SCEP এবং PKCS-এর মাধ্যমে Microsoft Intune WiFi সার্টিফিকেট ডেপ্লয়মেন্ট
এই গাইডটি SCEP এবং PKCS ব্যবহার করে Microsoft Intune-এর মাধ্যমে WiFi অথেন্টিকেশন সার্টিফিকেট ডেপ্লয় করার জন্য একটি ধাপে ধাপে টেকনিক্যাল রেফারেন্স প্রদান করে। এটি এন্টারপ্রাইজ পরিবেশ জুড়ে নিরবচ্ছিন্ন, নিরাপদ কানেক্টিভিটি নিশ্চিত করতে পাসওয়ার্ডহীন 802.1X WiFi বাস্তবায়নকারী IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য ডিজাইন করা হয়েছে।
আমাদের মূল সিরিজের অংশ: Enterprise WiFi Security Guide →
Microsoft Intune WiFi certificate profile and architecture advisor
Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.
Certificate Enrollment Specifications
- Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
- Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
- Key Length: RSA 2048-bit (SHA-256 Signature Hash)
- Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
- Subject Name Format:
CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal - Subject Alternative Name (SAN):
User Principal Name (UPN) = {{UserPrincipalName}} - Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)
AAA & RADIUS Integration Details
- RADIUS Engine: Purple Cloud RADIUS (Recommended)
- Architecture Mode: 100% Cloud Native AAA
- RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
- Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
- CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
- Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.
Remove on-premises NPS and NDES with Purple Cloud RADIUS
Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.
সারসংক্ষেপ
এন্টারপ্রাইজ ভেন্যুগুলোর জন্য—তা কোনো ব্যস্ত হসপিটালিটি পরিবেশ, একাধিক সাইট বিশিষ্ট রিটেইল অপারেশন, বা কোনো আধুনিক কর্পোরেট ক্যাম্পাসই হোক না কেন—কর্মীদের WiFi-এর জন্য প্রি-শেয়ার্ড কি (pre-shared keys) বা সাধারণ ক্যাপটিভ পোর্টাল-এর ওপর নির্ভর করা একটি নিরাপত্তা ঝুঁকি এবং অপারেশনাল বাধা। আধুনিক নেটওয়ার্ক আর্কিটেকচারে EAP-TLS ব্যবহার করে 802.1X অথেন্টিকেশন প্রয়োজন, যা নেটওয়ার্কে অ্যাক্সেস করার আগে প্রতিটি ডিভাইস ক্রিপ্টোগ্রাফিকভাবে যাচাই করা নিশ্চিত করে।
তবে, চ্যালেঞ্জটি হলো ডিস্ট্রিবিউশনে: আপনার হেল্পডেস্ককে সাপোর্ট টিকিটের নিচে চাপা না দিয়ে কীভাবে আপনি হাজার হাজার Windows, iOS এবং Android ডিভাইসে ইউনিক ক্লায়েন্ট সার্টিফিকেট ডেপ্লয় করবেন? Microsoft Intune স্বয়ংক্রিয় সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্টের মাধ্যমে এই সমস্যার সমাধান করে। SCEP (Simple Certificate Enrolment Protocol) বা PKCS (Public Key Cryptography Standards) সার্টিফিকেট প্রোফাইল ব্যবহার করে, IT টিমগুলো ম্যানেজড এন্ডপয়েন্টগুলোতে ট্রাস্টেড রুট এবং ক্লায়েন্ট সার্টিফিকেটগুলো ব্যাকগ্রাউন্ডে পুশ করতে পারে।
এই গাইডটি Intune WiFi সার্টিফিকেট ডেপ্লয়মেন্টের জন্য একটি সুনির্দিষ্ট আর্কিটেকচারাল ব্লুপ্রিন্ট এবং ধাপে ধাপে বাস্তবায়ন কৌশল প্রদান করে। আমরা SCEP এবং PKCS-এর মধ্যে গুরুত্বপূর্ণ পার্থক্যগুলো অন্বেষণ করব, সফলতার জন্য প্রয়োজনীয় সঠিক ডেপ্লয়মেন্ট সিকোয়েন্স বিস্তারিতভাবে আলোচনা করব এবং আপনার Guest WiFi ও কর্পোরেট নেটওয়ার্কগুলো যাতে নিরাপদ ও পারফরম্যান্ট থাকে তা নিশ্চিত করতে বাস্তবসম্মত ঝুঁকি প্রশমন কৌশলগুলোর রূপরেখা দেব।
সহযোগী পডকাস্ট ব্রিফিংটি শুনুন:
টেকনিক্যাল ডিপ-ডাইভ: SCEP বনাম PKCS
আপনার Intune WiFi সার্টিফিকেট ডেপ্লয়মেন্ট কৌশল ডিজাইন করার সময়, প্রথম আর্কিটেকচারাল সিদ্ধান্ত হলো সার্টিফিকেট ডেলিভারি মেকানিজম নির্বাচন করা। Intune উভয় SCEP এবং PKCS সমর্থন করে, তবে এগুলো মৌলিকভাবে ভিন্নভাবে কাজ করে।
SCEP (Simple Certificate Enrolment Protocol)
SCEP হলো এন্টারপ্রাইজ ডিভাইস এনরোলমেন্টের জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড। একটি SCEP ওয়ার্কফ্লোতে, Intune সার্ভিস এন্ডপয়েন্টকে নিজস্ব প্রাইভেট/পাবলিক কি (key) পেয়ার তৈরি করার নির্দেশ দেয়। ডিভাইসটি তখন একটি Certificate Signing Request (CSR) তৈরি করে এবং একটি Network Device Enrolment Service (NDES) সার্ভারের মাধ্যমে আপনার Certificate Authority (CA)-এর কাছে পাঠায়। CA অনুরোধটিতে স্বাক্ষর করে এবং পাবলিক সার্টিফিকেটটি ডিভাইসে ফেরত পাঠায়।
SCEP-এর গুরুত্বপূর্ণ নিরাপত্তা সুবিধা হলো প্রাইভেট কি কখনই ডিভাইস থেকে বাইরে যায় না। এটি স্থানীয়ভাবে তৈরি হয়, ডিভাইসের সিকিউর এনক্লেভে (যেমন Windows-এ TPM বা iOS-এ Secure Enclave) সংরক্ষিত হয় এবং কখনই নেটওয়ার্কের মাধ্যমে স্থানান্তরিত হয় না। এটি SCEP-কে 802.1X অথেন্টিকেশনের জন্য অত্যন্ত সুপারিশকৃত পদ্ধতি করে তোলে।
PKCS (Public Key Cryptography Standards)
অন্যদিকে, PKCS-এর ক্ষেত্রে, Certificate Authority কেন্দ্রীয়ভাবে পাবলিক এবং প্রাইভেট উভয় কি তৈরি করে। এরপর Microsoft Intune Certificate Connector এই কি পেয়ারটি নিরাপদে এক্সপোর্ট করে এবং টার্গেট ডিভাইসে পুশ করে।
যদিও PKCS একটি NDES সার্ভার ডেপ্লয় এবং রক্ষণাবেক্ষণ করার প্রয়োজনীয়তা দূর করে—যা ইনফ্রাস্ট্রাকচার ফুটপ্রিন্টকে সহজ করে—এটি একটি তাত্ত্বিক নিরাপত্তা ঝুঁকি তৈরি করে কারণ প্রাইভেট কি নেটওয়ার্কের মাধ্যমে স্থানান্তরিত হয়। PKCS সাধারণত নেটওয়ার্ক অথেন্টিকেশনের চেয়ে এমন ব্যবহারের ক্ষেত্রে বেশি উপযোগী যেখানে কি এসক্রো (key escrow) প্রয়োজন, যেমন S/MIME ইমেল এনক্রিপশন।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
ইমপ্লিমেন্টেশন গাইড: ডেপ্লয়মেন্ট সিকোয়েন্স
802.1X-এর জন্য একটি Intune WiFi প্রোফাইল সফলভাবে কনফিগার করার জন্য একটি নির্দিষ্ট ডেপ্লয়মেন্ট সিকোয়েন্স কঠোরভাবে অনুসরণ করা প্রয়োজন। Intune প্রোফাইলের ডিপেন্ডেন্সিগুলো নির্দেশ করে যে অথেন্টিকেশন কনফিগার করার আগে অবশ্যই ট্রাস্ট (trust) স্থাপন করতে হবে।
ধাপ ১: ট্রাস্টেড রুট সার্টিফিকেট প্রোফাইল ডেপ্লয় করুন
যেকোনো ডিভাইস একটি ক্লায়েন্ট সার্টিফিকেটের জন্য অনুরোধ করার আগে বা আপনার RADIUS সার্ভারকে বিশ্বাস করার আগে, এটিকে অবশ্যই ইস্যুকারী Certificate Authority-কে বিশ্বাস করতে হবে।
- আপনার Root CA সার্টিফিকেট (এবং যেকোনো Intermediate CA সার্টিফিকেট)
.cerফাইল হিসেবে এক্সপোর্ট করুন। - Microsoft Endpoint Manager অ্যাডমিন সেন্টারে, Devices > Configuration profiles > Create profile-এ যান।
- টার্গেট প্ল্যাটফর্ম (যেমন, Windows 10 এবং পরবর্তী সংস্করণ) নির্বাচন করুন এবং Trusted certificate প্রোফাইল টাইপটি বেছে নিন।
.cerফাইলটি আপলোড করুন এবং এই প্রোফাইলটি আপনার টার্গেট ডিভাইস গ্রুপগুলোতে ডেপ্লয় করুন।
থাম্ব রুল: ডেপ্লয়মেন্টের অমিল রোধ করতে সর্বদা সমস্ত সম্পর্কিত প্রোফাইল জুড়ে একই গ্রুপকে (ব্যবহারকারী বা ডিভাইস) টার্গেট করুন।
ধাপ ২: SCEP সার্টিফিকেট প্রোফাইল কনফিগার করুন
ট্রাস্ট স্থাপিত হয়ে গেলে, ডিভাইসগুলোকে কীভাবে তাদের ক্লায়েন্ট সার্টিফিকেট পেতে হবে তা নির্দেশ করতে SCEP প্রোফাইল কনফিগার করুন।
- একটি নতুন কনফিগারেশন প্রোফাইল তৈরি করুন এবং SCEP certificate নির্বাচন করুন।
- Subject name format কনফিগার করুন। ব্যবহারকারী-চালিত অথেন্টিকেশনের জন্য,
CN={{UserPrincipalName}}হলো স্ট্যান্ডার্ড। ডিভাইস অথেন্টিকেশনের জন্য,CN={{AAD_Device_ID}}ব্যবহার করুন। - Key usage-কে
Digital signatureএবংKey enciphermentহিসেবে সেট করুন। - Extended key usage-এর অধীনে,
Client Authentication(OID: 1.3.6.1.5.5.7.3.2) নির্দিষ্ট করুন। - এই প্রোফাইলটিকে ধাপ ১-এ তৈরি করা ট্রাস্টেড রুট সার্টিফিকেট প্রোফাইলের সাথে লিঙ্ক করুন।
- আপনার NDES সার্ভারের এক্সটার্নাল URL প্রদান করুন।
ধাপ ৩: 802.1X WiFi প্রোফাইল ডেপ্লয় করুন
শেষ ধাপটি হলো WiFi কনফিগারেশন পুশ করা যা সার্টিফিকেটগুলোকে নেটওয়ার্ক SSID-এর সাথে যুক্ত করে।
- একটি Wi-Fi কনফিগারেশন প্রোফাইল তৈরি করুন।
- আপনার ওয়্যারলেস অ্যাক্সেস পয়েন্ট দ্বারা যেভাবে ব্রডকাস্ট করা হচ্ছে ঠিক সেভাবে Network name (SSID) লিখুন।
- সিকিউরিটি টাইপ হিসেবে WPA2-Enterprise বা WPA3-Enterprise নির্বাচন করুন।
- EAP type-কে EAP-TLS হিসেবে সেট করুন।
- অথেন্টিকেশন সেটিংসে, ক্লায়েন্ট অথেন্টিকেশন সার্টিফিকেট হিসেবে ধাপ ২-এ তৈরি করা SCEP সার্টিফিকেট প্রোফাইলটি নির্বাচন করুন।
- ডিভাইসটি যাতে কেবল আপনার বৈধ RADIUS সার্ভারের সাথেই সংযুক্ত হয় তা নিশ্চিত করতে সার্ভার ভ্যালিডেশনের জন্য ট্রাস্টেড রুট সার্টিফিকেট নির্দিষ্ট করুন।
সেরা অনুশীলন এবং ইন্ডাস্ট্রি স্ট্যান্ডার্ড
Intune WiFi সার্টিফিকেট ডেপ্লয়মেন্ট বাস্তবায়ন করার সময়, কমপ্লায়েন্স এবং নির্ভরযোগ্যতা নিশ্চিত করতে নিম্নলিখিত ভেন্ডর-নিরপেক্ষ সেরা অনুশীলনগুলো মেনে চলুন।
NDES সার্ভার প্লেসমেন্ট এবং সিকিউরিটি
অন-সাইটে পৌঁছানোর আগে রিমোট ডিভাইসগুলোকে সার্টিফিকেট প্রোভিশন করার অনুমতি দিতে NDES সার্ভারটি ইন্টারনেট থেকে অ্যাক্সেসযোগ্য হতে হবে। তবে, একটি ইন্টারনাল সার্ভার সরাসরি ইন্টারনেটে এক্সপোজ করা একটি বড় নিরাপত্তা ঝুঁকি।
সুপারিশ: Azure AD Application Proxy ব্যবহার করে NDES URL প্রকাশ করুন। এটি ইনবাউন্ড ফায়ারওয়াল পোর্ট না খুলেই নিরাপদ রিমোট অ্যাক্সেস প্রদান করে এবং আপনাকে এনরোলমেন্ট ফ্লোতে Conditional Access পলিসি প্রয়োগ করার অনুমতি দেয়।
RADIUS এবং CRL চেকিং
সার্টিফিকেট ডেপ্লয়মেন্ট হলো নিরাপত্তার সমীকরণের অর্ধেক মাত্র; রিভোকেশন (বাতিলকরণ) সমানভাবে গুরুত্বপূর্ণ। কোনো কর্মচারীকে বরখাস্ত করা হলে, তাদের Active Directory অ্যাকাউন্ট নিষ্ক্রিয় করলেও তাদের WiFi অ্যাক্সেস অবিলম্বে বাতিল নাও হতে পারে যদি তাদের ক্লায়েন্ট সার্টিফিকেট বৈধ থাকে এবং RADIUS সার্ভার কঠোরভাবে Certificate Revocation List (CRL) পরীক্ষা না করে।
সুপারিশ: কঠোর CRL চেকিং প্রয়োগ করতে আপনার Network Policy Server (NPS) বা RADIUS সার্ভার কনফিগার করুন। আপনার CRL Distribution Points (CDPs) যাতে অত্যন্ত এভেইলেবল থাকে তা নিশ্চিত করুন; যদি RADIUS সার্ভার CRL-এ পৌঁছাতে না পারে, তবে অথেন্টিকেশন ব্যর্থ হবে, যার ফলে ব্যাপক বিভ্রাট ঘটবে।
নিরাপদ নেটওয়ার্ক ডিজাইন সম্পর্কে আরও জানতে, আধুনিক ব্যবসার জন্য কোর SD WAN-এর সুবিধাগুলো পর্যালোচনা করার কথা বিবেচনা করুন।
ট্রাবলশুটিং এবং ঝুঁকি প্রশমন
সূক্ষ্ম পরিকল্পনা থাকা সত্ত্বেও, সার্টিফিকেট ডেপ্লয়মেন্টে সমস্যার সম্মুখীন হতে পারে। এখানে সাধারণ ব্যর্থতার ধরন এবং প্রশমন কৌশলগুলো দেওয়া হলো।
সমস্যা: WiFi প্রোফাইল প্রয়োগ করতে ব্যর্থ হচ্ছে
লক্ষণ: ডিভাইসটি ট্রাস্টেড রুট এবং SCEP সার্টিফিকেট গ্রহণ করে, কিন্তু Intune-এ WiFi প্রোফাইলটি 'Error' বা 'Not Applicable' হিসেবে দেখায়।
মূল কারণ: এটি প্রায় সবসময়ই গ্রুপ টার্গেটিংয়ের অমিলের কারণে ঘটে। যদি SCEP প্রোফাইলটি একটি User Group-এ অ্যাসাইন করা হয়, কিন্তু WiFi প্রোফাইলটি একটি Device Group-এ অ্যাসাইন করা হয়, Intune ডিপেন্ডেন্সি সমাধান করতে পারে না।
প্রশমন: আপনার অ্যাসাইনমেন্টগুলো অডিট করুন। নিশ্চিত করুন যে ট্রাস্টেড রুট, SCEP এবং WiFi প্রোফাইলগুলো সবই হুবহু একই Azure AD গ্রুপে ডেপ্লয় করা হয়েছে।
সমস্যা: NDES 403 Forbidden ত্রুটি
লক্ষণ: ডিভাইসগুলো SCEP সার্টিফিকেট পুনরুদ্ধার করতে ব্যর্থ হয় এবং NDES IIS লগগুলোতে HTTP 403 ত্রুটি দেখায়।
মূল কারণ: Intune Certificate Connector সার্ভিস অ্যাকাউন্টের সার্টিফিকেট টেমপ্লেটে প্রয়োজনীয় পারমিশন নেই, অথবা আপনার ফায়ারওয়ালের URL ফিল্টারিং SCEP দ্বারা ব্যবহৃত নির্দিষ্ট কোয়েরি স্ট্রিং প্যারামিটারগুলোকে ব্লক করছে।
প্রশমন: কানেক্টর অ্যাকাউন্টের CA টেমপ্লেটে 'Read' and 'Enrol' পারমিশন আছে কিনা তা যাচাই করুন। ?operation=GetCACaps ধারণকারী URLগুলো ব্লক করা হচ্ছে না তা নিশ্চিত করতে ফায়ারওয়াল লগগুলো পরীক্ষা করুন।
ROI এবং ব্যবসায়িক প্রভাব
Microsoft Intune 802.1X সার্টিফিকেট ডেপ্লয়মেন্টে রূপান্তর নিরাপত্তা এবং অপারেশন জুড়ে পরিমাপযোগ্য রিটার্ন প্রদান করে।
- হেল্পডেস্ক টিকিট হ্রাস: পাসওয়ার্ড-ভিত্তিক WiFi প্রচুর পরিমাণে সাপোর্ট টিকিট তৈরি করে (পাসওয়ার্ডের মেয়াদ শেষ হওয়া, লকআউট, টাইপো)। সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন ব্যবহারকারীর কাছে অদৃশ্য থাকে, যা সাধারণত WiFi-সংক্রান্ত হেল্পডেস্কের কাজের চাপ ৭০-৮০% কমিয়ে দেয়।
- উন্নত নিরাপত্তা ব্যবস্থা: EAP-TLS ক্রেডেনশিয়াল হার্ভেস্টিং এবং Man-in-the-Middle (MitM) আক্রমণের ঝুঁকি দূর করে। এটি PCI DSS এবং GDPR-এর মতো ফ্রেমওয়ার্কগুলোর কমপ্লায়েন্সের জন্য অত্যন্ত গুরুত্বপূর্ণ, বিশেষ করে হেলথকেয়ার এবং রিটেইল পরিবেশে।
- নিরবচ্ছিন্ন অনবোর্ডিং: যেসব প্রতিষ্ঠান Windows-এর পাশাপাশি Apple ডিভাইসের বিশাল বহর পরিচালনা করে, তাদের জন্য বিদ্যমান MDM ওয়ার্কফ্লোর সাথে Intune ইন্টিগ্রেট করা (আমাদের Jamf এবং RADIUS: Apple ডিভাইস বহরের জন্য সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশন গাইডটি দেখুন) প্রথম দিন থেকেই একটি ইউনিফাইড, জিরো-টাচ প্রোভিশনিং অভিজ্ঞতা নিশ্চিত করে।
মূল সংজ্ঞাসমূহ
SCEP (Simple Certificate Enrolment Protocol)
একটি প্রোটোকল যা ডিভাইসগুলোকে একটি Certificate Authority থেকে ডিজিটাল সার্টিফিকেটের জন্য অনুরোধ করার অনুমতি দেয়, যেখানে প্রাইভেট কি ডিভাইসেই তৈরি এবং নিরাপদে সংরক্ষিত হয়।
উচ্চ নিরাপত্তা এবং স্কেলেবিলিটির কারণে WiFi অথেন্টিকেশন সার্টিফিকেট ডেপ্লয় করার জন্য প্রস্তাবিত পদ্ধতি।
PKCS (Public Key Cryptography Standards)
একগুচ্ছ স্ট্যান্ডার্ড যেখানে পাবলিক এবং প্রাইভেট উভয় কি (key) Certificate Authority দ্বারা তৈরি করা হয় এবং তারপরে নিরাপদে এন্ডপয়েন্টে পৌঁছে দেওয়া হয়।
প্রায়শই S/MIME ইমেল এনক্রিপশনের জন্য ব্যবহৃত হয়, তবে প্রাইভেট কি নেটওয়ার্কের মাধ্যমে স্থানান্তরিত হওয়ার কারণে WiFi-এর জন্য কম আদর্শ।
NDES (Network Device Enrolment Service)
একটি Microsoft Windows Server রোল যা একটি সেতু হিসেবে কাজ করে, যা ডোমেন ক্রেডেনশিয়াল ছাড়া ডিভাইসগুলোকে SCEP-এর মাধ্যমে সার্টিফিকেট পেতে অনুমতি দেয়।
Microsoft Intune-এর সাথে SCEP সার্টিফিকেট ডেপ্লয়মেন্ট বাস্তবায়ন করার সময় একটি প্রয়োজনীয় ইনফ্রাস্ট্রাকচার উপাদান।
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
সবচেয়ে নিরাপদ 802.1X অথেন্টিকেশন পদ্ধতি, যেখানে সার্ভার এবং ক্লায়েন্ট উভয়কেই বৈধ ডিজিটাল সার্টিফিকেট প্রদর্শন করতে হয়।
টার্গেট অথেন্টিকেশন প্রোটোকল যা সক্ষম করার জন্য Intune WiFi এবং সার্টিফিকেট প্রোফাইলগুলো ডিজাইন করা হয়েছে।
CRL (Certificate Revocation List)
Certificate Authority দ্বারা প্রকাশিত একটি তালিকা যাতে এমন সার্টিফিকেটগুলোর সিরিয়াল নম্বর থাকে যা তাদের মেয়াদের শেষ তারিখের আগেই বাতিল করা হয়েছে।
নিরাপত্তার জন্য অত্যন্ত গুরুত্বপূর্ণ; RADIUS সার্ভারগুলোকে অবশ্যই CRL পরীক্ষা করতে হবে যাতে চাকরিচ্যুত কর্মচারীরা অন্যথায় বৈধ সার্টিফিকেট ব্যবহার করে WiFi অ্যাক্সেস করতে না পারে।
Intune Certificate Connector
একটি অন-প্রিমিসেস Windows Server-এ ইনস্টল করা একটি সফটওয়্যার এজেন্ট যা Microsoft Intune এবং ইন্টারনাল Certificate Authority-এর মধ্যে অনুরোধগুলোর মধ্যস্থতা করে।
SCEP (অনুরোধ যাচাই করতে) এবং PKCS (কি এক্সপোর্ট করতে) উভয় ডেপ্লয়মেন্টের জন্যই প্রয়োজনীয়।
Subject Alternative Name (SAN)
একটি ডিজিটাল সার্টিফিকেটের এক্সটেনশন যা সার্টিফিকেটের সাথে একাধিক মান (যেমন UPN, ইমেল বা MAC অ্যাড্রেস) যুক্ত করার অনুমতি দেয়।
RADIUS সার্ভার যাতে ব্যবহারকারী বা ডিভাইসটিকে সঠিকভাবে সনাক্ত করতে পারে তা নিশ্চিত করতে Intune SCEP প্রোফাইলে কনফিগার করা হয়।
Azure AD Application Proxy
একটি ফিচার যা VPN-এর প্রয়োজন ছাড়াই বা ইনবাউন্ড ফায়ারওয়াল পোর্ট না খুলেই অন-প্রিমিসেস ওয়েব অ্যাপ্লিকেশনগুলোতে নিরাপদ রিমোট অ্যাক্সেস প্রদান করে।
রিমোট ডিভাইস এনরোলমেন্টের জন্য ইন্টারনাল NDES সার্ভার URL নিরাপদে ইন্টারনেটে প্রকাশ করার সেরা অনুশীলন পদ্ধতি।
সমাধানকৃত উদাহরণসমূহ
৫০০টি লোকেশন বিশিষ্ট একটি জাতীয় রিটেইল চেইন তাদের স্টোর অ্যাসোসিয়েট ট্যাবলেটের (Android Enterprise ডেডিকেটেড ডিভাইস) জন্য WPA2-Personal (Pre-Shared Key) থেকে WPA3-Enterprise-এ মাইগ্রেট করছে। তারা MDM-এর জন্য Intune ব্যবহার করে। তাদের কীভাবে সার্টিফিকেট ডেপ্লয়মেন্ট আর্কিটেক্ট করা উচিত?
১. Azure AD App Proxy-এর মাধ্যমে প্রকাশিত একটি NDES সার্ভার ডেপ্লয় করুন।
২. Intune-এ একটি ডিভাইস-ভিত্তিক SCEP সার্টিফিকেট প্রোফাইল তৈরি করুন, কারণ এগুলো ডেডিকেটেড (কিয়স্ক) ডিভাইস যা কোনো নির্দিষ্ট ব্যবহারকারীর সাথে যুক্ত নয়। সাবজেক্ট নেমের জন্য CN={{AAD_Device_ID}} ব্যবহার করুন।
৩. 'All Store Tablets' Azure AD ডিভাইস গ্রুপে Root CA প্রোফাইলটি ডেপ্লয় করুন।
৪. একই 'All Store Tablets' গ্রুপে SCEP প্রোফাইলটি ডেপ্লয় করুন।
৫. SCEP প্রোফাইলটিকে রেফারেন্স করে WPA3-Enterprise, EAP-TLS-এর জন্য কনফিগার করা একটি WiFi প্রোফাইল তৈরি করুন এবং এটি একই গ্রুপে ডেপ্লয় করুন।
৬. Active Directory কম্পিউটার অবজেক্টের বিপরীতে ডিভাইস সার্টিফিকেটগুলো অথেন্টিকেট করতে সেন্ট্রাল RADIUS সার্ভারগুলো কনফিগার করুন।
একটি বড় কনফারেন্স সেন্টার তাদের WiFi Analytics এবং Guest WiFi-এর জন্য Purple ব্যবহার করে, কিন্তু তাদের অভ্যন্তরীণ স্টাফ নেটওয়ার্ক সুরক্ষিত করা প্রয়োজন। কর্মীরা কর্পোরেট মালিকানাধীন Windows ল্যাপটপ এবং BYOD iOS ডিভাইসের মিশ্রণ ব্যবহার করেন। তারা BYOD ডিভাইসগুলোর জন্য Intune ডেপ্লয়মেন্ট কীভাবে পরিচালনা করবেন?
১. BYOD ব্যবহারকারীদের Intune User Enrolment-এর মাধ্যমে তাদের iOS ডিভাইসগুলো এনরোল করতে বলুন (একটি নিরাপদ ওয়ার্ক পার্টিশন তৈরি করে)।
২. CN={{UserPrincipalName}} ব্যবহার করে একটি ব্যবহারকারী-ভিত্তিক SCEP সার্টিফিকেট প্রোফাইল তৈরি করুন।
৩. একটি Azure AD ইউজার গ্রুপে (যেমন, 'All Staff') Root CA, SCEP এবং WiFi প্রোফাইলগুলো ডেপ্লয় করুন।
৪. ব্যবহারকারী যখন তাদের ব্যক্তিগত ডিভাইস এনরোল করেন, তখন Intune প্রোফাইলগুলোকে বিশেষভাবে ম্যানেজড ওয়ার্ক পার্টিশনে পুশ করে।
৫. ডিভাইসটি ব্যবহারকারীর পরিচয় ব্যবহার করে স্টাফ SSID-এর সাথে সংযুক্ত হয়, যা RADIUS সার্ভারকে তাদের AD গ্রুপ মেম্বারশিপের ওপর ভিত্তি করে রোল-ভিত্তিক অ্যাক্সেস কন্ট্রোল (VLAN অ্যাসাইনমেন্ট) প্রয়োগ করার অনুমতি দেয়।
অনুশীলনী প্রশ্নসমূহ
Q1. আপনি আপনার Windows 10 ডিভাইসগুলোতে Root CA, SCEP এবং WiFi প্রোফাইলগুলো ডেপ্লয় করেছেন। সার্টিফিকেটগুলো সফলভাবে ইনস্টল হয়েছে, কিন্তু WiFi প্রোফাইলটি প্রয়োগ করতে ব্যর্থ হচ্ছে এবং Intune কনসোলে 'Error' দেখাচ্ছে। এর সবচেয়ে সম্ভাব্য কারণ কী?
ইঙ্গিত: প্রোফাইলগুলো কীভাবে Azure AD গ্রুপগুলোতে অ্যাসাইন করা হয়েছে তা পরীক্ষা করুন।
মডেল উত্তর দেখুন
সবচেয়ে সম্ভাব্য কারণ হলো গ্রুপ টার্গেটিংয়ের অমিল। যদি SCEP প্রোফাইলটি একটি User Group-এ অ্যাসাইন করা হয়, কিন্তু WiFi প্রোফাইলটি একটি Device Group-এ অ্যাসাইন করা হয়, তবে Intune তাদের মধ্যকার ডিপেন্ডেন্সি সমাধান করতে পারে না। তিনটি প্রোফাইলই (Root, SCEP, WiFi) হুবহু একই গ্রুপ টাইপে টার্গেট করতে হবে।
Q2. আপনার সিকিউরিটি টিম নির্দেশ দিয়েছে যে প্রাইভেট কি কখনই নেটওয়ার্কের মাধ্যমে স্থানান্তরিত করা যাবে না, এমনকি এনক্রিপ্ট করা থাকলেও। Intune-এ আপনাকে কোন সার্টিফিকেট ডেপ্লয়মেন্ট পদ্ধতি ব্যবহার করতে হবে এবং কোন অতিরিক্ত ইনফ্রাস্ট্রাকচার সার্ভারের প্রয়োজন?
ইঙ্গিত: কি (key) পেয়ারটি কোথায় তৈরি হচ্ছে তা চিন্তা করুন।
মডেল উত্তর দেখুন
আপনাকে অবশ্যই SCEP (Simple Certificate Enrolment Protocol) ব্যবহার করতে হবে। যেহেতু SCEP এন্ডপয়েন্ট ডিভাইসকে স্থানীয়ভাবে প্রাইভেট কি তৈরি করার নির্দেশ দেয়, তাই এটি কখনই নেটওয়ার্ক অতিক্রম করে না। এই ডেপ্লয়মেন্টের জন্য Certificate Authority-এর সেতু হিসেবে কাজ করতে একটি Network Device Enrolment Service (NDES) সার্ভারের প্রয়োজন।
Q3. একজন রিমোট কর্মী বাড়িতে Windows Autopilot-এর মাধ্যমে একটি নতুন ল্যাপটপ প্রোভিশন করছেন। Intune প্রোফাইলগুলো সফলভাবে ডেপ্লয় হয়েছে, কিন্তু ডিভাইসটি SCEP সার্টিফিকেট পেতে ব্যর্থ হচ্ছে। কোন ইনফ্রাস্ট্রাকচার কনফিগারেশনটি সম্ভবত অনুপস্থিত?
ইঙ্গিত: ডিভাইসটি ইন্টারনেট থেকে কীভাবে ইন্টারনাল CA-তে পৌঁছায়?
মডেল উত্তর দেখুন
NDES সার্ভারটি সম্ভবত ইন্টারনেটে প্রকাশ করা হয়নি। কর্পোরেট অফিসে পৌঁছানোর আগে রিমোট ডিভাইসগুলো যাতে সার্টিফিকেটের জন্য অনুরোধ করতে পারে, সেজন্য NDES URL-টি বাহ্যিকভাবে অ্যাক্সেসযোগ্য হতে হবে, আদর্শভাবে Azure AD Application Proxy-এর মাধ্যমে নিরাপদে প্রকাশিত হতে হবে।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
What is the difference between SCEP and PKCS for Intune WiFi certificates?
SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.
What on-premises infrastructure is required for SCEP deployment with Intune?
A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.
How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?
Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.
In what order must Intune configuration profiles be assigned to endpoints?
Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.
How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?
Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.
এই সিরিজে পড়া চালিয়ে যান
এন্টারপ্রাইজ ডেপ্লয়মেন্টের জন্য IronWiFi এর বিকল্পসমূহ
আপনি আপনার নেটওয়ার্কের প্রয়োজনীয় কাজগুলোর ওপর ভিত্তি করে একটি IronWiFi বিকল্পের সংক্ষিপ্ত তালিকা তৈরি করতে পারবেন: অথেন্টিকেশন, আইডেন্টিটি, সম্মতি, হার্ডওয়্যার কভারেজ এবং তিন বছরের খরচ। আপনি জানতে পারবেন কখন Purple, Cloud4Wi, Spotipo বা Cloudi-Fi আরও ভালভাবে মানিয়ে যায়, কখন IronWiFi এখনও জয়ী হয় এবং কীভাবে একটি ওয়ান-ভেন্যু পাইলট চালাতে হয় যা প্রতিটি ভেন্ডরের দাবি প্রমাণ করে।
Sophos Firewall এবং গেস্ট WiFi: Purple-এর সাথে ক্যাপটিভ পোর্টাল সেটআপ
কীভাবে Purple-এর ক্লাউড গেস্ট WiFi একটি স্ট্যান্ডার্ড এক্সটার্নাল ক্যাপটিভ পোর্টাল এবং RADIUS-এর মাধ্যমে Sophos Firewall এবং এর অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করে, এবং কোথায় সাপোর্ট পরীক্ষা করতে হবে ও ধাপগুলো খুঁজে পেতে হবে।
Aruba Central এবং Purple WiFi: ক্লাউড-ম্যানেজড ইন্টিগ্রেশন
Purple-এর ক্লাউড-হোস্টেড গেস্ট WiFi ইন্টেলিজেন্স প্ল্যাটফর্মের সাথে Aruba Central-কে ইন্টিগ্রেট করার জন্য একটি বিস্তৃত টেকনিক্যাল রেফারেন্স গাইড। এই গাইডটি এন্টারপ্রাইজ আইটি টিমগুলোর জন্য আর্কিটেকচার, এক্সটার্নাল Captive Portal এবং RADIUS-এর ধাপে ধাপে কনফিগারেশন এবং মাল্টি-সাইট রোলআউট কৌশলগুলো কভার করে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।