Validation du serveur de profil WiFi Intune : noms de serveurs de certificats et liste de contrôle de l'autorité de certification racine pour Microsoft Entra ID

Pour établir la confiance du serveur de profil WiFi Intune avec l'intégration Microsoft Entra ID, faites correspondre les noms de vos serveurs de certificats au certificat de votre serveur RADIUS. Le déploiement de cette norme IEEE 802.1X sur plus de 80 000 sites nécessite de lier un profil de certificat de confiance contenant la CA racine au même groupe Entra ID afin d'éviter les échecs de négociation d'authentification.

À quoi sert concrètement la validation de serveur dans un profil WiFi Intune ?

Un profil WiFi d'entreprise dans Intune comporte deux parties. La partie client prouve l'identité de l'appareil. La partie serveur prouve que le réseau vous appartient. La plupart des déploiements bloqués échouent dans la partie serveur, c'est pourquoi ce guide traite uniquement de cette partie.

Quelques définitions d'abord. IEEE 802.1X est la norme de contrôle d'accès basé sur les ports. Elle maintient un appareil hors du réseau jusqu'à ce qu'un serveur RADIUS (Remote Authentication Dial-In User Service) l'approuve. EAP-TLS (Extensible Authentication Protocol with Transport Layer Security, RFC 5216) authentifie les deux parties à l'aide de certificats. PEAP (Protected EAP) enveloppe un échange de mots de passe dans un tunnel TLS.

Dans les deux méthodes, le serveur RADIUS présente son certificat en premier. L'appareil décide de lui faire confiance ou non avant d'envoyer un certificat ou un mot de passe.

Vérifications et décisions

L'appareil effectue deux tests sur le certificat du serveur RADIUS :

• Chaîne de confiance. Le certificat remonte-t-il à une autorité de certification (CA) racine désignée par le profil ? Dans Intune, cette racine arrive sur l'appareil sous la forme d'un profil de certificat approuvé.
• Identité. Le nom figurant sur le certificat correspond-il au champ des noms de serveurs de certificats ? Sur Windows, iOS et macOS, le champ porte ce nom. Sur Android Enterprise, il s'agit du champ de nom de serveur Radius.

Les deux tests doivent réussir. Un certificat provenant d'une CA de confiance avec un nom incorrect échouera. Un nom correct provenant d'une CA non répertoriée échouera également. Ce couplage bloque les points d'accès malveillants qui présentent un certificat valide pour le domaine de quelqu'un d'autre. Cette attaque permet de récupérer les identifiants PEAP des appareils qui ignorent la validation.

Pourquoi les échecs restent invisibles

Intune indique si un profil a bien atteint l'appareil. Il n'indique pas si l'appareil accepte votre serveur RADIUS. Un profil peut s'afficher comme ayant réussi alors que chaque négociation échoue au niveau du point d'accès. Vous ne découvrez le problème que lorsque le personnel signale que la connexion au réseau est impossible.

De quoi avez-vous besoin avant de commencer ?

Rassemblez ces éléments avant d'ouvrir Intune :

• Le certificat du serveur RADIUS actif. Enregistrez le nom commun (CN) du sujet, chaque entrée DNS de nom alternatif du sujet (SAN), la date d'expiration, l'autorité intermédiaire émettrice et la CA racine.
• Le certificat de chaque serveur RADIUS. Les serveurs primaires et secondaires possèdent souvent des certificats différents. Les appareils doivent valider les deux.
• Le fichier de certificat de la CA racine. Exportez-le sous forme de fichier .cer. Vous le chargerez dans un profil de certificat approuvé.
• Infrastructure de certificat client pour EAP-TLS. Vous avez besoin d'un profil de certificat SCEP (Simple Certificate Enrollment Protocol) ou PKCS ainsi que de l'AC qui l'émet. Intune requiert également un profil de certificat de confiance pour cette AC.
• Conception des groupes Entra ID. Décidez si chaque plateforme cible des groupes d'utilisateurs ou des groupes d'appareils. Conservez ce choix à l'identique pour chaque profil lié.
• Points d'accès configurés pour WPA2-Enterprise ou WPA3-Enterprise. L'SSID doit pointer vers votre serveur RADIUS. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet prennent tous en charge le 802.1X.
• Un groupe pilote. Incluez au moins un appareil Windows, un appareil Apple et un appareil Android.

Une distinction est importante si vos points d'accès atteignent le serveur RADIUS via RadSec (RADIUS sur TLS, RFC 6614). Le point d'accès effectue sa propre vérification du nom du certificat sur cette étape. La configuration Juniper Mist de Purple pour SecurePass configure un nom de serveur RadSec générique sous le domaine de Purple. Elle charge également un certificat RadSec au niveau de l'organisation. Cette vérification s'effectue entre le point d'accès et le serveur. Intune n'intervient jamais à ce niveau. Séparez bien ces deux couches lors de vos dépannages.

Comment configurer les noms de serveur de certificat et l'AC racine dans Intune ?

La documentation Intune de Microsoft contient les étapes détaillées étape par étape. Les décisions ci-dessous sont celles qui déterminent si ces étapes fonctionnent.

Étape 1 : lire les noms sur le certificat présenté par le serveur

Lisez le certificat que votre serveur RADIUS présente actuellement. Ne vous fiez pas à la demande de certificat ni aux notes d'un collègue. Un équilibreur de charge, un nouveau nœud ou un renouvellement récent peuvent modifier ce que les appareils reçoivent.

Idéalement, le CN et la première entrée DNS du SAN sont identiques, par exemple radius.contoso.com. Si vous utilisez deux serveurs, choisissez parmi ces modèles :

• Attribuez à chaque serveur son propre nom et listez les deux noms dans le profil.
• Attribuez aux deux serveurs des noms sous un suffixe partagé, comme radius1.contoso.com et radius2.contoso.com.

Étape 2 : créer un profil de certificat de confiance pour la racine du serveur

Créez un profil de certificat de confiance par plateforme : Windows, iOS et iPadOS, macOS et Android Enterprise. Chacun contient l'AC racine qui a émis le certificat du serveur RADIUS.

Les erreurs courantes se produisent ici :

• Importer l'AC émettrice du client à la place. Si vos certificats SCEP proviennent d'une AC différente de celle du certificat RADIUS, vous devez créer des profils de certificat de confiance distincts. Le champ de validation du serveur doit faire référence à la racine du serveur.
• Importer l'intermédiaire au lieu de la racine. Importez la racine. Configurez le serveur RADIUS pour qu'il envoie ses certificats intermédiaires lors de la liaison TLS, afin que les appareils puissent reconstituer la chaîne complète.

Étape 3 : renseigner les champs de validation du serveur par plateforme

• Windows : Ajoutez chaque nom de serveur RADIUS sous les noms de serveurs de certificats. Sélectionnez le profil de certificat de confiance sous les certificats racines pour la validation du serveur. Windows accepte plusieurs profils de racine.
• iOS, iPadOS et macOS : Saisissez le nom sous les noms de serveurs de certificats. Le document de référence du profil de configuration d'Apple décrit ce champ comme une liste de noms communs de certificats de serveurs acceptés, et les caractères génériques tels que *.contoso.com sont acceptés. Sélectionnez le profil de certificat de confiance comme racine pour la validation du serveur.
• Android Enterprise : Saisissez le nom DNS ou le suffixe sous le nom du serveur RADIUS. Les directives de Microsoft indiquent de ne saisir que le suffixe partagé lorsque plusieurs serveurs le partagent. Sélectionnez le certificat racine pour la validation du serveur.

Étape 4 : attribuer chaque profil lié au même groupe

Attribuez le profil de certificat de confiance, le profil SCEP ou PKCS et le profil WiFi au même groupe Microsoft Entra ID. N'envoyez pas un profil à un groupe d'utilisateurs et un autre à un groupe d'appareils. Si le profil de certificat de confiance n'atteint jamais un appareil, le profil WiFi dépendant échoue ou ne s'installe jamais.

Pour la partie identité d'un déploiement Microsoft Entra ID, consultez comment activer le single sign on.

Comment chaque plateforme applique le champ

Comportement	Windows 10 et 11	iOS, iPadOS et macOS	Android Enterprise
Nom du champ Intune	Noms de serveurs de certificats	Noms de serveurs de certificats	Nom du serveur RADIUS
Élément de correspondance	Nom DNS sur le certificat du serveur	Nom commun du certificat du serveur	Nom DNS ou suffixe sur le certificat du serveur
Prise en charge des motifs	Saisir chaque nom de serveur complet	Caractère générique, par exemple *.contoso.com	Suffixe, par exemple contoso.com
Paramètre racine	Profils de certificats de confiance	Un profil de certificat de confiance	Un profil de certificat de confiance
Si le champ du nom est laissé vide	Windows peut demander au personnel de faire confiance au serveur	L'appareil peut demander au personnel de faire confiance au serveur	Android 11 et versions ultérieures suppriment l'option permettant d'ignorer la validation
Ce que le personnel voit en cas de non-correspondance	La connexion échoue sans invite	Message "Impossible de rejoindre" ou invite de confiance	Problème d'authentification affiché sur l'entrée réseau
Où lire l'erreur	Journal opérationnel WLAN-AutoConfig	Console macOS, processus eapolclient	adb logcat, lignes TLS du demandeur

Comment vérifier que la validation du serveur fonctionne ?

Effectuez ces vérifications sur chaque appareil pilote avant d'élargir l'affectation :

1. Statut du profil. Confirmez dans Intune que le certificat de confiance, le certificat client et les profils WiFi signalent tous un succès sur l'appareil.
2. Connexion en direct. Rejoignez l'SSID. Sur Windows, netsh wlan show interfaces confirme la connexion et la méthode d'authentification.
3. Acceptation côté serveur. Vérifiez le journal RADIUS pour un Access-Accept associé à cet appareil ou à ce compte.
4. Test négatif. Dirigez un SSID de test vers un serveur RADIUS dont le certificat porte un nom différent. L'appareil doit le refuser. Cela prouve que la validation est appliquée et n'est pas contournée par une invite de confiance.
5. Enregistrement de l'expiration. Notez la date d'expiration du certificat RADIUS et sa racine. Planifiez le renouvellement bien à l'avance.

Le test négatif est l'étape que les équipes ignorent. Sans lui, vous ne pouvez pas distinguer un profil qui valide correctement d'un profil qui fait confiance à n'importe quel certificat.

Qu'est-ce qui ne va pas et comment y remédier ?

Schémas de défaillance courants

• Le mauvais nom dans le champ. Les équipes saisissent une adresse IP, un nom d'hôte court ou le nom du répartiteur de charge. Saisissez le nom imprimé sur le certificat lui-même.
• La mauvaise racine. Le profil fait référence à l'autorité de certification émettrice du client ou à un intermédiaire. Faites référence à la racine qui a signé la chaîne du certificat du serveur.
• Une attribution incohérente. Le profil WiFi cible des groupes d'utilisateurs tandis que le profil de certificat approuvé cible des groupes d'appareils. Alignez-les.
• Un intermédiaire manquant. Le serveur RADIUS envoie uniquement son certificat d'entité finale. Les appareils ne peuvent pas construire la chaîne, ils le rejettent donc. Installez l'intermédiaire sur le serveur.
• Un CN qui diffère du SAN. Apple fait correspondre le nom commun. Un certificat avec le bon SAN et un CN différent peut réussir sur Android et échouer sur iPhone. Gardez les deux identiques.

Comment un certificat RADIUS renouvelé interrompt silencieusement les connexions

Un renouvellement qui conserve la même racine et les mêmes noms ne change rien sur les appareils. Les connexions se poursuivent.

Un renouvellement interrompt les connexions lorsque l'un de ces éléments change :

• L'autorité de certification racine. Votre fournisseur émet le nouveau certificat à partir d'une racine différente. Chaque appareil pointe toujours vers l'ancienne racine.
• La chaîne intermédiaire. La nouvelle chaîne a besoin d'un intermédiaire que le serveur n'envoie pas.
• Le nom. Quelqu'un réémet le certificat sous un nouveau nom d'hôte ou supprime l'ancien SAN.
• Un serveur dans une configuration multi-serveurs. Seul le serveur secondaire change, de sorte que les pannes semblent aléatoires et intermittentes.

La panne est silencieuse car rien ne change dans Intune. Le profil s'affiche toujours comme réussi et les appareils détiennent toujours l'ancienne racine.

Les renouvellements sont sur le point de devenir plus fréquents. Le scrutin SC-081 du CA/Browser Forum réduit la durée de vie maximale des certificats TLS publiquement approuvés. La limite diminuera considérablement au cours des prochaines années. Un serveur RADIUS sur un certificat d'autorité de certification publique se renouvellera plusieurs fois par an.

Les correctifs éliminent la majeure partie du risque :

• Émettez le certificat RADIUS à partir d'une autorité de certification privée que vous contrôlez. Sa racine peut survivre à de nombreux certificats de serveur. Les renouvellements sous la même racine sont invisibles pour les appareils.
• Préparez tout changement de racine avant le renouvellement. Déployez d'abord la nouvelle racine en tant que profil de certificat approuvé supplémentaire. Les profils Windows peuvent faire référence aux deux racines pendant la période de chevauchement. Ne remplacez le certificat du serveur qu'après que les appareils ont signalé le nouveau profil.

Lecture des erreurs sur chaque plateforme

• Windows: Ouvrez le journal opérationnel Microsoft-Windows-WLAN-AutoConfig dans l'Observateur d'événements. Les échecs de connexion s'y affichent avec un motif. netsh wlan show wlanreport génère un rapport HTML des sessions récentes.
• macOS: Filtrez la Console sur le processus eapolclient. Les échecs de confiance TLS nomment le certificat qui a été rejeté.
• iOS et iPadOS: L'appareil affiche un message "Impossible de rejoindre" ou une invite de confiance. Confirmez le contenu du profil dans Intune, puis reproduisez sur un Mac avec le même profil pour lire les journaux.
• Android: L'entrée réseau indique un problème d'authentification. Sur un appareil de test, adb logcat affiche les lignes du demandeur (supplicant) qui nomment l'échec de vérification du certificat.
• Serveur RADIUS: Un échange EAP qui démarre puis s'arrête sans réponse du client signifie généralement que l'appareil a rejeté votre certificat.

Scénarios pratiques

Scénario 1: une chaîne de magasins effectue un renouvellement sur une nouvelle racine. Une chaîne de magasins gérait PEAP pour les terminaux portables du personnel et les caisses Windows. Son autorité de certification publique a renouvelé le certificat RADIUS à partir d'une racine plus récente. Tous les appareils pointaient encore vers l'ancienne racine, et aucun magasin n'a pu se connecter le lendemain matin. L'équipe a déployé un profil de certificat de confiance pour la nouvelle racine sur le même groupe d'appareils. Elle a ensuite forcé une synchronisation depuis Intune. Les magasins se sont reconnectés en un seul cycle de synchronisation Intune, et l'équipe a migré les certificats RADIUS vers une autorité de certification privée. Les renouvellements ultérieurs n'ont produit aucun échec de connexion. Les parcs du secteur de la vente au détail dotés de terminaux portables et de caisses partagent cette vulnérabilité.

Scénario 2: un hôtel et le nom commun Apple. Un hôtel a équipé son personnel d'étage d'iPads et de tablettes Android sur un seul SSID EAP-TLS. Le certificat RADIUS réémis a conservé le bon SAN, mais son CN est revenu au nom d'hôte court du serveur. Les tablettes Android ont correspondu au suffixe DNS et se sont connectées. Les iPads ont refusé la connexion. La réémission du certificat avec un CN et un SAN identiques a rétabli la connexion de tous les iPads sans modifier Intune. Les hôtels exploitant des parcs mixtes doivent aligner systématiquement le CN et le SAN.

Scénario 3: un centre de conférences avec des affectations distinctes. Un centre de conférences du secteur public a déployé EAP-TLS sur des ordinateurs portables Windows pour le personnel événementiel. Le profil WiFi ciblait un groupe d'utilisateurs, tandis que le certificat de confiance et les profils SCEP ciblaient un groupe d'appareils. Certains ordinateurs portables n'ont jamais reçu le profil WiFi. Le fait de recentrer les profils sur un seul groupe d'appareils a résolu le problème de distribution. Les ordinateurs portables se sont connectés lors de leur synchronisation suivante.

Une fois la validation réussie, les déconnexions restantes sont généralement dues à des problèmes de radio ou de roaming. Voir résoudre les problèmes de roaming dans les WLAN d'entreprise. Pour les changements de canaux dans les sites à forte affluence, voir événements radar DFS sur Cisco Meraki, HPE Aruba et Ruckus: une liste de contrôle de diagnostic pour les changements de canaux.

Liste de contrôle pour les parcs joints à Microsoft Entra ID

1. Lisez le CN et chaque entrée DNS du SAN du certificat présenté par chaque serveur RADIUS.
2. Rendre le CN identique au nom DNS principal du SAN.
3. Confirmer que chaque serveur RADIUS envoie ses certificats intermédiaires lors de la liaison TLS.
4. Exporter l'AC racine qui a émis le certificat du serveur, et non le certificat intermédiaire.
5. Créer un profil de certificat approuvé pour cette racine sur chaque plateforme que vous gérez.
6. Conserver l'AC émettrice du client dans son propre profil de certificat approuvé distinct.
7. Saisir les noms de serveurs exacts sur Windows, un caractère générique sur Apple et le suffixe DNS sur Android.
8. Attribuer le certificat approuvé, le profil SCEP ou PKCS et les profils WiFi à un seul groupe Entra ID.
9. Utiliser le même type de groupe, utilisateur ou appareil, pour chaque profil lié sur une plateforme.
10. Exécuter le test négatif avec un certificat de serveur non correspondant sur chaque plateforme.
11. Enregistrer la date d'expiration et la racine de chaque certificat RADIUS, et les examiner bien à l'avance.
12. Préparer toute nouvelle racine en tant que profil de certificat approuvé supplémentaire avant de remplacer le certificat du serveur.

Quel est le coût et quel est le retour sur investissement ?

Intune est inclus dans Microsoft 365 E3, E5 et Business Premium. La plupart des parcs d'appareils joints à Entra ID possèdent déjà la licence. Une AC privée peut fonctionner sur les services de certificats Active Directory dans Windows Server. Microsoft Cloud PKI est disponible en tant que module complémentaire Intune sous licence distincte.

Le coût principal est le temps du personnel. Chaque renouvellement échoué entraîne une vague de tickets d'assistance sur tous les sites à la fois. La liste de contrôle ci-dessus prend quelques heures par plateforme et élimine cette vague récurrente.

Le retour est un réseau sans clé partagée susceptible de fuiter. Vous révoquez l'accès en désactivant le compte ou en révoquant le certificat. EAP-TLS prend également en charge la condition 4.2.1.2 de la norme PCI DSS v4.0, qui exige une cryptographie forte sur les réseaux sans fil connectés à l'environnement des données de titulaires de cartes. Les sites de Santé et les opérateurs de Trains gérant les appareils du personnel bénéficient du même contrôle.

Purple Staff WiFi apporte les réseaux basés sur l'identité et le cloud RADIUS à ce modèle. Il fonctionne avec Microsoft Entra ID, Okta et Google Workspace, de sorte que les nouveaux arrivants, les transferts et les départs mettent à jour automatiquement l'accès au réseau. Il est indépendant du matériel et fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Purple est déployé dans plus de 80 000 sites actifs et détient les certifications ISO 27001 et Cyber Essentials.

Questions fréquemment posées

L'authentification par certificat WiFi d'Intune fonctionne-t-elle avec les points d'accès que nous possédons déjà ?

Oui. La validation du serveur s'effectue entre l'appareil et le serveur RADIUS, le point d'accès doit donc simplement prendre en charge WPA2-Enterprise ou WPA3-Enterprise. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet prennent tous en charge le 802.1X. Purple Staff WiFi est indépendant du matériel et fonctionne comme une surcouche cloud sur ce parc existant. Vous n'avez pas besoin de remplacer le matériel pour passer le personnel à l'authentification par certificat.

Avons-nous besoin de licences Microsoft supplémentaires pour déployer des profils WiFi Intune ?

Non, si vous possédez déjà Microsoft 365 E3, E5 ou Business Premium. Ces suites incluent Intune, qui couvre le WiFi, le certificat approuvé et les profils SCEP ou PKCS. Vous pouvez payer séparément pour une autorité de certification. Active Directory Certificate Services fonctionne sur Windows Server. Microsoft Cloud PKI est un module complémentaire de Intune sous licence distincte. Votre serveur RADIUS représente un coût séparé, que vous utilisiez Network Policy Server ou un service cloud RADIUS.

Le certificat du serveur RADIUS doit-il provenir d'une autorité de certification publique ou privée ?

Une autorité de certification privée est le choix le plus sûr pour la plupart des parcs d'équipements. Vous contrôlez sa racine, de sorte que les renouvellements sous cette racine ne rompent jamais la confiance des appareils. Les certificats des autorités de certification publiques se raccourcissent dans le cadre du scrutin SC-081 du CA/Browser Forum. Chaque renouvellement public présente un risque de changement de racine ou d'intermédiaire que les appareils rejetteront jusqu'à ce que vous redéployiez le profil de confiance.

Pouvons-nous migrer des mots de passe PEAP vers EAP-TLS sans perturber le personnel ?

Oui. Déployez le profil de certificat SCEP ou PKCS et le nouveau profil WiFi EAP-TLS aux côtés du profil PEAP existant. Effectuez un projet pilote avec un groupe par plateforme et confirmez les connexions dans vos journaux RADIUS. Supprimez le profil PEAP une fois que chaque groupe se connecte de manière fiable. Les paramètres de validation du serveur, les noms et la racine, peuvent rester les mêmes pour les deux méthodes. Cela élimine la variable la plus risquée de la migration.

Qu'advient-il des profils WiFi de Intune lors du renouvellement du certificat RADIUS ?

Rien, à condition que le certificat renouvelé conserve la même autorité de certification racine et les mêmes noms. Les appareils continuent de se connecter. Si la racine, la chaîne intermédiaire, le CN ou le SAN change, les appareils rejettent le serveur même si Intune signale toujours que le profil a réussi. Préparez d'abord toute nouvelle racine en tant que profil de certificat approuvé supplémentaire. Confirmez que les appareils l'ont reçue, puis installez le certificat renouvelé sur le serveur RADIUS.

Le WiFi destiné au personnel basé sur des certificats aide-t-il à se conformer aux normes PCI-DSS et au GDPR ?

Oui. L'exigence 4.2.1.2 de la norme PCI-DSS v4.0 impose une cryptographie forte pour les réseaux sans fil connectés à l'environnement des données de titulaires de cartes. Le protocole EAP-TLS avec validation du serveur répond à cette exigence sans clé partagée. Pour le GDPR, l'authentification par certificat lie chaque session à une identité connue, ce qui facilite la journalisation des accès et la révocation rapide. Purple détient la certification ISO 27001 et Cyber Essentials, et sa plateforme est conforme au GDPR.

Combien de temps faut-il pour que les modifications de profil parviennent aux appareils ?

La plupart des appareils enregistrés reçoivent les modifications lors de leur prochain contrôle Intune. Pour les appareils Windows, iOS et Android, ce contrôle s'effectue périodiquement tout au long de la journée. Vous pouvez forcer une synchronisation immédiate depuis Intune ou depuis l'appareil lui-même. Planifiez les modifications de racine au moins un cycle complet de contrôle avant le remplacement du certificat RADIUS. Les appareils éteints récupéreront la mise à jour lors de leur prochain contrôle.