Certificats APNs
Important :
La prise en charge par Apple du protocole binaire hérité APNs prend fin le 31 mars 2021. Apple recommande d’utiliser l’API du fournisseur APNs basée sur HTTP/2. À partir de la version 10.13.0, XenMobile Server prend en charge l’API basée sur HTTP/2. Pour plus d’informations, consultez l’actualité « Apple Push Notification Service Update » sur https://developer.apple.com/. Pour obtenir de l’aide sur la vérification de la connectivité aux APNs, consultez Vérifications de la connectivité.
Pour inscrire et gérer les appareils iOS et macOS dans XenMobile®, vous configurez un certificat Apple Push Notification service (APNs) d’Apple.
Résumé du workflow :
-
Étape 1 : Créer une demande de signature de certificat (CSR) à l’aide de l’une des méthodes suivantes :
-
Étape 2 : Signer la CSR dans XenMobile Tools
-
Étape 3 : Soumettre la CSR signée à Apple pour obtenir le certificat APNs
-
Étape 4 : À l’aide du même ordinateur que celui utilisé pour l’étape 1, Terminer la CSR et exporter un fichier PKCS #12 :
-
Étape 6 : Renouveler un certificat APNs
Créer une demande de signature de certificat
Nous vous recommandons de créer une CSR à l’aide de Trousseau d’accès sur macOS. Vous pouvez également créer une CSR à l’aide de Microsoft IIS ou d’OpenSSL.
Important :
- Pour l’ID Apple utilisé pour créer le certificat :
- L’ID Apple doit être un ID d’entreprise et non un ID personnel.
- Enregistrez l’ID Apple que vous utilisez pour créer le certificat.
- Pour renouveler votre certificat, utilisez le même nom d’organisation et le même ID Apple. L’utilisation d’un ID Apple différent pour renouveler le certificat nécessite le ré-enrôlement de l’appareil.
Si vous révoquez accidentellement ou intentionnellement le certificat, vous perdez la capacité de gérer vos appareils.
- Si vous avez utilisé le programme iOS Developer Enterprise pour créer un certificat push de gestionnaire d’appareils mobiles : assurez-vous de gérer toutes les actions pour les certificats migrés dans le portail Apple Push Certificates.
Créer une CSR à l’aide de Trousseau d’accès sur macOS
- Sur un ordinateur exécutant macOS, sous Applications > Utilitaires, démarrez l’application Trousseau d’accès.
- Ouvrez le menu Trousseau d’accès, puis cliquez sur Assistant de certificat > Demander un certificat à une autorité de certification.
- L’Assistant de certificat vous invite à saisir les informations suivantes :
- Adresse e-mail : Adresse e-mail de la personne ou du compte de rôle responsable de la gestion du certificat.
- Nom commun : Nom commun de la personne ou du compte de rôle responsable de la gestion du certificat.
- Adresse e-mail de l’autorité de certification : Adresse e-mail de l’autorité de certification.
- Sélectionnez les options Enregistré sur le disque et Me laisser spécifier les informations de paire de clés, puis cliquez sur Continuer.
- Saisissez un nom pour le fichier CSR, enregistrez le fichier sur votre ordinateur, puis cliquez sur Enregistrer.
- Spécifiez les informations de paire de clés : sélectionnez une Taille de clé de 2048 bits et l’algorithme RSA, puis cliquez sur Continuer. Le fichier CSR est prêt à être téléchargé dans le cadre du processus de certificat APNs.
- Cliquez sur Terminé lorsque l’Assistant de certificat termine le processus CSR.
- Pour continuer, Signer la CSR.
Créer une CSR à l’aide de Microsoft IIS
La première étape pour générer une demande de certificat APNs consiste à créer une demande de signature de certificat (CSR). Pour Windows, générez une CSR à l’aide de Microsoft IIS.
- Ouvrez Microsoft IIS.
- Double-cliquez sur l’icône Certificats de serveur pour IIS.
- Dans la fenêtre Certificats de serveur, cliquez sur Créer une demande de certificat.
- Saisissez les informations de nom distinctif (DN) appropriées, puis cliquez sur Suivant.
- Sélectionnez Microsoft RSA SChannel Cryptographic Provider pour le fournisseur de services cryptographiques et 2048 pour la longueur de clé, puis cliquez sur Suivant.
- Saisissez un nom de fichier et spécifiez un emplacement pour enregistrer la CSR, puis cliquez sur Terminer.
- Pour continuer, Signer la CSR.
Créer une CSR à l’aide d’OpenSSL
Si vous ne pouvez pas utiliser un appareil macOS ou Microsoft IIS pour générer une CSR, utilisez OpenSSL. Vous pouvez télécharger et installer OpenSSL depuis le site Web d’OpenSSL.
-
Sur l’ordinateur où vous installez OpenSSL, exécutez la commande suivante à partir d’une invite de commandes ou d’un shell.
openssl req -new -keyout Customer.key.pem –out CompanyAPNScertificate.csr -newkey rsa:2048 <!--NeedCopy--> -
Le message suivant concernant les informations de nommage du certificat apparaît. Saisissez les informations comme demandé.
You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:CA Locality Name (eg, city) []:RWC Organization Name (eg, company) [Internet Widgits Pty Ltd]:Customer Organizational Unit Name (eg, section) [:Marketing Common Name (eg, YOUR name) []:John Doe Email Address []:john.doe@customer.com <!--NeedCopy--> -
Au message suivant, saisissez un mot de passe pour la clé privée CSR.
Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: <!--NeedCopy--> -
Pour continuer, signez la CSR comme décrit dans la section suivante.
Signer la CSR
Pour utiliser un certificat avec XenMobile, soumettez-le à Citrix pour signature. Citrix signe la CSR avec son certificat de signature de gestion des appareils mobiles et renvoie le fichier signé au format .plist.
-
Dans votre navigateur, accédez au site Web Endpoint Management Tools, puis cliquez sur Request push notification certificate signature.
-
Sur la page Creating a new certificate, cliquez sur Upload the CSR.
-
Accédez au certificat et sélectionnez-le.
Le certificat doit être au format .pem/txt.
-
Sur la page Endpoint Management APNs CSR Signing, cliquez sur Sign. La CSR est signée et automatiquement enregistrée dans votre dossier de téléchargement configuré.
-
Pour continuer, soumettez la CSR signée comme décrit dans la section suivante.
Soumettre la CSR signée à Apple pour obtenir le certificat APNs
Après avoir reçu votre demande de signature de certificat (CSR) signée de Citrix, soumettez la CSR à Apple pour obtenir le certificat APNs nécessaire à l’importation dans XenMobile.
Remarque :
Certains utilisateurs ont signalé des problèmes de connexion au portail Apple Push. Comme alternative, connectez-vous au portail Apple Developer, puis suivez ces étapes :
-
Dans un navigateur, accédez au portail Apple Push Certificates.
-
Cliquez sur Create a Certificate.
-
La première fois que vous créez un certificat avec Apple : cochez la case I have read and agree to these terms and conditions, puis cliquez sur Accept.
-
Cliquez sur Choose File, accédez à la CSR signée sur votre ordinateur, puis cliquez sur Upload. Un message de confirmation indique que le téléchargement a réussi.
-
Cliquez sur Download pour récupérer le certificat .pem.
-
Pour continuer, terminez la CSR et exportez un fichier PKCS #12 comme décrit dans la section suivante.
Terminer la CSR et exporter un fichier PKCS #12
Après avoir reçu le certificat APNs d’Apple, revenez à Trousseau d’accès, Microsoft IIS ou OpenSSL pour exporter le certificat dans un fichier PKCS #12.
Un fichier PKCS #12 contient le fichier de certificat APNs et votre clé privée. Les fichiers PFX ont généralement l’extension .pfx ou .p12. Vous pouvez utiliser les fichiers .pfx et .p12 de manière interchangeable.
Important :
Citrix vous recommande d’enregistrer ou d’exporter les clés privées et publiques du système local. Vous avez besoin des clés pour accéder aux certificats APNs en vue de leur réutilisation. Sans les mêmes clés, votre certificat est invalide et vous devez répéter l’ensemble du processus CSR et APNs.
Créer un fichier PKCS #12 à l’aide de Trousseau d’accès sur macOS
Important :
Utilisez le même appareil macOS pour cette tâche que celui que vous avez utilisé pour générer la CSR.
-
Sur l’appareil, localisez le certificat d’identité de production (.pem) que vous avez reçu d’Apple.
-
Démarrez l’application Trousseau d’accès et accédez à l’onglet Connexion > Mes certificats. Faites glisser et déposez le certificat d’identité de produit sur la fenêtre ouverte.
-
Cliquez sur le certificat et développez la flèche gauche pour vérifier que le certificat inclut une clé privée associée.
-
Pour commencer à exporter le certificat dans un certificat PKCS #12 (.pfx), choisissez le certificat et la clé privée, cliquez avec le bouton droit, puis sélectionnez Exporter 2 éléments.
-
Donnez au fichier de certificat un nom unique à utiliser avec XenMobile. N’incluez pas d’espaces dans le nom. Ensuite, choisissez un emplacement de dossier pour le certificat enregistré, sélectionnez le format de fichier .pfx, puis cliquez sur Enregistrer.
-
Saisissez un mot de passe pour l’exportation du certificat. Citrix vous recommande d’utiliser un mot de passe unique et fort. Assurez-vous également de conserver le certificat et le mot de passe en lieu sûr pour une utilisation et une référence ultérieures.
-
L’application Trousseau d’accès vous invite à saisir le mot de passe de connexion ou le trousseau sélectionné. Saisissez le mot de passe, puis cliquez sur OK. Le certificat enregistré est maintenant prêt à être utilisé avec le XenMobile Server.
-
Pour continuer, consultez Importer un certificat APNs dans XenMobile.
Créer un fichier PKCS #12 à l’aide de Microsoft IIS
Important :
Utilisez le même serveur IIS pour cette tâche que celui que vous avez utilisé pour générer la CSR.
-
Ouvrez Microsoft IIS.
-
Cliquez sur l’icône Certificats de serveur.
-
Dans la fenêtre Certificats de serveur, cliquez sur Terminer la demande de certificat.
-
Accédez au fichier Certificate.pem d’Apple. Ensuite, saisissez un nom convivial ou le nom du certificat, puis cliquez sur OK. N’incluez pas d’espaces dans le nom.
-
Sélectionnez le certificat que vous avez identifié à l’étape 4, puis cliquez sur Exporter.
-
Spécifiez un emplacement et un nom de fichier pour le certificat .pfx et un mot de passe, puis cliquez sur OK.
Vous avez besoin du mot de passe du certificat pour l’importer dans XenMobile.
-
Copiez le certificat .pfx sur le serveur sur lequel vous prévoyez d’installer XenMobile.
-
Pour continuer, consultez Importer un certificat APNs dans XenMobile.
Créer un fichier PKCS #12 à l’aide d’OpenSSL
Si vous utilisez OpenSSL pour créer une CSR, vous pouvez également utiliser OpenSSL pour créer un certificat APNs .pfx.
-
À une invite de commandes ou un shell, exécutez la commande suivante.
Customer.privatekey.pemest la clé privée de votre CSR.APNs_Certificate.pemest le certificat que vous venez de recevoir d’Apple.openssl pkcs12 -export -in APNs_Certificate.pem -inkey Customer.privatekey.pem -out apns_identity.pfx <!--NeedCopy--> -
Saisissez un mot de passe pour le fichier de certificat .pfx. Retenez ce mot de passe, car vous l’utiliserez à nouveau lorsque vous téléchargerez le certificat vers XenMobile.
-
Notez l’emplacement du fichier de certificat .pfx. Ensuite, copiez le fichier sur le XenMobile Server afin de pouvoir utiliser la console pour télécharger le fichier.
-
Pour continuer, importez un certificat APNs dans XenMobile comme décrit dans la section suivante.
Importer un certificat APNs dans XenMobile
Après avoir reçu le nouveau certificat APNs : importez le certificat APNs dans XenMobile pour l’ajouter pour la première fois ou pour remplacer un certificat.
-
Dans la console XenMobile, accédez à Paramètres > Certificats.
-
Cliquez sur Importer > Keystore.
-
Dans Utiliser comme, choisissez APNs.
-
Accédez au fichier .pfx ou .p12 sur votre ordinateur.
-
Saisissez un mot de passe, puis cliquez sur Importer.
Pour plus d’informations sur les certificats dans XenMobile, consultez Certificats et authentification.
Renouveler un certificat APNs
Important :
Si vous utilisez un ID Apple différent pour le processus de renouvellement, vous devez ré-enrôler les appareils des utilisateurs.
Pour renouveler un certificat APNs, suivez les étapes de création d’un certificat, puis accédez au portail Apple Push Certificates. Utilisez ce portail pour télécharger le nouveau certificat. Après vous être connecté, votre certificat existant ou un certificat importé de votre précédent compte Apple Developers apparaît.
Dans le portail des certificats, la seule différence lors du renouvellement du certificat est que vous cliquez sur Renew. Vous devez disposer d’un compte développeur avec le portail des certificats pour accéder au site. Pour renouveler votre certificat, utilisez le même nom d’organisation et le même ID Apple.
Pour déterminer la date d’expiration de votre certificat APNs dans la console XenMobile, accédez à Paramètres > Certificats. Si le certificat expire, ne le révoquez pas.
-
Générez une CSR à l’aide de Microsoft IIS, Trousseau d’accès (macOS) ou OpenSSL. Pour plus d’informations sur la génération d’une CSR, consultez Créer une demande de signature de certificat.
-
Dans votre navigateur, accédez à Endpoint Management Tools. Ensuite, cliquez sur Request push notification certificate signature.
-
Cliquez sur + Upload the CSR.
-
Dans la boîte de dialogue, accédez à la CSR, cliquez sur Open, puis cliquez sur Sign.
-
Lorsque vous recevez un fichier
.plist, enregistrez-le. -
Dans le titre de l’étape 3, cliquez sur Apple Push Certificates Portal et connectez-vous.
-
Sélectionnez le certificat que vous souhaitez renouveler, puis cliquez sur Renew.
-
Téléchargez le fichier
.plist. Vous recevez un fichier .pem en sortie. Enregistrez le fichier .pem. -
À l’aide de ce fichier .pem, terminez la CSR (selon la méthode que vous avez utilisée pour créer la CSR à l’étape 1).
-
Exportez le certificat en tant que fichier .pfx.
Dans la console XenMobile, importez le fichier .pfx et terminez la configuration comme suit :
- Accédez à Paramètres > Certificats > Importer.
- Dans le menu Importer, choisissez Keystore.
- Dans le menu Type de Keystore, choisissez PKCS #12.
-
Dans Utiliser comme, choisissez APNs.
- Pour Fichier Keystore, cliquez sur Parcourir et accédez au fichier.
- Dans Mot de passe, saisissez le mot de passe du certificat.
- Saisissez une Description facultative.
- Cliquez sur Importer.
XenMobile vous redirige vers la page Certificats. Les champs Nom, Statut, Valide à partir de et Valide jusqu’à sont mis à jour.