SCEP और PKCS के माध्यम से Microsoft Intune WiFi प्रमाणपत्र परिनियोजन
यह मार्गदर्शिका SCEP और PKCS का उपयोग करके Microsoft Intune के माध्यम से WiFi प्रमाणीकरण प्रमाणपत्रों को तैनात करने के लिए चरण-दर-चरण तकनीकी संदर्भ प्रदान करती है। इसे उन IT प्रबंधकों और नेटवर्क आर्किटेक्ट्स के लिए डिज़ाइन किया गया है जो एंटरप्राइज़ परिवेशों में निर्बाध, सुरक्षित कनेक्टिविटी सुनिश्चित करने के लिए पासवर्ड रहित 802.1X WiFi लागू कर रहे हैं।
कार्यकारी सारांश
एंटरप्राइज़ स्थानों के लिए—चाहे वह व्यस्त Hospitality वातावरण हो, मल्टी-साइट Retail संचालन हो, या आधुनिक कॉर्पोरेट कैंपस—कर्मचारी WiFi के लिए प्री-शेयर्ड कीज़ (pre-shared keys) या बुनियादी Captive Portal पर निर्भर रहना एक सुरक्षा भेद्यता और परिचालन बाधा है। आधुनिक नेटवर्क आर्किटेक्चर EAP-TLS का उपयोग करके 802.1X प्रमाणीकरण की मांग करता है, जिससे यह सुनिश्चित होता है कि नेटवर्क तक पहुँचने से पहले प्रत्येक डिवाइस को क्रिप्टोग्राफ़िक रूप से सत्यापित किया गया है।
हालांकि, चुनौती वितरण में है: हजारों Windows, iOS, और Android डिवाइसों पर अद्वितीय क्लाइंट प्रमाणपत्र कैसे तैनात किए जाएं, बिना आपके हेल्पडेस्क को सपोर्ट टिकटों में डुबोए? Microsoft Intune इसे स्वचालित प्रमाणपत्र जीवनचक्र प्रबंधन के माध्यम से हल करता है। SCEP (Simple Certificate Enrollment Protocol) या PKCS (Public Key Cryptography Standards) प्रमाणपत्र प्रोफाइल का लाभ उठाकर, IT टीमें प्रबंधित एंडपॉइंट्स पर विश्वसनीय रूट और क्लाइंट प्रमाणपत्रों को चुपचाप पुश कर सकती हैं।
यह मार्गदर्शिका Intune WiFi प्रमाणपत्र परिनियोजन के लिए एक निश्चित आर्किटेक्चरल ब्लूप्रिंट और चरण-दर-चरण कार्यान्वयन रणनीति प्रदान करती है। हम SCEP और PKCS के बीच महत्वपूर्ण अंतरों का पता लगाएंगे, सफलता के लिए आवश्यक सटीक परिनियोजन अनुक्रम का विवरण देंगे, और यह सुनिश्चित करने के लिए वास्तविक दुनिया की जोखिम शमन रणनीतियों को रेखांकित करेंगे कि आपका Guest WiFi और कॉर्पोरेट नेटवर्क सुरक्षित और प्रदर्शनकारी बने रहें।
साथी पॉडकास्ट ब्रीफिंग सुनें:
तकनीकी गहन विश्लेषण: SCEP बनाम PKCS
अपनी Intune WiFi प्रमाणपत्र परिनियोजन रणनीति तैयार करते समय, पहला आर्किटेक्चरल निर्णय प्रमाणपत्र वितरण तंत्र का चयन करना है। Intune SCEP और PKCS दोनों का समर्थन करता है, लेकिन वे मौलिक रूप से अलग तरह से काम करते हैं।
SCEP (Simple Certificate Enrollment Protocol)
SCEP एंटरप्राइज़ डिवाइस नामांकन के लिए उद्योग मानक है। SCEP वर्कफ़्लो में, Intune सेवा एंडपॉइंट को अपनी स्वयं की प्राइवेट/पब्लिक की (key) जोड़ी बनाने का निर्देश देती है। डिवाइस फिर एक प्रमाणपत्र हस्ताक्षर अनुरोध (CSR) बनाता है और इसे नेटवर्क डिवाइस नामांकन सेवा (NDES) सर्वर के माध्यम से आपके प्रमाणपत्र प्राधिकरण (CA) को भेजता है। CA अनुरोध पर हस्ताक्षर करता है और डिवाइस को पब्लिक प्रमाणपत्र लौटाता है।
SCEP का महत्वपूर्ण सुरक्षा लाभ यह है कि प्राइवेट की कभी भी डिवाइस नहीं छोड़ती है। यह स्थानीय रूप से उत्पन्न होती है, डिवाइस के सुरक्षित एन्क्लेव (जैसे Windows पर TPM या iOS पर Secure Enclave) में संग्रहीत होती है, और इसे कभी भी नेटवर्क पर प्रसारित नहीं किया जाता है। यह SCEP को 802.1X प्रमाणीकरण के लिए दृढ़ता से अनुशंसित दृष्टिकोण बनाता है।
PKCS (Public Key Cryptography Standards)
इसके विपरीत, PKCS के साथ, प्रमाणपत्र प्राधिकरण पब्लिक और प्राइवेट दोनों कीज़ को केंद्रीय रूप से उत्पन्न करता है। Microsoft Intune प्रमाणपत्र कनेक्टर फिर इस की-पेयर को सुरक्षित रूप से निर्यात करता है और इसे लक्षित डिवाइस पर पुश करता है।
जबकि PKCS एक NDES सर्वर को तैनात करने और बनाए रखने की आवश्यकता को समाप्त करता है—इन्फ्रास्ट्रक्चर पदचिह्न को सरल बनाता है—यह एक सैद्धांतिक सुरक्षा जोखिम पेश करता है क्योंकि प्राइवेट की नेटवर्क पर प्रसारित होती है। PKCS आम तौर पर उन उपयोग के मामलों के लिए बेहतर अनुकूल है जहां की-एस्क्रो (key escrow) की आवश्यकता होती है, जैसे S/MIME ईमेल एन्क्रिप्शन, न कि नेटवर्क प्रमाणीकरण के लिए।
कार्यान्वयन मार्गदर्शिका: परिनियोजन अनुक्रम
802.1X के लिए Intune WiFi प्रोफ़ाइल को सफलतापूर्वक कॉन्फ़िगर करने के लिए एक विशिष्ट परिनियोजन अनुक्रम का कड़ाई से पालन करना आवश्यक है। Intune प्रोफ़ाइल निर्भरता यह तय करती है कि प्रमाणीकरण कॉन्फ़िगर करने से पहले विश्वास (trust) स्थापित किया जाना चाहिए।
चरण 1: विश्वसनीय रूट प्रमाणपत्र प्रोफ़ाइल तैनात करें
इससे पहले कि कोई भी डिवाइस क्लाइंट प्रमाणपत्र का अनुरोध कर सके या आपके RADIUS सर्वर पर भरोसा कर सके, उसे जारी करने वाले प्रमाणपत्र प्राधिकरण पर भरोसा करना चाहिए।
- अपने रूट CA प्रमाणपत्र (और किसी भी मध्यवर्ती CA प्रमाणपत्र) को
.cerफ़ाइलों के रूप में निर्यात करें। - Microsoft Endpoint Manager एडमिन सेंटर में, Devices > Configuration profiles > Create profile पर जाएं।
- लक्षित प्लेटफ़ॉर्म (जैसे, Windows 10 और बाद के संस्करण) चुनें और Trusted certificate प्रोफ़ाइल प्रकार चुनें।
.cerफ़ाइल अपलोड करें और इस प्रोफ़ाइल को अपने लक्षित डिवाइस समूहों में तैनात करें।
अनुभवजन्य नियम: परिनियोजन बेमेल को रोकने के लिए हमेशा सभी संबंधित प्रोफाइल में एक ही समूह (या तो उपयोगकर्ता या डिवाइस) को लक्षित करें।
चरण 2: SCEP प्रमाणपत्र प्रोफ़ाइल कॉन्फ़िगर करें
एक बार विश्वास स्थापित हो जाने के बाद, डिवाइस को अपना क्लाइंट प्रमाणपत्र प्राप्त करने के निर्देश देने के लिए SCEP प्रोफ़ाइल कॉन्फ़िगर करें।
- एक नई कॉन्फ़िगरेशन प्रोफ़ाइल बनाएं और SCEP certificate चुनें।
- Subject name format कॉन्फ़िगर करें। उपयोगकर्ता-संचालित प्रमाणीकरण के लिए,
CN={{UserPrincipalName}}मानक है। डिवाइस प्रमाणीकरण के लिए,CN={{AAD_Device_ID}}का उपयोग करें। - Key usage को
Digital signatureऔरKey enciphermentपर सेट करें। - Extended key usage के तहत,
Client Authentication(OID: 1.3.6.1.5.5.7.3.2) निर्दिष्ट करें। - इस प्रोफ़ाइल को चरण 1 में बनाई गई विश्वसनीय रूट प्रमाणपत्र प्रोफ़ाइल से लिंक करें।
- अपने NDES सर्वर का बाहरी URL प्रदान करें।
चरण 3: 802.1X WiFi प्रोफ़ाइल तैनात करें
अंतिम चरण WiFi कॉन्फ़िगरेशन को पुश करना है जो प्रमाणपत्रों को नेटवर्क SSID से जोड़ता है।
- एक Wi-Fi कॉन्फ़िगरेशन प्रोफ़ाइल बनाएं।
- Network name (SSID) ठीक वैसे ही दर्ज करें जैसे वह आपके Wireless Access Points द्वारा प्रसारित किया जाता है।
- सुरक्षा प्रकार के रूप में WPA2-Enterprise या WPA3-Enterprise चुनें।
- EAP type को EAP-TLS पर सेट करें।
- प्रमाणीकरण सेटिंग्स में, चरण 2 में बनाई गई SCEP प्रमाणपत्र प्रोफ़ाइल का चयन करें क्लाइंट ऑथेंटिकेशन सर्टिफिकेट के रूप में।
- सर्वर वैलिडेशन के लिए Trusted Root सर्टिफिकेट निर्दिष्ट करें ताकि यह सुनिश्चित हो सके कि डिवाइस केवल आपके वैध RADIUS सर्वर से कनेक्ट हो।
सर्वोत्तम प्रथाएं और उद्योग मानक
Intune WiFi सर्टिफिकेट डिप्लॉयमेंट लागू करते समय, अनुपालन और विश्वसनीयता सुनिश्चित करने के लिए निम्नलिखित वेंडर-न्यूट्रल सर्वोत्तम प्रथाओं का पालन करें।
NDES सर्वर प्लेसमेंट और सुरक्षा
रिमोट डिवाइसेस को ऑन-साइट आने से पहले सर्टिफिकेट प्रोविजन करने की अनुमति देने के लिए NDES सर्वर इंटरनेट से सुलभ होना चाहिए। हालांकि, किसी इंटरनल सर्वर को सीधे इंटरनेट पर एक्सपोज करना एक महत्वपूर्ण सुरक्षा जोखिम है।
सिफारिश: Azure AD Application Proxy का उपयोग करके NDES URL को पब्लिश करें। यह इनबाउंड फायरवॉल पोर्ट खोले बिना सुरक्षित रिमोट एक्सेस प्रदान करता है और आपको एनरोलमेंट फ्लो पर Conditional Access नीतियां लागू करने की अनुमति देता है।
RADIUS और CRL चेकिंग
सर्टिफिकेट डिप्लॉयमेंट सुरक्षा समीकरण का केवल आधा हिस्सा है; रिवोकेशन (निरस्तीकरण) भी उतना ही महत्वपूर्ण है। यदि किसी कर्मचारी को हटा दिया जाता है, तो उनके Active Directory अकाउंट को अक्षम करने से उनकी WiFi एक्सेस तुरंत निरस्त नहीं हो सकती है यदि उनका क्लाइंट सर्टिफिकेट वैध रहता है और RADIUS सर्वर सख्ती से Certificate Revocation List (CRL) की जांच नहीं कर रहा है।
सिफारिश: सख्त CRL चेकिंग लागू करने के लिए अपने Network Policy Server (NPS) या RADIUS सर्वर को कॉन्फ़िगर करें। सुनिश्चित करें कि आपके CRL Distribution Points (CDPs) अत्यधिक उपलब्ध हैं; यदि RADIUS सर्वर CRL तक नहीं पहुंच पाता है, तो ऑथेंटिकेशन विफल हो जाएगा, जिससे व्यापक आउटेज हो सकता है।
सुरक्षित नेटवर्क डिज़ाइन पर अधिक जानकारी के लिए, आधुनिक व्यवसायों के लिए मुख्य SD WAN लाभ की समीक्षा करने पर विचार करें।
समस्या निवारण और जोखिम शमन
सावधानीपूर्वक योजना बनाने के बाद भी, सर्टिफिकेट डिप्लॉयमेंट में समस्याएं आ सकती हैं। यहाँ सामान्य विफलता मोड और शमन रणनीतियाँ दी गई हैं।
समस्या: WiFi प्रोफाइल लागू होने में विफल
लक्षण: डिवाइस को Trusted Root और SCEP सर्टिफिकेट प्राप्त होते हैं, लेकिन WiFi प्रोफाइल Intune में 'Error' या 'Not Applicable' के रूप में दिखाई देती है।
मूल कारण: यह लगभग हमेशा ग्रुप टारगेटिंग में मिसमैच के कारण होता है। यदि SCEP प्रोफाइल किसी User Group को सौंपी गई है, लेकिन WiFi प्रोफाइल किसी Device Group को सौंपी गई है, तो Intune डिपेंडेंसी को हल नहीं कर सकता है।
शमन: अपने असाइनमेंट का ऑडिट करें। सुनिश्चित करें कि Trusted Root, SCEP और WiFi प्रोफाइल सभी एक ही Azure AD ग्रुप में डिप्लॉय किए गए हैं।
समस्या: NDES 403 Forbidden एरर
लक्षण: डिवाइस SCEP सर्टिफिकेट प्राप्त करने में विफल रहते हैं, और NDES IIS लॉग HTTP 403 एरर दिखाते हैं।
मूल कारण: Intune Certificate Connector सर्विस अकाउंट के पास सर्टिफिकेट टेम्पलेट पर आवश्यक अनुमतियां नहीं हैं, या आपके फायरवॉल पर URL फ़िल्टरिंग SCEP द्वारा उपयोग किए जाने वाले विशिष्ट क्वेरी स्ट्रिंग पैरामीटर को ब्लॉक कर रही है।
शमन: सत्यापित करें कि कनेक्टर अकाउंट के पास CA टेम्पलेट पर 'Read' और 'Enroll' अनुमतियां हैं। यह सुनिश्चित करने के लिए फायरवॉल लॉग की जांच करें कि ?operation=GetCACaps वाले URL ब्लॉक नहीं किए जा रहे हैं।
ROI और व्यावसायिक प्रभाव
Microsoft Intune 802.1X सर्टिफिकेट डिप्लॉयमेंट पर स्विच करना सुरक्षा और संचालन में मापने योग्य रिटर्न प्रदान करता है।
- हेल्पडेस्क टिकटों में कमी: पासवर्ड-आधारित WiFi बड़ी संख्या में सपोर्ट टिकट (पासवर्ड की समाप्ति, लॉकआउट, टाइपो) उत्पन्न करता है। सर्टिफिकेट-आधारित ऑथेंटिकेशन यूजर के लिए अदृश्य है, जो आमतौर पर WiFi से संबंधित हेल्पडेस्क वॉल्यूम को 70-80% तक कम कर देता है।
- उन्नत सुरक्षा स्थिति: EAP-TLS क्रेडेंशियल हार्वेस्टिंग और Man-in-the-Middle (MitM) हमलों के जोखिम को समाप्त करता है। यह PCI DSS और GDPR जैसे फ्रेमवर्क के अनुपालन के लिए महत्वपूर्ण है, विशेष रूप से स्वास्थ्य सेवा और रिटेल वातावरण में।
- निर्बाध ऑनबोर्डिंग: Windows के साथ Apple डिवाइसेस के बड़े बेड़े का प्रबंधन करने वाले संगठनों के लिए, मौजूदा MDM वर्कफ़्लो के साथ Intune को एकीकृत करना (हमारा गाइड Jamf और RADIUS: Apple डिवाइस बेड़े के लिए सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन देखें) पहले दिन से एक एकीकृत, ज़ीरो-टच प्रोविजनिंग अनुभव सुनिश्चित करता है।
मुख्य शब्द और परिभाषाएं
SCEP (Simple Certificate Enrollment Protocol)
A protocol that allows devices to request digital certificates from a Certificate Authority, where the private key is generated and stored securely on the device itself.
The recommended method for deploying WiFi authentication certificates due to its high security and scalability.
PKCS (Public Key Cryptography Standards)
A set of standards where both the public and private keys are generated by the Certificate Authority and then securely delivered to the endpoint.
Often used for S/MIME email encryption, but less ideal for WiFi due to the network transmission of the private key.
NDES (Network Device Enrollment Service)
A Microsoft Windows Server role that acts as a bridge, allowing devices without domain credentials to obtain certificates via SCEP.
A required infrastructure component when implementing SCEP certificate deployment with Microsoft Intune.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
The most secure 802.1X authentication method, requiring both the server and the client to present valid digital certificates.
The target authentication protocol that the Intune WiFi and certificate profiles are designed to enable.
CRL (Certificate Revocation List)
A list published by the Certificate Authority containing the serial numbers of certificates that have been revoked before their expiration date.
Critical for security; RADIUS servers must check the CRL to ensure terminated employees cannot access the WiFi using an otherwise valid certificate.
Intune Certificate Connector
A software agent installed on an on-premises Windows Server that brokers requests between Microsoft Intune and the internal Certificate Authority.
Required for both SCEP (to validate requests) and PKCS (to export keys) deployments.
Subject Alternative Name (SAN)
An extension to a digital certificate that allows multiple values (like UPN, email, or MAC address) to be associated with the certificate.
Configured in the Intune SCEP profile to ensure the RADIUS server can accurately identify the user or device.
Azure AD Application Proxy
A feature that provides secure remote access to on-premises web applications without requiring a VPN or opening inbound firewall ports.
The best practice method for securely publishing the internal NDES server URL to the internet for remote device enrollment.
केस स्टडीज
A national retail chain with 500 locations is migrating from WPA2-Personal (Pre-Shared Key) to WPA3-Enterprise for their store associate tablets (Android Enterprise Dedicated Devices). They use Intune for MDM. How should they architect the certificate deployment?
- Deploy an NDES server published via Azure AD App Proxy.
- Create a Device-based SCEP certificate profile in Intune, as these are dedicated (kiosk) devices not tied to a specific user. Use
CN={{AAD_Device_ID}}for the Subject Name. - Deploy the Root CA profile to the 'All Store Tablets' Azure AD Device Group.
- Deploy the SCEP profile to the same 'All Store Tablets' group.
- Create a Wi-Fi profile configured for WPA3-Enterprise, EAP-TLS, referencing the SCEP profile, and deploy it to the same group.
- Configure the central RADIUS servers to authenticate the device certificates against the Active Directory computer objects.
A large conference centre uses Purple for their [WiFi Analytics](/products/wifi-analytics) and Guest WiFi, but needs to secure their internal staff network. Staff use a mix of corporate-owned Windows laptops and BYOD iOS devices. How do they handle the Intune deployment for the BYOD devices?
- Require BYOD users to enroll their iOS devices via Intune User Enrollment (creating a secure work partition).
- Create a User-based SCEP certificate profile using
CN={{UserPrincipalName}}. - Deploy the Root CA, SCEP, and Wi-Fi profiles to an Azure AD User Group (e.g., 'All Staff').
- When the user enrolls their personal device, Intune pushes the profiles specifically to the managed work partition.
- The device connects to the staff SSID using the user's identity, allowing the RADIUS server to apply role-based access control (VLAN assignment) based on their AD group membership.
परिदृश्य विश्लेषण
Q1. You have deployed the Root CA, SCEP, and Wi-Fi profiles to your Windows 10 devices. The certificates install successfully, but the Wi-Fi profile fails to apply, showing 'Error' in the Intune console. What is the most likely cause?
💡 संकेत:Check how the profiles are assigned to Azure AD groups.
अनुशंसित दृष्टिकोण दिखाएं
The most likely cause is a mismatch in group targeting. If the SCEP profile was assigned to a User Group, but the Wi-Fi profile was assigned to a Device Group, Intune cannot resolve the dependency between them. All three profiles (Root, SCEP, Wi-Fi) must be targeted to the exact same group type.
Q2. Your security team mandates that private keys must never be transmitted across the network, even if encrypted. Which certificate deployment method must you use in Intune, and what additional infrastructure server is required?
💡 संकेत:Think about where the key pair is generated.
अनुशंसित दृष्टिकोण दिखाएं
You must use SCEP (Simple Certificate Enrollment Protocol). Because SCEP instructs the endpoint device to generate the private key locally, it never traverses the network. This deployment requires a Network Device Enrollment Service (NDES) server to act as a bridge to the Certificate Authority.
Q3. A remote employee provisions a new laptop at home via Windows Autopilot. The Intune profiles deploy successfully, but the device fails to obtain the SCEP certificate. What infrastructure configuration is likely missing?
💡 संकेत:How does the device reach the internal CA from the internet?
अनुशंसित दृष्टिकोण दिखाएं
The NDES server has likely not been published to the internet. For remote devices to request certificates before arriving at the corporate office, the NDES URL must be externally accessible, ideally published securely via Azure AD Application Proxy.
मुख्य निष्कर्ष
- ✓802.1X EAP-TLS is the standard for secure enterprise WiFi, requiring client certificates on all devices.
- ✓Microsoft Intune automates certificate deployment at scale using SCEP or PKCS profiles.
- ✓SCEP is highly recommended for WiFi as the private key is generated locally and never leaves the device.
- ✓Deployment requires a strict sequence: 1) Trusted Root, 2) SCEP Profile, 3) Wi-Fi Profile.
- ✓Group targeting (User vs. Device) must be identical across all three profiles to prevent dependency failures.
- ✓NDES servers should be published via Azure AD App Proxy to allow secure, remote certificate provisioning.
- ✓Strict CRL checking on the RADIUS server is mandatory to ensure revoked certificates cannot access the network.
