> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/pt/portal-de-administracao/settings/trusted-roots.md).
# Certificados de confiança
## Tipos de Certificados Confiáveis
### ACs Confiáveis para Autenticação de Cliente
As ACs confiáveis para autenticação de cliente estabelecem a confiança entre as ACs que emitem certificados de autenticação de cliente para os seus dispositivos de endpoint e o RADIUSaaS.
### Certificados de Conexão RadSec Confiáveis
O RadSec em si funciona com autenticação mútua por certificado (mTLS). Isso significa que, por um lado, os seus autenticadores devem [confiar no RADIUSaaS](/pt/portal-de-administracao/settings/settings-server.md#server-certificates) e, por outro lado, o RADIUSaaS deve saber em quais autenticadores confiar para que uma conexão RadSec válida possa ser estabelecida. Os certificados de conexão RadSec confiáveis garantem que o RADIUSaaS confie apenas naqueles autenticadores que você especificar.
## **Certificado RadSec confiável pré-instalado**
Devido ao [acima](/pt/portal-de-administracao/settings/trusted-roots.md#trusted-radsec-connection-certificates), você sempre verá pelo menos um certificado confiável RadSec que estabelece a confiança com os seus [proxies RADIUS](https://docs-preview.radiusaas.com/admin-portal/settings/settings-proxy) (atuando efetivamente como clientes RadSec). Para garantir que seus proxies consigam iniciar corretamente e estabelecer uma conexão com a sua instância, você não pode excluí-lo.
## Adicionar
{% hint style="warning" %}
Se você tiver uma infraestrutura PKI em camadas (por exemplo, uma **PKI legada da Microsoft**), considere [isto](#tiered-pki-hierarchy).
{% endhint %}
Para adicionar um novo certificado confiável, siga estas etapas:
1. Clique em **Adicionar**
2. Selecione se você deseja importar o certificado confiável
* do SCEPman (fornecendo a URL da sua instância do SCEPman), ou
* de qualquer outra AC (enviando um arquivo de certificado codificado em PEM ou DER)
3. Selecione o [tipo](#types-of-trusted-certificates) de certificado confiável em **Usar para**:
* [**Autenticação de cliente**](#trusted-cas-for-client-authentication)
* [**RadSec**](#trusted-radsec-connection-certificates)
* **Ambos** (útil se a mesma AC estiver emitindo tanto os seus certificados de autenticação de cliente quanto os seus certificados de cliente RadSec)
4. Envie o arquivo de certificado arrastando e soltando (alternativamente, você pode clicar na área azul e selecionar o seu arquivo)
5. Selecione a opção de verificação do certificado:
* **Autodetectar OCSP**: O RADIUSaaS tentará inferir a URL do respondedor OCSP a partir da extensão Authority Information Access (AIA) do certificado de cliente usada para a autenticação de rede. Caso nenhuma URL do respondedor OCSP seja encontrada ou o respondedor OCSP esteja indisponível, o RADIUSaaS considerará a [**falha suave** ](#ocsp-soft-fail)configuração.
* **OCSP**: Especifique manualmente qual URL do respondedor OCSP será usada para qualquer certificado emitido pela AC confiável. Se o respondedor OCSP estiver indisponível, o RADIUSaaS considerará a [**falha suave** ](#ocsp-soft-fail)configuração.
* **CRL**: Se selecionado, o RADIUSaaS usa uma CRL em vez de OCSP para verificar certificados emitidos por esta AC. Especifique a codificação da CRL (**DER** ou **PEM**) e os **pontos de distribuição da CRL**. O RADIUSaaS verifica a CRL em cache a cada hora e só faz o download de uma nova quando o seu *Próxima atualização* tempo tiver passado.
* **Nenhum:** Se sua AC não suporta nem OCSP nem CRL, selecione **Nenhum** para pular a verificação.
6. Clique em **Salvar**
{% hint style="info" %}
Caso a sua PKI tenha uma hierarquia em vários níveis (Root CA, Intermediate CA, Issuing CA), certifique-se de carregar todas elas no repositório de Certificados Confiáveis do RADIUSaaS.
{% endhint %}
## Excluir
Para excluir um certificado, expanda a linha correspondente, clique em **Excluir** e confirme sua escolha.
Mostrando a exclusão de um certificado confiável
## OCSP com falha suave
Essa configuração determina como o RADIUSaaS se comporta quando o respondedor OCSP da sua AC confiável não pode ser acessado.
{% hint style="danger" %}
Se você **desativar** essa configuração, as solicitações de autenticação serão **rejeitadas** quando o respondedor OCSP da sua AC não puder ser acessado.
Verifique [Consequências da falha suave do OCSP](/pt/outro/faqs/consequencias-da-falha-suave-do-ocsp.md) para garantir que você entenda as implicações dessa configuração.
{% endhint %}
{% hint style="info" %}
Observe que essa configuração só está disponível quando **Autodetectar OCSP** ou **OCSP** está selecionado para verificação do certificado.
{% endhint %}
Por padrão, nós **recomendamos habilitar o OCSP com falha suave** para aumentar a disponibilidade do serviço, permitindo que as solicitações de autenticação sejam aceitas mesmo que o respondedor OCSP não possa ser acessado. Com esse **mecanismo de falha suave** e, caso o OCSP não esteja acessível, o RADIUSaaS verificará apenas se o certificado recebido foi assinado por uma das [ACs confiáveis](/pt/portal-de-administracao/settings/trusted-roots.md) e processa quaisquer opcionais [Regras](/pt/portal-de-administracao/acesso-e-regras/rules.md).
## Hierarquia PKI em camadas
Em um ambiente de AC em camadas com várias ACs emissoras configuradas, os certificados emitidos pela AC raiz ou por qualquer AC emissora terão acesso, independentemente de o certificado ter sido emitido pela AC raiz ou pela AC emissora. Isso significa que confiar na raiz confiará automaticamente nos certificados emitidos por qualquer uma das ACs emissoras. \n\nSe o acesso precisar ser controlado com base nas ACs emissoras, isso pode ser alcançado configurando [as respectivas regras](/pt/portal-de-administracao/acesso-e-regras/rules.md#certificate-based-authentication).
### Considerações
Ao fazer upload das ACs raiz e emissoras de uma PKI em camadas, considere o seguinte:
* A **AC raiz deve ser carregada primeiro**, antes de carregar quaisquer ACs emissoras derivadas dessa AC raiz.
* As ACs raiz e emissoras devem ser carregadas em arquivos separados. Carregar cadeias de certificados de um único arquivo pode resultar em comportamento inesperado.
## Configurações opcionais
### ID do Intune
É possível usar o certificado que cada máquina Windows 10 recebe do Intune ao ingressar no Microsoft Entra ID (Azure AD).
{% hint style="danger" %}
Essa configuração é opcional. Caso você não esteja familiarizado com certificados do Intune, não os configure!
{% endhint %}
#### Por que não recomendamos usar certificados do Intune para fins de autenticação?
* Os certificados do Intune não são suportados pela Microsoft para outros fins além do gerenciamento com Intune.
* O tempo de validade dos certificados do Intune é de 1 ano.
* Não há nenhum mecanismo para revogar certificados (como OCSP).
Em vez de usar certificados do Intune, recomendamos usar certificados de uma PKI como [SCEPman](https://scepman.com/).
#### Configurar IDs do Intune
{% hint style="danger" %}
Use essa configuração com cuidado. Um dos seguintes IDs **deve** existir na extensão de certificado 1.2.840.113556.5.14. Todos os outros certificados serão **rejeitados**.
{% endhint %}
Para obter o seu Tenant ID do Intune, siga estas etapas:
* Pressione **Windows + R** e digite **certlm.msc**
* Vá para seus certificados pessoais. Haverá um certificado de um dos seguintes emissores
* SC Online Issuing
* MDM Device Authority
* Abra esse certificado, vá para **Detalhes** e procure a extensão
1.2.840.113556.5.14
* O valor HEX impresso é o seu Tenant ID do Intune.
**Exemplo:**
O Tenant ID do certificado a seguir é: **bb4397cb6891c64db17f766487518a6a**
## XML
{% hint style="info" %}
O perfil XML gerado pelo RADIUSaaS habilitará [cache de PMK](/pt/implementacao-de-perfis/microsoft-intune/wifi-profile/windows.md#fast-roaming).
{% endhint %}
Hoje, a maioria das plataformas MDM oferece um método baseado em assistente para implantar perfis de rede (WiFi e LAN). Se isso não for possível, ou se o assistente fornecer apenas opções limitadas de configuração, você pode gerar um perfil XML bruto diretamente na plataforma RADIUSaaS.
* Para gerar o seu **WiFi** perfil XML:
1. Expanda o **XML** menu,
2. selecione o protocolo de segurança desejado (WPA2 ou WPA3),
3. insira o seu **SSID,**
4. e clique em **Baixar**.
* Para gerar o seu **Com fio** perfil XML, clique em **Baixar**.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/pt/portal-de-administracao/settings/trusted-roots.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
