Este guia orienta o administrador a preparar a integração do CertSafe com o Active Directory Domain Services (AD DS) da organização. O conector de diretório é um componente próprio: ele não é o Agente Windows usado para instalar certificados digitais nas estações.
Situação em 29/10/2026: preparação disponível; ativação operacional pendente. A versão 0.4.0 do conector é de laboratório. É possível autorizar o módulo, cadastrar o diretório em rascunho e preparar a implantação. Matrícula, envio de dados, renovação do certificado e autenticação corporativa permanecem bloqueados na versão distribuída. Salvar a configuração não permite entrar no CertSafe com a conta do AD. O login local com senha e A2F continua em uso.
Os exemplos usam empresa.test, DC01, CS-CONNECTOR01 e CertSafe-Piloto. Substitua pelos dados reais do ambiente. Não envie senhas do domínio, chaves privadas ou arquivos PFX ao Suporte.
Esta etapa é feita pelo administrador do Suporte Central. O gestor que só acessa a instalação deve solicitar essa autorização ao Suporte.
Resultado esperado: a instalação recebe os direitos de configuração do módulo. Isso não ativa sincronização nem login corporativo. Cada instalação CertSafe possui seus próprios diretórios e conectores.
CertSafe-Piloto.Import-Module ActiveDirectory $dominioCs = Get-ADDomain $dominioCs | Select-Object DNSRoot, NetBIOSName, DomainSID Get-ADGroup -Identity 'CertSafe-Piloto' | Select-Object Name, SID
Anotar o DNSRoot, o DomainSID e o SID de cada grupo autorizado. O campo SID não recebe nome do grupo, GUID, e-mail ou nome de usuário. Conferir os valores no AD, sem construir o SID manualmente.
Referências dos comandos: Get-ADDomain e Get-ADGroup.
empresa.test.Resultado esperado: diretório cadastrado em rascunho. O estado geral permanece Desativado. Se os campos estiverem bloqueados, confirmar com o Suporte os direitos da instalação e as permissões da conta; não alterar diretamente o banco de dados.
Esta etapa exige um domínio real e deve ser conduzida pelo administrador do AD. Não é validada apenas por instalar o MSI.
CertSafeConector, vinculando PrincipalsAllowedToRetrieveManagedPassword ao grupo de computadores autorizado.Import-Module ActiveDirectory Install-ADServiceAccount -Identity 'CertSafeConector' Test-ADServiceAccount -Identity 'CertSafeConector'
O teste deve retornar True. Caso contrário, revisar a autorização do computador, a disponibilidade da KDS, a replicação e os requisitos do domínio antes de continuar.
Conceder o direito de Logon como serviço à gMSA, preservando as demais contas necessárias no servidor. Usar o formato DOMINIO\CertSafeConector$ no instalador. O domínio desse formato é o nome NetBIOS; o símbolo $ faz parte do nome da conta.
Procedimentos oficiais: gerenciamento de gMSA e chave raiz KDS.
Verificação de confiança: o pacote de laboratório 0.4.0 possui assinatura CertSafe destacada em .sig, mas ainda não possui Authenticode público. Em testes, o Controle de Aplicativo do Windows bloqueou o EXE. Não desativar Smart App Control, WDAC, AppLocker ou a política PowerShell para fazer a implantação prosseguir. Nesse caso, interromper a etapa e solicitar ao Suporte uma versão com assinatura e compatibilidade aprovadas.
conector.exemplo.json para conector.json.DominioDns, DominioSid e GruposSid com os mesmos valores cadastrados no painel.Controlador, informar o FQDN do controlador escolhido, por exemplo dc01.empresa.test. Em InstalacaoUrl, informar a URL HTTPS da instalação CertSafe.Modo igual a desativado. Preservar inicialmente os intervalos do exemplo. O campo CertificadoSha256 permanece com o valor provisório do modelo até a matrícula homologada; ele não recebe o certificado A1 do usuário.implantacao.exemplo.json para implantacao.json, na pasta de implantação. Informar a gMSA real, o nome do arquivo de configuração e os hashes SHA-256 correspondentes ao MSI e à configuração.Get-FileHash -Algorithm SHA256 -LiteralPath '.\conector.json' Get-FileHash -Algorithm SHA256 -LiteralPath '.\CertSafe-DirectoryConnector-0.4.0-x64.msi'
Os arquivos referenciados pelo plano devem estar na mesma pasta dele. O hash da configuração deve ser recalculado após qualquer edição. Não incluir senhas, chaves privadas ou códigos de matrícula nessa pasta.
Executar somente após preparar o AD/gMSA e confirmar que a política de segurança permite o pacote. No Windows PowerShell 5.1 x64, dentro da pasta de implantação:
.\implantar.ps1 -Plano .\implantacao.json
A simulação confere assinatura, hashes e modo desativado. Ela não homologa o domínio nem garante que o binário será aceito pela política do Windows. Corrigir qualquer falha antes de confirmar a instalação.
Após a aprovação da simulação, executar como administrador do servidor piloto:
.\implantar.ps1 -Plano .\implantacao.json -Confirmar
O fluxo instala os arquivos e tenta configurar o serviço sob a gMSA validada. Se uma verificação posterior falhar, os arquivos MSI podem permanecer instalados sem que o serviço tenha sido criado. Não interpretar a presença do executável como implantação concluída.
Conferir:
Get-Service -Name CertSafeDirectoryConnector
Get-CimInstance Win32_Service -Filter "Name='CertSafeDirectoryConnector'" |
Select-Object Name, State, StartMode, StartName
Resultado esperado nesta etapa: serviço em modo Manual, estado Stopped, conta gMSA correta e configuração desativada. Não iniciar o serviço para tentar habilitar a integração.
Os arquivos de programa ficam em %ProgramFiles%\CertSafe\DirectoryConnector. A configuração e o estado ficam em %ProgramData%\CertSafe\DirectoryConnector. Os registros de implantação ficam em %ProgramData%\CertSafe\ImplantacaoConector.
implantar.ps1 e disponibilizar seu verificador na mesma pasta de scripts.-Plano "\\servidor\distribuicao\CertSafe\0.4.0\implantacao.json" -Confirmar
Configurar o processamento síncrono e a disponibilidade de rede no início do computador. Não usar script de logon de usuário, não habilitar AlwaysInstallElevated e não aplicar a política a todas as estações. O script não inicia o serviço e não reinicia o computador. Um retorno 3010 exige tratar a reinicialização na janela autorizada antes de concluir a configuração.
O uso real de GPO e gMSA ainda requer homologação em domínio. Não acrescentar a opção de atualização automática enquanto o Suporte não confirmar sua liberação para o ambiente.
A matrícula associa a identidade e a chave do conector ao diretório correto. O certificado de transporte mTLS é próprio do conector e não deve ser confundido com certificados A1/A3 armazenados no CertSafe.
Quando houver uma versão homologada, o fluxo previsto é gerar a solicitação solicitacao.csr no servidor e no contexto autorizado do serviço, selecionar o diretório na aba Conectores, informar o nome do conector e colar a solicitação em Solicitação de certificado. O botão Gerar código de matrícula emite um código de uso único com validade de 15 minutos.
Na versão atual, parar antes dessa etapa: a conclusão da matrícula e os endpoints de transporte não estão liberados. Não copiar a chave privada para o painel, não colocar o código em GPO e não tentar contornar o bloqueio. A matrícula, mesmo quando disponível, não será autorização para login corporativo por si só.
Na aba Mapeamento de acessos, o vínculo relaciona Grupo externo, Empresa de destino e Perfil de usuário comum. Os seletores dependem dos dados externos disponíveis: antes da sincronização homologada, podem permanecer vazios. Isso não deve ser resolvido com registros inseridos manualmente no banco.
Após a disponibilização dos grupos externos, selecionar os destinos autorizados, usar Salvar para análise e conferir Calcular impacto na licença. Para uma conta CertSafe existente, revisar o vínculo explícito entre Identidade externa e Conta CertSafe antes de usar Registrar vínculo.
Nome, e-mail ou UPN iguais não unem identidades automaticamente. Não usar mapeamentos para conceder perfil de gestor. A proposta e a análise de licença não equivalem à ativação de acesso.
Não existe ativação operacional disponível na versão atual. O estado Desativado é esperado. Não há um botão de ativação homologado nem uma instrução para mudar constantes, banco de dados ou arquivos internos e liberar o provedor.
Antes de liberar a operação, o responsável pelo piloto e o Suporte precisam confirmar:
Somente após essas condições será publicado o procedimento executável de ativação. Até lá, o resultado correto deste guia é o ambiente preparado e a integração desativada.
Primeiro retirar a implantação da GPO para impedir reinstalação no próximo início. Se uma tarefa de atualização tiver sido habilitada em um laboratório autorizado, desativá-la e removê-la pelo configurador oficial antes de desinstalar o MSI. Não interromper uma atualização em andamento.
Desinstalar o produto pelo Windows. O MSI remove os arquivos de programa e o cadastro do serviço; configuração, estado DPAPI e chaves são preservados para recuperação. Não apagar esses dados nem reutilizar a identidade em outra instalação sem orientação do Suporte.
Para solicitar apoio, informar a instalação, a versão do conector, a etapa e a mensagem de erro, com os dados sensíveis removidos. Esta categoria também reunirá o futuro guia de Microsoft Entra ID (Microsoft 365), cuja configuração é independente da integração AD Local.