Déploiement de certificats WiFi Microsoft Intune via SCEP et PKCS

Le déploiement de certificats WiFi Intune utilise trois profils : un certificat racine de confiance, un certificat client SCEP ou PKCS, et un profil WiFi 802.1X configuré sur EAP-TLS. Déployez-les dans cet ordre, tous attribués au même groupe Microsoft Entra ID. SCEP crée la clé privée sur l'appareil, tandis que PKCS la crée de manière centralisée. Pour le WiFi sur Windows, iOS et Android, choisissez SCEP.

Que fait réellement le déploiement de certificats WiFi Intune ?

Intune fournit à chaque appareil géré son propre certificat d'identité et les paramètres WiFi nécessaires pour le présenter. L'appareil rejoint ensuite votre réseau du personnel sans que personne n'ait à saisir de mot de passe.

Le mécanisme utilisé est l'IEEE 802.1X, la norme pour le contrôle d'accès réseau basé sur les ports. En 802.1X, le point d'accès maintient l'appareil hors du réseau jusqu'à ce qu'un serveur d'authentification l'approuve. Ce serveur est un serveur RADIUS, le service que vos points d'accès interrogent avant de laisser entrer un appareil.

La méthode d'authentification est EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), définie dans la RFC 5216. Les deux parties prouvent leur identité à l'aide de certificats :

• L'appareil présente un certificat client.
• Le serveur RADIUS présente un certificat serveur.
• Chaque partie vérifie que le certificat de l'autre remonte à une autorité de certification (CA) à laquelle elle fait confiance.

Aucun mot de passe n'est saisi, stocké ou exposé au hameçonnage.

Cela devient plus important chaque année. Microsoft indique que Windows Defender Credential Guard bloque le single sign-on pour les méthodes 802.1X basées sur un mot de passe telles que PEAP-MSCHAPv2. PEAP (Protected EAP) envoie un mot de passe dans un tunnel chiffré. Credential Guard est activé par défaut sur les versions récentes de Windows 11 Enterprise, et Microsoft recommande à la place l'authentification basée sur des certificats.

Intune fournit le WiFi basé sur des certificats via trois profils de configuration :

• Profil de certificat de confiance. Installe votre CA racine et toute CA intermédiaire. L'appareil peut alors faire confiance à sa propre chaîne de certificats et à votre serveur RADIUS.
• Profil de certificat SCEP ou PKCS. Délivre à chaque appareil un certificat client unique.
• Profil WiFi. Définit le SSID (le nom du réseau diffusé), le type de sécurité et la méthode EAP. Il nomme également le certificat à présenter et le serveur à approuver.

Pour les exploitants de sites, cela concerne le réseau côté personnel. Les ordinateurs portables, terminaux portables et tablettes du personnel dans les Hôtels, la Vente au détail et la Santé doivent accéder à des systèmes que les visiteurs, clients et patients ne doivent jamais atteindre. Votre Guest WiFi conserve son Captive Portal, la page de connexion que les visiteurs voient. Les appareils du personnel s'authentifient de manière transparente sur un SSID et un VLAN (un segment de réseau isolé logiquement) distincts.

SCEP ou PKCS : quel profil de certificat devez-vous utiliser ?

Les deux profils déposent un certificat client sur l'appareil. La différence réside dans l'endroit où la clé privée est créée.

SCEP (Simple Certificate Enrolment Protocol, RFC 8894) permet à l'appareil de générer sa propre paire de clés. L'appareil envoie une demande de signature de certificat via un serveur Network Device Enrolment Service (NDES), ou via Microsoft Cloud PKI. L'AC signe la demande et renvoie le certificat. La clé privée ne quitte jamais l'appareil. Sur Windows, le profil SCEP peut placer cette clé dans le module de plateforme sécurisée (TPM), la puce de sécurité matérielle.

Les profils PKCS utilisent le connecteur de certificat pour Microsoft Intune afin de demander le certificat à votre AC. La paire de clés est créée à l'extérieur de l'appareil. Intune livre ensuite le certificat et la clé privée à l'appareil sous forme chiffrée. Vous évitez d'exécuter NDES, mais la clé privée a existé ailleurs que sur l'appareil.

Un troisième type, les certificats importés PKCS, livre les certificats que vous détenez déjà. Son rôle habituel est le chiffrement des e-mails S/MIME, où les clés sont conservées sous séquestre. C'est le mauvais outil pour le WiFi.

	SCEP via NDES et AD CS	SCEP via Microsoft Cloud PKI	PKCS via connecteur et AD CS
Lieu de création de la clé privée	Sur l'appareil	Sur l'appareil	Hors de l'appareil, puis livrée
Autorité de certification	Votre AC d'entreprise Active Directory Certificate Services (AD CS)	AC hébergées par Microsoft, ou votre propre racine	Votre AC d'entreprise AD CS
Serveurs sur site que vous gérez	AC, serveur NDES, connecteur de certificat	Aucun	AC, connecteur de certificat
Composant exposé à Internet	URL NDES, publiée via le proxy d'application Microsoft Entra ID	Aucun : Microsoft héberge le point de terminaison SCEP	Aucun : le connecteur se connecte uniquement en sortie
Licence supplémentaire	Aucune au-delà de Windows Server	Module complémentaire Cloud PKI ou Microsoft Intune Suite	Aucune au-delà de Windows Server
Effort de configuration	Le plus élevé : AC, NDES, connecteur et publication du proxy	Le plus faible : AC créées dans le centre d'administration Intune	Moyen : AC et connecteur, pas de NDES
À qui cela convient	Parcs avec AD CS souhaitant conserver les clés sur l'appareil	Parcs axés sur le cloud sans PKI sur site	Parcs avec AD CS ne pouvant pas publier de point de terminaison NDES

Pour le WiFi, choisissez SCEP à moins que vous ne puissiez pas répondre à ses besoins d'infrastructure. Une clé qui ne quitte jamais l'appareil ne peut pas être copiée depuis un serveur ni interceptée en transit. Choisissez Microsoft Cloud PKI si vous n'avez pas de PKI sur site et ne souhaitez pas en construire une. Choisissez PKCS si vous utilisez AD CS mais ne pouvez pas publier un point de terminaison NDES sur Internet.

De quoi avez-vous besoin avant de déployer des certificats WiFi avec Intune ?

Confirmez chaque élément avant de créer un seul profil. La plupart des déploiements échoués proviennent d'une lacune dans cette liste.

• Licences. Chaque personne a besoin d'une licence Intune. Intune est inclus dans Microsoft 365 E3, E5 et Business Premium, ainsi que dans Enterprise Mobility + Security E3 et E5.
• Appareils inscrits. Les appareils Windows sont joints à Microsoft Entra ID, souvent via Windows Autopilot. Les appareils iOS et iPadOS sont inscrits via l'inscription automatisée des appareils d'Apple Business Manager. Les appareils Android utilisent Android Enterprise. Microsoft ayant mis fin à la gestion par administrateur d'appareils pour les équipements disposant de Google Mobile Services, prévoyez d'utiliser Android Enterprise.
• Une autorité de certification. Cela désigne une AC d'entreprise AD CS, Microsoft Cloud PKI ou une AC tierce prise en charge par Intune.
• Un modèle de certificat. Sur AD CS, publiez un modèle avec l'utilisation étendue de la clé Authentification du client.
• L'infrastructure de connecteur. SCEP sur AD CS nécessite un serveur NDES et le Connecteur de certificat pour Microsoft Intune. PKCS ne requiert que le connecteur.
• Un serveur RADIUS prenant en charge EAP-TLS. Son certificat de serveur doit faire partie d'une chaîne remontant jusqu'à une racine que vous déploieriez. Notez le nom exact figurant sur ce certificat, car le profil WiFi en a besoin.
• Une révocation accessible. Votre serveur RADIUS doit pouvoir accéder à la liste de révocation de certificats (CRL) ou à un répondeur OCSP (Online Certificate Status Protocol). Si ce n'est pas le cas, l'authentification échouera.
• Des SSID d'entreprise. Vos points d'accès doivent diffuser un SSID WPA2 Enterprise ou WPA3 Enterprise pointant vers votre serveur RADIUS. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet prennent tous en charge le 802.1X.
• Des groupes Entra ID. Créez un groupe pilote et un groupe de production. Décidez dès maintenant s'ils contiennent des utilisateurs ou des appareils.
• Un réseau d'amorçage (bootstrap). Un appareil doit disposer d'un accès internet pour récupérer son certificat avant de pouvoir rejoindre le SSID 802.1X. Fournissez un accès filaire, des données mobiles ou un SSID d'intégration isolé. Les opérateurs de Trains qui fournissent des tablettes au personnel de bord doivent les configurer au dépôt, avant que les tablettes ne soient déplacées.

Comment configurer des certificats WiFi SCEP ou PKCS dans Intune ?

La documentation Intune de Microsoft détaille la procédure champ par champ pour chaque plateforme. La séquence et les décisions ci-dessous déterminent votre réussite. Créez un jeu de profils par plateforme : Windows, iOS/iPadOS et Android Enterprise.

Étape 1 : déployer le profil de certificat racine de confiance

Exportez votre certificat d'AC racine sous forme de fichier .cer. Créez un profil de certificat de confiance qui le contient. Chaque profil de certificat de confiance contient un seul certificat, créez donc des profils distincts pour la racine et pour chaque AC intermédiaire.

Sous Windows, envoyez la racine vers le magasin racine de l'ordinateur et les intermédiaires vers le magasin intermédiaire. Si une AC différente a signé le certificat de votre serveur RADIUS, déployez également cette racine. Sans elle, les appareils ne peuvent pas valider le serveur.

Étape 2 : déployer le profil de certificat SCEP ou PKCS

Commencez par le type de certificat, car il conditionne tout le reste.

• Les certificats d'appareil conviennent aux terminaux portables partagés, aux bornes et aux ordinateurs portables qui doivent se connecter dès l'écran de connexion Windows. Utilisez un nom d'objet basé sur l'identifiant de l'appareil, tel que CN={{AAD_Device_ID}}.
• Les certificats basés sur les personnes conviennent aux téléphones et aux ordinateurs portables attribués à un membre du personnel. Utilisez CN={{UserPrincipalName}} dans le sujet. Ajoutez la même valeur en tant que nom alternatif du sujet, car de nombreux serveurs RADIUS y lisent l'identité.

Définissez ensuite les champs restants :

• Utilisation de la clé : signature numérique et chiffrement de la clé.
• Utilisation étendue de la clé : Authentification client, OID 1.3.6.1.5.5.7.3.2.
• Taille de la clé : 2048 bits au minimum.
• Validité : pas plus longue que ce que votre modèle d'AC autorise.
• Seuil de renouvellement : la valeur par défaut de Microsoft est de 20 % de la durée de vie restante du certificat.
• Certificat racine : sélectionnez le profil de certificat approuvé de l'étape 1.
• Stockage des clés sur Windows : choisissez l'option TPM pour les clés matérielles sécurisées.

Pour SCEP, saisissez l'URL NDES externe ou l'URI SCEP de votre Cloud PKI. Pour PKCS, saisissez plutôt le nom de l'AC et le nom du modèle.

Si vous utilisez Microsoft NPS (Network Policy Server) avec des identités hybrides, consultez l'article KB5014754 de Microsoft sur le mappage fort des certificats. Microsoft documente un URI de nom alternatif du sujet qui porte l'identifiant de sécurité sur site exactement pour ce cas.

Étape 3 : déployer le profil WiFi 802.1X

Créez un profil WiFi d'entreprise avec ces paramètres :

• Saisissez l'SSID exactement tel que vos points d'accès le diffusent.
• Définissez le type de sécurité sur WPA2-Enterprise, ou WPA3-Enterprise là où vos points d'accès et la plateforme le prennent en charge.
• Définissez le type d'EAP sur EAP-TLS.
• Saisissez des noms de serveurs de certificats qui correspondent au nom figurant sur le certificat de votre serveur RADIUS. Cela empêche les appareils de transmettre leur identité à un point d'accès piraté.
• Sélectionnez le profil de l'étape 1 comme certificat racine pour la validation du serveur.
• Sélectionnez le profil de l'étape 2 comme certificat d'authentification client.

Quelles sont les différences sur Windows, iOS et Android ?

• Windows se connecte avec un certificat d'appareil avant que quiconque ne se connecte. Un certificat basé sur la personne ne se connecte qu'après la connexion, ce qui interrompt la première connexion sur les ordinateurs portables partagés.
• iOS et iPadOS font confiance au serveur RADIUS en faisant correspondre les noms de serveur de certificat que vous saisissez. Une non-correspondance produit un échec de confiance, pas un repli silencieux.
• Android Enterprise requiert un nom de domaine de serveur RADIUS et un certificat racine pour la validation. Les récentes versions d'Android ont supprimé l'option permettant de ignorer la validation du serveur.

Que se passe-t-il lorsqu'un nouvel appareil s'inscrit ?

Voici la séquence de déploiement des certificats sur un appareil nouvellement inscrit :

1. L'appareil s'inscrit et rejoint son groupe Microsoft Entra ID attribué.
2. Intune fournit les profils racine et intermédiaire approuvés.
3. L'appareil demande son certificat client. Sous SCEP, il génère une paire de clés et envoie une demande de signature avec un défi à usage unique. Le connecteur valide ce défi avec Intune avant que l'AC ne délivre quoi que ce soit. Sous PKCS, le connecteur demande le certificat et Intune le délivre.
4. L'appareil signale le certificat installé à Intune.
5. Le profil WiFi, qui dépend des deux profils de certificat, s'applique.
6. L'appareil présente son certificat à l'SSID. RADIUS valide la chaîne, vérifie la révocation et accepte l'appareil. Il peut ensuite attribuer un VLAN via les attributs RADIUS.
7. Intune renouvelle le certificat lorsqu'il atteint le seuil de renouvellement. Intune le révoque lorsque vous retirez ou effacez l'appareil, à condition que le connecteur détienne les droits de révocation sur l'AC.

Comment vérifier que les certificats WiFi Intune fonctionnent ?

Testez avec un pilote de 10 à 20 appareils par plateforme avant d'élargir les attributions. Vérifiez quatre éléments.

1. Statut du profil Intune. Chacun des trois profils doit indiquer « Réussi » pour chaque appareil pilote. Un statut « En attente », « Erreur » ou « Non applicable » sur l'un d'eux bloque le profil WiFi.
2. L'appareil lui-même. Sur Windows, ouvrez le magasin de certificats personnels et confirmez l'usage Authentification client ainsi que votre AC d'émission. Sur iOS et Android, confirmez que le certificat et le profil WiFi apparaissent dans le profil de gestion et les identifiants du profil de travail.
3. Journaux RADIUS. Recherchez les authentifications EAP-TLS réussies avec le nom de sujet attendu. Sur NPS, l'ID d'événement 6272 enregistre l'accès accordé et le 6273 enregistre l'accès refusé, avec un code de raison.
4. Journaux du connecteur et NDES. Le Certificate Connector écrit dans le journal d'événements Windows. Les requêtes NDES apparaissent dans les journaux IIS.

Testez ensuite la révocation intentionnellement. Retirez un appareil pilote dans Intune et confirmez que le certificat apparaît comme révoqué sur l'AC. Publiez la CRL et confirmez que RADIUS refuse la prochaine authentification.

Quels sont les problèmes courants avec les profils WiFi Intune et comment les résoudre ?

Le profil WiFi indique Erreur ou Non applicable

Les certificats sont arrivés, mais le profil WiFi a échoué. La cause habituelle est un ciblage de groupes mixte. Par exemple, le profil SCEP est attribué à un groupe d'utilisateurs tandis que le profil WiFi cible un groupe d'appareils. Intune ne peut pas résoudre la dépendance. La solution consiste à attribuer les trois profils au même groupe, ou du moins au même type de groupe.

Le certificat SCEP n'arrive jamais

Les journaux IIS NDES affichent des réponses HTTP 403 ou 500. Vérifiez que le compte de service du connecteur dispose des autorisations de lecture et d'inscription sur le modèle de certificat. Vérifiez que votre pare-feu, reverse proxy ou proxy d'application ne supprime pas les chaînes de requête SCEP telles que operation=GetCACaps. Confirmez ensuite que l'URL NDES externe se résout depuis l'extérieur de votre réseau.

L'appareil possède un certificat, mais RADIUS le rejette

Examinez quatre causes dans l'ordre :

1. Les noms de serveurs de certificats dans le profil WiFi ne correspondent pas au certificat du serveur RADIUS.
2. Le serveur RADIUS ne fait pas confiance à l'AC qui a émis le certificat client.
3. Le serveur RADIUS ne peut pas télécharger une CRL à jour.
4. L'application du mappage fort NPS selon la KB5014754 rejette les certificats sans mappage fort.

Le code de raison NPS vous indique la bonne cause.

Les vérifications de révocation provoquent une interruption de service

Si le point de distribution CRL se retrouve hors ligne ou si la CRL expire, les serveurs RADIUS stricts rejettent tous les certificats. Publiez les CRL sur un emplacement HTTP hautement disponible accessible par votre serveur RADIUS. Surveillez l'heure de prochaine mise à jour de la CRL.

Les appareils continuent de se connecter à l'ancien réseau

Une ancienne clé prépartagée ou un profil PEAP toujours présent sur l'appareil reste prioritaire. Supprimez l'ancien profil via Intune une fois que le nouveau confirme sa mise en place, puis retirez l'ancien SSID.

Comment le WiFi basé sur les certificats Intune fonctionne-t-il dans un établissement réel ?

Les deux scénarios ci-dessous sont des exemples concrets basés sur le comportement documenté de Microsoft. Ils décrivent des types d'établissements et non des déploiements nominatifs.

Un groupe de 12 hôtels abandonne un mot de passe personnel partagé

Situation. Un groupe de 12 hôtels, comptant environ 200 chambres chacun, exploite un SSID personnel sur une clé prépartagée. La clé est partagée par 840 appareils : PC de la réception, iPhones du service d'étage et terminaux portables Android pour la restauration. Le réseau est connecté à l'environnement des données de titulaires de cartes. La exigence 2.3.2 de la norme PCI-DSS v4.0 impose donc de changer la clé dès qu'une personne la connaissant quitte l'entreprise. En raison du roulement du personnel d'accueil, chaque rotation bloque des appareils jusqu'à ce que quelqu'un saisisse à nouveau la clé.

Ce qui a été fait. L'équipe déploie SCEP via NDES, publié avec le proxy d'application Microsoft Entra ID. Les PC de la réception reçoivent des certificats d'appareil afin de se connecter dès l'écran de connexion. Les téléphones reçoivent des certificats nominatifs. Un pilote sur 20 appareils fonctionne dans un hôtel pendant deux semaines. Ensuite, un hôtel migre chaque semaine, l'ancien SSID fonctionnant en parallèle.

Résultat mesurable. Au bout de 12 semaines, les 840 appareils s'authentifient avec EAP-TLS et le SSID à clé prépartagée est désactivé. Le nombre de clés partagées à renouveler passe de une sur 12 sites à zéro. L'accès d'un employé partant prend désormais fin lors du retrait de son appareil et de la réédition de la CRL, et non lors de la rotation de clé suivante.

Une chaîne de 150 magasins de détail avec des terminaux portables partagés

Situation. Chaque magasin utilise quatre terminaux portables Android partagés et deux ordinateurs portables Windows de back-office, soit 900 appareils au total. Les terminaux portables passent d'un employé à l'autre à chaque service, les certificats nominatifs n'ont donc aucun sens. Le service RADIUS SaaS de la chaîne ne peut pas atteindre une CRL publiée uniquement sur le réseau interne.

Ce qui a été fait. La chaîne enregistre les terminaux portables en tant qu'appareils dédiés Android Enterprise et délivre des certificats d'appareil via SCEP. Un seul profil WiFi par plateforme dessert l'ensemble des magasins, car le SSID est identique partout. La CRL est déplacée vers un point de distribution HTTP accessible sur Internet.

Résultat mesurable. Aucun terminal portable partagé ne contient de mot de passe WiFi. Le personnel du magasin cesse de demander la clé après chaque modification. Un terminal portable perdu est bloqué en le retirant dans Intune, et son certificat échoue lors de la prochaine authentification après le rafraîchissement de la CRL.

Combien coûte le déploiement de certificats WiFi Intune et quel est le retour sur investissement ?

Ce que cela coûte

• Licences. La plupart des parcs possèdent déjà Intune via Microsoft 365 ou Enterprise Mobility + Security, il n'y a donc pas de nouveau coût par utilisateur.
• Serveurs. AD CS, NDES et NPS sont des rôles Windows Server qui ne nécessitent aucune licence distincte au-delà de Windows Server.
• PKI Cloud. Microsoft Cloud PKI est un module complémentaire payant, également inclus dans Microsoft Intune Suite. Comparez son coût à la création et à la maintenance d'une autorité de certification (CA) et de NDES sur site.
• Effort. Le travail réside dans la conception de la PKI, la publication NDES et la phase pilote. La configuration des trois profils prend quelques heures, pas des semaines.

Ce que vous y gagnez

• Aucune clé WiFi partagée. Cela élimine la rotation des clés que l'exigence 2.3.2 de la norme PCI-DSS impose aux réseaux sans fil connectés à l'environnement des données de titulaires de cartes.
• Accès révocable pour les collaborateurs sortants. La mise au rebut d'un appareil dans Intune peut révoquer son certificat, ainsi l'accès WiFi suit le processus de gestion des entrées, mutations et sorties (JML) de vos collaborateurs.
• Compatibilité avec Credential Guard. EAP-TLS continue de fonctionner là où Windows bloque l'authentification unique 802.1X basée sur mot de passe.
• Identifiant impossible à hameçonner. Un certificat lié à un TPM ne peut pas être saisi dans une fausse page de connexion.
• Pas d'expiration de mot de passe. Les certificats se renouvellerent automatiquement avant leur expiration, ce qui élimine les réinitialisations de mot de passe comme cause de tickets d'assistance WiFi.

Planifiez la gestion du GDPR dès le départ. Les objets de certificat contenant le nom d'utilisateur d'un employé constituent des données personnelles dans vos journaux RADIUS. Définissez une durée de conservation et limitez l'accès à ces journaux.

Purple exécute le WiFi collaborateurs et le WiFi visiteurs côte à côte sur plus de 80 000 sites actifs (données Purple). La plateforme est indépendante du matériel et fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Purple détient la certification ISO 27001. Nos réseaux basés sur l'identité (Identity-Based Networks) fonctionnent avec Microsoft Entra ID, Okta et Google Workspace, permettant à l'accès du personnel de suivre la même source d'identité que votre parc Intune. Du côté des visiteurs, les analyses WiFi génèrent des rapports sur les connexions des invités séparément du trafic du personnel.

Foire aux questions

Faut-il des licences supplémentaires pour déployer des certificats WiFi via Intune ?

Non, pas pour SCEP via NDES ni pour PKCS. Intune est inclus dans Microsoft 365 E3, E5 et Business Premium, ainsi que dans Enterprise Mobility + Security E3 et E5. Active Directory Certificate Services et NDES sont des rôles Windows Server, ils ne nécessitent donc que vos licences Windows Server existantes. La seule exception est Microsoft Cloud PKI, un module complémentaire payant également inclus dans Microsoft Intune Suite. Ne prévoyez un budget pour celui-ci que si vous souhaitez éviter d'exécuter une autorité de certification (CA) sur site.

Le WiFi basé sur certificat via Intune fonctionnera-t-il avec vos points d'accès existants ?

Oui, à condition que vos points d'accès puissent diffuser un SSID WPA2-Enterprise ou WPA3-Enterprise. EAP-TLS s'exécute entre l'appareil et le serveur RADIUS, et le point d'accès se contente de le relayer selon la norme IEEE 802.1X. Purple est indépendant du matériel et fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous conservez le matériel que vous possédez déjà et modifiez uniquement les paramètres de sécurité du SSID.

Pouvez-vous passer de PEAP ou d'un mot de passe partagé à EAP-TLS sans interruption de service ?

Oui. Exécutez le nouvel SSID 802.1X en parallèle de l'ancien, ou configurez votre serveur RADIUS pour accepter à la fois PEAP et EAP-TLS pendant la transition. Déployez d'abord les trois profils Intune sur un groupe pilote. Confirmez les authentifications EAP-TLS réussies dans vos journaux RADIUS, puis élargissez l'attribution par vagues. Supprimez le profil WiFi hérité uniquement après que le nouveau a confirmé sa réussite, puis retirez l'ancien SSID.

Devez-vous choisir SCEP ou PKCS pour le WiFi du personnel ?

Choisissez SCEP. Avec SCEP, l'appareil génère sa propre clé privée, qui ne le quitte jamais, et Windows peut stocker cette clé dans le TPM. PKCS crée la clé en dehors de l'appareil et la lui transmet. Cela élimine le serveur NDES mais élargit les emplacements où la clé a existé. Choisissez PKCS uniquement si vous utilisez Active Directory Certificate Services et ne pouvez pas publier NDES, ou utilisez Microsoft Cloud PKI pour SCEP sans NDES.

Avez-vous toujours besoin d'un serveur NDES ?

Uniquement pour SCEP avec une autorité de certification Active Directory Certificate Services locale. Microsoft Cloud PKI fournit un point de terminaison SCEP hébergé, vous n'exécutez donc aucun serveur NDES, connecteur ou autorité de certification locale. Les profils PKCS évitent également NDES, car le Certificate Connector pour Microsoft Intune demande des certificats à votre autorité de certification via des connexions sortantes. Les autorités de certification tierces prises en charge par Intune peuvent également émettre des certificats SCEP sans NDES.

À quelle vitesse l'accès WiFi prend-il fin lorsqu'une personne quitte l'entreprise ?

Aussi rapidement que votre processus de révocation le permet. Lorsque vous retirez ou effacez un appareil dans Intune, le Certificate Connector peut révoquer son certificat sur votre autorité de certification. L'accès prend fin lorsque votre serveur RADIUS constate cette révocation, via une liste CRL actualisée ou une vérification OCSP. Raccourcissez l'intervalle de publication de la liste CRL, ou utilisez OCSP, si une suppression dans la même heure est importante. La simple désactivation du compte peut ne pas stopper un certificat valide, sauf si RADIUS vérifie également l'annuaire.

Le WiFi basé sur des certificats aide-t-il pour PCI-DSS et le GDPR ?

Oui. La exigence 2.3.2 de PCI-DSS v4.0 stipule que les clés sans fil sur les réseaux connectés à l'environnement des données de titulaires de cartes doivent changer dès qu'une personne les connaissant quitte l'entreprise. Les certificats par appareil signifient qu'aucune clé partagée n'existe à faire tourner. Concernant le GDPR, traitez les sujets de certificats contenant le nom d'utilisateur d'un membre du personnel comme des données personnelles. Définissez une durée de conservation pour les journaux RADIUS, restreignez leur accès et enregistrez le traitement.