डिवाइस पर WiFi सर्टिफ़िकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें

डिवाइस पर WiFi सर्टिफ़िकेट पुश करने के लिए MICROSOFT INTUNE का उपयोग कैसे करें एक Purple एंटरप्राइज़ WiFi इंटेलिजेंस ब्रीफ़िंग [परिचय और संदर्भ — लगभग 1 मिनट] वापसी पर स्वागत है। मैं आज एंटरप्राइज़ WiFi इंटेलिजेंस प्लेटफ़ॉर्म, Purple की ओर से बोल रहा हूँ, और यह एपिसोड Microsoft Intune टूलकिट में सबसे व्यावहारिक — और ईमानदारी से, सबसे कम आंके गए — क्षमताओं में से एक पर एक केंद्रित ब्रीफ़िंग है: 802.1X WiFi प्रमाणीकरण के लिए स्वचालित सर्टिफ़िकेट परिनियोजन। यदि आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या सार्वजनिक क्षेत्र के एस्टेट में WiFi का प्रबंधन कर रहे हैं, तो आप उस दर्द बिंदु (pain point) को जानेंगे जिसका मैं वर्णन करने जा रहा हूँ। आपके पास सैकड़ों या हज़ारों प्रबंधित डिवाइस हैं। आप चाहते हैं कि वे आपके कॉर्पोरेट WiFi से स्वचालित रूप से, सुरक्षित रूप से कनेक्ट हों, बिना उपयोगकर्ताओं के पासवर्ड टाइप किए, बिना IT के हर एक डिवाइस को छुए। और आप चाहते हैं कि वह कनेक्शन क्रिप्टोग्राफ़िक रूप से मज़बूत हो — न कि केवल एक साझा पासवर्ड जिसे किसी ने पहले ही आधे संगठन को ईमेल कर दिया हो। Intune सर्टिफ़िकेट परिनियोजन बिल्कुल यही हल करता है। और अगले नौ मिनटों में, मैं आपको बताने जा रहा हूँ कि यह कैसे काम करता है, इसे कैसे परिनियोजित किया जाए, और वे कमियाँ जो पहले प्रयास में अधिकांश टीमों को पकड़ लेती हैं। [तकनीकी डीप-डाइव — लगभग 5 मिनट] आइए आर्किटेक्चर से शुरू करते हैं। यहाँ आधार IEEE 802.1X है — पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक जो दो दशकों से अधिक समय से एंटरप्राइज़ WiFi सुरक्षा की रीढ़ रहा है। जब कोई डिवाइस आपके WiFi से कनेक्ट होता है, तो 802.1X को किसी भी नेटवर्क एक्सेस प्राप्त करने से पहले उसे प्रमाणित करने की आवश्यकता होती है। प्रमाणीकरण वार्तालाप तीन पक्षों के बीच होता है: डिवाइस — जिसे सप्लिकेंट कहा जाता है — आपका WiFi एक्सेस पॉइंट, जो ऑथेंटिकेटर के रूप में कार्य करता है, और आपका RADIUS सर्वर, जो ऑथेंटिकेशन सर्वर है जो अंतिम निर्णय लेता है。 अब, 802.1X कई प्रमाणीकरण विधियों का समर्थन करता है। सबसे सुरक्षित EAP-TLS है — Extensible Authentication Protocol with Transport Layer Security। EAP-TLS पारस्परिक सर्टिफ़िकेट प्रमाणीकरण का उपयोग करता है: डिवाइस अपनी पहचान साबित करने के लिए एक सर्टिफ़िकेट प्रस्तुत करता है, और RADIUS सर्वर अपनी पहचान साबित करने के लिए एक सर्टिफ़िकेट प्रस्तुत करता है। कोई पासवर्ड शामिल नहीं है। कोई क्रेडेंशियल नहीं जिसे फ़िश किया जा सके। यही हमारा लक्ष्य है। चुनौती हमेशा उन सर्टिफ़िकेट्स को बड़े पैमाने पर डिवाइसों पर प्राप्त करने की रही है। यहीं पर Microsoft Intune आता है। Intune दो सर्टिफ़िकेट परिनियोजन तंत्रों का समर्थन करता है: SCEP — सिंपल सर्टिफ़िकेट एनरोलमेंट प्रोटोकॉल — और PKCS, जिसका अर्थ है पब्लिक की क्रिप्टोग्राफ़ी स्टैंडर्ड्स। अंतर को समझना मायने रखता है। SCEP के साथ, प्राइवेट की डिवाइस पर ही जनरेट होती है। डिवाइस एक सर्टिफ़िकेट साइनिंग रिक्वेस्ट बनाता है, इसे NDES — नेटवर्क डिवाइस एनरोलमेंट सर्विस — नामक मध्यस्थ सर्वर के माध्यम से आपके सर्टिफ़िकेट अथॉरिटी को भेजता है, और CA सर्टिफ़िकेट वापस जारी करता है। प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है। यह अधिक सुरक्षित दृष्टिकोण है और BYOD वातावरण और उच्च-सुरक्षा परिनियोजन के लिए अनुशंसित है। PKCS के साथ, सर्टिफ़िकेट अथॉरिटी की पेयर (key pair) जनरेट करती है, और Intune सर्टिफ़िकेट कनेक्टर प्राइवेट की और सर्टिफ़िकेट को डिवाइस तक पहुँचाता है। इसे सेट अप करना आसान है — किसी NDES सर्वर की आवश्यकता नहीं है — लेकिन प्राइवेट की कनेक्टर के माध्यम से ट्रांज़िट करती है, जो आपकी सुरक्षा स्थिति के लिए एक विचारणीय बिंदु है। अधिकांश एंटरप्राइज़ परिनियोजन के लिए मैं BYOD और मिश्रित-डिवाइस वातावरण के लिए SCEP की अनुशंसा करूँगा, और PKCS वहाँ जहाँ आपके पास कॉर्पोरेट-स्वामित्व वाले Windows डिवाइसों का एक सजातीय बेड़ा है और आप इन्फ्रास्ट्रक्चर की जटिलता को कम करना चाहते हैं। अब, परिनियोजन अनुक्रम के बारे में बात करते हैं — क्योंकि क्रम मायने रखता है और इसे गलत करना विफल रोलआउट का सबसे आम कारण है। चरण एक: अपना सर्टिफ़िकेट अथॉरिटी कॉन्फ़िगर करें। आपको अपने एक्टिव डायरेक्ट्री सर्टिफ़िकेट सर्विसेज़ इंस्टेंस पर एक सर्टिफ़िकेट टेम्प्लेट की आवश्यकता है — या यदि आप पूरी तरह से क्लाउड-नेटिव हैं, तो Microsoft का Intune Cloud PKI अब आम तौर पर उपलब्ध है और ऑन-प्रिमाइसेस CA आवश्यकता को पूरी तरह से हटा देता है। टेम्प्लेट को सही की उपयोग एक्सटेंशन की आवश्यकता है: क्लाइंट प्रमाणीकरण अनिवार्य है। न्यूनतम की आकार 2048 बिट्स, या 4096 सेट करें यदि आपके संगठन की सुरक्षा नीति को इसकी आवश्यकता है। चरण दो: ट्रस्टेड रूट सर्टिफ़िकेट परिनियोजित करें। इससे पहले कि कोई डिवाइस RADIUS सर्वर के सर्टिफ़िकेट को मान्य कर सके, उसे उस CA पर भरोसा करना होगा जिसने इसे जारी किया है। आप Intune में एक Trusted Certificate कॉन्फ़िगरेशन प्रोफ़ाइल बनाते हैं, रूट CA सर्टिफ़िकेट अपलोड करते हैं, और इसे अपने डिवाइस समूहों को असाइन करते हैं। यह किसी भी WiFi प्रोफ़ाइल या क्लाइंट सर्टिफ़िकेट प्रोफ़ाइल से पहले डिवाइसों पर आना चाहिए। यदि आप अनुक्रमण गलत करते हैं, तो डिवाइस RADIUS सर्वर को अस्वीकार कर देंगे और आप Windows इवेंट लॉग में इवेंट ID 20271 को घूरते हुए एक दोपहर बिताएंगे। चरण तीन: क्लाइंट सर्टिफ़िकेट प्रोफ़ाइल परिनियोजित करें। यह या तो आपकी SCEP प्रोफ़ाइल है — जो आपके NDES सर्वर URL को इंगित करती है — या आपकी PKCS प्रोफ़ाइल, जो आपके सर्टिफ़िकेट अथॉरिटी को इंगित करती है। सब्जेक्ट अल्टरनेटिव नेम में उपयोगकर्ता सर्टिफ़िकेट के लिए यूज़र प्रिंसिपल नेम, या डिवाइस सर्टिफ़िकेट के लिए AAD Device ID शामिल होना चाहिए। यह अंतर मायने रखता है: उपयोगकर्ता सर्टिफ़िकेट लॉग-इन उपयोगकर्ता को प्रमाणित करते हैं, डिवाइस सर्टिफ़िकेट मशीन को ही प्रमाणित करते हैं, जिसका अर्थ है कि डिवाइस उपयोगकर्ता के लॉग इन करने से पहले WiFi से कनेक्ट हो सकता है — डोमेन जॉइन परिदृश्यों और कियोस्क परिनियोजन के लिए उपयोगी। चरण चार: WiFi कॉन्फ़िगरेशन प्रोफ़ाइल बनाएँ। Intune में, यह Devices, Configuration Profiles, Templates, Wi-Fi के अंतर्गत है। WiFi प्रकार को Enterprise पर सेट करें, अपना SSID दर्ज करें, EAP प्रकार को EAP-TLS पर सेट करें, सर्वर ट्रस्ट सेटिंग्स कॉन्फ़िगर करें — यह वह जगह है जहाँ आप RADIUS सर्वर सर्टिफ़िकेट नाम का संदर्भ देते हैं — और क्लाइंट प्रमाणीकरण के लिए, चरण तीन में आपके द्वारा बनाई गई सर्टिफ़िकेट प्रोफ़ाइल का संदर्भ दें। चरण पाँच: सब कुछ सही समूहों को असाइन करें और मान्य करें। अपने रूट सर्टिफ़िकेट, क्लाइंट सर्टिफ़िकेट और WiFi प्रोफ़ाइल को समान डिवाइस या उपयोगकर्ता समूहों को असाइन करें। प्रोफ़ाइल परिनियोजन स्थिति की निगरानी के लिए Intune की अंतर्निहित रिपोर्टिंग का उपयोग करें। एक सफल परिनियोजन डिवाइस की कॉन्फ़िगरेशन प्रोफ़ाइल सूची में सभी तीन प्रोफ़ाइलों को Succeeded के रूप में दिखाता है। Windows Server वातावरण के लिए NPS कॉन्फ़िगरेशन पर एक महत्वपूर्ण बिंदु: 2024 की शुरुआत से, Microsoft ने सर्टिफ़िकेट मैपिंग आवश्यकताओं को कड़ा कर दिया है। यदि आप ऑन-प्रिमाइसेस NPS के विरुद्ध प्रमाणित करने वाले Azure AD-जॉइन्ड डिवाइसों के साथ डिवाइस सर्टिफ़िकेट का उपयोग कर रहे हैं, तो आपको यह सुनिश्चित करने की आवश्यकता है कि एक्टिव डायरेक्ट्री में कंप्यूटर ऑब्जेक्ट पर altSecurityIdentities एट्रिब्यूट सर्टिफ़िकेट के थंबप्रिंट के साथ पॉप्युलेट किया गया है। यह स्वचालित रूप से नहीं होता है — इसे संभालने के लिए आपको एक स्क्रिप्ट या वर्कफ़्लो की आवश्यकता होती है, जो आमतौर पर तब ट्रिगर होता है जब CA एक नया सर्टिफ़िकेट जारी करता है। [कार्यान्वयन अनुशंसाएँ और कमियाँ — लगभग 2 मिनट] मैं आपको वे तीन कमियाँ बताता हूँ जो मैं अक्सर एंटरप्राइज़ परिनियोजन में देखता हूँ। कमी एक: सर्टिफ़िकेट चेन गैप। डिवाइस को रूट CA से लेकर RADIUS सर्वर के सर्टिफ़िकेट तक चेन के हर सर्टिफ़िकेट पर भरोसा करने की आवश्यकता होती है। यदि आपका RADIUS सर्वर सर्टिफ़िकेट किसी इंटरमीडिएट CA द्वारा जारी किया गया था, तो आपको डिवाइसों पर रूट और इंटरमीडिएट दोनों को परिनियोजित करने की आवश्यकता है। मैंने हफ्तों तक परिनियोजन विफल होते देखे हैं क्योंकि किसी ने रूट को परिनियोजित किया लेकिन इंटरमीडिएट को नहीं। कमी दो: प्रोफ़ाइल असाइनमेंट टाइमिंग। Intune प्रोफ़ाइल डिवाइसों पर तुरंत नहीं आती हैं। एक बड़े एस्टेट में, असाइनमेंट के बाद प्रोफ़ाइल को प्रसारित होने में 15 से 30 मिनट लग सकते हैं। प्रोफ़ाइल बनाने के तुरंत बाद परीक्षण न करें। चेक-इन को बाध्य करने के लिए Intune पोर्टल में Sync बटन का उपयोग करें, फिर प्रतीक्षा करें। इसके अलावा, WiFi प्रोफ़ाइल लागू होने से पहले क्लाइंट सर्टिफ़िकेट प्रोफ़ाइल को परिनियोजित और पुष्ट किया जाना चाहिए — यदि WiFi प्रोफ़ाइल किसी ऐसे सर्टिफ़िकेट का संदर्भ देती है जो अभी तक मौजूद नहीं है, तो प्रोफ़ाइल कुछ प्लेटफ़ॉर्म पर चुपचाप विफल हो जाएगी। कमी तीन: BYOD सर्टिफ़िकेट निरस्तीकरण। जब किसी डिवाइस को Intune से अनएनरोल किया जाता है — क्योंकि कोई कर्मचारी चला जाता है, या कोई डिवाइस खो जाता है — तो आपको सर्टिफ़िकेट रद्द करने की प्रक्रिया की आवश्यकता होती है। यदि आप ADCS के साथ SCEP का उपयोग कर रहे हैं, तो सर्टिफ़िकेट रिवोकेशन लिस्ट वितरण बिंदु को सही ढंग से कॉन्फ़िगर करें और सुनिश्चित करें कि आपका RADIUS सर्वर हर प्रमाणीकरण पर CRL या OCSP की जाँच कर रहा है। यह PCI DSS जैसे फ़्रेमवर्क के तहत एक अनुपालन आवश्यकता है, जो यह अनिवार्य करता है कि जब एक्सेस कंट्रोल तंत्र की आवश्यकता न हो तो उन्हें तुरंत रद्द कर दिया जाए। अनुपालन के विषय पर: यदि आप PCI DSS स्कोप में काम कर रहे हैं — उदाहरण के लिए, रिटेल भुगतान वातावरण — तो सर्टिफ़िकेट-आधारित 802.1X प्रमाणीकरण वायरलेस नेटवर्क एक्सेस के लिए आपका सबसे मज़बूत नियंत्रण है। यह नेटवर्क एक्सेस कंट्रोल के आसपास PCI DSS आवश्यकता 1.3 और प्रमाणीकरण कारकों के आसपास आवश्यकता 8.6 को पूरा करता है। अपने अनुपालन साक्ष्य के हिस्से के रूप में अपनी सर्टिफ़िकेट लाइफ़साइकल प्रबंधन प्रक्रिया का दस्तावेजीकरण करें। GDPR-विनियमित वातावरण के लिए, विशेष रूप से हॉस्पिटैलिटी और सार्वजनिक क्षेत्र में, आपके कॉर्पोरेट 802.1X नेटवर्क और आपके गेस्ट WiFi नेटवर्क के बीच अलगाव महत्वपूर्ण है। आपका कॉर्पोरेट Intune-प्रबंधित नेटवर्क किसी भी गेस्ट या विज़िटर नेटवर्क से पूरी तरह से अलग VLAN और SSID पर होना चाहिए। Purple का गेस्ट WiFi प्लेटफ़ॉर्म विज़िटर-फ़ेसिंग पक्ष को संभालता है — Captive Portal, सहमति कैप्चर, एनालिटिक्स — जबकि आपका Intune-प्रबंधित कॉर्पोरेट नेटवर्क कर्मचारियों और परिचालन डिवाइसों को संभालता है। इन दोनों नेटवर्कों को कभी भी प्रमाणीकरण इन्फ्रास्ट्रक्चर साझा नहीं करना चाहिए। [रैपिड-फ़ायर Q&A — लगभग 1 मिनट] मैं कुछ ऐसे प्रश्नों पर नज़र डालता हूँ जो नियमित रूप से आते हैं। क्या मैं ऑन-प्रिमाइसेस ADCS के बजाय Intune Cloud PKI का उपयोग कर सकता हूँ? हाँ। 2024 में रिलीज़ हुआ Microsoft का Intune Cloud PKI, Azure में पूरी तरह से प्रबंधित CA प्रदान करता है। यह SCEP के लिए NDES सर्वर की आवश्यकता को हटा देता है और कनेक्टर सेटअप को काफी सरल बनाता है। ग्रीनफ़ील्ड परिनियोजन या मौजूदा ADCS इन्फ्रास्ट्रक्चर के बिना संगठनों के लिए, यह अनुशंसित मार्ग है। क्या यह macOS और iOS डिवाइसों के लिए काम करता है? हाँ। Intune Windows, iOS, iPadOS, Android और macOS के लिए सर्टिफ़िकेट प्रोफ़ाइल का समर्थन करता है। प्रोफ़ाइल प्रकार और कॉन्फ़िगरेशन विकल्प प्लेटफ़ॉर्म के अनुसार थोड़े भिन्न होते हैं, लेकिन मुख्य आर्किटेक्चर — ट्रस्टेड रूट, क्लाइंट सर्टिफ़िकेट, WiFi प्रोफ़ाइल — सुसंगत है। BYOD प्रोग्राम में व्यक्तिगत डिवाइसों के बारे में क्या? SCEP यहाँ आपका मित्र है। Intune की डिवाइस अनुपालन नीतियों के साथ, आप यह आवश्यकता कर सकते हैं कि सर्टिफ़िकेट जारी होने से पहले कोई डिवाइस न्यूनतम सुरक्षा मानकों को पूरा करे। यदि डिवाइस अनुपालन से बाहर हो जाता है — कोई स्क्रीन लॉक नहीं, पुराना OS — तो सर्टिफ़िकेट रद्द किया जा सकता है और नेटवर्क एक्सेस स्वचालित रूप से हटा दिया जा सकता है। क्या Purple इस आर्किटेक्चर के साथ एकीकृत हो सकता है? बिल्कुल। Purple का प्लेटफ़ॉर्म गेस्ट नेटवर्क साइड पर बैठता है, जो Captive Portal प्रमाणीकरण, सहमति प्रबंधन और एनालिटिक्स को संभालता है। कॉर्पोरेट 802.1X नेटवर्क और Purple का गेस्ट WiFi समानांतर में काम करते हैं — समान भौतिक इन्फ्रास्ट्रक्चर, अलग-अलग SSID और VLAN — जो आपको कर्मचारियों की कनेक्टिविटी और विज़िटर एंगेजमेंट के बीच पूर्ण अलगाव प्रदान करते हैं। [सारांश और अगले चरण — लगभग 1 मिनट] समाप्त करने के लिए: Intune के माध्यम से WiFi सर्टिफ़िकेट परिनियोजित करना एक पाँच-चरणीय प्रक्रिया है — CA कॉन्फ़िगरेशन, ट्रस्टेड रूट परिनियोजन, क्लाइंट सर्टिफ़िकेट प्रोफ़ाइल, WiFi प्रोफ़ाइल और समूह असाइनमेंट। BYOD और उच्च-सुरक्षा वातावरण के लिए SCEP चुनें; सरल कॉर्पोरेट-स्वामित्व वाले बेड़े के लिए PKCS। अनुक्रमण सही करें, NPS सर्टिफ़िकेट मैपिंग आवश्यकता को संभालें, और पहले दिन से सर्टिफ़िकेट रिवोकेशन वर्कफ़्लो बनाएँ। व्यावसायिक मामला सीधा है: आप साझा WiFi पासवर्ड समाप्त करते हैं, आपको प्रति-डिवाइस और प्रति-उपयोगकर्ता प्रमाणीकरण लॉग मिलते हैं, आप PCI DSS और ISO 27001 वायरलेस सुरक्षा आवश्यकताओं को पूरा करते हैं, और आप एक बड़े एस्टेट में WiFi क्रेडेंशियल्स के प्रबंधन के IT ओवरहेड को कम करते हैं। यदि आप परिनियोजन की योजना बना रहे हैं और यह समझना चाहते हैं कि Purple का गेस्ट WiFi और एनालिटिक्स प्लेटफ़ॉर्म आपके कॉर्पोरेट नेटवर्क आर्किटेक्चर के साथ कैसे फिट बैठता है, तो purple.ai पर जाएँ। हमारे पास Azure Entra ID एकीकरण, 802.1X आर्किटेक्चर, और हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के वातावरण के लिए गेस्ट नेटवर्क डिज़ाइन पर विस्तृत मार्गदर्शिकाएँ हैं। सुनने के लिए धन्यवाद। अगली बार तक के लिए।