudes pendientes.
- Haz clic o navega por las pestañas y selecciona el botón Más opciones.
- En la lista de opciones generadas, haz clic o navega a la pestaña “¿Quiere mostrar los campos extras para revisar las solicitudes pendientes?”.
- Selecciona “¿Quiere mostrar los campos extras para revisar las solicitudes pendientes?” para que se muestren los campos de solicitud pendientes.
Si un usuario ya navegó a la IU de solicitud pendiente, es posible quiera volver a la normalidad en algún momento.
- Haz clic o navega por las pestañas y selecciona el botón Más opciones.
- En la lista de opciones generadas, haz clic o vaya a la pestaña “¿Quiere ocultar los campos extras para revisar las solicitudes pendientes?”.
- Selecciona ¿Quiere ocultar los campos extras para revisar las solicitudes pendientes? para inhabilitar la visualización de los campos de solicitud pendientes.
Si un usuario tiene un certificado pendiente, es posible que quiera consultar el estado del certificado en algún momento. La extensión permite que este flujo sea muy similar a crear una solicitud nueva.
- Navega a la IU de solicitud pendiente, como se especificó anteriormente.
- Haz clic o navega por las pestañas hasta el campo Nombre de usuario.
- Ingresa tu nombre de usuario.
- Haz clic o navega por las pestañas hasta el campo Contraseña.
- Escribe tu contraseña.
- Haz clic o navega por las pestañas hasta el campo URI de inscripción.
- Ingresa el URI de inscripción que se muestra en una respuesta de certificado pendiente anterior.
- Haz clic o navega por las pestañas hasta el campo ID de solicitud.
- Ingresa el ID de solicitud que se muestra en una respuesta de certificado pendiente anterior.
- Si la solicitud de certificado original era para un certificado en todo el dispositivo, marca la casilla de verificación correspondiente a todo el dispositivo. De lo contrario, deja desmarcada la casilla de verificación Todo el dispositivo.
Una vez que se crea una solicitud de verificación de certificado pendiente, el usuario debe enviar esa solicitud para obtener una respuesta. Una solicitud de verificación de certificado pendiente puede dar como resultado una respuesta correcta, fallida o aún pendiente, que coincide con los flujos ya definidos.
- Crea una solicitud de verificación de certificado pendiente, como se especificó anteriormente.
- Navega hasta el botón Verificar estado.
- Selecciona el botón Verificar estado.
A veces, en caso de errores, puede ser útil que un asistente o un administrador vea los registros completos de lo que sucedió en la extensión. Para que un usuario obtenga estos registros, proporcionamos un método simple que permite copiarlos en el portapapeles del usuario.
- Haz clic o navega por las pestañas y selecciona el botón Más opciones.
- En la lista de opciones generadas, haz clic o ve a la pestaña “Copiar registros en el portapapeles”.
- Selecciona “Copiar registros en el portapapeles” para que se copien los registros en el portapapeles del usuario.
- Desde aquí, el usuario puede pegar estos registros en el lugar que elija a través del proceso normal para el dispositivo del usuario.
Guía de implementación de extensiones
Applies to managed Chromebooks only.
Como administrador, puedes permitir que los usuarios de Chromebook accedan a las redes protegidas y los recursos internos de tu organización que requieren un certificado para la autenticación. Instala y configura de forma remota la extensión Inscripción del certificado del ChromeOS a fin de que tus usuarios puedan solicitar certificados de sistema o de usuario en Chromebooks.
Como alternativa, puedes configurar el aprovisionamiento automatizado de certificados mediante la autenticación de Kerberos para certificados de usuarios o dispositivos, o la autenticación de cuentas de servicio alojadas para certificados de dispositivos. También puedes configurar la extensión a fin renovar certificados existentes sin autenticación adicional mediante la renovación basada en claves.
La extensión también te permite escalar la implementación de dispositivos con Chrome OS mediante la automatización del proceso de inscripción de certificados de Microsoft Active Directory a través de la Consola del administrador de Google.
Antes de comenzar
Para permitir que los usuarios soliciten certificados digitales, necesitas lo siguiente:
- Microsoft Windows Server 2008 R2 o una versión posterior
- Microsoft Internet Information Services (IIS) 7.0 o una versión posterior
- Servicios de certificados de Active Directory (ADCS), incluidos los siguientes:
- Servicio de inscripción de certificados (CES)
- Política de inscripción de certificados (CEP)
- Un certificado válido asociado al sitio web de ADCS en IIS
- Un extremo visible para CEP y CES
Renuncia de responsabilidad
En esta guía, se describe cómo funcionan los productos de Google con productos de terceros y las opciones de configuración que Google recomienda. Google no brinda asistencia técnica para configurar productos de terceros. Google no se responsabiliza por los productos de terceros. Visita el sitio web del producto para obtener la información más reciente sobre configuración y asistencia.
Implementa la extensión
Paso 1: Instala la extensión de manera automática para los usuarios-
Accede a la Consola del administrador de Google.
Accede con tu cuenta de administrador (no termina en @gmail.com).
-
En la Consola del administrador, ve a Menú
Dispositivos
Chrome
Si te registraste en la Administración en la nube para el navegador Chrome, ve a Menú
Navegador Chrome
- To apply the setting to everyone, leave the top organizational unit selected. Otherwise, select a child organizational unit.
- Selecciona Agregar
Agregar desde Chrome Web Store.
- Busca y selecciona Inscripción del certificado del ChromeOS. El ID de extensión es fhndealchbngfhdoncgcokameljahhog.
- En la página Usuarios y navegadores , selecciona la extensión Inscripción del certificado del ChromeOS .
- En el panel de la derecha, en Administración de certificados, activa Permitir acceso a claves.
- En Política de instalación, elige Instalar de manera automática o Instalar de manera automática y fijar a la barra de tareas de ChromeOS.
- Haz clic en Guardar.
Agregar desde Chrome Web Store.Crea un archivo que contenga la configuración que deseas aplicar a la extensión Inscripción del certificado del ChromeOS de los usuarios. Comienza con this sample file y cambia las políticas según las necesidades de tu organización o los usuarios. Puedes editar el archivo de notación de objetos JavaScript (JSON) con un editor de texto.
Nota: Las políticas que contienen valores predeterminados en strings orientadas al usuario se traducen y aparecen en los dispositivos de acuerdo con la configuración regional del usuario. Puedes cambiar las strings según las necesidades de tu organización, pero no se traducirán.
Puedes establecer las siguientes políticas:
| Nombre de la política | ¿Qué hace? |
|---|---|
|
allow_machine_cert_enrollment |
Permite que los usuarios instalen un certificado del sistema. Si se establece como verdadera, los usuarios pueden solicitar un certificado de usuario o sistema. De lo contrario, solo pueden solicitar un certificado de usuario. El valor predeterminado es falso. |
|
cep_proxy_url |
Especifica el extremo HTTPS de la CEP. Para obtener el extremo, haz lo siguiente:
Solo son válidos los valores que comienzan con https. Si ingresas un valor que comienza con https, pero que no coincide con el identificador uniforme de recursos (URI) en IIS Manager, se considerará válido y se usará, pero es probable que falle. Esta política es obligatoria. |
|
company_info |
Especifica la información de desarrollo de la marca de tu organización, como el nombre y el logotipo.
|
|
device_cert_request_values |
Especifica los valores que se usarán en la solicitud de firma de certificado (CSR) de un certificado de dispositivo. En lugar de usar las propiedades del solicitante, puedes definir los valores de asunto según los atributos del usuario y del dispositivo. Para usar una CSR personalizada, también debes configurar la plantilla de certificado en la autoridad certificadora (CA) para esperar y generar un certificado con los valores de asunto definidos en la solicitud. Como mínimo, debe proporcionar un valor de Puede usar los siguientes marcadores de posición. Todos los valores son opcionales. Para los dispositivos con Chrome OS que ejecutan la versión 66 y posteriores, puedes usar lo siguiente:
Si no hay disponible un valor de marcador de posición, se reemplaza por una string vacía. Puedes encadenar marcadores de posición. Por ejemplo, si el ID del recurso no está disponible, se reemplazará |
|
device_enrollment_templates |
Lista de nombres de plantillas de certificado coincidentes en orden de prioridad para los flujos de inscripción de usuarios. La extensión busca en la lista una plantilla de certificado que coincida. Se usa la primera plantilla de certificado coincidente. Si hay un error, la extensión no vuelve a intentarlo con otras plantillas de certificado. Esta política es obligatoria. Debe tener al menos un valor en la lista. Desde la Consola de administración de Microsoft (MMC) de la CA, utiliza Template name (Nombre de plantilla) y no Template display name (Nombre visible de plantilla). El valor predeterminado es ChromeOSWirelessUser. |
|
enable_auto_enrollment |
Controla si la extensión inicia automáticamente la inscripción. Si se establece como falsa, la extensión espera a que el usuario intente conectarse a la red EAP-TLS. El valor predeterminado es falso. |
| log_level |
Especifica el nivel de detalle en los registros de la extensión que se envían a la Consola de JavaScript en Chrome. NONE (predeterminado): no se registra nada en la consola. ERROR: solo se registran errores evidentes en la consola. WARNING: Se registran errores y advertencias evidentes en la consola. INFO: Se registran errores y advertencias evidentes junto con la información de acción relevante en la consola. DEBUG: Todo se registra en la consola. Para la versión inicial, se recomienda este parámetro de configuración a fin de solucionar posibles problemas. En Más opciones, puedes copiar automáticamente todos los registros al portapapeles. Hay 2 maneras en las que los usuarios pueden abrir la consola para desarrolladores web en Chrome a fin de acceder a los registros de Chrome en sus dispositivos:
Esta política es obligatoria. |
| placeholder_values |
Especifica el nombre de usuario, la contraseña, el URI, el ID de solicitud y los marcadores de posición del encabezado. Esta información ayuda a guiar a los usuarios cuando acceden a su cuenta.
|
| renew_hours_before_expiry |
Especifica la cantidad de tiempo, en horas, que falta para el vencimiento del certificado, a fin de notificar a los usuarios sobre un vencimiento.
El valor predeterminado es 120. |
| renew_reminder_interval |
Controla la frecuencia (en horas) con que se notifica a los usuarios sobre la fecha de vencimiento del certificado. Después de la notificación inicial, si el usuario no renueva el certificado y no ignora los recordatorios, verá más notificaciones después de la cantidad de horas establecida. Por ejemplo, si estableces la opción renew_hours_before_expiry en 120 y renew_reminder_interval en 24, y un usuario siempre elige recibir más recordatorios, recibirá 5 notificaciones de renovación, una cada día hasta que el certificado venza. El valor predeterminado es 24. |
|
request_timeout_seconds |
Es la cantidad de tiempo, en segundos, antes de que se agote el tiempo de espera de una llamada a la CEP o el CES. El valor predeterminado es 20. |
|
signature_algo |
Controla el algoritmo de firma que usa la extensión para firmar solicitudes de certificados. Las opciones son las siguientes:
|
|
user_cert_request_values |
Especifica los valores utilizados en la solicitud de firma de certificado (CSR) de un certificado de usuario. En lugar de usar las propiedades del solicitante, puedes definir los valores de asunto según los atributos del usuario y del dispositivo. Para usar una CSR personalizada, también debes configurar la plantilla de certificado en la CA para esperar y generar un certificado con los valores de asunto definidos en la solicitud. Como mínimo, debe proporcionar un valor de Puede usar los siguientes marcadores de posición. Todos los valores son opcionales.
Si no hay disponible un valor de marcador de posición, se reemplaza por una string vacía. Puedes encadenar marcadores de posición. Por ejemplo, si el ID del recurso no está disponible, se reemplazará |
|
user_enrollment_templates |
Lista de nombres de plantillas de certificado coincidentes en orden de prioridad para los flujos de inscripción de usuarios. La extensión busca en la lista una plantilla de certificado que coincida. Se usa la primera plantilla de certificado coincidente. Si hay un error, la extensión no vuelve a intentarlo con otras plantillas de certificado. Esta política es obligatoria. Debe tener al menos un valor en la lista. Desde la MMC de la CA, utiliza Template name (Nombre de plantilla) y no Template display name (Nombre visible de plantilla). El valor predeterminado es ChromeOSWirelessUser. |
Configura el aprovisionamiento de certificados con o sin credenciales ingresadas por el usuario
De forma predeterminada, la extensión de inscripción de certificados está configurada para permitir que los usuarios aprovisionen un certificado manualmente proporcionando sus credenciales cuando intentan obtener un certificado.
Puedes asegurarte de que los usuarios puedan aprovisionar o renovar automáticamente un certificado sin tener que ingresar sus credenciales manualmente con la extensión de ChromeOS. La extensión puede solicitar certificados de usuario y de dispositivo mediante la autenticación de Kerberos si se dispone de un ticket de Kerberos del usuario en el dispositivo. También puede solicitar certificados de dispositivos solo mediante una cuenta de servicio.
Autenticación de Kerberos
Antes de comenzar
- El usuario de ChromeOS debe tener un ticket de Kerberos en el dispositivo.
- El administrador de credenciales de Kerberos se debe configurarse según la política para poder recuperar un ticket de Kerberos para el usuario que accedió a su cuenta. Preferentemente, esto se configura para que ocurra automáticamente al acceder. Consulta Cómo configurar el inicio de sesión único de Kerberos para los dispositivos con ChromeOS.
- La cuenta de usuario de Active Directory asociada con el ticket de Kerberos debe tener permiso para solicitar certificados mediante la plantilla de certificado configurada.
- El extremo de inscripción debe aparecer en la política de ChromeOS Servidores de autenticación integrados . Para averiguar detalles, consulta la política en la lista de políticas de Chrome.
- Establece la configuración de Servidores de autenticación integrados correctamente en la Consola del administrador. Para obtener más detalles, consulta Servidores de autenticación integrados.
Configura la extensión
Configura el valor de política de extensión “client_authentication” como “kerberos”.
Autenticación de la cuenta de servicio alojada
Puedes configurar la extensión para solicitar un certificado de dispositivo mediante una cuenta de servicio. Las credenciales de la cuenta de servicio están alojadas en un servidor web en tu red local.
Advertencia: Si un atacante obtiene acceso al servidor web que aloja las credenciales y a la política de extensión del dispositivo, existe la posibilidad de que pueda extraer las credenciales de la cuenta de servicio.
Recomendamos restringir el acceso al servidor web que aloja las credenciales de la cuenta de servicio a una red de aprovisionamiento que solo se usa para el aprovisionamiento inicial de dispositivos con ChromeOS.
Antes de comenzar
- Debes tener un servidor web en la red local que pueda manejar las solicitudes HTTPS.
- ChromeOS debe confiar en el certificado de ese servidor web. Si el servidor web utiliza un certificado emitido por una CA autofirmada, puedes configurar el certificado de la CA para que sea de confianza en la Consola del administrador.
Paso 1: Genera la contraseña enmascarada
- Abre la extensión.
- Selecciona Más
- Ingresa la contraseña de la cuenta de servicio.
- Selecciona Enmascarar.
- Copie la máscara y la contraseña enmascarada en un archivo de texto.
Paso 2: Almacena las credenciales en el servidor web interno
- Configura el servidor web para que entregue un archivo JSON que contenga lo siguiente:
{
‘username’: ‘<nombre de usuario de la cuenta de servicio>’,
‘maskedPassword’: ‘<copiar y pegar la contraseña enmascarada>’
}
- Copia la URL que el servidor web usa para alojar las credenciales en un archivo de texto.
Paso 3: Configura la política de extensión
- Establece la variable de política de extensión
“service_account_host”en la URL que copiaste anteriormente. - Establece la variable de política de extensión
“service_account_host_password_mask”en la máscara que copiaste anteriormente.
Renovación automática de certificados
Puedes configurar la extensión a fin renovar certificados existentes sin autenticación adicional mediante la renovación basada en claves.
Antes de comenzar
Debe estar disponible un extremo del Servicio de inscripción de certificados (CES) de ADCS que admita la renovación basada en claves para la plantilla de certificado configurada. Si deseas obtener más detalles, consulta Configura el servicio web de inscripción de certificados para la renovación basada en claves de certificados en un puerto personalizado.
Configura la extensión
- Establece el valor de política de extensión
“use_key_based_renewal”en true. - Establece el valor de política de extensión
“ces_renewal_url”como la URL del extremo del Servicio de inscripción de certificados (CES) que admite la renovación basada en claves.
-
Accede a la Consola del administrador de Google.
Accede con tu cuenta de administrador (no termina en @gmail.com).
-
En la Consola del administrador, ve a Menú
Si te registraste en la Administración en la nube para el navegador Chrome, ve a Menú
- (Solo usuarios) Para aplicar la configuración a un grupo, haz lo siguiente:
- Selecciona Grupos.
- Selecciona el grupo al que deseas aplicar la configuración.
- To apply the setting to everyone, leave the top organizational unit selected. Otherwise, select a child organizational unit.
- Busca y selecciona la extensión Inscripción del certificado del ChromeOS .
- En el panel de la derecha, en el campo de texto Política de extensiones, ingresa los datos de JSON que creaste en el paso 2.
- En Política de instalación, elige Instalar de manera automática o Instalar de manera automática y fijar a la barra de tareas de ChromeOS.
- Haz clic en Guardar.
-
Accede a la Consola del administrador de Google.
Accede con tu cuenta de administrador (no termina en @gmail.com).
-
En la consola del administrador, ve a Menú
Es necesario tener el privilegio de administrador de la Configuración de dispositivos compartidos.
- Haz clic en Wi-Fi.
- Agrega una nueva red EAP-TLS.
Para obtener detalles sobre cómo agregar una configuración de red Wi-Fi, consulta Cómo administrar redes. - Apunta la red a la extensión de inscripción. En el campo URL de registro de clientes, ingresa chrome-extension://fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html.
Nota: Se puede acceder a la URL de la extensión de inscripción en el navegador Chrome incluso si en ella no hay redes configuradas para inscribirse. Esta configuración te permite probar la URL de forma manual antes de configurar redes o inscribir certificados para usos distintos de las redes EAP-TLS, como la VPN basada en certificados. Indica a los usuarios que visiten la URL en su navegador y omitan el paso de configuración de red.
- En un dispositivo con ChromeOS administrado, ve a chrome://policy.
- Haga clic en Recargar políticas.
- Desplázate hasta Inscripción del certificado del ChromeOS.
- En cada política, asegúrate de que los campos de valor sean los mismos que estableciste en el archivo JSON.
Soluciona problemas relacionados con las solicitudes de certificados digitales
Applies to managed Chromebooks only.
A continuación, te explicamos cómo solucionar los problemas que pueden surgir cuando los usuarios solicitan certificados digitales.
Mensajes de error en la IU de la extensión
No se pudo encontrar un token de sistema válido. Es posible que tu dispositivo no esté inscrito en el dominio o que no tengas derechos para solicitar un certificado del sistema.
Mensajes de error en los registros de la consola de Chrome
No se pudo inscribir en el URI especificado.
La extensión solicita extremos de inscripción incorrectos.
- Solicitud de URL correcta: https://userNameGoesHere:passWordGoesHere@yourCEPServiceUriGoesHere
- Solicitud de URL incorrecta: chrome-extension://userNameGoesHere:passWordGoesHere@fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html
Es posible que los usuarios tengan problemas con la solicitud de URL cuando se instale por primera vez la extensión de inscripción de certificados para ChromeOS y no tenga información de estado existente. O bien, pueden surgir problemas cuando se actualiza la extensión y pierde la información de estado anterior.
Cuando desees enviar una política nueva o actualizada a la extensión, primero envía una política vacía para que todos los valores de la política actual se borren y se restablezcan. Luego, envía la política que desees.
- Envía una política vacía.
- Verifica que se apliquen las políticas en los dispositivos de los usuarios.
- Envía la política que desees.
- Verifica que se apliquen las políticas en los dispositivos de los usuarios.
- Actualiza la extensión de inscripción de certificados para Chrome OS.
No hay URI de inscripción disponibles para inscribir.
- Asegúrate de haber configurado los servicios de función para la inscripción de certificados a fin de aceptar la autenticación del nombre de usuario y la contraseña (no Kerberos, por ejemplo).
- Asegúrese de que la configuración de su extensión esté definida para utilizar la plantilla de CA correcta.
- Asegúrate de que el valor ingresado en la política user_enrollment_templates del archivo JSON sea el mismo que el del Nombre de la plantilla de la CA, no el del Nombre visible de la plantilla.
- Verifica los permisos de los usuarios autenticados establecidos en la plantilla de CA. Luego, asegúrate de que los usuarios relevantes tengan los privilegios adecuados.
Google y las marcas y los logotipos relacionados son marcas de Google LLC. Todos los otros nombres de productos y empresas son marcas de las empresas con las que estén asociados.