ডিভাইসে WiFi সার্টিফিকেট পুশ করতে কীভাবে Microsoft Intune ব্যবহার করবেন

ডিভাইসে WiFi সার্টিফিকেট পুশ করতে কীভাবে Microsoft Intune ব্যবহার করবেন একটি Purple এন্টারপ্রাইজ WiFi ইন্টেলিজেন্স ব্রিফিং [ভূমিকা এবং প্রেক্ষাপট — প্রায় ১ মিনিট] আবারও স্বাগতম। আমি আজ এন্টারপ্রাইজ WiFi ইন্টেলিজেন্স প্ল্যাটফর্ম Purple-এর পক্ষ থেকে কথা বলছি, এবং এই পর্বটি Microsoft Intune টুলকিটের সবচেয়ে ব্যবহারিক — এবং সত্যি বলতে, সবচেয়ে আন্ডাররেটেড — ক্ষমতাগুলোর একটির উপর একটি ফোকাসড ব্রিফিং: 802.1X WiFi প্রমাণীকরণের জন্য স্বয়ংক্রিয় সার্টিফিকেট ডিপ্লয়মেন্ট। আপনি যদি কোনো হোটেল এস্টেট, রিটেইল চেইন, স্টেডিয়াম বা পাবলিক-সেক্টর এস্টেট জুড়ে WiFi পরিচালনা করেন, তবে আমি যে সমস্যার কথা বলতে যাচ্ছি তা আপনি জানবেন। আপনার কাছে শত শত বা হাজার হাজার পরিচালিত ডিভাইস রয়েছে। আপনি চান যে ব্যবহারকারীরা পাসওয়ার্ড টাইপ না করে, আইটি প্রতিটি ডিভাইসে স্পর্শ না করে সেগুলো স্বয়ংক্রিয়ভাবে, নিরাপদে আপনার কর্পোরেট WiFi-এর সাথে কানেক্ট হোক। এবং আপনি চান যে সেই কানেকশনটি ক্রিপ্টোগ্রাফিকভাবে শক্তিশালী হোক — শুধুমাত্র একটি শেয়ার করা পাসওয়ার্ড নয় যা ইতিমধ্যেই সংস্থার অর্ধেক লোককে ইমেল করা হয়েছে। Intune সার্টিফিকেট ডিপ্লয়মেন্ট ঠিক এই সমস্যারই সমাধান করে। এবং আগামী নয় মিনিটে, আমি আপনাকে দেখাব এটি কীভাবে কাজ করে, কীভাবে এটি ডিপ্লয় করতে হয় এবং সেই ফাঁদগুলো যা বেশিরভাগ টিমকে প্রথম প্রচেষ্টাতেই আটকে দেয়। [টেকনিক্যাল ডিপ-ডাইভ — প্রায় ৫ মিনিট] চলুন আর্কিটেকচার দিয়ে শুরু করা যাক। এখানকার ভিত্তি হলো IEEE 802.1X — পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড যা দুই দশকেরও বেশি সময় ধরে এন্টারপ্রাইজ WiFi নিরাপত্তার মেরুদণ্ড। যখন কোনো ডিভাইস আপনার WiFi-এর সাথে কানেক্ট হয়, তখন 802.1X-এর প্রয়োজন হয় যে এটি কোনো নেটওয়ার্ক অ্যাক্সেস পাওয়ার আগে প্রমাণীকরণ করবে। প্রমাণীকরণের কথোপকথনটি তিনটি পক্ষের মধ্যে ঘটে: ডিভাইস — যাকে সাপ্লিক্যান্ট বলা হয় — আপনার WiFi অ্যাক্সেস পয়েন্ট, যা অথেনটিকেটর হিসেবে কাজ করে এবং আপনার RADIUS সার্ভার, যা হলো প্রমাণীকরণ সার্ভার যা চূড়ান্ত সিদ্ধান্ত নেয়। এখন, 802.1X একাধিক প্রমাণীকরণ পদ্ধতি সমর্থন করে। সবচেয়ে সুরক্ষিত হলো EAP-TLS — Extensible Authentication Protocol with Transport Layer Security। EAP-TLS মিউচুয়াল সার্টিফিকেট প্রমাণীকরণ ব্যবহার করে: ডিভাইসটি তার পরিচয় প্রমাণ করতে একটি সার্টিফিকেট উপস্থাপন করে এবং RADIUS সার্ভার তার পরিচয় প্রমাণ করতে একটি সার্টিফিকেট উপস্থাপন করে। কোনো পাসওয়ার্ড জড়িত নেই। ফিশিং করা যেতে পারে এমন কোনো ক্রেডেনশিয়াল নেই। আমরা এটাই লক্ষ্য করছি। চ্যালেঞ্জটি সবসময়ই স্কেলে ডিভাইসগুলোতে সেই সার্টিফিকেটগুলো পৌঁছে দেওয়া। এখানেই Microsoft Intune আসে। Intune দুটি সার্টিফিকেট ডিপ্লয়মেন্ট মেকানিজম সমর্থন করে: SCEP — Simple Certificate Enrollment Protocol — এবং PKCS, যার অর্থ Public Key Cryptography Standards। পার্থক্য বোঝাটা গুরুত্বপূর্ণ। SCEP-এর মাধ্যমে, প্রাইভেট কী ডিভাইসেই তৈরি হয়। ডিভাইসটি একটি Certificate Signing Request তৈরি করে, এটি NDES — Network Device Enrollment Service — নামক একটি মধ্যস্থতাকারী সার্ভারের মাধ্যমে আপনার Certificate Authority-তে পাঠায় এবং CA সার্টিফিকেটটি ফেরত ইস্যু করে। প্রাইভেট কী কখনোই ডিভাইস ছেড়ে যায় না। এটি আরও সুরক্ষিত পদ্ধতি এবং BYOD এনভায়রনমেন্ট এবং উচ্চ-নিরাপত্তা ডিপ্লয়মেন্টের জন্য প্রস্তাবিত। PKCS-এর মাধ্যমে, Certificate Authority কী পেয়ার তৈরি করে এবং Intune Certificate Connector প্রাইভেট কী এবং সার্টিফিকেট ডিভাইসে সরবরাহ করে। এটি সেট আপ করা সহজ — কোনো NDES সার্ভারের প্রয়োজন নেই — তবে প্রাইভেট কী কানেক্টরের মাধ্যমে ট্রানজিট করে, যা আপনার নিরাপত্তা কাঠামোর জন্য একটি বিবেচ্য বিষয়। বেশিরভাগ এন্টারপ্রাইজ ডিপ্লয়মেন্টের জন্য আমি BYOD এবং মিশ্র-ডিভাইস এনভায়রনমেন্টের জন্য SCEP এবং যেখানে আপনার কর্পোরেট-মালিকানাধীন Windows ডিভাইসের একটি সমজাতীয় ফ্লিট রয়েছে এবং ইনফ্রাস্ট্রাকচারের জটিলতা কমাতে চান সেখানে PKCS সুপারিশ করব। এখন, চলুন ডিপ্লয়মেন্ট সিকোয়েন্স নিয়ে কথা বলি — কারণ ক্রমটি গুরুত্বপূর্ণ এবং এটি ভুল করা ব্যর্থ রোলআউটের সবচেয়ে সাধারণ কারণ। ধাপ এক: আপনার Certificate Authority কনফিগার করুন। আপনার Active Directory Certificate Services ইনস্ট্যান্সে একটি সার্টিফিকেট টেমপ্লেট প্রয়োজন — অথবা আপনি যদি সম্পূর্ণ ক্লাউড-নেটিভ হন, তবে Microsoft-এর Intune Cloud PKI এখন সাধারণভাবে উপলব্ধ এবং অন-প্রিমিসেস CA প্রয়োজনীয়তা সম্পূর্ণরূপে দূর করে। টেমপ্লেটটিতে সঠিক কী ইউসেজ এক্সটেনশন প্রয়োজন: Client Authentication বাধ্যতামূলক। ন্যূনতম কী সাইজ 2048 বিট বা আপনার সংস্থার নিরাপত্তা নীতির প্রয়োজন হলে 4096 সেট করুন। ধাপ দুই: ট্রাস্টেড রুট সার্টিফিকেট ডিপ্লয় করুন। কোনো ডিভাইস RADIUS সার্ভারের সার্টিফিকেট যাচাই করার আগে, তাকে অবশ্যই সেই CA-কে বিশ্বাস করতে হবে যা এটি ইস্যু করেছে। আপনি Intune-এ একটি Trusted Certificate কনফিগারেশন প্রোফাইল তৈরি করুন, রুট CA সার্টিফিকেট আপলোড করুন এবং এটি আপনার ডিভাইস গ্রুপগুলোতে অ্যাসাইন করুন। কোনো WiFi প্রোফাইল বা ক্লায়েন্ট সার্টিফিকেট প্রোফাইলের আগে এটি অবশ্যই ডিভাইসগুলোতে ল্যান্ড করতে হবে। আপনি যদি সিকোয়েন্সিং ভুল করেন, তবে ডিভাইসগুলো RADIUS সার্ভারকে প্রত্যাখ্যান করবে এবং আপনি Windows ইভেন্ট লগে Event ID 20271 দেখে একটি বিকেল কাটিয়ে দেবেন। ধাপ তিন: ক্লায়েন্ট সার্টিফিকেট প্রোফাইল ডিপ্লয় করুন। এটি হয় আপনার SCEP প্রোফাইল — যা আপনার NDES সার্ভার URL-কে নির্দেশ করে — অথবা আপনার PKCS প্রোফাইল, যা আপনার Certificate Authority-কে নির্দেশ করে। Subject Alternative Name-এ ইউজার সার্টিফিকেটের জন্য User Principal Name বা ডিভাইস সার্টিফিকেটের জন্য AAD Device ID অন্তর্ভুক্ত করা উচিত। এই পার্থক্যটি গুরুত্বপূর্ণ: ইউজার সার্টিফিকেট লগ-ইন করা ব্যবহারকারীকে প্রমাণীকরণ করে, ডিভাইস সার্টিফিকেট মেশিনটিকে প্রমাণীকরণ করে, যার অর্থ ডিভাইসটি ব্যবহারকারী লগ ইন করার আগেই WiFi-এর সাথে কানেক্ট হতে পারে — যা ডোমেইন জয়েন পরিস্থিতি এবং কিয়স্ক ডিপ্লয়মেন্টের জন্য দরকারী। ধাপ চার: WiFi কনফিগারেশন প্রোফাইল তৈরি করুন। Intune-এ, এটি Devices, Configuration Profiles, Templates, Wi-Fi-এর অধীনে রয়েছে। WiFi টাইপ Enterprise-এ সেট করুন, আপনার SSID লিখুন, EAP টাইপ EAP-TLS-এ সেট করুন, সার্ভার ট্রাস্ট সেটিংস কনফিগার করুন — এখানেই আপনি RADIUS সার্ভার সার্টিফিকেটের নাম রেফারেন্স করবেন — এবং ক্লায়েন্ট প্রমাণীকরণের জন্য, ধাপ তিনে আপনার তৈরি করা সার্টিফিকেট প্রোফাইলটি রেফারেন্স করুন। ধাপ পাঁচ: সঠিক গ্রুপগুলোতে সবকিছু অ্যাসাইন করুন এবং যাচাই করুন। আপনার রুট সার্টিফিকেট, ক্লায়েন্ট সার্টিফিকেট এবং WiFi প্রোফাইলগুলো একই ডিভাইস বা ইউজার গ্রুপে অ্যাসাইন করুন। প্রোফাইল ডিপ্লয়মেন্ট স্ট্যাটাস নিরীক্ষণ করতে Intune-এর বিল্ট-ইন রিপোর্টিং ব্যবহার করুন। একটি সফল ডিপ্লয়মেন্ট ডিভাইসের কনফিগারেশন প্রোফাইল তালিকায় তিনটি প্রোফাইলকেই Succeeded হিসেবে দেখায়। Windows Server এনভায়রনমেন্টের জন্য NPS কনফিগারেশনের একটি গুরুত্বপূর্ণ পয়েন্ট: ২০২৪ সালের শুরু থেকে, Microsoft সার্টিফিকেট ম্যাপিং প্রয়োজনীয়তা কঠোর করেছে। আপনি যদি অন-প্রিমিসেস NPS-এর বিপরীতে প্রমাণীকরণ করা Azure AD-জয়েন করা ডিভাইসগুলোর সাথে ডিভাইস সার্টিফিকেট ব্যবহার করেন, তবে আপনাকে নিশ্চিত করতে হবে যে Active Directory-তে কম্পিউটার অবজেক্টের altSecurityIdentities অ্যাট্রিবিউটটি সার্টিফিকেটের থাম্বপ্রিন্টের সাথে পপুলেট করা আছে। এটি স্বয়ংক্রিয়ভাবে ঘটে না — এটি পরিচালনা করার জন্য আপনার একটি স্ক্রিপ্ট বা ওয়ার্কফ্লো প্রয়োজন, যা সাধারণত CA নতুন সার্টিফিকেট ইস্যু করার সময় ট্রিগার হয়। [ইমপ্লিমেন্টেশন রেকমেন্ডেশন এবং পিটফল — প্রায় ২ মিনিট] আমি আপনাকে তিনটি ফাঁদ সম্পর্কে বলি যা আমি এন্টারপ্রাইজ ডিপ্লয়মেন্টে সবচেয়ে বেশি দেখি। ফাঁদ এক: সার্টিফিকেট চেইন গ্যাপ। রুট CA থেকে শুরু করে RADIUS সার্ভারের সার্টিফিকেট পর্যন্ত চেইনের প্রতিটি সার্টিফিকেটকে ডিভাইসের বিশ্বাস করতে হবে। যদি আপনার RADIUS সার্ভার সার্টিফিকেট কোনো ইন্টারমিডিয়েট CA দ্বারা ইস্যু করা হয়, তবে আপনাকে রুট এবং ইন্টারমিডিয়েট উভয়ই ডিভাইসে ডিপ্লয় করতে হবে। আমি দেখেছি ডিপ্লয়মেন্ট কয়েক সপ্তাহ ধরে ব্যর্থ হয়েছে কারণ কেউ রুট ডিপ্লয় করেছে কিন্তু ইন্টারমিডিয়েট নয়। ফাঁদ দুই: প্রোফাইল অ্যাসাইনমেন্ট টাইমিং। Intune প্রোফাইলগুলো তাৎক্ষণিকভাবে ডিভাইসে ল্যান্ড করে না। একটি বড় এস্টেটে, অ্যাসাইনমেন্টের পরে প্রোফাইলগুলো প্রোপাগেট হতে ১৫ থেকে ৩০ মিনিট সময় লাগতে পারে। প্রোফাইল তৈরি করার পরপরই পরীক্ষা করবেন না। চেক-ইন বাধ্য করতে Intune পোর্টালে Sync বোতামটি ব্যবহার করুন, তারপর অপেক্ষা করুন। এছাড়াও, WiFi প্রোফাইল প্রয়োগ করার আগে ক্লায়েন্ট সার্টিফিকেট প্রোফাইলগুলো অবশ্যই ডিপ্লয় এবং নিশ্চিত করতে হবে — যদি WiFi প্রোফাইল এমন কোনো সার্টিফিকেট রেফারেন্স করে যার অস্তিত্ব এখনও নেই, তবে প্রোফাইলটি কিছু প্ল্যাটফর্মে নীরবে ব্যর্থ হবে। ফাঁদ তিন: BYOD সার্টিফিকেট রিভোকেশন। যখন কোনো ডিভাইস Intune থেকে আনএনরোল করা হয় — কারণ কোনো কর্মচারী চলে যায়, বা কোনো ডিভাইস হারিয়ে যায় — তখন সার্টিফিকেট বাতিল করার জন্য আপনার একটি প্রক্রিয়া প্রয়োজন। আপনি যদি ADCS-এর সাথে SCEP ব্যবহার করেন, তবে Certificate Revocation List ডিস্ট্রিবিউশন পয়েন্ট সঠিকভাবে কনফিগার করুন এবং নিশ্চিত করুন যে আপনার RADIUS সার্ভার প্রতিটি প্রমাণীকরণে CRL বা OCSP চেক করছে। এটি PCI DSS-এর মতো ফ্রেমওয়ার্কের অধীনে একটি কমপ্লায়েন্স প্রয়োজনীয়তা, যা বাধ্যতামূলক করে যে অ্যাক্সেস কন্ট্রোল মেকানিজমগুলো আর প্রয়োজন না হলে অবিলম্বে বাতিল করতে হবে। কমপ্লায়েন্সের বিষয়ে: আপনি যদি PCI DSS স্কোপে কাজ করেন — উদাহরণস্বরূপ, রিটেইল পেমেন্ট এনভায়রনমেন্ট — তবে ওয়্যারলেস নেটওয়ার্ক অ্যাক্সেসের জন্য সার্টিফিকেট-ভিত্তিক 802.1X প্রমাণীকরণ হলো আপনার সবচেয়ে শক্তিশালী কন্ট্রোল। এটি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের চারপাশে PCI DSS Requirement 1.3 এবং প্রমাণীকরণ ফ্যাক্টরগুলোর চারপাশে Requirement 8.6 পূরণ করে। আপনার কমপ্লায়েন্স প্রমাণের অংশ হিসেবে আপনার সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট প্রক্রিয়াটি ডকুমেন্ট করুন। GDPR-নিয়ন্ত্রিত এনভায়রনমেন্টের জন্য, বিশেষ করে হসপিটালিটি এবং পাবলিক-সেক্টরে, আপনার কর্পোরেট 802.1X নেটওয়ার্ক এবং আপনার গেস্ট WiFi নেটওয়ার্কের মধ্যে পৃথকীকরণ অত্যন্ত গুরুত্বপূর্ণ। আপনার কর্পোরেট Intune-পরিচালিত নেটওয়ার্কটি যেকোনো গেস্ট বা ভিজিটর নেটওয়ার্ক থেকে সম্পূর্ণ আলাদা VLAN এবং SSID-তে হওয়া উচিত। Purple-এর গেস্ট WiFi প্ল্যাটফর্ম ভিজিটর-ফেসিং দিকটি পরিচালনা করে — Captive Portal, সম্মতি ক্যাপচার, অ্যানালিটিক্স — যখন আপনার Intune-পরিচালিত কর্পোরেট নেটওয়ার্ক স্টাফ এবং অপারেশনাল ডিভাইসগুলো পরিচালনা করে। এই দুটি নেটওয়ার্কের কখনোই প্রমাণীকরণ ইনফ্রাস্ট্রাকচার শেয়ার করা উচিত নয়। [র‍্যাপিড-ফায়ার প্রশ্নোত্তর — প্রায় ১ মিনিট] আমি নিয়মিত আসা কয়েকটি প্রশ্নের উত্তর দিচ্ছি। আমি কি অন-প্রিমিসেস ADCS-এর পরিবর্তে Intune Cloud PKI ব্যবহার করতে পারি? হ্যাঁ। ২০২৪ সালে রিলিজ হওয়া Microsoft-এর Intune Cloud PKI, Azure-এ একটি সম্পূর্ণ পরিচালিত CA প্রদান করে। এটি SCEP-এর জন্য NDES সার্ভারের প্রয়োজনীয়তা দূর করে এবং কানেক্টর সেটআপকে উল্লেখযোগ্যভাবে সহজ করে। গ্রিনফিল্ড ডিপ্লয়মেন্ট বা বিদ্যমান ADCS ইনফ্রাস্ট্রাকচার নেই এমন সংস্থাগুলোর জন্য, এটি প্রস্তাবিত পথ। এটি কি macOS এবং iOS ডিভাইসের জন্য কাজ করে? হ্যাঁ। Intune Windows, iOS, iPadOS, Android এবং macOS-এর জন্য সার্টিফিকেট প্রোফাইল সমর্থন করে। প্রোফাইলের ধরন এবং কনফিগারেশন বিকল্পগুলো প্ল্যাটফর্ম অনুযায়ী সামান্য পরিবর্তিত হয়, তবে মূল আর্কিটেকচার — ট্রাস্টেড রুট, ক্লায়েন্ট সার্টিফিকেট, WiFi প্রোফাইল — সামঞ্জস্যপূর্ণ। একটি BYOD প্রোগ্রামে ব্যক্তিগত ডিভাইসগুলোর কী হবে? SCEP এখানে আপনার বন্ধু। Intune-এর ডিভাইস কমপ্লায়েন্স পলিসির সাহায্যে, আপনি সার্টিফিকেট ইস্যু করার আগে ডিভাইসের ন্যূনতম নিরাপত্তা মান পূরণ করার শর্ত দিতে পারেন। যদি ডিভাইসটি কমপ্লায়েন্সের বাইরে চলে যায় — কোনো স্ক্রিন লক নেই, পুরানো OS — তবে সার্টিফিকেট বাতিল করা যেতে পারে এবং নেটওয়ার্ক অ্যাক্সেস স্বয়ংক্রিয়ভাবে সরিয়ে নেওয়া যেতে পারে। Purple কি এই আর্কিটেকচারের সাথে একীভূত হতে পারে? অবশ্যই। Purple-এর প্ল্যাটফর্ম গেস্ট নেটওয়ার্কের দিকে বসে, Captive Portal প্রমাণীকরণ, সম্মতি ব্যবস্থাপনা এবং অ্যানালিটিক্স পরিচালনা করে। কর্পোরেট 802.1X নেটওয়ার্ক এবং Purple-এর গেস্ট WiFi সমান্তরালভাবে কাজ করে — একই ফিজিক্যাল ইনফ্রাস্ট্রাকচার, ভিন্ন SSID এবং VLAN — যা আপনাকে স্টাফ কানেক্টিভিটি এবং ভিজিটর এনগেজমেন্টের মধ্যে সম্পূর্ণ পৃথকীকরণ দেয়। [সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ — প্রায় ১ মিনিট] শেষ করার জন্য: Intune-এর মাধ্যমে WiFi সার্টিফিকেট ডিপ্লয় করা একটি পাঁচ-ধাপের প্রক্রিয়া — CA কনফিগারেশন, ট্রাস্টেড রুট ডিপ্লয়মেন্ট, ক্লায়েন্ট সার্টিফিকেট প্রোফাইল, WiFi প্রোফাইল এবং গ্রুপ অ্যাসাইনমেন্ট। BYOD এবং উচ্চ-নিরাপত্তা এনভায়রনমেন্টের জন্য SCEP বেছে নিন; সহজ কর্পোরেট-মালিকানাধীন ফ্লিটের জন্য PKCS। সিকোয়েন্সিং ঠিক করুন, NPS সার্টিফিকেট ম্যাপিং প্রয়োজনীয়তা পরিচালনা করুন এবং প্রথম দিন থেকেই একটি সার্টিফিকেট রিভোকেশন ওয়ার্কফ্লো তৈরি করুন। বিজনেস কেসটি সোজা: আপনি শেয়ার করা WiFi পাসওয়ার্ডগুলো দূর করেন, আপনি প্রতি-ডিভাইস এবং প্রতি-ইউজার প্রমাণীকরণ লগ পান, আপনি PCI DSS এবং ISO 27001 ওয়্যারলেস নিরাপত্তা প্রয়োজনীয়তা পূরণ করেন এবং আপনি একটি বড় এস্টেট জুড়ে WiFi ক্রেডেনশিয়াল পরিচালনার আইটি ওভারহেড কমান। আপনি যদি একটি ডিপ্লয়মেন্টের পরিকল্পনা করেন এবং বুঝতে চান যে Purple-এর গেস্ট WiFi এবং অ্যানালিটিক্স প্ল্যাটফর্ম কীভাবে আপনার কর্পোরেট নেটওয়ার্ক আর্কিটেকচারের পাশাপাশি ফিট করে, তবে purple.ai-তে যান। আমাদের কাছে Azure Entra ID ইন্টিগ্রেশন, 802.1X আর্কিটেকচার এবং হসপিটালিটি, রিটেইল এবং পাবলিক-সেক্টর এনভায়রনমেন্টের জন্য গেস্ট নেটওয়ার্ক ডিজাইনের উপর বিস্তারিত গাইড রয়েছে। শোনার জন্য ধন্যবাদ। পরের বার পর্যন্ত বিদায়।