Настройка и использование сертификатов PKCS в Intune

Настройка и использование сертификатов PKCS в Intune

Microsoft Intune поддерживает использование сертификатов пары открытого и закрытого ключей (PKCS). В этой статье рассматриваются действия, необходимые для использования сертификатов PKCS с Intune, включая экспорт сертификата PKCS и последующее добавление его в профиль конфигурации устройства Intune.

Microsoft Intune включает встроенные параметры, позволяющие использовать сертификаты PKCS для доступа и проверки подлинности к ресурсам организации. Сертификаты используются для проверки подлинности и защищенного доступа к ресурсам организации, например виртуальной частной сети или сети Wi-Fi. Вы разворачиваете эти параметры на устройствах, используя профили конфигурации устройств в Intune.

Требования

Чтобы использовать сертификаты PKCS с Intune, необходима следующая инфраструктура:

Домен Active Directory. Все серверы, указанные в этом разделе, должны быть присоединены к домену Active Directory.

Дополнительные сведения об установке и настройке доменных служб Active Directory см. в статье Планирование и проектирование доменных служб Active Directory.

Центр сертификации: Центр сертификации предприятия.

Дополнительные сведения об установке и настройке служб сертификатов Active Directory (AD CS) см. в статье Пошаговое руководство по службам сертификатов Active Directory.

Intune требуется запустить службу сертификации Active Directory с помощью центра сертификации предприятия (ЦС), а не автономного ЦС.

Клиент. Для подключения к ЦС предприятия.

Корневой сертификат. Экспортированная копия корневого сертификата из ЦС предприятия.

Соединитель сертификатов для Microsoft Intune

Дополнительные сведения о соединителе сертификатов см. в следующих статьях.

  • Обзор соединителя сертификатов для Microsoft Intune. . .

Экспорт корневого сертификата из ЦС предприятия

Для выполнения проверки подлинности с помощью VPN, Wi-Fi или других ресурсов необходим корневой или промежуточный сертификат ЦС на каждом устройстве. Далее описывается, как получить необходимый сертификат из ЦС предприятия.

Работа с командной строкой.

Войдите на сервер центра корневой сертификации с учетной записью администратора.

Выберите Пуск > Выполнить и введите Cmd, чтобы открыть командную строку.

Укажите certutil -ca.cert ca_name.cer, чтобы экспортировать корневой сертификат в виде файла с именем ca_name.cer.

Настройка шаблонов сертификатов в ЦС

Войдите в ЦС предприятия с использованием учетной записи с правами администратора.

Откройте консоль Центр сертификации, щелкните правой кнопкой мыши Шаблоны сертификатов и выберите Управление.

Найдите шаблон сертификата Пользователь, щелкните его правой кнопкой мыши и выберите Повторяющийся шаблон, чтобы открыть Свойства нового шаблона.

Для сценариев подписывания и шифрования электронной почты S/MIME многие администраторы используют отдельные сертификаты для подписывания и шифрования. Если вы используете службы сертификатов Microsoft Active Directory, можно применить шаблон сертификатов для подписывания электронной почты S/MIME Только подпись Exchange и шаблон сертификатов для шифрования электронной почты S/MIME Пользователь Exchange. Если вы используете сторонний центр сертификации, рекомендуется изучить соответствующее руководство по созданию шаблонов подписывания и шифрования.

На вкладке Совместимость:

  • Задайте для центра сертификации значение Windows Server 2008 R2.
  • Задайте для получателя сертификации значение Windows 7 / Server 2008 R2.

На вкладке Общие задайте понятное отображаемое имя шаблона.

Имя шаблона по умолчанию совпадает с отображаемым именем шаблона без пробелов. Запомните имя шаблона, оно вам еще понадобится.

На вкладке Обработка запроса выберите Разрешить экспорт закрытого ключа.

В отличие от SCEP при использовании PKCS закрытый ключ сертификата создается на сервере, где установлен соединитель, а не на устройстве. Шаблон сертификата должен разрешать экспорт закрытого ключа, чтобы соединитель мог экспортировать PFX-сертификат и отправить его на устройство.

Когда сертификаты устанавливаются на самом устройстве, закрытый ключ помечается как неэкспортируемый.

На вкладке Шифрование убедитесь, что Минимальный размер ключа равен 2048.

На вкладке Имя субъекта выберите Предоставлять по запросу.

На вкладке Расширения подтвердите, что шифрованная файловая система, защита электронной почты и проверка подлинности клиента отображаются в разделе Политики приложений.

Для шаблонов сертификатов iOS/iPadOS на вкладке Расширения обновите параметр Использование ключей и снимите флажок Подпись подтверждает подлинность.

На вкладке Безопасность добавьте учетную запись компьютера для сервера, на котором устанавливается соединитель сертификатов для Microsoft Intune. Предоставьте этой учетной записи разрешения на чтение и регистрацию.

Выберите Применить > ОК, чтобы сохранить шаблон сертификата. Закройте консоль шаблонов сертификатов.

В консоли Центр сертификации щелкните правой кнопкой мыши Шаблоны сертификатов > Создать > Выдаваемый шаблон сертификата. Выберите созданный ранее шаблон. Нажмите кнопку ОК.

Чтобы сервер мог управлять сертификатами зарегистрированных устройств и пользователей, сделайте следующее:

  1. Щелкните центр сертификации правой кнопкой мыши и выберите Свойства.
  2. На вкладке "Безопасность" добавьте учетную запись компьютера для сервера, на котором запущен соединитель.
  3. Предоставьте для параметров Issue and Manage Certificates (Выдача сертификатов и управление ими) и Request Certificates (Запросить сертификаты) разрешения на доступ к учетной записи компьютера.

Выйдите из ЦС предприятия.

Скачивание, установка и настройка соединителя сертификатов для Microsoft Intune

Создание профиля доверенного сертификата

Выберите Устройства > Профили конфигурации > Создать профиль.

Укажите следующие свойства.

  • Платформа. Выберите платформу устройств, которые будут принимать этот профиль.
    • Администратор устройств Android
    • Android Enterprise:
      • Полностью управляемая
      • Выделенная
      • Корпоративный рабочий профиль
      • Личный рабочий профиль

      Нажмите Создать.

      В разделе Основные укажите следующие свойства.

      • Имя. Введите описательное имя для профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Профиль для доверенного сертификата для всей компании.
      • Описание. Введите описание профиля. Этот параметр является необязательным, но мы рекомендуем его использовать.

      Нажмите кнопку Далее.

      В параметрах конфигурации укажите CER-файл для ранее экспортированного сертификата Root CA.

      В зависимости от платформы, выбранной на шаге 3, вы можете (или не можете) выбрать конечное хранилище для сертификата.

      Нажмите кнопку Далее.

      В заданиях выберите пользователя или группу устройств, которым будет назначен профиль. Найдите подробнее сведения в разделе Создание фильтров в Microsoft Intune, а затем примените фильтры, выбрав Изменить фильтр.

      Запланируйте развертывание этого профиля сертификата в тех же группах, которые получают профиль сертификата PKCS и профиль конфигурации, например профиль Wi-Fi, использующий сертификат. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

      Нажмите кнопку Далее.

      (Применимо только к Windows 10/11.) В разделе Правила применимости укажите правила применимости, чтобы уточнить назначение этого профиля. Вы можете как назначить, так и не назначать профиль на основе выпуска ОС или версии устройства.

      Сведения о правилах применимости см. в руководстве по созданию профиля устройства в Microsoft Intune.

      В окне Проверка и создание проверьте параметры. При выборе Создать внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

      Создание профиля сертификата PKCS

      Выберите Устройства > Профили конфигурации > Создать профиль.

      Укажите следующие свойства.

      • Платформа: выберите платформу устройств. Варианты:
        • Администратор устройств Android
        • Android Enterprise:
          • Полностью управляемая
          • Выделенная
          • Корпоративный рабочий профиль
          • Личный рабочий профиль

          На устройствах с профилем Android Enterprise сертификаты, установленные с использованием профиля сертификатов PKCS, не отображаются. Чтобы подтвердить успешность развертывания сертификатов, проверьте состояние профиля в консоли Intune.

          Нажмите Создать.

          В разделе Основные укажите следующие свойства.

          • Имя. Введите описательное имя для профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Профиль PKCS для всей компании.
          • Описание. Введите описание профиля. Этот параметр является необязательным, но мы рекомендуем его использовать.

          Нажмите кнопку Далее.

          В разделе Параметры конфигурации доступные для настройки параметры будут отличаться в зависимости от выбранной платформы. Выберите платформу для настройки дополнительных параметров:

          • Администратор устройств Android
          • Android Enterprise
          • iOS/iPadOS
          • Windows 10/11
          • Android для бизнеса (рабочий профиль);
          • iOS
          • macOS
          • Windows 10/11

          Вы можете использовать переменные или статический текст для SAN обоих типов сертификатов. Использовать переменные необязательно.

          Нажмите кнопку Далее.

          В разделе Назначения выберите пользователей или группы, которые будут принимать ваш профиль. Запланируйте развертывание этого профиля сертификата в тех же группах, которые получают профиль доверенного сертификата и профиль конфигурации, например профиль Wi-Fi, использующий сертификат. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

          Нажмите кнопку Далее.

          В окне Проверка и создание проверьте параметры. При выборе Создать внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

          Формат имени субъекта

          При создании профиля сертификата PKCS для указанных ниже платформ параметры для формата имени субъекта зависят от выбранного типа сертификата: Пользователь или Устройство.

          • Android Enterprise (корпоративный и личный рабочий профиль)
          • iOS
          • macOS
          • Windows 10/11

          Существует известная ошибка, связанная с использованием PKCS (аналогичная ошибка возникает при использовании SCEP) для получения сертификатов, когда имя субъекта в итоговом запросе на подпись сертификата (CSR) включает один из следующих экранируемых символов, перед которыми используется символ обратной косой черты (\):

          • +
          • ;
          • ,
          • =

          Начиная с Android 12 перестает поддерживаться использование следующих идентификаторов оборудования для устройств личного рабочего профиля:

          • Серийный номер
          • IMEI
          • MEID

          Профили сертификатов Intune для устройств личного рабочего профиля, которые зависят от этих переменных в имени субъекта или SAN, не смогут подготовить сертификат на устройствах с Android 12 или более поздней версии во время регистрации устройства в Intune. Устройства, зарегистрированные до перехода на Android 12, по-прежнему могут получать сертификаты, если в Intune ранее получены идентификаторы оборудования устройств.

          Дополнительные сведения об этом и других изменениях, вносимых в Android 12, см. в записи блога Начало поддержки Microsoft Endpoint Manager в Android.

          Тип пользовательского сертификата Параметры формата для Формата имени субъекта включают две переменные: общее имя (CN) и адрес электронной почты (E). Адрес электронной почты (E) обычно задается с переменной . Например: E=

          В качестве общего имени (CN) можно задать любую из следующих переменных.

          CN=. Имя пользователя, например Jane Doe.

          CN=. Имя субъекта-пользователя, например janedoe@contoso.com.

          CN=. ИД, назначенный при регистрации устройства в Azure Active Directory (AD). Как правило, он используется для проверки подлинности в Azure AD.

          CN=. Идентификатор, назначаемый при регистрации устройства в Intune.

          CN=. Уникальный серийный номер (SN), обычно используемый изготовителем для идентификации устройства.

          CN=. Уникальный номер международного идентификатора мобильного оборудования (IMEI), используемый для идентификации мобильного телефона.

          CN=. Последовательность относительных различающихся имен, разделенных запятой, например CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

          Чтобы использовать переменную , не забудьте синхронизировать атрибут пользователя onpremisesdistinguishedname с помощью Azure AD Connect с вашим Azure AD.

          CN=. Администраторы могут синхронизировать атрибут samAccountName из Active Directory в Azure AD с помощью Azure AD Connect в атрибут с именем onPremisesSamAccountName. Intune может заменить эту переменную как часть запроса на выдачу сертификата в субъекте сертификата. Атрибут samAccountName — это имя пользователя для входа, используемое для поддержки клиентов и серверов предыдущей версии Windows (до Windows 2000). Формат имени входа пользователя: домен\пользователь или просто пользователь.

          Чтобы использовать переменную , не забудьте синхронизировать атрибут пользователя onPremisesSamAccountName с помощью Azure AD Connect с вашим Azure AD.

          Все переменные устройств, перечисленные в следующем разделе Тип сертификата устройства, также можно использовать в именах субъектов сертификатов пользователей.

          Используя сочетание одной или нескольких таких переменных и статических текстовых строк, можно создать настраиваемый формат имени субъекта, например: CN=,E=,OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

          В этом примере приведен формат имени субъекта, который, кроме переменных CN и E, использует строки для определения подразделения, организации, расположения, области, страны или региона. Эта функция и поддерживаемые ею строки отписываются в статье Функция CertStrToName.

          Атрибуты пользователя не поддерживаются для устройств, не имеющих пользовательских сопоставлений, например устройств, зарегистрированных как выделенные для Android Enterprise. Например, профиль с использованием CN= в субъекте или SAN не сможет получить имя субъекта-пользователя, если на устройстве нет пользователя.

          Тип сертификата устройства Параметры формата для формата имени субъекта включают переменные:

          • — идентификатор устройства в Intune.
          • (только для устройств с Windows и устройств, присоединенных к домену)

          В текстовом поле можно указать эти переменные, за которыми следует текст переменной. Например, общее имя устройства с именем Device1 можно добавить как CN=Device1.