Explicación de WSTEP y la inscripción automática en Windows

WSTEP (WS-Trust X.509 Token Enrollment Extensions) es un protocolo de Microsoft que permite que los dispositivos Windows unidos a un dominio y a Azure AD/Entra ID soliciten y renueven automáticamente certificados de una CA interna, lo que sirve de base para la inscripción automática de Windows a través de la Directiva de grupo o Intune.

WSTEP es el protocolo que utilizan los dispositivos Windows para obtener certificados automáticamente, sin que el usuario tenga que solicitarlos manualmente. Los dispositivos unidos a un dominio utilizan la inscripción automática mediante directivas de grupo en los Servicios de certificados de Active Directory, mientras que los dispositivos unidos a Entra ID y los administrados por MDM utilizan WSTEP a través del conector de certificados de Intune, emitiendo ambos certificados sin interacción del usuario final.

Puntos Clave

• WSTEP se basa en WS-Trust, un estándar de seguridad de servicios web más amplio, específicamente extendido por Microsoft para gestionar las solicitudes y respuestas de inscripción de certificados X.509.
• La inscripción automática tradicional basada en directivas de grupo se aplica a los dispositivos unidos a un dominio y requiere visibilidad directa con una CA interna de Servicios de certificados de Active Directory.
• El conector de certificados de Intune utiliza WSTEP para extender la inscripción automática a los dispositivos unidos mediante Entra ID y a los dispositivos unidos de forma híbrida que quizás nunca contacten directamente con la CA interna.
• La inscripción automática a través de WSTEP normalmente emite certificados para la autenticación de máquinas, la autenticación de usuarios y escenarios de aplicaciones específicos como Wi-Fi (802.1X) o VPN.
• Las plantillas de certificados configuradas para la inscripción automática deben tener permisos de inscripción automática otorgados explícitamente, distintos del permiso de inscripción estándar utilizado para las solicitudes manuales.

¿Cómo funciona la inscripción automática en las pólizas de grupo tradicionales?

1. Un administrador configura una plantilla de certificado en AD CS con permisos de inscripción automática otorgados al grupo de seguridad correspondiente.
2. Un objeto de directiva de grupo habilita la inscripción automática y la vincula a la unidad organizativa que contiene los dispositivos o usuarios de destino.
3. En la siguiente directiva de grupo Al actualizarse, el cliente comprueba para qué plantillas de certificado tiene permiso para inscribirse automáticamente.
4. El cliente genera un Par de claves y envía una solicitud de certificado mediante WSTEP, sin que el usuario tenga que dar ninguna indicación.
5. La autoridad de certificación emite el certificado y el cliente lo instala automáticamente, repitiendo la comprobación periódicamente para gestionar la renovación antes de su vencimiento.

¿Cómo extiende Intune la inscripción automática a dispositivos que no están unidos a un dominio?

Los dispositivos que están unidos a Entra ID o administrados por MDM, pero que nunca se han unido directamente a un dominio, no pueden usar la inscripción automática tradicional basada en directivas de grupo, ya que ese mecanismo depende del procesamiento de directivas de grupo en un controlador de dominio local. El conector de certificados de Intune soluciona este problema: reenvía las solicitudes de inscripción WSTEP de los dispositivos administrados por Intune a un entorno AD CS local (o a una CA en la nube), lo que permite que esos dispositivos reciban certificados a través del mismo protocolo subyacente sin unirse nunca al dominio tradicional.

¿Qué permisos necesita una plantilla de certificado para la inscripción automática?

Permiso	Propósito
Leer	Permite al cliente ver que la plantilla existe y está disponible.
Inscríbase	Permite que un usuario o dispositivo solicite manualmente un certificado desde esta plantilla.
Inscripción automática	Permite que un usuario o dispositivo reciba un certificado de esta plantilla sin una solicitud manual, a través de la Directiva de grupo o Intune.

Para que funcione la inscripción automática, se deben otorgar los tres permisos al grupo de seguridad correspondiente; una plantilla que no tenga el permiso de inscripción automática solo admitirá solicitudes manuales, incluso si la inscripción automática de la directiva de grupo está habilitada.

¿Qué suele provocar fallos en la inscripción automática de Windows?

• Falta el permiso de inscripción automática en la plantilla de certificado, la configuración errónea más común.
• La directiva de grupo no se aplica debido al ámbito de la unidad organizativa o a una configuración de directiva de inscripción automática deshabilitada.
• Los dispositivos no pueden acceder al conector de certificados de CA o Intune debido a la segmentación de la red o a que el certificado del conector ha caducado.
• Existen discrepancias entre la versión de la plantilla publicada y la que espera el cliente, especialmente después de editarla.

Cómo ayuda la consultoría de cifrado

Cómo la consultoría en cifrado ayuda a diseñar y solucionar problemas de PKI como servicio en implementaciones de inscripción automática de Windows, incluyendo configuraciones de conectores de certificados de Intune, para que los certificados de dispositivos y usuarios se emitan de forma fiable tanto en flotas unidas a un dominio como en flotas gestionadas en la nube. Respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cuál es la diferencia entre WSTEP y SCEP?

WSTEP es el protocolo de Microsoft específico para la inscripción automática de Windows en los Servicios de certificados de Active Directory , generalmente para dispositivos Windows unidos a un dominio o administrados por Intune. SCEP es un protocolo más amplio e independiente del proveedor que se utiliza en diversas plataformas MDM y dispositivos de red, incluidos sistemas que no son Windows.

¿Funciona WSTEP en dispositivos que no son Windows?

No, WSTEP es un protocolo específico de Microsoft vinculado al registro automático de Windows y a los Servicios de certificados de Active Directory. Los dispositivos que no son de Windows y que se registran a través de Intune u otras plataformas MDM suelen usar SCEP u otro protocolo multiplataforma.

¿Por qué no se registra automáticamente mi plantilla de certificado?

La causa más común es la falta del permiso de inscripción automática en la plantilla de certificado; los permisos de lectura e inscripción por sí solos no son suficientes. Los problemas de ámbito de la directiva de grupo y los problemas de conectividad con la CA o el conector de certificados de Intune son las siguientes causas más comunes.

¿Pueden los dispositivos unidos mediante Entra ID utilizar la inscripción automática de Windows?

Sí, a través del conector de certificados de Intune, que retransmite las solicitudes de inscripción WSTEP entre los dispositivos administrados por Intune y una CA local o basada en la nube, extendiendo la inscripción automática a dispositivos que tradicionalmente no están unidos a un dominio.

Consiga que la inscripción automática de Windows funcione de forma fiable.

Da el siguiente paso: el equipo de Servicios PKI de Encryption Consulting diseña y soluciona problemas de inscripción automática en Windows, incluyendo implementaciones de conectores de certificados de Intune, para que los certificados se emitan sin intervención manual. Explora los Servicios PKI para comenzar.