Microsoft Intune WiFi Zertifikatsbereitstellung über SCEP und PKCS

Executive Summary

Für Unternehmensstandorte – ob in einer dynamischen Hospitality -Umgebung, einem standortübergreifenden Retail -Betrieb oder auf einem modernen Campus – ist die Nutzung von Pre-Shared Keys oder einfachen Captive Portals für das Mitarbeiter-WiFi ein Sicherheitsrisiko und ein betrieblicher Engpass. Moderne Netzwerkarchitekturen erfordern eine 802.1X-Authentifizierung mittels EAP-TLS, um sicherzustellen, dass jedes Gerät kryptografisch verifiziert wird, bevor es auf das Netzwerk zugreift.

Die Herausforderung liegt jedoch in der Verteilung: Wie stellen Sie eindeutige Client-Zertifikate auf Tausenden von Windows-, iOS- und Android-Geräten bereit, ohne Ihren Helpdesk mit Support-Tickets zu überlasten? Microsoft Intune löst dies durch automatisiertes Zertifikatslebenszyklus-Management. Durch die Nutzung von SCEP- (Simple Certificate Enrollment Protocol) oder PKCS- (Public Key Cryptography Standards) Zertifikatsprofilen können IT-Teams vertrauenswürdige Root- und Client-Zertifikate geräuschlos auf verwaltete Endpunkte übertragen.

Dieser Leitfaden bietet einen definitiven Architektur-Blueprint und eine schrittweise Implementierungsstrategie für die Bereitstellung von Intune WiFi-Zertifikaten. Wir werden die entscheidenden Unterschiede zwischen SCEP und PKCS untersuchen, die genaue Bereitstellungsreihenfolge für den Erfolg detailliert beschreiben und praxisnahe Risikominderungsstrategien skizzieren, um sicherzustellen, dass Ihr Guest WiFi und Ihre Unternehmensnetzwerke sicher und leistungsstark bleiben.

Hören Sie sich das begleitende Podcast-Briefing an:

Technischer Deep-Dive: SCEP vs. PKCS

Bei der Entwicklung Ihrer Strategie zur Bereitstellung von Intune WiFi-Zertifikaten besteht die erste architektonische Entscheidung in der Auswahl des Zertifikatsbereitstellungsmechanismus. Intune unterstützt sowohl SCEP als auch PKCS, diese funktionieren jedoch grundlegend unterschiedlich.

SCEP (Simple Certificate Enrollment Protocol)

SCEP ist der Industriestandard für die Registrierung von Unternehmensgeräten. In einem SCEP-Workflow weist der Intune-Dienst den Endpunkt an, sein eigenes privates/öffentliches Schlüsselpaar zu generieren. Das Gerät erstellt dann eine Zertifikatsignierungsanforderung (CSR) und sendet diese über einen NDES-Server (Network Device Enrollment Service) an Ihre Zertifizierungsstelle (CA). Die CA signiert die Anforderung und gibt das öffentliche Zertifikat an das Gerät zurück.

Der entscheidende Sicherheitsvorteil von SCEP besteht darin, dass der private Schlüssel das Gerät niemals verlässt. Er wird lokal generiert, im sicheren Enklavenbereich des Geräts gespeichert (z. B. im TPM unter Windows oder in der Secure Enclave unter iOS) und niemals über das Netzwerk übertragen. Dies macht SCEP zum dringend empfohlenen Ansatz für die 802.1X-Authentifizierung.

PKCS (Public Key Cryptography Standards)

Umgekehrt generiert die Zertifizierungsstelle bei PKCS sowohl den öffentlichen als auch den privaten Schlüssel zentral. Der Microsoft Intune Certificate Connector exportiert dieses Schlüsselpaar dann sicher und überträgt es auf das Zielgerät.

Obwohl PKCS die Bereitstellung und Wartung eines NDES-Servers überflüssig macht – was den Aufwand für die Infrastruktur verringert –, birgt es ein theoretisches Sicherheitsrisiko, da der private Schlüssel über das Netzwerk übertragen wird. PKCS eignet sich im Allgemeinen besser für Anwendungsfälle, in denen ein Key-Escrow erforderlich ist, wie z. B. bei der S/MIME-E-Mail-Verschlüsselung, als für die Netzwerkauthentifizierung.

Implementierungsleitfaden: Die Bereitstellungsreihenfolge

Die erfolgreiche Konfiguration eines Intune WiFi-Profils für 802.1X erfordert die strikte Einhaltung einer bestimmten Bereitstellungsreihenfolge. Die Abhängigkeiten der Intune-Profile schreiben vor, dass das Vertrauen etabliert sein muss, bevor die Authentifizierung konfiguriert werden kann.

Schritt 1: Bereitstellung des vertrauenswürdigen Stammzertifikat-Profils

Bevor ein Gerät ein Client-Zertifikat anfordern oder Ihrem RADIUS-Server vertrauen kann, muss es der ausstellenden Zertifizierungsstelle vertrauen.

1. Exportieren Sie Ihr Stamm-CA-Zertifikat (und alle Zwischen-CA-Zertifikate) als .cer-Dateien.
2. Navigieren Sie im Microsoft Endpoint Manager Admin Center zu Geräte > Konfigurationsprofile > Profil erstellen.
3. Wählen Sie die Zielplattform (z. B. Windows 10 und höher) und den Profiltyp Vertrauenswürdiges Zertifikat.
4. Laden Sie die .cer-Datei hoch und weisen Sie dieses Profil Ihren Zielgerätegruppen zu.

Faustregel: Weisen Sie alle zusammenhängenden Profile immer denselben Gruppen (entweder Benutzern oder Geräten) zu, um Bereitstellungskonflikte zu vermeiden.

Schritt 2: Konfiguration des SCEP-Zertifikatprofils

Sobald das Vertrauen etabliert ist, konfigurieren Sie das SCEP-Profil, um den Geräten mitzuteilen, wie sie ihr Client-Zertifikat anfordern können.

1. Erstellen Sie ein neues Konfigurationsprofil und wählen Sie SCEP-Zertifikat.
2. Konfigurieren Sie das Format des Antragstellernamens. Für die benutzergesteuerte Authentifizierung ist CN={{UserPrincipalName}} der Standard. Für die Geräteauthentifizierung verwenden Sie CN={{AAD_Device_ID}}.
3. Stellen Sie die Schlüsselverwendung auf Digitale Signatur und Schlüsselverschlüsselung ein.
4. Geben Sie unter Erweiterte Schlüsselverwendung Clientauthentifizierung (OID: 1.3.6.1.5.5.7.3.2) an.
5. Verknüpfen Sie dieses Profil mit dem in Schritt 1 erstellten vertrauenswürdigen Stammzertifikat-Profil.
6. Geben Sie die externe URL Ihres NDES-Servers an.

Schritt 3: Bereitstellung des 802.1X WiFi-Profils

Der letzte Schritt ist die Bereitstellung der WiFi-Konfiguration, die die Zertifikate mit der Netzwerk-SSID verknüpft.

1. Erstellen Sie ein Wi-Fi-Konfigurationsprofil.
2. Geben Sie den Netzwerknamen (SSID) exakt so ein, wie er von Ihren Wireless Access Points ausgestrahlt wird.
3. Wählen Sie WPA2-Enterprise oder WPA3-Enterprise als Sicherheitstyp.
4. Stellen Sie den EAP-Typ auf EAP-TLS ein.
5. Wählen Sie in den Authentifizierungseinstellungen das in Schritt 2 erstellte SCEP-Zertifikatsprofil als Client-Authentifizierungszertifikat aus.
6. Spezifizieren Sie das Trusted Root-Zertifikat für die Servervalidierung, um sicherzustellen, dass sich das Gerät nur mit Ihrem legitimen RADIUS-Server verbindet.

Best Practices & Branchenstandards

Beachten Sie bei der Implementierung der Intune WiFi-Zertifikatsbereitstellung die folgenden herstellerneutralen Best Practices, um Compliance und Zuverlässigkeit zu gewährleisten.

NDES-Serverplatzierung und Sicherheit

Der NDES-Server muss über das Internet erreichbar sein, damit Remote-Geräte Zertifikate bereitstellen können, bevor sie vor Ort eintreffen. Die direkte Freigabe eines internen Servers im Internet stellt jedoch ein erhebliches Sicherheitsrisiko dar.

Empfehlung: Veröffentlichen Sie die NDES-URL über den Azure AD-Anwendungsproxy. Dies ermöglicht einen sicheren Remote-Zugriff, ohne eingehende Firewall-Ports zu öffnen, und erlaubt Ihnen, Richtlinien für bedingten Zugriff auf den Registrierungsdatenfluss anzuwenden.

RADIUS und CRL-Prüfung

Die Zertifikatsbereitstellung ist nur die halbe Miete für die Sicherheit; der Widerruf ist ebenso kritisch. Wenn ein Mitarbeiter das Unternehmen verlässt, führt die Deaktivierung seines Active Directory-Kontos möglicherweise nicht sofort zum Entzug des WiFi-Zugangs, wenn sein Client-Zertifikat gültig bleibt und der RADIUS-Server die Zertifikatssperrliste (CRL) nicht strikt prüft.

Empfehlung: Konfigurieren Sie Ihren Network Policy Server (NPS) oder RADIUS-Server so, dass eine strikte CRL-Prüfung erzwungen wird. Stellen Sie sicher, dass Ihre CRL-Verteilungspunkte (CDPs) hochverfügbar sind; wenn der RADIUS-Server die CRL nicht erreichen kann, schlägt die Authentifizierung fehl, was zu einem weitreichenden Ausfall führt.

Weitere Einblicke in sicheres Netzwerkdesign finden Sie unter The Core SD WAN Benefits for Modern Businesses .

Fehlerbehebung & Risikominderung

Selbst bei sorgfältiger Planung kann es bei der Zertifikatsbereitstellung zu Problemen kommen. Hier sind häufige Fehlerszenarien und Strategien zur Behebung.

Problem: WiFi-Profil kann nicht angewendet werden

Symptom: Das Gerät erhält die Trusted Root- und SCEP-Zertifikate, aber das WiFi-Profil wird in Intune als „Fehler“ oder „Nicht anwendbar“ angezeigt.

Ursache: Dies wird fast immer durch eine fehlerhafte Gruppenzuordnung verursacht. Wenn das SCEP-Profil einer Benutzergruppe, das WiFi-Profil jedoch einer Gerätegruppe zugewiesen ist, kann Intune die Abhängigkeit nicht auflösen.

Behebung: Überprüfen Sie Ihre Zuweisungen. Stellen Sie sicher, dass die Trusted Root-, SCEP- und WiFi-Profile alle genau derselben Azure AD-Gruppe zugewiesen sind.

Problem: NDES 403 Forbidden-Fehler

Symptom: Geräte können das SCEP-Zertifikat nicht abrufen, und die NDES IIS-Protokolle zeigen HTTP 403-Fehler.

Ursache: Das Dienstkonto des Intune Certificate Connectors verfügt nicht über die erforderlichen Berechtigungen für die Zertifikatsvorlage, oder die URL-Filterung auf Ihrer Firewall blockiert die spezifischen von SCEP verwendeten Abfrage-String-Parameter. Fehlerbehebung: Überprüfen Sie, ob das Connector-Konto über die Berechtigungen „Lesen“ und „Registrieren“ für die CA-Vorlage verfügt. Überprüfen Sie die Firewall-Protokolle, um sicherzustellen, dass URLs, die ?operation=GetCACaps enthalten, nicht blockiert werden.

ROI & geschäftlicher Nutzen

Der Übergang zur Bereitstellung von Microsoft Intune 802.1X-Zertifikaten liefert messbare Erträge in den Bereichen Sicherheit und Betrieb.

1. Reduzierung von Helpdesk-Tickets: Passwortbasiertes WiFi verursacht ein erhebliches Volumen an Support-Tickets (Passwortabläufe, Sperren, Tippfehler). Die zertifikatsbasierte Authentifizierung ist für den Benutzer unsichtbar und reduziert das WiFi-bezogene Helpdesk-Volumen in der Regel um 70-80 %.
2. Verbesserte Sicherheitslage: EAP-TLS eliminiert das Risiko von Credential Harvesting und Man-in-the-Middle-Angriffen (MitM). Dies ist entscheidend für die Einhaltung von Richtlinien wie PCI DSS und GDPR, insbesondere im Gesundheitswesen und im Einzelhandel.
3. Nahtloses Onboarding: Für Unternehmen, die neben Windows auch große Flotten von Apple-Geräten verwalten, gewährleistet die Integration von Intune in bestehende MDM-Workflows (siehe unseren Leitfaden zu Jamf und RADIUS: Zertifikatsbasierte WiFi-Authentifizierung für Apple-Geräteflotten ) vom ersten Tag an eine einheitliche, berührungslose Bereitstellung.