Dépanner avec le mode de contrôle de révocation des certificats SSL

Dépannez et corrigez éventuellement les connexions SSL/TLS avec la stratégie Mode de contrôle de révocation des certificats SSL pour vos agents Omnissa de Gestion de l'expérience. Ce mode vérifie si un certificat précédemment valide a été révoqué récemment. Pour configurer cette stratégie pour Windows, utilisez le modèle d’administration ADMX de point de terminaison Omnissa fourni avec l’agent pour activer la stratégie et définir le mode de vérification. Pour configurer cette stratégie pour macOS, définissez le mode dans le fichier de configuration de l’agent.

Symptômes

Utilisez cette rubrique de dépannage si vous constatez que les données de gestion de l’expérience ne sont pas acheminées vers Omnissa Intelligence et que les journaux signalent des échecs de connexion SSL/TLS.

Validations régulières par rapport aux vérifications supplémentaires

• Validations régulières : chaque fois que l’agent de Gestion de l'expérience se connecte au serveur principal Omnissa Intelligence sur HTTPS, l’agent valide le certificat du serveur.
  • Il confirme qu’une autorité de certification approuvée émet le certificat, qu’il correspond au nom d’hôte et qu’il n’a pas expiré.
  • Cette validation se produit toujours.
• Validation supplémentaire : utilisez la stratégie Mode de contrôle de révocation des certificats SSL pour ajouter un contrôle facultatif permettant de voir si un certificat valide a été révoqué depuis.
  • Par exemple, un certificat peut être révoqué parce que sa clé privée a été compromise ou qu’il a été mal émis.
  • Ce contrôle supplémentaire nécessite l’accès à un point de terminaison CRL (liste de révocation des certificats) ou OCSP (protocole de vérification de certificat en ligne) distinct, qui n’est pas lié au serveur Intelligence auquel l’agent communique actuellement.
  • Si l’agent ne peut pas atteindre le point de terminaison de révocation, vous pouvez choisir si cet échec doit également bloquer les téléchargements de télémétrie.
  • Par exemple, l’agent n’atteint pas le point de terminaison de révocation : un proxy qui n’a pas encore mis le point de terminaison sur liste autorisée ou l’autorité de certification a fait pivoter le point de terminaison.

Version de l'agent prise en charge

Ce paramètre est disponible à partir des agents de Gestion de l’expérience pour macOS et Windows version 26.07 et ultérieures.

Modes disponibles

Sélectionnez l’un des trois modes lorsque vous configurez le mode de contrôle de révocation des certificats SSL. Il s’agit d’un contrôle supplémentaire du contrôle de validation de la chaîne de certificats standard, qui se produit toujours quel que soit le mode que vous configurez.

Limites

Tenez compte des limitations actuelles avant d’utiliser le mode de contrôle de révocation des certificats SSL.

Limitation de WinHTTP

L'échec logiciel et l'échec matériel sont entièrement pris en charge sur le serveur principal HTTPS par défaut de l’agent de Gestion de l'expérience grâce à libcurl. Windows utilise Schannel (canal sécurisé) et macOS utilise l’infrastructure de sécurité de Apple.

Si votre déploiement utilise WinHTTP (un serveur principal Windows facultatif et obsolète qui n’est pas la valeur par défaut), sachez que WinHTTP prend uniquement en charge le contrôle de révocation comme étant activée ou désactivée, sans concept d'échec logiciel. Sur le serveur principal, l'échec logiciel et l'échec matériel se comportent de manière identique, les deux s’appliquent strictement.

Limites de journalisation

Si vous prévoyez de surveiller ou d’effectuer un audit spécifiquement car « le contrôle de révocation n’a pas pu atteindre le répondeur, mais la connexion a quand même été traitée » lors d'un échec non bloquant, notez que les journaux actuels ne distinguent pas ce résultat.

• Windows (libcurl + Schannel, par défaut) : Il n’existe aucune entrée de journal distincte.
  • La vérification se produit à l’intérieur du composant Schannel de Windows, qui ne signale qu’une réussite finale ou un échec.
  • Il n’indique pas si la révocation a échoué ou a été réellement confirmée.
• macOS : répertorié au niveau de débogage en tant que « La chaîne de certificats est approuvée ».
  • Ce message est le même que celui utilisé lorsque la révocation est réellement confirmée comme non révoquée.
  • Les deux résultats ne peuvent pas être distingués dans le journal.

Si vous avez besoin d’une visibilité sur l’accessibilité du point de terminaison de révocation en particulier, les journaux de l’agent ne peuvent actuellement le fournir sur aucune plate-forme.

Sur Windows, vous pouvez activer et auditer les journaux d’événements Schannel et CAPI2 séparément. Consultez le blog microsoft Tech Community How to Configure and Collect Schannel and CAPI2 Logs (Comment configurer et collecter des journaux Schannel et CAPI2).

Configurations requises

Effectuez les tâches requises avant de configurer le mode de contrôle de révocation des certificats SSL.

Tester les paramètres liés à la sécurité

Vous devez vérifier et tester les modifications de configuration apportées aux paramètres de sécurité de votre environnement avant un déploiement général.

Exigences liées aux échecs matériels

L’échec strict nécessite que l’agent de Gestion de l'expérience atteigne correctement le point de terminaison CRL ou OCSP du certificat à chaque connexion. Si le système ne le peut pas, il bloque la connexion et la télémétrie importée avec lui. Avant d’activer l'échec strict, effectuez les étapes répertoriées pour Windows et macOS.

1. Mettez sur liste autorisée les points de terminaison CRL (liste de révocation des certificats) ou OCSP (protocole de vérification de certificat en ligne) pour les destinations Intelligence de votre région sur n’importe quel proxy ou pare-feu de sortie.
   • Reportez-vous aux actuels points de terminaison publiés par région dans les listes CRL ou OCSP.
   • Les régions Omnissa Intelligence sont répertoriées sur la Liste autorisée d'URL par région de service.
2. Liste autorisée de génériques lorsque c’est possible.
   • Ces noms d’hôtes peuvent tourner périodiquement sans préavis de la part de l’autorité de certification. Par conséquent, mettez sur liste autorisée les domaines génériques *.amazontrust.com et *.amznts.eu.
   • La mise sur liste autorisée de ces domaines génériques facilite la rotation des noms d’hôte plutôt que la mise sur liste autorisée uniquement des noms d’hôtes spécifiques d’aujourd’hui.

Si vous ne pouvez pas garantir l’accessibilité, le mode échec logiciel offre la plupart des mêmes avantages de sécurité sans risque d’interruption.

Exigence spécifique à Windows (rappel)

Si votre déploiement utilise le serveur principal WinHTTP plutôt que le serveur principal libcurl par défaut, sachez que WinHTTP n’a pas de concept d’échec logiciel. Il n’y a rien à configurer différemment pour WinHTTP ; c’est une contrainte à planifier, pas un paramètre.

Configuration Windows

Utilisez un objet de stratégie de groupe, un GPO, pour définir le mode de contrôle de révocation des certificats SSL.

1. Téléchargez le modèle d’administration ADMX de télémétrie du point de terminaison Omnissa qui est intégré à l’agent sur la page de téléchargements de Connexion client.
2. Utilisez le paramètre Mode de contrôle de révocation des certificats SSL qui se trouve dans la structure de stratégie répertoriée .

Computer Configuration → Administrative Templates → Workspace ONE Endpoint Telemetry
→ Service Configuration → HTTP → SSL Certificate Revocation Check Mode

1. Définissez la stratégie sur Activé et choisissez Désactivé, Échec non bloquant ou Échec strict dans le menu déroulant.
   • Si vous laissez la stratégie Non configuré, l’agent reste à sa valeur par défaut, échec logiciel.

Registre et valeurs pour référence

Si vous disposez de votre propre méthode pour configurer ce contrôle, utilisez le chemin d’accès et les valeurs du registre.

• Nom de la valeur : SslRevocationCheckMode (chaîne)
• Valeurs : off, soft-fail, hard-fail (insensible à la casse)
• Une valeur absente ou non reconnue revient à soft-fail.
• Si les valeurs de GPO et de registre local sont définies, la valeur du GPO est prioritaire.

Configuration macOS

Définissez le mode dans le fichier de configuration de l’agent pour définir le mode de contrôle de révocation des certificats SSL. Utilisez le terminal avec des droits d’administrateur sur l'appareil macOS. Utilisez les valeurs répertoriées. Une valeur absente ou non reconnue revient à soft-fail.

• Nom de la valeur : SslRevocationCheckMode (chaîne)
• Valeurs : off, soft-fail, hard-fail (insensible à la casse)

Procédure

1. Recherchez le fichier de configuration dans le chemin d’accès /etc/workspaceone/ws1etlm/config/config.ini et ouvrez-le.
2. Recherchez la section [HttpLib].
3. Ajoutez la ligne SslRevocationCheckMode="<mode>".
   • Exemple : SslRevocationCheckMode="soft-fail"