Microsoft Entra ID (Azure AD) WiFi Authentifizierung: Leitfaden für die Enterprise-Integration

Management-Summary

Da IT-Organisationen in Unternehmen ihre Identitätsverwaltung von lokalen Active Directory Domain Services (AD DS) auf Microsoft Entra ID (ehemals Azure Active Directory) migrieren, stehen Netzwerkarchitekten vor einer grundlegenden Herausforderung: Microsoft Entra ID unterstützt keine native RADIUS-Protokoll-Authentifizierung.

Herkömmliche drahtlose Unternehmensnetzwerke basieren auf IEEE 802.1X mit PEAP-MSCHAPv2 und fragen lokale Windows Server Network Policy Server (NPS) Instanzen ab, die NTLM-Kennworthashes (NT LAN Manager) mit lokalen Domänencontrollern abgleichen. Das Cloud-native Entra ID stellt weder Abhörports für LDAP (TCP 389) oder RADIUS (UDP 1812) bereit, noch speichert es Klartext- oder reversible NTLM-Kennworthashes für reine Cloud-Konten.

Um die WiFi-Sicherheit im Unternehmen mit Microsoft Entra ID zu gewährleisten, müssen Organisationen ihre Zugriffsebene modernisieren. Dieser technische Leitfaden beschreibt die drei bewährten Architekturmodelle zur Verbindung von Entra ID mit drahtlosen Unternehmensnetzwerken:

1. Cloud-natives EAP-TLS über Microsoft Cloud-PKI & SCEP (Empfohlen): Kennwortlose, gegenseitige Zertifikatsauthentifizierung, bereitgestellt über Microsoft Intune.
2. Cloud-RADIUS mit Entra ID OAuth / SCIM Verzeichnissynchronisierung: Verwalteter Cloud-Authentifizierungsdienst, der die Microsoft Graph API abfragt.
3. Hybrider lokaler NPS mit Azure MFA-Erweiterung: Brückenarchitektur für Umgebungen, in denen die lokale Active Directory-Infrastruktur beibehalten wird.

Architekturvergleich: Entra ID WiFi-Authentifizierungsmethoden

Vor der Auswahl eines Integrationspfads sollten Sie die technischen Funktionen, das Sicherheitsniveau und die administrativen Anforderungen der einzelnen Modelle bewerten:

+----------------------------------------------------------------------------------------------------+
|                               Microsoft Entra ID WiFi-Architekturmatrix                            |
+----------------------------------------------------------------------------------------------------+
| Methode              | Protokoll | Anmeldetyp       | Lokaler Aufwand       | Sicherheitsniveau (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | Digitale X.509 CA| Keine (100% Cloud)     | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Keine (100% Cloud)     | 88/100 (Enterprise)   |
| 3. Hybrid NPS + MFA  | PEAPv0   | Benutzer/Pass    | Windows Server & NDES | 68/100 (Legacy Risk)  |
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Keine (100% Cloud)     | 85/100 (Guest/BYOD)   |
+----------------------+----------+------------------+-----------------------+-----------------------+

Methode 1: Cloud-natives EAP-TLS über Microsoft Intune SCEP (Empfohlen)

Zertifikatsbasiertes EAP-TLS (RFC 5216) stellt den Goldstandard für die WLAN-Sicherheit in Unternehmen dar. Durch die Ausstellung eindeutiger digitaler Zertifikate für verwaltete Endpunkte eliminieren Organisationen gemeinsam genutzte Passwörter, wehren Phishing-Kampagnen zum Diebstahl von Anmeldedaten ab und erfüllen die Standards der NIST SP 800-207 Zero Trust Architecture.

+------------------+          +------------------------+          +------------------------+
| Verwaltetes Gerät|          | Wireless Access Point  |          |   Cloud RADIUS Server  |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multi-Region)      |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. 802.1X EAP-TLS Assoc        |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Zertifikatskette prüfen
         |                                |                                    |    & Graph API abfragen
         |                                |                                    |    für Kontostatus
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (RFC 2868 VLAN-Attribute)       |
         |                                |<-----------------------------------|
         | 5. 802.11 4-Wege-Handshake     |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Verschlüsselte Sitzung hergestellt (WPA3-Enterprise 192-Bit) ]

Intune SCEP-Bereitstellungsworkflow

1. Einrichtung der Zertifizierungsstelle: Richten Sie eine ausstellende Zertifizierungsstelle (Issuing CA) mit Microsoft Cloud PKI in Microsoft Intune oder einer integrierten Cloud-CA (wie SCEPman, EZCA oder Cloud RADIUS PKI) ein.
2. Vertrauenswürdiges Zertifikatsprofil: Stellen Sie die öffentlichen Zertifikate der Root-CA und der Intermediate-CA für alle Windows 11-, macOS-, iOS- und Android-Zielgerätegruppen bereit.
3. Konfiguration des SCEP-Profils:
   • Zertifikatstyp: Benutzer- oder Gerätezertifikat.
   • Format des Antragstellernamens (Subject Name): CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Alternativer Antragstellername (SAN): UserPrincipalName = {{UserPrincipalName}} und DNS = {{AADDeviceId}}
   • Schlüsselverwendung (Key Usage): Digitale Signatur, Schlüsselverschlüsselung (Key Encipherment).
   • Schlüsselspeicheranbieter (KSP): TPM bevorzugt (erzwingt hardwaregestützte private Schlüssel).
4. WLAN-Konfigurationsprofil:
   • WLAN-Typ: Enterprise.
   • EAP-Typ: EAP-TLS.
   • Serververtrauen: Wählen Sie das bereitgestellte vertrauenswürdige Root-CA-Zertifikat aus.
   • Server-Namen: Geben Sie den vollqualifizierten Domainnamen (FQDN) des Cloud RADIUS-Servers ein (z. B. radius.purple.ai).
   • Authentifizierungsidentität: Benutzer- oder Gerätezertifikat.

Methode 2: Cloud RADIUS mit Entra ID OAuth & SCIM-Verzeichnissynchronisierung

Für Unternehmen, die eine zentrale Verzeichnisverwaltung ohne die Verwaltung privater Zertifizierungsstellen (CAs) anstreben, bietet Cloud RADIUS eine verwaltete Brücke zwischen Wireless-Controllern und der Microsoft Graph API.

Wie Cloud RADIUS in Microsoft Entra ID integriert wird

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Purple Platform)  |        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Graph API Query         |
          |                             |     (Check user enabled,    |
          |                             |      group memberships,     |
          |                             |      conditional access)    |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. JSON Response           |
          |                             |     (Status: Active,        |
          |                             |      Groups: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Hauptvorteile von Cloud RADIUS

• Keine Hardware vor Ort: Macht die Anschaffung physischer Server, die Lizenzierung von Windows Servern und die jährliche Wartung von Betriebssystem-Patches überflüssig.
• Verzeichnissynchronisierung in Echtzeit: Wenn ein Mitarbeiter das Unternehmen verlässt oder in Entra ID deaktiviert wird, wird sein WiFi-Zugriff an allen globalen Standorten sofort entzogen.
• Multi-Regionen-Redundanz: Anycast-IP-Routing leitet Authentifizierungsanfragen an das geografische Rechenzentrum mit der geringsten Latenzzeit weiter, inklusive automatischem Failover.

Dynamische VLAN-Zuweisung über Entra ID-Sicherheitsgruppen

Die dynamische VLAN-Zuweisung ermöglicht es Netzwerkadministratoren, eine einzige Unternehmens-SSID auszustrahlen und gleichzeitig Geräte basierend auf Benutzerrollen und Abteilungszugehörigkeiten automatisch in isolierte Netzwerksegmente einzuteilen.

+-----------------------------------------------------------------------------------+
|                        Microsoft Entra ID Security Group                          |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Cloud RADIUS Policy ]        [ Cloud RADIUS Policy ]            [ Cloud RADIUS Policy ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Corporate Exec VLAN 10)       (Engineering Subnet VLAN 20)       (Contractor DMZ VLAN 30)

Erforderliche RADIUS-Standardattribute (RFC 2868)

Wenn der Cloud-RADIUS-Server eine Authentifizierungsanfrage genehmigt, enthält er drei Standardattribute im Access-Accept-Paket:

Captive Portal Single Sign-On (SSO) für Gäste, BYOD & Externe

Für Gastbesucher, Dienstleister und unverwaltete persönliche Geräte von Mitarbeitern (BYOD) ist die Bereitstellung von 802.1X-Zertifikaten oft unpraktisch. In diesen Szenarien bietet ein Cloud-verwaltetes Captive Portal, das über SAML 2.0 oder OpenID Connect (OIDC) in Microsoft Entra ID integriert ist, einen sicheren und auditierten Onboarding-Workflow.

+--------------------+        +--------------------+        +--------------------+
|  Guest / BYOD      |        | Purple Captive     |        | Microsoft Entra ID |
|     Browser        |        | Splash Portal      |        | Login Gateway      |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. HTTP-Web-Anfrage         |                             |
          |---------------------------->|                             |
          | 2. Weiterleitung zur        |                             |
          |    Splash-Page              |                             |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Klick auf "Mit M365      |                             |
          |    anmelden"                |                             |
          |---------------------------->|                             |
          | 4. SAML / OAuth Auth-Anfrage|                             |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. MFA-Abfrage & Identitätsprüfung (Entra ID)             |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. SAML-Assertion / ID-Token ausgestellt                  |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. POST Token an Splash Engine                            |
          |---------------------------->|                             |
          |                             | 8. MAC auf WLC autorisieren |
          | 9. Internetzugriff gewährt  |<----------------------------|
          |<----------------------------|

Sicherheitsvorteile von Captive Portal SSO

• Bedingten Zugriff erzwingen: Erfordern Sie Microsoft Entra ID Multi-Faktor-Authentifizierung (MFA) und die Zustimmung zu den Nutzungsbedingungen, bevor der Netzwerkzugriff gewährt wird.
• Automatische Expiration: Schränken Sie die Zugriffsdauer von Besuchern (z. B. 8 Stunden) automatisch basierend auf Gast-Identitätsprofilen ein.
• Audit-Protokollierung: Führen Sie unveränderliche Verbindungsprotokolle, die physische MAC-Adressen für Compliance-Audits mit geschäftlichen Microsoft Entra ID E-Mail-Adressen verknüpfen.

Härtung der Enterprise WiFi Sicherheit: WPA3-Enterprise 192-Bit-Modus

Bei der Konfiguration der Microsoft Entra ID WiFi Authentifizierung sollten Netzwerkarchitekten WPA3-Enterprise konfigurieren, um sich gegen hochentwickelte Angriffsvektoren über die Luft zu schützen:

• 192-Bit-Sicherheitsmodus (CNSA-Suite): Implementiert eine 256-Bit-Verschlüsselung nach dem Galois/Counter Mode Protocol (GCMP-256) und eine 384-Bit-Schlüsselableitung nach HMAC-SHA-384.
• Protected Management Frames (PMF / IEEE 802.11w): Verhindert, dass böswillige Akteure MAC-Adressen von Access Points fälschen, um gefälschte Deauthentifizierungs- und Desassoziierungs-Frames zu senden.
• Eliminierung veralteter Verschlüsselungsverfahren: Macht WEP, TKIP und ungehärtete WPA2-TKIP-Suites vollständig überflüssig.

Fehlerbehebung bei Fehlern der Entra ID 802.1X WiFi Authentifizierung

Wenn die Authentifizierung von Client-Geräten fehlschlägt, ziehen Sie diese systematische Diagnoseanleitung zurate:

1. EAP-TLS Handshake-Fehler: Unbekannte CA oder Zertifikat nicht vertrauenswürdig

• Symptom: Client stellt keine Verbindung her; RADIUS-Protokoll zeigt TLS Alert: unknown_ca (48) an.
• Ursache: Das Client-Gerät vertraut dem RADIUS-Serverzertifikat nicht oder dem RADIUS-Server fehlt die Root-CA, die das Client-Zertifikat ausgestellt hat.
• Behebung:
  1. Vergewissern Sie sich, dass das Intune-Profil für vertrauenswürdige Zertifikate die Root-CA auf dem Client-Gerät bereitgestellt hat.
  2. Überprüfen Sie im Intune WiFi-Profil, ob der Servername in der Whitelist unter Server Names exakt mit dem Common Name (CN) oder Subject Alternative Name (SAN) des RADIUS-Serverzertifikats übereinstimmt.
  3. Stellen Sie sicher, dass die vollständige Zertifikatskette (Root-CA + Intermediate-CAs) in den Cloud RADIUS-Zertifikatsvertrauensspeicher importiert wurde.

2. RADIUS Access-Reject: Benutzerkonto deaktiviert oder Gruppenmitgliedschaft stimmt nicht überein

• Symptom: RADIUS-Server empfängt Anfrage, gibt aber Access-Reject mit dem Fehler User account not found or disabled zurück.
• Ursache: Das Benutzerkonto ist in Microsoft Entra ID deaktiviert oder der Benutzer ist kein Mitglied der autorisierten Entra-Sicherheitsgruppe.
• Behebung:
  1. Überprüfen Sie das Benutzerobjekt im Microsoft Entra Admin Center (entra.microsoft.com), um zu bestätigen, dass der Kontostatus aktiv ist.
  2. Überprüfen Sie die Berechtigungen der Cloud RADIUS Enterprise App in Entra ID (User.Read.All, GroupMember.Read.All).
  3. Prüfen Sie die Latenz der Verzeichnissynchronisierung, falls der Benutzer erst kürzlich zu einer neuen Sicherheitsgruppe hinzugefügt wurde.

3. Dynamische VLAN-Zuweisung wird nicht wirksam

• Symptom: Authentifizierung ist erfolgreich, aber der Client bleibt im standardmäßigen nativen VLAN anstatt im zugewiesenen Abteilungs-VLAN.
• Ursache: Der Wireless LAN Controller (WLC) hat AAA-Override nicht aktiviert, oder dem Switch-Trunk-Port fehlt die Ziel-VLAN-ID.
• Behebung:
  1. Aktivieren Sie auf Cisco Catalyst- / Aruba-Controllern AAA Override und Allow Dynamic VLANs in der WLAN-Konfiguration.
  2. Stellen Sie sicher, dass der Switch-Port, der mit dem Access Point verbunden ist, alle dynamischen VLAN-IDs auf dem 802.1Q-Trunk zulässt (switchport trunk allowed vlan add 10,20,30,40).
  3. Bestätigen Sie, dass RADIUS alle drei erforderlichen Attribute zurückgibt: Tunnel-Type = 13, Tunnel-Medium-Type = 6 und Tunnel-Private-Group-ID = <VLAN_ID>.

Zusammenfassung & Nächste Schritte

Die Integration von Microsoft Entra ID mit Enterprise WiFi schafft eine robuste, kennwortlose Netzwerkzugriffsebene. Durch die Kombination von Microsoft Intune SCEP-Zertifikatsverwaltung mit Cloud RADIUS und dynamischer VLAN-Zuweisung beseitigen IT-Organisationen Altlasten der On-Premises-Infrastruktur und stärken gleichzeitig ihre Zero-Trust-Sicherheitsausrichtung.

Für Organisationen, die neben Unternehmensgeräten auch eine hohe Anzahl von Gästen, Auftragnehmern oder BYOD-Hardware verwalten, bietet Purple eine schlüsselfertige Cloud WiFi-Zugriffsverwaltung, natives Entra ID SAML/OAuth Captive Portal Single Sign-On und Echtzeit-Netzwerkanalysen für alle großen Anbieter von Enterprise-Wireless-Hardware.