> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/es/portal-de-administracion/settings/trusted-roots.md).
# Certificados de confianza
## Tipos de certificados de confianza
### CA de confianza para autenticación de cliente
Las CA de confianza para autenticación de cliente establecen la confianza entre las CA que emiten certificados de autenticación de cliente a sus dispositivos finales y RADIUSaaS.
### Certificados de conexión RadSec de confianza
RadSec funciona en sí mismo con autenticación mutua mediante certificados (mTLS). Esto significa que, por un lado, sus autenticadores deben [confiar en RADIUSaaS](/es/portal-de-administracion/settings/settings-server.md#server-certificates) y, por otro, RADIUSaaS debe saber qué autenticadores debe confiar para que se pueda establecer una conexión RadSec válida. Los certificados de conexión RadSec de confianza garantizan que RADIUSaaS solo confíe en los autenticadores que usted especifique.
## **Certificado RadSec de confianza preinstalado**
Debido a [lo anterior](/es/portal-de-administracion/settings/trusted-roots.md#trusted-radsec-connection-certificates), siempre verá al menos un certificado RadSec de confianza que establece la confianza con sus [proxies RADIUS](https://docs-preview.radiusaas.com/admin-portal/settings/settings-proxy) (actuando en la práctica como clientes RadSec). Para garantizar que sus proxies puedan iniciarse correctamente y puedan establecer una conexión con su instancia, no puede eliminarlo.
## Agregar
{% hint style="warning" %}
Si tiene una infraestructura PKI por niveles (p. ej., una **PKI heredada de Microsoft**), considere [esto](#tiered-pki-hierarchy).
{% endhint %}
Para agregar un nuevo certificado de confianza, siga estos pasos:
1. Haga clic **Agregar**
2. Seleccione si desea importar un certificado de confianza
* de SCEPman (proporcionando la URL a su instancia de SCEPman), o
* de cualquier otra CA (cargando un archivo de certificado codificado en PEM o DER)
3. Seleccione el [tipo](#types-of-trusted-certificates) de certificado de confianza en **Usar para**:
* [**Autenticación de cliente**](#trusted-cas-for-client-authentication)
* [**RadSec**](#trusted-radsec-connection-certificates)
* **Ambos** (útil si la misma CA emite sus certificados de autenticación de cliente así como sus certificados de cliente RadSec)
4. Cargue el archivo del certificado mediante arrastrar y soltar (alternativamente, puede hacer clic en el área azul y seleccionar su archivo)
5. Seleccione la opción de verificación del certificado:
* **Autodetección OCSP**: RADIUSaaS intentará inferir la URL del respondedor OCSP a partir de la extensión Authority Information Access (AIA) del certificado de cliente que se usa para la autenticación de red. En caso de que no se encuentre la URL del respondedor OCSP o de que este no esté disponible, RADIUSaaS considerará la [**fallo suave** ](#ocsp-soft-fail)configuración.
* **OCSP**: Especifique manualmente qué URL del respondedor OCSP se usará para cualquier certificado emitido por la CA de confianza. Si el respondedor OCSP no está disponible, RADIUSaaS considerará la [**fallo suave** ](#ocsp-soft-fail)configuración.
* **CRL**: Si se selecciona, RADIUSaaS usa una CRL en lugar de OCSP para verificar los certificados emitidos por esta CA. Especifique la codificación de la CRL (**DER** o **PEM**) y los **puntos de distribución de la CRL**. RADIUSaaS comprueba la CRL en caché cada hora y solo descarga una nueva una vez que ha pasado su *Próxima actualización* hora.
* **Ninguno:** Si su CA no admite ni OCSP ni CRL, seleccione **Ninguno** para omitir la verificación.
6. Haga clic **Guardar**
{% hint style="info" %}
En caso de que su PKI tenga una jerarquía multinivel (CA raíz, CA intermedia, CA emisora), asegúrese de cargarlas todas en el almacén de Certificados de confianza de RADIUSaaS.
{% endhint %}
## Eliminar
Para eliminar un certificado, expanda la fila correspondiente, haga clic en **Eliminar** y confirme su elección.
Mostrando la eliminación de un certificado de confianza
## OCSP fallo suave
Este ajuste determina cómo se comporta RADIUSaaS cuando no se puede الوصول?
{% hint style="danger" %}
Si **deshabilita** este ajuste, las solicitudes de autenticación serán **rechazadas** cuando no se pueda acceder al respondedor OCSP de su CA.
Por favor, compruebe [Consecuencias del soft-fail de OCSP](/es/otro/faqs/consecuencias-del-soft-fail-de-ocsp.md) para asegurarse de que comprende las implicaciones de este ajuste.
{% endhint %}
{% hint style="info" %}
Tenga en cuenta que este ajuste solo está disponible cuando **Autodetección OCSP** o **OCSP** se selecciona para la verificación de certificados.
{% endhint %}
De forma predeterminada, **recomendamos habilitar el fallo suave de OCSP** para aumentar la disponibilidad del servicio al permitir que las solicitudes de autenticación sean aceptadas incluso si no se puede acceder al respondedor OCSP. Con este **fallo suave** mecanismo, y en caso de que OCSP no esté disponible, RADIUSaaS solo comprobará si el certificado entrante fue firmado por una de las [CA de confianza](/es/portal-de-administracion/settings/trusted-roots.md) y procesa cualquier [Regla](/es/portal-de-administracion/acceso-y-reglas/rules.md).
## Jerarquía PKI por niveles
En un entorno de CA por niveles con varias CA emisoras configuradas, los certificados emitidos por la CA raíz o por cualquier CA emisora obtendrán acceso independientemente de si el certificado fue emitido por la CA raíz o por la CA emisora. Esto significa que confiar en la CA raíz confiará automáticamente en los certificados emitidos por cualquiera de las CA emisoras. \
\
Si el acceso debe controlarse en función de las CA emisoras, esto se puede lograr configurando [las reglas respectivas](/es/portal-de-administracion/acceso-y-reglas/rules.md#certificate-based-authentication).
### Consideraciones
Al cargar las CA raíz y emisoras de una PKI por niveles, tenga en cuenta lo siguiente:
* La **CA raíz debe cargarse primero**, antes de cargar cualquier CA emisora derivada de esta CA raíz.
* Las CA raíz y emisoras deben cargarse en archivos separados. Cargar cadenas de certificados desde un solo archivo puede provocar un comportamiento inesperado.
## Ajustes opcionales
### ID de Intune
Es posible usar el certificado que cada equipo con Windows 10 recibe de Intune al unirse a Microsoft Entra ID (Azure AD).
{% hint style="danger" %}
Este ajuste es opcional. En caso de que no esté familiarizado con los certificados de Intune, ¡no los configure!
{% endhint %}
#### ¿Por qué no recomendamos usar certificados de Intune para fines de autenticación?
* Microsoft no admite los certificados de Intune para otros fines que no sean la administración con Intune.
* El tiempo de validez de los certificados de Intune es de 1 año.
* No existe un mecanismo para revocar certificados (como OCSP).
En lugar de usar certificados de Intune, recomendamos usar certificados de una PKI como [SCEPman](https://scepman.com/).
#### Configurar IDs de Intune
{% hint style="danger" %}
Use este ajuste con cuidado. Uno de los siguientes IDs **debe** existir en la extensión del certificado 1.2.840.113556.5.14. Todos los demás certificados serán **rechazados**.
{% endhint %}
Para obtener su ID de Tenant de Intune, siga estos pasos:
* Pulse **Windows + R** e introduzca **certlm.msc**
* Vaya a sus certificados personales. Habrá un certificado de uno de los siguientes emisores
* SC Online Issuing
* MDM Device Authority
* Abra este certificado, vaya a **Detalles** y busque la extensión
1.2.840.113556.5.14
* El valor HEX impreso es su ID de Tenant de Intune.
**Ejemplo:**
El ID de Tenant del siguiente certificado es: **bb4397cb6891c64db17f766487518a6a**
## XML
{% hint style="info" %}
El perfil XML generado por RADIUSaaS habilitará [el almacenamiento en caché de PMK](/es/implementacion-de-perfiles/microsoft-intune/wifi-profile/windows.md#fast-roaming).
{% endhint %}
Hoy en día, la mayoría de las plataformas MDM proporcionan un método basado en asistentes para desplegar perfiles de red (WiFi y LAN). Si esto no es posible, o si el asistente solo ofrece opciones de configuración limitadas, puede generar un perfil XML sin procesar directamente en la plataforma RADIUSaaS.
* Para generar su **WiFi** perfil XML:
1. Expanda el **XML** menú,
2. seleccione el protocolo de seguridad deseado (WPA2 o WPA3),
3. introduzca su **SSID,**
4. y haga clic en **Descargar**.
* Para generar su **Cableado** perfil XML, haga clic en **Descargar**.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/es/portal-de-administracion/settings/trusted-roots.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
