使用 SSL 证书吊销检查模式进行故障排除

使用 Omnissa Workspace ONE Experience Management 代理的 SSL 证书吊销检查模式策略对 SSL/TLS 连接进行故障排除和可能的修复。此模式检查以前有效的证书最近是否被吊销。要为 Windows 配置此策略，请使用与代理捆绑在一起的 Workspace ONE 端点 ADMX 模板激活该策略并设置检查模式。要为 macOS 配置此策略，请在代理的配置文件中设置该模式。

症状

如果您看到体验管理数据未流向 Omnissa Intelligence，并且日志报告 SSL/TLS 连接失败，请使用此故障排除主题。

定期验证与额外检查

• 定期验证：每当体验管理代理通过 HTTPS 连接到 Omnissa Intelligence 后端时，该代理就会验证服务器的证书。
  • 它确认证书由受信任的证书颁发机构 (CA) 颁发，证书与主机名匹配，并且尚未过期。
  • 此验证会一直进行。
• 额外验证：使用 SSL 证书吊销检查模式策略添加可选检查，查看有效颁发的证书是否已吊销。
  • 例如，证书可能会因为其私钥被破解或错误颁发而被吊销。
  • 此额外检查需要访问单独的 CRL（证书吊销列表）或 OCSP（联机证书状态协议）端点，该端点与代理当前正在通信的 Intelligence 服务器无关。
  • 如果代理无法访问吊销端点，您可以选择该故障是否还应阻止遥测上载。
  • 代理无法访问吊销端点的示例包括：代理服务器尚未将该端点列入允许列表，或 CA 已轮换该端点。

支持的代理版本

此设置从适用于 macOS 和 Windows 体验管理代理版本 26.07 及更高版本开始可用。

可用模式

配置 SSL 证书吊销检查模式时，请从三种模式中进行选择。这是无论配置哪种模式始终都会执行的常规证书链验证检查之外的额外检查。

限制

在使用 SSL 证书吊销检查模式之前，请注意当前存在的限制。

WinHTTP 限制

使用 libcurl 的体验管理代理默认 HTTPS 后端完全支持软失败和硬失败。Windows 使用 Schannel（安全通道），macOS 使用 Apple 的安全框架。

如果您的部署使用 WinHTTP（已弃用的可选 Windows 后端，非默认设置），请注意，WinHTTP 仅支持打开或关闭吊销检查，而没有软失败的概念。在后端，软失败和硬失败的行为完全相同 — 两者均严格执行。

记录限制

如果您计划在软失败条件下专门监控或审核*"吊销检查无法达到响应者，但连接仍继续"*，请注意，当前日志不会区分该结果。

• **Windows（libcurl + Schannel，默认）：**不存在不同的日志条目。
  • 检查在 Windows 的 Schannel 组件中发生，该组件仅报告最终通过还是失败。
  • 它不会报告吊销是尚无定论还是已肯定确认。
• **macOS：在调试级别记录为"证书链受信任"。
  • 此消息与吊销被肯定确认为未吊销时使用的消息相同。
  • 在日志中无法区分这两个结果。

如果需要专门了解吊销端点的可访问性，代理自身的日志当前无法在任何平台上提供此功能。

在 Windows 上，您可以单独激活和审核 Schannel 和 CAPI2 事件日志。请参阅 Microsoft 技术社区博客如何配置和收集 Schannel 和 CAPI2 日志。

要求

在配置 SSL 证书吊销检查模式之前，请执行所需的任务。

测试安全相关设置

在广泛部署之前，您必须查看并测试对环境中的安全相关设置的配置更改。

硬失败要求

硬失败要求体验管理代理在每次连接时都能成功访问证书的 CRL 或 OCSP 端点。如果系统做不到，则会阻止连接以及通过该连接上载的遥测。在启用硬失败之前，请执行列出的适用于 Windows 和 macOS 的步骤。

1. 在任何输出代理或防火墙上，将您所在区域的 Intelligence 目标的 CRL（证书吊销列表）或 OCSP（联机证书状态协议）端点列入允许列表。
   • 请参阅 CRL 或 OCSP 列表中按区域发布的最新端点。
   • 在将服务目标 URL 按区域加入允许列表中查找 Intelligence 区域。
2. 尽可能使用通配符允许列表。
   • 这些主机名可能定期轮换，而不会收到证书颁发机构的事先通知，因此请将通配符域 *.amazontrust.com 和 *.amznts.eu 列入允许列表。
   • 将这些通配符域列入允许列表有助于轮换主机名，而不是仅仅将今天的特定主机名列入允许列表。

如果无法保证可访问性，软失败模式可提供大多数相同的安全优势，而不会带来中断风险。

Windows 特定要求（提醒）

如果您的部署使用 WinHTTP 后端，而不是默认的 libcurl 后端，请注意 WinHTTP 没有软失败的概念。对于 WinHTTP，不需要进行任何其他配置；它是一项需要规划的限制，而不是一项设置。

Windows 配置

使用组策略对象 (GPO) 设置 SSL 证书吊销检查模式。

1. 在 Customer Connect 下载页面上下载与代理捆绑在一起的 Workspace ONE 端点遥测 ADMX 模板。
2. 使用在所列 策略结构中找到的 SSL 证书吊销检查模式设置。

Computer Configuration → Administrative Templates → Workspace ONE Endpoint Telemetry
→ Service Configuration → HTTP → SSL Certificate Revocation Check Mode

1. 将策略设置为已启用，然后从下拉列表中选择关闭、软失败或硬失败。
   • 如果保留未配置策略，则代理将保留其默认值，即软失败。

供参考的注册表和值

如果您有自己的方法配置此检查，请使用注册表路径和值。

• 值名称： SslRevocationCheckMode（字符串）
• 值： off、soft-fail、hard-fail（不区分大小写）
• 缺失或无法识别的值将回退至 soft-fail。
• 如果同时设置了 GPO 和本地注册表值，则 GPO 值优先。

macOS 配置

在代理的配置文件中设置模式，以设置 SSL 证书吊销检查模式。使用 macOS 设备上具有管理员权限的终端。使用所列的值。缺失或无法识别的值将回退至 soft-fail。

• 值名称： SslRevocationCheckMode（字符串）
• 值： off、soft-fail、hard-fail（不区分大小写）

过程

1. 在路径 /etc/workspaceone/ws1etlm/config/config.ini 中找到配置文件并将其打开。
2. 找到 [HttpLib] 部分。
3. 添加 SslRevocationCheckMode="<mode>" 行。
   • 示例：SslRevocationCheckMode="soft-fail"