Apple 平台部署
- 欢迎使用
- Apple 平台部署介绍
- 新功能
-
-
- 辅助功能有效负载设置
- “Active Directory 证书”有效负载设置
- “隔空播放”有效负载设置
- “隔空播放安全性”有效负载设置
- “隔空打印”有效负载设置
- “App 锁定”有效负载设置
- “关联域”有效负载设置
- “自动化证书管理环境” (ACME) 有效负载设置
- “自治单 App 模式”有效负载设置
- “日历”有效负载设置
- “蜂窝网络”有效负载设置
- “蜂窝专用网络”有效负载设置
- “证书偏好设置”有效负载设置
- “证书撤销”有效负载设置
- “证书透明度”有效负载设置
- “证书”有效负载设置
- “会议室显示器”有效负载设置
- “通讯录”有效负载设置
- “内容缓存”有效负载设置
- “目录服务”有效负载设置
- “DNS 代理”有效负载设置
- “DNS 设置”有效负载设置
- “程序坞”有效负载设置
- “域”有效负载设置
- “节能”有效负载设置
- Exchange ActiveSync (EAS) 有效负载设置
- Exchange 网络服务 (EWS) 有效负载设置
- “可扩展单点登录”有效负载设置
- “可扩展单点登录 Kerberos”有效负载设置
- “扩展”有效负载设置
- “文件保险箱”有效负载设置
- “访达”有效负载设置
- “防火墙”有效负载设置
- “字体”有效负载设置
- “全局 HTTP 代理”有效负载设置
- “谷歌账户”有效负载设置
- “主屏幕布局”有效负载设置
- 身份有效负载设置
- “身份偏好设置”有效负载设置
- “内核扩展策略”有效负载设置
- LDAP 有效负载设置
- “无人值守管理”有效负载设置
- “锁屏信息”有效负载设置
- 登录窗口有效负载设置
- “管理式登录项”有效负载设置
- 邮件有效负载设置
- “网络使用规则”有效负载设置
- “通知”有效负载设置
- “家长控制”有效负载设置
- “密码”有效负载设置
- “打印”有效负载设置
- “隐私偏好设置策略控制”有效负载设置
- “中继”有效负载设置
- SCEP 有效负载设置
- “安全性”有效负载设置
- “设置助理”有效负载设置
- “单点登录”有效负载设置
- “智能卡”有效负载设置
- “已订阅的日历”有效负载设置
- “系统扩展”有效负载设置
- “系统迁移”有效负载设置
- “时间机器”有效负载设置
- “电视遥控器”有效负载设置
- Web Clip 有效负载设置
- “网页内容过滤器”有效负载设置
- Xsan 有效负载设置
- 词汇表
- 文稿修订历史
- 版权
![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/zh_CN/312766e3df7f57c1f549da2dab216b36.png)
针对 Apple 设备的“证书透明度” MDM 有效负载设置
使用“证书透明度”有效负载控制 iPhone、iPad、Mac 或 Apple TV 设备上“证书透明度”实施的行为。此自定义有效负载不需要 MDM,也不要求设备的序列号在“Apple 校园教务管理”、“Apple 商务管理”或“Apple 商务必备”中显示。
iOS、iPadOS、macOS、Apple tvOS、watchOS 10 和 visionOS 1.1 具有“证书透明度”要求,以使 TLS 证书得到信任。“证书透明度”涉及将服务器的公开证书提交到对外公开的日志中。如果使用仅限内部服务器的证书,你可能无法显示这些服务器并由此无法使用“证书透明度”。因此,“证书透明度”要求会导致用户的证书信任失败。
此有效负载允许设备管理员有选择地为内部域和服务器降低“证书透明度”要求,以避免与内部服务器通信的设备发生此类信任失败。
“证书透明度”有效负载支持以下选项。有关更多信息,请参阅有效负载信息。
支持的有效负载标识符:com.apple.security.certificatetransparency
支持的操作系统和通道:iOS、iPadOS、“共享 iPad”设备、macOS 设备、Apple tvOS、watchOS 10、visionOS 1.1。
支持的注册类型:用户注册、设备注册、自动设备注册。
允许的重复项:True:可将多个“证书透明度”有效负载发送给某台设备。
你可以为“证书透明度”有效负载使用下表中的设置。
设置 | 描述 | 必需 | |||||||||
---|---|---|---|---|---|---|---|---|---|---|---|
为特定证书停用“证书透明度”实施 | 选择此选项以通过停用“证书透明度”实施来允许私有的不受信任证书。要停用的证书必须包含:(1) 签发者用于为证书签名的算法;(2) 与证书签发对象的身份关联的公共密钥。有关所需的特定值,请参阅本表格剩余部分。 | 否。 | |||||||||
算法 | 签发者用于为证书签名的算法。值必须是“sha256”。 | 是(如果使用了“为特定证书停用‘证书透明度’实施”)。 | |||||||||
| 与证书签发对象的身份关联的公共密钥。 | 是(如果使用了“为特定证书停用‘证书透明度’实施”)。 | |||||||||
停用特定域 | 证书透明度被停用的域列表。可使用前导句号来匹配子域,但域匹配规则不得匹配一个顶层域内的所有域。(不允许“.com”和“.co.uk”,但允许“.betterbag.com”和“.betterbag.co.uk”)。 | 否。 |
【注】每个 MDM 供应商对这些设置的执行情况不同。若要了解如何将“证书透明度”各种设置应用到你的设备,请参阅 MDM 供应商文稿。
如何创建 subjectPublicKeyInfo 的哈希值
为了在此策略设定时停用“证书透明度”实施,subjectPublicKeyInfo
哈希值必须为以下其中一项:
停用“证书透明度”实施的第一种方法 |
---|
服务器叶证书 |
停用“证书透明度”实施的第二种方法 |
---|
|
停用“证书透明度”实施的第三种方法 |
---|
|
如何生成指定数据
在 subjectPublicKeyInfo
词典中,使用以下命令:
PEM 编码证书:
openssl x509 -pubkey -in example_certificate.pem -inform pem | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | base64
DER 编码证书:
openssl x509 -pubkey -in example_certificate.der -inform der | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | base64
如果证书扩展名不是 .pem 或 .der,请使用以下文件命令来识别其编码类型:
file example_certificate.crt
file example_certificate.cer
若要查看此自定义有效负载的完整示例,请参阅“证书透明度”自定义有效负载示例。