मुख्य सामग्री पर जाएं
हिन्दी

डिवाइसों पर WiFi सर्टिफिकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें

Microsoft Intune के माध्यम से 802.1X WiFi सर्टिफिकेट को डिप्लॉय करने पर IT लीडर्स के लिए एक व्यापक तकनीकी संदर्भ। इसमें SCEP बनाम PKCS आर्किटेक्चर, इम्प्लीमेंटेशन स्टेप्स, कंप्लायंस मैपिंग और एंटरप्राइज वातावरण के लिए वास्तविक डिप्लॉयमेंट परिदृश्य शामिल हैं।

Iain Jewitt द्वाराप्रकाशित
📖 7 मिनट का पाठ1,764 शब्द2 हल किए गए उदाहरण3 अभ्यास प्रश्न8 मुख्य परिभाषाएं

Video overview

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
सर्टिफिकेट्स को डिवाइसेस पर पुश करने के लिए MICROSOFT INTUNE का उपयोग कैसे करें एक Purple एंटरप्राइज WiFi इंटेलिजेंस ब्रीफिंग [परिचय और संदर्भ - लगभग 1 मिनट] आपका स्वागत है। मैं आज Purple, जो कि एंटरप्राइज WiFi इंटेलिजेंस प्लेटफॉर्म है, की ओर से बात कर रहा हूं। यह एपिसोड Microsoft Intune टूलकिट की सबसे व्यावहारिक - और सच कहें तो सबसे कम आंकी जाने वाली - क्षमताओं में से एक पर केंद्रित ब्रीफिंग है: 802.1X WiFi ऑथेंटिकेशन के लिए ऑटोमेटेड सर्टिफिकेट डिप्लॉयमेंट। यदि आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या सार्वजनिक क्षेत्र के एस्टेट में WiFi का प्रबंधन कर रहे हैं, तो आप उस समस्या को अच्छी तरह जानते होंगे जिसके बारे में मैं बताने जा रहा हूं। आपके पास सैकड़ों या हजारों मैनेज्ड डिवाइसेस हैं। आप चाहते हैं कि वे आपके कॉर्पोरेट WiFi से स्वचालित रूप से, सुरक्षित रूप से कनेक्ट हों, बिना यूजर्स के पासवर्ड टाइप किए, और बिना IT टीम के हर एक डिवाइस को छुए। और आप चाहते हैं कि वह कनेक्शन क्रिप्टोग्राफिक रूप से मजबूत हो - न कि केवल एक साझा पासवर्ड जिसे कोई पहले ही आधे संगठन को ईमेल कर चुका हो। यही वह समस्या है जिसे Intune सर्टिफिकेट डिप्लॉयमेंट हल करता है। और अगले नौ मिनटों में, मैं आपको यह बताने जा रहा हूं कि यह कैसे काम करता है, इसे कैसे डिप्लॉय किया जाता है, और वे कौन सी कमियां हैं जो अधिकांश टीमों को पहले प्रयास में परेशान करती हैं। [तकनीकी गहन विश्लेषण - लगभग 5 मिनट] आइए आर्किटेक्चर से शुरुआत करें। यहाँ इसकी नींव IEEE 802.1X है - पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल स्टैंडर्ड जो दो दशकों से अधिक समय से एंटरप्राइज WiFi सुरक्षा की रीढ़ रहा है। जब कोई डिवाइस आपके WiFi से कनेक्ट होता है, तो 802.1X को नेटवर्क एक्सेस मिलने से पहले उसे ऑथेंटिकेट करने की आवश्यकता होती है। यह ऑथेंटिकेशन बातचीत तीन पक्षों के बीच होती है: डिवाइस - जिसे सप्लीकेंट कहा जाता है - आपका WiFi एक्सेस पॉइंट, जो ऑथेंटिकेटर के रूप में कार्य करता है, और आपका RADIUS सर्वर, जो कि ऑथेंटिकेशन सर्वर है और अंतिम निर्णय लेता है। अब, 802.1X कई ऑथेंटिकेशन विधियों का समर्थन करता है। सबसे सुरक्षित EAP-TLS है - ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल। EAP-TLS आपसी सर्टिफिकेट ऑथेंटिकेशन का उपयोग करता है: डिवाइस अपनी पहचान साबित करने के लिए एक सर्टिफिकेट प्रस्तुत करता है, और RADIUS सर्वर अपनी पहचान साबित करने के लिए एक सर्टिफिकेट प्रस्तुत करता है। इसमें कोई पासवर्ड शामिल नहीं होता। कोई क्रेडेंशियल नहीं जिसे फ़िश किया जा सके। हमारा लक्ष्य यही है। चुनौती हमेशा बड़े पैमाने पर उन सर्टिफिकेट्स को डिवाइसेस पर लाने की रही है। यहीं पर Microsoft Intune काम आता है। Intune दो सर्टिफिकेट डिप्लॉयमेंट तंत्रों का समर्थन करता है: SCEP - सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल - और PKCS, जिसका अर्थ पब्लिक की क्रिप्टोग्राफी स्टैंडर्ड्स है। इनके बीच के अंतर को समझना महत्वपूर्ण है। SCEP के साथ, प्राइवेट की डिवाइस पर ही जेनरेट होती है। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट बनाता है, इसे NDES - नेटवर्क डिवाइस एनरोलमेंट सर्विस - नामक एक मध्यवर्ती सर्वर के माध्यम से आपके सर्टिफिकेट अथॉरिटी को भेजता है, और CA सर्टिफिकेट वापस जारी करता है। प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है। यह अधिक सुरक्षित तरीका है और BYOD वातावरण तथा उच्च-सुरक्षा डिप्लॉयमेंट के लिए इसकी सिफारिश की जाती है।PKCS के साथ, Certificate Authority कुंजी युग्म (key pair) जनरेट करती है, और Intune Certificate Connector डिवाइस को प्राइवेट कुंजी और सर्टिफिकेट डिलीवर करता है। इसे सेटअप करना अधिक सरल है - किसी NDES सर्वर की आवश्यकता नहीं होती है - लेकिन प्राइवेट कुंजी कनेक्टर के माध्यम से ट्रांजिट होती है, जो आपकी सुरक्षा स्थिति के लिए एक विचारणीय बिंदु है। अधिकांश एंटरप्राइज़ डिप्लॉयमेंट के लिए मैं BYOD और मिश्रित-डिवाइस वातावरण के लिए SCEP की सलाह दूंगा, और PKCS की सिफारिश वहां करूंगा जहां आपके पास कॉर्पोरेट-स्वामित्व वाले Windows उपकरणों का एक समान बेड़ा है और आप इंफ्रास्ट्रक्चर की जटिलता को कम करना चाहते हैं। अब, आइए डिप्लॉयमेंट क्रम के बारे में बात करते हैं - क्योंकि इसका क्रम बहुत मायने रखता है और इसे गलत करना विफल रोलआउट का सबसे आम कारण है। चरण एक: अपनी Certificate Authority को कॉन्फ़िगर करें। आपको अपने Active Directory Certificate Services इंस्टेंस पर एक सर्टिफिकेट टेम्पलेट की आवश्यकता होगी - या यदि आप पूरी तरह से क्लाउड-नेटिव हैं, तो Microsoft की Intune Cloud PKI अब सामान्य रूप से उपलब्ध है और ऑन-प्रिमाइसेस CA की आवश्यकता को पूरी तरह से समाप्त कर देती है। टेम्पलेट को सही कुंजी उपयोग एक्सटेंशन (key usage extensions) की आवश्यकता होती है: क्लाइंट ऑथेंटिकेशन (Client Authentication) अनिवार्य है। न्यूनतम कुंजी आकार को 2048 बिट्स, या 4096 पर सेट करें यदि आपकी संस्था की सुरक्षा नीति को इसकी आवश्यकता है। चरण दो: ट्रस्टेड रूट सर्टिफिकेट डिप्लॉय करें। इससे पहले कि कोई भी डिवाइस RADIUS सर्वर के सर्टिफिकेट को सत्यापित कर सके, उसे जारी करने वाली CA पर भरोसा करना होगा। आप Intune में एक Trusted Certificate कॉन्फ़िगरेशन प्रोफाइल बनाते हैं, रूट CA सर्टिफिकेट अपलोड करते हैं, और इसे अपने डिवाइस समूहों को सौंपते हैं। यह किसी भी WiFi प्रोफाइल या क्लाइंट सर्टिफिकेट प्रोफाइल से पहले उपकरणों पर पहुंचना चाहिए। यदि आप इस क्रम को गलत करते हैं, तो डिवाइस RADIUS सर्वर को अस्वीकार कर देंगे और आप Windows इवेंट लॉग में Event ID 20271 को देखते हुए दोपहर बिताएंगे। चरण तीन: क्लाइंट सर्टिफिकेट प्रोफाइल डिप्लॉय करें। यह या तो आपका SCEP प्रोफाइल है - जो आपके NDES सर्वर URL की ओर इशारा करता है - या आपका PKCS प्रोफाइल, जो आपकी Certificate Authority की ओर इशारा करता है। Subject Alternative Name में उपयोगकर्ता सर्टिफिकेट के लिए User Principal Name, या डिवाइस सर्टिफिकेट के लिए AAD Device ID शामिल होनी चाहिए। यह अंतर मायने रखता है: उपयोगकर्ता सर्टिफिकेट लॉग-इन किए गए उपयोगकर्ता को प्रमाणित करते हैं, डिवाइस सर्टिफिकेट मशीन को ही प्रमाणित करते हैं, जिसका अर्थ है कि उपयोगकर्ता के लॉग इन करने से पहले डिवाइस WiFi से कनेक्ट हो सकता है - जो डोमेन जॉइन परिदृश्यों और कियोस्क डिप्लॉयमेंट के लिए उपयोगी है। चरण चार: WiFi कॉन्फ़िगरेशन प्रोफाइल बनाएं। Intune में, यह Devices, Configuration Profiles, Templates, WiFi के अंतर्गत है। WiFi प्रकार को Enterprise पर सेट करें, अपना SSID दर्ज करें, EAP प्रकार को EAP-TLS पर सेट करें, सर्वर ट्रस्ट सेटिंग्स को कॉन्फ़िगर करें - यह वह जगह है जहां आप RADIUS सर्वर सर्टिफिकेट नाम को संदर्भित करते हैं - और क्लाइंट ऑथेंटिकेशन के लिए, चरण तीन में आपके द्वारा बनाए गए सर्टिफिकेट प्रोफाइल को संदर्भित करें। चरण पांच: सब कुछ सही समूहों को सौंपें और सत्यापित करें। अपने रूट सर्टिफिकेट, क्लाइंट सर्टिफिकेट, और WiFi प्रोफाइल को समान डिवाइस या उपयोगकर्ता समूहों को सौंपें। प्रोफाइल डिप्लॉयमेंट स्थिति की निगरानी के लिए Intune की अंतर्निहित रिपोर्टिंग का उपयोग करें। एक सफल डिप्लॉयमेंट डिवाइस की कॉन्फ़िगरेशन प्रोफाइल सूची में तीनों प्रोफाइलों को Succeeded के रूप में दिखाता है। Windows Server परिवेशों के लिए NPS कॉन्फ़िगरेशन पर एक महत्वपूर्ण बिंदु: 2024 की शुरुआत से, Microsoft ने प्रमाणपत्र मैपिंग आवश्यकताओं को कड़ा कर दिया है। यदि आप ऑन-प्रिमाइसेस NPS के विरुद्ध प्रमाणित होने वाले Azure AD-joined उपकरणों के साथ डिवाइस प्रमाणपत्रों का उपयोग कर रहे हैं, तो आपको यह सुनिश्चित करना होगा कि Active Directory में कंप्यूटर ऑब्जेक्ट पर altSecurityIdentities विशेषता प्रमाणपत्र के थंबप्रिंट के साथ पॉप्युलेटेड हो। यह स्वचालित रूप से नहीं होता है - आपको इसे संभालने के लिए एक स्क्रिप्ट या वर्कफ़्लो की आवश्यकता होती है, जो आमतौर पर तब ट्रिगर होती है जब CA एक नया प्रमाणपत्र जारी करता है। [कार्यान्वयन सिफारिशें और नुकसान - लगभग 2 मिनट] आइए मैं आपको वे तीन नुकसान बताता हूँ जो मैं एंटरप्राइज डिप्लॉयमेंट में सबसे अधिक बार देखता हूँ। पहला नुकसान: प्रमाणपत्र श्रृंखला में अंतर। डिवाइस को रूट CA से लेकर RADIUS सर्वर के प्रमाणपत्र तक, श्रृंखला में प्रत्येक प्रमाणपत्र पर भरोसा करने की आवश्यकता होती है। यदि आपका RADIUS सर्वर प्रमाणपत्र किसी इंटरमीडिएट CA द्वारा जारी किया गया था, तो आपको उपकरणों पर रूट और इंटरमीडिएट दोनों को तैनात करना होगा। मैंने देखा है कि डिप्लॉयमेंट हफ्तों तक विफल रहे क्योंकि किसी ने रूट तो तैनात किया लेकिन इंटरमीडिएट नहीं। दूसरा नुकसान: प्रोफाइल असाइनमेंट का समय। Intune प्रोफाइल उपकरणों पर तुरंत नहीं आते हैं। एक बड़े एस्टेट में, असाइनमेंट के बाद प्रोफाइल को प्रसारित होने में 15 से 30 मिनट लग सकते हैं। प्रोफाइल बनाने के तुरंत बाद परीक्षण न करें। चेक-इन को बाध्य करने के लिए Intune पोर्टल में सिंक बटन का उपयोग करें, फिर प्रतीक्षा करें। इसके अलावा, WiFi प्रोफाइल लागू होने से पहले क्लाइंट सर्टिफिकेट प्रोफाइल को तैनात और पुष्टि किया जाना चाहिए - यदि WiFi प्रोफाइल किसी ऐसे प्रमाणपत्र को संदर्भित करता है जो अभी तक मौजूद नहीं है, तो प्रोफाइल कुछ प्लेटफॉर्म पर चुपचाप विफल हो जाएगा। तीसरा नुकसान: BYOD प्रमाणपत्र निरसन। जब किसी डिवाइस को Intune से अनएन्ड्रॉल किया जाता है - क्योंकि कोई कर्मचारी चला जाता है, या कोई डिवाइस खो जाता है - तो आपको प्रमाणपत्र को निरस्त करने की प्रक्रिया की आवश्यकता होती है। यदि आप ADCS के साथ SCEP का उपयोग कर रहे हैं, तो प्रमाणपत्र निरसन सूची (CRL) वितरण बिंदु को सही ढंग से कॉन्फ़िगर करें और सुनिश्चित करें कि आपका RADIUS सर्वर प्रत्येक प्रमाणीकरण पर CRL या OCSP की जांच कर रहा है। यह PCI-DSS जैसे फ्रेमवर्क के तहत एक अनुपालन आवश्यकता है, जो यह आदेश देती है कि आवश्यकता न होने पर एक्सेस कंट्रोल मैकेनिज्म को तुरंत निरस्त कर दिया जाए। अनुपालन के विषय पर: यदि आप PCI-DSS दायरे में काम कर रहे हैं - उदाहरण के लिए, रिटेल भुगतान परिवेश - तो वायरलेस नेटवर्क एक्सेस के लिए प्रमाणपत्र-आधारित 802.1X प्रमाणीकरण आपका सबसे मजबूत नियंत्रण है। यह नेटवर्क एक्सेस कंट्रोल के आसपास PCI-DSS आवश्यकता 1.3 और प्रमाणीकरण कारकों के आसपास आवश्यकता 8.6 को पूरा करता है। अपने अनुपालन साक्ष्य के हिस्से के रूप में अपने प्रमाणपत्र जीवनचक्र प्रबंधन प्रक्रिया का दस्तावेजीकरण करें। GDPR-regulated वातावरणों, विशेष रूप से हॉस्पिटैलिटी और सार्वजनिक क्षेत्र में, आपके कॉर्पोरेट 802.1X नेटवर्क और आपके अतिथि WiFi नेटवर्क के बीच अलगाव होना बेहद महत्वपूर्ण है। आपका कॉर्पोरेट Intune-प्रबंधित नेटवर्क किसी भी अतिथि या आगंतुक नेटवर्क से पूरी तरह से अलग VLAN और SSID पर होना चाहिए। Purple का अतिथि WiFi प्लेटफॉर्म आगंतुकों से संबंधित काम - captive portal, सहमति कैप्चर, एनालिटिक्स - संभालता है, जबकि आपका Intune-प्रबंधित कॉर्पोरेट नेटवर्क कर्मचारियों और परिचालन उपकरणों को संभालता है। इन दोनों नेटवर्कों को कभी भी प्रमाणीकरण बुनियादी ढांचे को साझा नहीं करना चाहिए। [त्वरित प्रश्न और उत्तर - लगभग 1 मिनट] आइए कुछ ऐसे सवालों पर नज़र डालें जो नियमित रूप से सामने आते हैं। क्या मैं ऑन-प्रिमाइसेस ADCS के बजाय Intune क्लाउड PKI का उपयोग कर सकता हूँ? हाँ। Microsoft का Intune क्लाउड PKI, जो 2024 में जारी किया गया था, Azure में पूरी तरह से प्रबंधित CA प्रदान करता है। यह SCEP के लिए NDES सर्वर की आवश्यकता को समाप्त करता है और कनेक्टर सेटअप को काफी सरल बनाता है। नए डिप्लॉयमेंट या बिना मौजूदा ADCS बुनियादी ढांचे वाले संगठनों के लिए, यही अनुशंसित मार्ग है। क्या यह macOS और iOS उपकरणों के लिए काम करता है? हाँ। Intune Windows, iOS, iPadOS, Android, और macOS के लिए प्रमाणपत्र प्रोफ़ाइल का समर्थन करता है। प्रोफ़ाइल प्रकार और कॉन्फ़िगरेशन विकल्प अलग-अलग प्लेटफ़ॉर्म के अनुसार थोड़े भिन्न हो सकते हैं, लेकिन मुख्य आर्किटेक्चर - विश्वसनीय रूट, क्लाइंट प्रमाणपत्र, WiFi प्रोफ़ाइल - समान रहता है। BYOD कार्यक्रम में व्यक्तिगत उपकरणों का क्या होगा? SCEP यहाँ आपके काम आएगा। Intune की डिवाइस अनुपालन नीतियों के साथ, आप प्रमाणपत्र जारी होने से पहले यह आवश्यक बना सकते हैं कि डिवाइस न्यूनतम सुरक्षा मानकों को पूरा करता हो। यदि डिवाइस अनुपालन से बाहर हो जाता है - जैसे स्क्रीन लॉक न होना, पुराना OS - तो प्रमाणपत्र को रद्द किया जा सकता है और नेटवर्क एक्सेस स्वचालित रूप से हटाया जा सकता है। क्या Purple इस आर्किटेक्चर के साथ एकीकृत हो सकता है? बिल्कुल। Purple का प्लेटफॉर्म अतिथि नेटवर्क की तरफ काम करता है, जो captive portal प्रमाणीकरण, सहमति प्रबंधन और एनालिटिक्स को संभालता है। कॉर्पोरेट 802.1X नेटवर्क और Purple का अतिथि WiFi समानांतर रूप से चलते हैं - समान भौतिक बुनियादी ढांचा, अलग-अलग SSIDs और VLANs - जिससे आपको कर्मचारियों की कनेक्टिविटी और आगंतुकों के जुड़ाव के बीच पूर्ण अलगाव मिलता है। [सारांश और अगले कदम - लगभग 1 मिनट] समापन के लिए: Intune के माध्यम से WiFi प्रमाणपत्रों को लागू करना एक पांच-चरणीय प्रक्रिया है - CA कॉन्फ़िगरेशन, विश्वसनीय रूट डिप्लॉयमेंट, क्लाइंट प्रमाणपत्र प्रोफ़ाइल, WiFi प्रोफ़ाइल, और समूह असाइनमेंट। BYOD और उच्च-सुरक्षा वातावरण के लिए SCEP चुनें; सरल कॉर्पोरेट-स्वामित्व वाले उपकरणों के लिए PKCS चुनें। अनुक्रम को सही रखें, NPS प्रमाणपत्र मैपिंग की आवश्यकता को संभालें, और पहले दिन से ही एक प्रमाणपत्र रद्दीकरण वर्कफ़्लो बनाएं। यह व्यावसायिक रूप से बहुत फायदेमंद है: आप साझा WiFi पासवर्ड की झंझट को समाप्त करते हैं, आपको प्रति-डिवाइस और प्रति-उपयोगकर्ता प्रमाणीकरण लॉग मिलते हैं, आप PCI-DSS और ISO 27001 वायरलेस सुरक्षा आवश्यकताओं को पूरा करते हैं, और आप एक बड़े संगठन में WiFi क्रेडेंशियल्स प्रबंधित करने के IT ओवरहेड को कम करते हैं।यदि आप डिप्लॉयमेंट की योजना बना रहे हैं और यह समझना चाहते हैं कि Purple का गेस्ट WiFi और एनालिटिक्स प्लेटफॉर्म आपके कॉर्पोरेट नेटवर्क आर्किटेक्चर के साथ कैसे फिट बैठता है, तो purple.ai पर जाएं। हमारे पास हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के परिवेशों के लिए Azure Entra ID एकीकरण, 802.1X आर्किटेक्चर और गेस्ट नेटवर्क डिज़ाइन पर विस्तृत गाइड हैं। सुनने के लिए धन्यवाद। अगली बार तक।

हमारी मुख्य श्रृंखला का हिस्सा: Enterprise WiFi सुरक्षा गाइड →

Interactive Architecture Tool802.1X EAP-TLS Profile Sizer

Microsoft Intune WiFi certificate profile and architecture advisor

Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.

Architecture Score
95/100
Strong architecture

Certificate Enrollment Specifications

  • Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
  • Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
  • Key Length: RSA 2048-bit (SHA-256 Signature Hash)
  • Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
  • Subject Name Format: CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal
  • Subject Alternative Name (SAN): User Principal Name (UPN) = {{UserPrincipalName}}
  • Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)

AAA & RADIUS Integration Details

  • RADIUS Engine: Purple Cloud RADIUS (Recommended)
  • Architecture Mode: 100% Cloud Native AAA
  • RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
  • Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
  • CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
  • Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.

Remove on-premises NPS and NDES with Purple Cloud RADIUS

Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.

Useful? Link to this tool

डिवाइसों पर WiFi सर्टिफिकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें

कार्यकारी सारांश

Hospitality, Retail, या सार्वजनिक क्षेत्र के स्थानों पर बड़े पैमाने के परिवेशों का प्रबंधन करने वाले उद्यम IT लीडर्स के लिए, सुरक्षित वायरलेस एक्सेस एक बुनियादी परिचालन आवश्यकता है। साझा PSK (Pre-Shared Keys) या उपयोगकर्ता नाम/पासवर्ड प्रमाणीकरण (PEAP-MSCHAPv2) पर निर्भर रहने से नेटवर्क क्रेडेंशियल चोरी, फ़िशिंग और अनुपालन विफलताओं के प्रति संवेदनशील हो जाता है। मजबूत उद्यम WiFi सुरक्षा के लिए उद्योग मानक EAP-TLS (Extensible Authentication Protocol with Transport Layer Security) के साथ 802.1X है, जो डिवाइस और नेटवर्क के बीच पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण को अनिवार्य करता है।

हालांकि, EAP-TLS को अपनाने में प्राथमिक बाधा ऐतिहासिक रूप से प्रमाणपत्र जीवनचक्र प्रबंधन का परिचालन ओवरहेड रही है। Microsoft Intune बड़े पैमाने पर प्रबंधित उपकरणों को डिजिटल प्रमाणपत्रों के वितरण, नवीनीकरण और निरसन को स्वचालित करके इसे हल करता है।

यह तकनीकी संदर्भ Microsoft Intune के माध्यम से WiFi प्रमाणपत्रों को पुश करने के लिए आवश्यक आर्किटेक्चर, परिनियोजन पद्धतियों (SCEP बनाम PKCS), और कार्यान्वयन चरणों का विवरण देता है। यह उन नेटवर्क आर्किटेक्ट्स और सिस्टम इंजीनियरों के लिए व्यावहारिक मार्गदर्शन प्रदान करता है जिन्हें कॉर्पोरेट संचार को सुरक्षित करने का काम सौंपा गया है, जबकि विजिटर नेटवर्क से सख्त अलगाव बनाए रखा गया है, जैसे कि Guest WiFi प्लेटफॉर्म द्वारा प्रबंधित नेटवर्क।

Technical Deep-Dive: आर्किटेक्चर और प्रोटोकॉल

सर्टिफिकेट-आधारित ऑथेंटिकेशन को प्रभावी ढंग से लागू करने के लिए, IT टीमों को Mobile Device Management (MDM) प्लेटफॉर्म, Public Key Infrastructure (PKI), और नेटवर्क एक्सेस कंट्रोल लेयर के बीच होने वाले इंटरैक्शन को समझना होगा।

802.1X ऑथेंटिकेशन फ़्रेमवर्क

IEEE 802.1X मानक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को परिभाषित करता है। एक वायरलेस संदर्भ में, यह किसी डिवाइस को तब तक कोई भी ट्रैफ़िक (EAP ऑथेंटिकेशन फ़्रेम के अलावा) भेजने से रोकता है जब तक कि उसकी पहचान सत्यापित न हो जाए। इस आर्किटेक्चर में तीन घटक होते हैं:

  1. Supplicant: क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, टैबलेट) जो नेटवर्क एक्सेस का अनुरोध कर रहा है।
  2. Authenticator: वायरलेस एक्सेस पॉइंट या वायरलेस LAN कंट्रोलर जो ऑथेंटिकेशन सफल होने तक ट्रैफ़िक को ब्लॉक करता है।
  3. Authentication Server: RADIUS (Remote Authentication Dial-In User Service) सर्वर, जैसे कि Microsoft Network Policy Server (NPS) या Cisco ISE, जो क्रेडेंशियल को सत्यापित करता है और एक्सेस को अधिकृत करता है।

EAP-TLS और म्युचुअल ऑथेंटिकेशन

EAP-TLS सबसे सुरक्षित EAP तरीका है क्योंकि इसके लिए म्युचुअल (पारस्परिक) ऑथेंटिकेशन की आवश्यकता होती है। RADIUS सर्वर खुद को वैध कॉर्पोरेट नेटवर्क साबित करने के लिए Supplicant को अपना सर्टिफिकेट प्रस्तुत करता है (इविल-ट्विन हमलों को रोकता है), और Supplicant खुद को एक अधिकृत डिवाइस या उपयोगकर्ता साबित करने के लिए RADIUS सर्वर को अपना क्लाइंट सर्टिफिकेट प्रस्तुत करता है।

डिवाइसों पर WiFi सर्टिफिकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें - architecture overview

Intune सर्टिफिकेट डिप्लॉयमेंट मैकेनिज्म: SCEP बनाम PKCS

Microsoft Intune डिवाइसों पर क्लाइंट सर्टिफिकेट डिप्लॉय करने के लिए दो प्राथमिक प्रोटोकॉल का समर्थन करता है। उपयुक्त मैकेनिज्म का चयन करना एक महत्वपूर्ण आर्किटेक्चरल निर्णय है।

Simple Certificate Enrollment Protocol (SCEP)

SCEP के साथ, प्राइवेट की (private key) सीधे क्लाइंट डिवाइस पर जनरेट होती है। डिवाइस एक Certificate Signing Request (CSR) बनाता है और इसे Intune के माध्यम से Network Device Enrollment Service (NDES) सर्वर पर सबमिट करता है, जो Active Directory Certificate Services (ADCS) इंफ्रास्ट्रक्चर के लिए एक प्रॉक्सी के रूप में कार्य करता है। CA सर्टिफिकेट जारी करता है, जो डिवाइस को वापस मिल जाता है।

चूंकि प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है, इसलिए SCEP को अत्यधिक सुरक्षित माना जाता है और BYOD (Bring Your Own Device) डिप्लॉयमेंट और ज़ीरो-ट्रस्ट आर्किटेक्चर के लिए इसी दृष्टिकोण की सिफारिश की जाती है।

Public Key Cryptography Standards (PKCS)

PKCS के साथ, Intune सर्टिफिकेट कनेक्टर डिवाइस की ओर से CA से सर्टिफिकेट का अनुरोध करता है। CA पब्लिक सर्टिफिकेट और प्राइवेट की दोनों जनरेट करता है, जिसे कनेक्टर फिर Intune के माध्यम से डिवाइस पर सुरक्षित रूप से डिलीवर करता है।

हालांकि PKCS इंफ्रास्ट्रक्चर की आवश्यकताओं को सरल बनाता है (इसके लिए किसी NDES सर्वर की आवश्यकता नहीं होती है), लेकिन प्राइवेट की को नेटवर्क पर ट्रांसमिट किया जाता है। यह मॉडल आम तौर पर कॉर्पोरेट-स्वामित्व वाले, पूरी तरह से प्रबंधित डिवाइस बेड़े के लिए स्वीकार्य है जहां MDM प्लेटफॉर्म पहले से ही एक अत्यधिक विश्वसनीय घटक है।

डिवाइसों पर WiFi सर्टिफिकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें - certificate deployment comparison

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।

कार्यान्वयन गाइड: चरण-दर-चरण परिनियोजन (Deployment)

Intune के माध्यम से WiFi प्रमाणपत्रों को परिनियोजित करने के लिए सटीक अनुक्रम की आवश्यकता होती है। प्रोफाइल को गलत क्रम में परिनियोजित करना कार्यान्वयन की विफलता का सबसे आम कारण है।

चरण 1: पब्लिक की इन्फ्रास्ट्रक्चर (PKI) तैयार करें

चाहे ऑन-प्रिमाइसेस ADCS का उपयोग कर रहे हों या Microsoft Cloud PKI जैसे क्लाउड-नेटिव समाधान का, सर्टिफिकेट अथॉरिटी को उपयुक्त टेम्प्लेट के साथ कॉन्फ़िगर किया जाना चाहिए।

  • Key Usage: टेम्प्लेट में Client Authentication OID (1.3.6.1.5.5.7.3.2) शामिल होना चाहिए।
  • Key Size: आधुनिक क्रिप्टोग्राफिक मानकों के अनुरूप न्यूनतम कुंजी आकार 2048 बिट्स (RSA) कॉन्फ़िगर करें।
  • Subject Name: उपयोगकर्ता प्रमाणपत्रों के लिए, Subject Alternative Name (SAN) को User Principal Name (UPN) का उपयोग करने के लिए कॉन्फ़िगर किया जाना चाहिए। डिवाइस प्रमाणपत्रों के लिए, Azure AD डिवाइस ID का उपयोग करें।

चरण 2: Trusted Root प्रमाणपत्र परिनियोजित करें

इससे पहले कि कोई डिवाइस प्रमाणित हो सके, उसे उस CA पर भरोसा करना चाहिए जिसने RADIUS सर्वर का प्रमाणपत्र जारी किया है।

  1. Root CA प्रमाणपत्र (और किसी भी मध्यवर्ती CA प्रमाणपत्र) को .cer प्रारूप में निर्यात करें।
  2. Intune व्यवस्थापक केंद्र में, Devices > Configuration profiles > Create profile पर जाएं।
  3. प्लेटफ़ॉर्म चुनें और Trusted certificate प्रोफ़ाइल प्रकार चुनें।
  4. .cer फ़ाइल अपलोड करें और प्रोफ़ाइल को लक्षित डिवाइस या उपयोगकर्ता समूहों को असाइन करें।

नोट: अगले चरणों पर आगे बढ़ने से पहले यह प्रोफ़ाइल डिवाइसों पर सफलतापूर्वक लागू होनी चाहिए।

चरण 3: क्लाइंट प्रमाणपत्र प्रोफ़ाइल परिनियोजित करें

आवेदक को पहचान प्रमाणपत्र देने के लिए SCEP या PKCS प्रमाणपत्र प्रोफ़ाइल बनाएं।

  1. Devices > Configuration profiles > Create profile पर जाएं।
  2. प्लेटफ़ॉर्म चुनें और या तो SCEP certificate या PKCS certificate चुनें।
  3. अपनी पहचान आवश्यकताओं (उपयोगकर्ता बनाम डिवाइस) के अनुसार Subject Name प्रारूप और SAN को कॉन्फ़िगर करें।
  4. Key Storage Provider (KSP) निर्दिष्ट करें - आमतौर पर हार्डवेयर-समर्थित सुरक्षा के लिए Trusted Platform Module (TPM)।
  5. प्रोफ़ाइल को उन्हीं समूहों को असाइन करें जिन्हें चरण 2 में लक्षित किया गया था।

चरण 4: WiFi प्रोफ़ाइल कॉन्फ़िगर करें

अंतिम घटक प्रमाणपत्रों को वायरलेस नेटवर्क सेटिंग्स से बांधता है।

  1. Devices > Configuration profiles > Create profile पर जाएं।
  2. प्लेटफ़ॉर्म चुनें और WiFi प्रोफ़ाइल प्रकार चुनें।
  3. WiFi प्रकार को Enterprise पर सेट करें और सटीक SSID दर्ज करें।
  4. EAP प्रकार को EAP-TLS पर सेट करें।
  5. Server Trust के अंतर्गत, RADIUS सर्वर प्रमाणपत्र का सटीक नाम निर्दिष्ट करें और चरण 2 में परिनियोजित Trusted Root प्रमाणपत्र प्रोफ़ाइल का चयन करें।
  6. Client Authentication के अंतर्गत, चरण 3 में परिनियोजित SCEP या PKCS प्रमाणपत्र प्रोफ़ाइल का चयन करें।
  7. लक्षित समूहों को प्रोफ़ाइल असाइन करें।

सर्वोत्तम प्रथाएं और रणनीतिक सिफारिशें

डिवाइस बनाम उपयोगकर्ता प्रमाणपत्र

नेटवर्क आर्किटेक्ट्स को यह तय करना होगा कि प्रमाण पत्र डिवाइस (मशीन प्रमाणीकरण) को जारी किया जाए या उपयोगकर्ता (उपयोगकर्ता प्रमाणीकरण) को।

  • डिवाइस प्रमाणपत्र: उपयोगकर्ता के लॉग इन करने से पहले मशीन को WiFi नेटवर्क से कनेक्ट होने की अनुमति देते हैं। यह प्रारंभिक डिवाइस प्रोविज़निंग, ग्रुप पॉलिसी प्रोसेसिंग और लॉगिन स्क्रीन पर पासवर्ड रीसेट के लिए महत्वपूर्ण है। कॉर्पोरेट के स्वामित्व वाले उपकरणों के लिए अनुशंसित।
  • उपयोगकर्ता प्रमाणपत्र: नेटवर्क एक्सेस को व्यक्तिगत पहचान से जोड़ते हैं। यह विस्तृत ऑडिटिंग और भूमिका आधारित एक्सेस कंट्रोल प्रदान करता है। BYOD परिदृश्यों के लिए अनुशंसित।

नेटवर्क सेगमेंटेशन और गेस्ट एक्सेस

एक मौलिक सुरक्षा सिद्धांत कॉर्पोरेट 802.1X नेटवर्क को आगंतुक या सार्वजनिक एक्सेस नेटवर्क से सख्त तार्किक रूप से अलग करना है। Intune प्रबंधित बुनियादी ढांचा विशेष रूप से कॉर्पोरेट उपकरणों और प्रमाणित कर्मचारियों के लिए समर्पित होना चाहिए।

आगंतुक एक्सेस के लिए, संगठनों को एक कैप्टिव पोर्टल द्वारा समर्थित एक समर्पित Guest WiFi SSID तैनात करना चाहिए। यह सुनिश्चित करता है कि अप्रबंधित उपकरण अलग-थलग रहें, जबकि व्यवसाय को WiFi Analytics प्लेटफॉर्म के माध्यम से आगंतुक एनालिटिक्स कैप्चर करने की अनुमति मिलती है। दोनों सेगमेंट में DNS इन्फ्रास्ट्रक्चर को सुरक्षित करने के बारे में अधिक जानने के लिए, इस बारे में हमारा गाइड पढ़ें कि कैसे Protect Your Network with Strong DNS and Security।

NPS प्रमाणपत्र मैपिंग आवश्यकता को संबोधित करना

Azure AD से जुड़े उपकरणों के साथ Microsoft नेटवर्क पॉलिसी सर्वर (NPS) का उपयोग करने वाले संगठनों के लिए, Microsoft द्वारा एक महत्वपूर्ण कॉन्फ़िगरेशन परिवर्तन पेश किया गया था। NPS को अब मजबूत प्रमाणपत्र मैपिंग की आवश्यकता होती है।

डिवाइस प्रमाणपत्रों का उपयोग करते समय, ऑन-प्रिमाइसेस Active Directory में कंप्यूटर ऑब्जेक्ट के altSecurityIdentities एट्रिब्यूट में प्रमाणपत्र के विवरण (आमतौर पर X509IssuerSerialNumber) भरे होने चाहिए। जब Intune एक नया प्रमाणपत्र जारी करता है, तो IT टीमों को इस एट्रिब्यूट को अपडेट करने के लिए एक शेड्यूल्ड स्क्रिप्ट या इवेंट संचालित वर्कफ़्लो लागू करना होगा, अन्यथा प्रमाणीकरण विफल हो जाएगा।

समस्या निवारण और जोखिम न्यूनीकरण

जब एक 802.1X परिनियोजन विफल होता है, तो समस्या लगभग हमेशा प्रमाणपत्र श्रृंखला या Intune प्रोफ़ाइल अनुक्रमण में होती है।

सामान्य विफलता मोड

  1. साइलेंट WiFi प्रोफ़ाइल विफलता: यदि क्लाइंट प्रमाणपत्र सफलतापूर्वक प्रोविज़न होने से पहले किसी डिवाइस पर Intune WiFi प्रोफ़ाइल लागू की जाती है, तो WiFi प्रोफ़ाइल अक्सर इंस्टॉल होने में विफल हो जाएगी या साइलेंट रूप से विफल हो जाएगी। WiFi कॉन्फ़िगरेशन का समस्या निवारण करने से पहले हमेशा डिवाइस के पर्सनल स्टोर (Windows पर certmgr.msc) में प्रमाणपत्र की उपस्थिति सत्यापित करें।
  2. सर्वर ट्रस्ट सत्यापन त्रुटियां: यदि डिवाइस RADIUS सर्वर को अस्वीकार करता है, तो सत्यापित करें कि Intune WiFi प्रोफ़ाइल में निर्दिष्ट सर्वर नाम RADIUS सर्वर के प्रमाणपत्र पर विषय नाम या SAN से बिल्कुल मेल खाता है। इसके अतिरिक्त, यह सुनिश्चित करें कि पूरी प्रमाणपत्र श्रृंखला (रूट और इंटरमीडिएट) डिवाइस के विश्वसनीय रूट प्रमाणन प्राधिकरण स्टोर में मौजूद है।3. Certificate Revocation List (CRL) की अनुपलब्धता: यदि RADIUS सर्वर क्लाइंट प्रमाणपत्र की स्थिति को सत्यापित करने के लिए CA के CRL वितरण बिंदु तक नहीं पहुंच सकता है, तो प्रमाणीकरण अस्वीकार कर दिया जाएगा। सुनिश्चित करें कि CRL URL अत्यधिक उपलब्ध है और RADIUS सर्वर से एक्सेस करने योग्य है।

ROI और व्यावसायिक प्रभाव

Intune के माध्यम से प्रमाणपत्र-आधारित WiFi प्रमाणीकरण पर स्विच करने से महत्वपूर्ण परिचालन और सुरक्षा लाभ मिलते हैं।

  • जोखिम न्यूनीकरण: क्रेडेंशियल हार्वेस्टिंग, पास-द-हैश हमलों और साझा PSK के माध्यम से अनधिकृत नेटवर्क एक्सेस के जोखिम को समाप्त करता है।
  • परिचालन दक्षता: पासवर्ड की समय-सीमा समाप्त होने और WiFi कनेक्टिविटी की समस्याओं से संबंधित IT हेल्पडेस्क टिकटों को कम करता है। स्वचालित जीवनचक्र प्रबंधन का अर्थ है कि उपयोगकर्ता के हस्तक्षेप के बिना प्रमाणपत्रों का पारदर्शी रूप से नवीनीकरण किया जाता है।
  • अनुपालन सक्षमता: कड़े नियामक आवश्यकताओं को पूरा करता है। रिटेल परिवेशों के लिए, यह सीधे तौर पर मजबूत वायरलेस एन्क्रिप्शन और प्रमाणीकरण के लिए PCI-DSS आवश्यकताओं को संबोधित करता है। सार्वजनिक क्षेत्र और स्वास्थ्य सेवा के लिए, यह ज़ीरो-ट्रस्ट नेटवर्क एक्सेस (ZTNA) सिद्धांतों के साथ संरेखित है।

प्रमाणपत्र परिनियोजन के लिए Microsoft Intune का लाभ उठाकर, IT टीमें एक सहज, अत्यधिक सुरक्षित वायरलेस अनुभव प्राप्त कर सकती हैं जो बैकग्राउंड में चुपचाप काम करता है, जिससे व्यवसाय को मुख्य संचालन पर ध्यान केंद्रित करने की अनुमति मिलती है।

मुख्य परिभाषाएं

802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक जो अनधिकृत डिवाइसों को तब तक LAN या WLAN तक पहुँचने से रोकता है जब तक कि वे सफलतापूर्वक प्रमाणित नहीं हो जाते।

बुनियादी सुरक्षा प्रोटोकॉल जो कॉर्पोरेट वातावरण में साझा किए गए WiFi पासवर्ड को एंटरप्राइज-ग्रेड ऑथेंटिकेशन से बदल देता है।

EAP-TLS

ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल। एक ऑथेंटिकेशन फ्रेमवर्क जिसमें क्लाइंट और सर्वर दोनों को डिजिटल सर्टिफिकेट का उपयोग करके अपनी पहचान साबित करनी होती है।

क्रेडेंशियल चोरी के जोखिम को समाप्त करते हुए, म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन को लागू करने के लिए Intune WiFi प्रोफाइल में कॉन्फ़िगर किया गया विशिष्ट प्रोटोकॉल।

SCEP

सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल। एक ऐसी प्रक्रिया जहाँ क्लाइंट डिवाइस अपनी खुद की प्राइवेट की जेनरेट करता है और एक मध्यवर्ती सर्वर के माध्यम से CA से सर्टिफिकेट का अनुरोध करता है।

BYOD वातावरण के लिए पसंदीदा डिप्लॉयमेंट विधि क्योंकि प्राइवेट की कभी भी नेटवर्क पर ट्रांसमिट नहीं होती है।

PKCS

Public Key Cryptography Standards. Intune के संदर्भ में, एक डिप्लॉयमेंट विधि जहां CA प्राइवेट की (private key) उत्पन्न करता है और Intune Connector इसे डिवाइस पर सुरक्षित रूप से डिलीवर करता है।

कॉरपोरेट स्वामित्व वाले डिवाइस बेड़े के लिए अक्सर उपयोग किया जाने वाला एक सरल डिप्लॉयमेंट आर्किटेक्चर, क्योंकि यह NDES सर्वर की आवश्यकता को समाप्त कर देता है।

NDES

Network Device Enrolment Service. एक Microsoft सर्वर रोल जो प्रॉक्सी के रूप में कार्य करता है, जिससे डोमेन क्रेडेंशियल्स के बिना चलने वाले डिवाइसों को Active Directory Certificate Authority से सर्टिफिकेट प्राप्त करने की अनुमति मिलती है।

ऑन-प्रिमाइसेस ADCS वातावरण में SCEP के माध्यम से सर्टिफिकेट डिप्लॉय करते समय एक अनिवार्य इन्फ्रास्ट्रक्चर घटक।

RADIUS

Remote Authentication Dial-In User Service. एक नेटवर्किंग प्रोटोकॉल जो सेंट्रलाइज्ड ऑथेंटिकेशन, ऑथराइजेशन और एकाउंटिंग (AAA) प्रबंधन प्रदान करता है।

वह सर्वर (जैसे Microsoft NPS या Cisco ISE) जो WiFi एक्सेस पॉइंट से ऑथेंटिकेशन अनुरोध प्राप्त करता है और डिवाइस के सर्टिफिकेट को सत्यापित करता है।

Supplicant

एंड-यूज़र डिवाइस (लैपटॉप, स्मार्टफोन) पर वह सॉफ़्टवेयर क्लाइंट जो 802.1X ऑथेंटिकेशन प्रक्रिया शुरू करता है।

Intune WiFi प्रोफाइल सही सर्टिफिकेट और EAP विधियों का उपयोग करने के लिए नेटिव OS सप्लीकेंट (जैसे, Windows WLAN AutoConfig) को कॉन्फ़िगर करता है।

Certificate Revocation List (CRL)

Certificate Authority द्वारा प्रकाशित एक डिजिटल रूप से हस्ताक्षरित सूची जिसमें उन सर्टिफिकेट्स के सीरियल नंबर होते हैं जिन्हें निरस्त कर दिया गया है और जिन पर अब भरोसा नहीं किया जाना चाहिए।

सुरक्षा अनुपालन (security compliance) के लिए महत्वपूर्ण; कनेक्ट होने वाले डिवाइस को खोया या चोरी हुआ रिपोर्ट नहीं किया गया है, यह सुनिश्चित करने के लिए RADIUS सर्वर को CRL की जांच करनी चाहिए।

हल किए गए उदाहरण

एक 400-लोकेशन वाली रिटेल चेन इन्वेंट्री मैनेजमेंट के लिए कॉर्पोरेट-स्वामित्व वाले टैबलेट डिप्लॉय कर रही है। ये डिवाइस Intune के माध्यम से पूरी तरह से मैनेज्ड हैं और Azure AD से जुड़े हैं। उन्हें किसी विशिष्ट यूजर के लॉग इन करने से पहले, इन्वेंट्री डेटाबेस को सिंक करने के लिए बूट होते ही तुरंत नेटवर्क एक्सेस की आवश्यकता होती है। नेटवर्क इन्फ्रास्ट्रक्चर RADIUS सर्वर के रूप में Cisco ISE का उपयोग करता है। इसके लिए ऑप्टिमल सर्टिफिकेट डिप्लॉयमेंट स्ट्रेटेजी क्या है?

IT टीम को PKCS डिवाइस सर्टिफिकेट लागू करना चाहिए।

  1. CA पर एक डिवाइस सर्टिफिकेट टेम्पलेट कॉन्फ़िगर करें।
  2. Intune के माध्यम से टैबलेट पर Root CA सर्टिफिकेट डिप्लॉय करें।
  3. Intune में एक PKCS सर्टिफिकेट प्रोफाइल बनाएं, जिसमें Subject Name फॉर्मेट को Azure AD डिवाइस ID ({{AAD_Device_ID}}) पर सेट करें।
  4. EAP-TLS निर्दिष्ट करते हुए एक Enterprise WiFi प्रोफाइल बनाएं, जिसमें ISE सर्वर के सर्टिफिकेट नाम और डिप्लॉयड PKCS प्रोफाइल का संदर्भ हो।
  5. टैबलेट वाले डिवाइस ग्रुप को सभी प्रोफाइल असाइन करें।
परीक्षक की टिप्पणी: यहाँ PKCS उपयुक्त है क्योंकि डिवाइस कॉर्पोरेट-स्वामित्व वाले और पूरी तरह से मैनेज्ड हैं, जिससे प्राइवेट की (private key) ट्रांजिट से जुड़े जोखिम कम हो जाते हैं। डिवाइस सर्टिफिकेट अनिवार्य हैं क्योंकि टैबलेट को यूजर लॉगिन से पहले नेटवर्क एक्सेस की आवश्यकता होती है। Azure AD डिवाइस ID को लक्षित करके, Cisco ISE विशिष्ट हार्डवेयर एसेट को प्रमाणित कर सकता है और इसे सही प्रतिबंधित इन्वेंट्री VLAN में असाइन कर सकता है।

एक बड़ा टीचिंग हॉस्पिटल मेडिकल स्टाफ को क्लिनिकल शेड्यूलिंग एप्लिकेशन तक पहुँचने के लिए अपने पर्सनल स्मार्टफोन (BYOD) का उपयोग करने की अनुमति देता है। ये डिवाइस Work Profile के माध्यम से Intune में एनरोल हैं। सुरक्षा नीति यह अनिवार्य करती है कि पर्सनल डिवाइसों पर कोई कॉर्पोरेट क्रेडेंशियल स्टोर न किया जाए, और यदि कोई डिवाइस कॉम्प्रोमाइज होता है, तो नेटवर्क एक्सेस तुरंत रद्द कर दिया जाना चाहिए। WiFi ऑथेंटिकेशन को कैसे डिज़ाइन किया जाना चाहिए?

अस्पताल को Intune Compliance Policies के साथ SCEP यूजर सर्टिफिकेट लागू करना होगा।

  1. CA को रिक्वेस्ट प्रॉक्सी करने के लिए एक NDES सर्वर डिप्लॉय करें।
  2. Intune में एक SCEP यूजर सर्टिफिकेट प्रोफाइल बनाएं, जिसमें SAN को यूजर प्रिंसिपल नेम ({{UserPrincipalName}}) पर कॉन्फ़िगर किया गया हो।
  3. एक Intune Compliance Policy बनाएं जिसके लिए न्यूनतम OS संस्करण, एक एक्टिव स्क्रीन लॉक और कोई जेलब्रेक/रूट एक्सेस न होना आवश्यक हो।
  4. अत्यधिक उपलब्ध सर्टिफिकेट रिवोकेशन लिस्ट (CRL) पब्लिश करने के लिए CA को कॉन्फ़िगर करें।
  5. हर ऑथेंटिकेशन प्रयास पर CRL चेकिंग को कड़ाई से लागू करने के लिए RADIUS सर्वर को कॉन्फ़िगर करें।
परीक्षक की टिप्पणी: BYOD के लिए SCEP ही एकमात्र स्वीकार्य विकल्प है क्योंकि प्राइवेट की पर्सनल डिवाइस पर ही जेनरेट होती है और इसे इंटरसेप्ट नहीं किया जा सकता है। HIPAA/GDPR ऑडिटिंग के लिए नेटवर्क एक्टिविटी को विशिष्ट क्लिनिशियन से जोड़ने के लिए यूजर सर्टिफिकेट की आवश्यकता होती है। इसका महत्वपूर्ण घटक Intune Compliance Policies के साथ इंटीग्रेशन है; यदि कोई डिवाइस नॉन-कंप्लायंट हो जाता है, तो Intune सर्टिफिकेट रिवोकेशन को ट्रिगर कर सकता है, और RADIUS सर्वर का CRL चेक तुरंत नेटवर्क एक्सेस को ब्लॉक कर देगा।

अभ्यास प्रश्न

Q1. आपका संगठन कॉर्पोरेट WiFi के लिए PEAP-MSCHAPv2 (यूज़रनेम/पासवर्ड) से EAP-TLS पर माइग्रेट कर रहा है। पायलट चरण के दौरान, कई Windows 11 लैपटॉप्स को Intune कॉन्फ़िगरेशन प्रोफाइल सफलतापूर्वक प्राप्त होते हैं लेकिन वे नेटवर्क से कनेक्ट होने में विफल रहते हैं। Windows Event Logs की समीक्षा करने पर Event ID 20271 दिखाई देता है जो इंगित करता है कि RADIUS सर्वर सर्टिफिकेट अस्वीकार कर दिया गया था। इसका सबसे संभावित कारण क्या है?

संकेत: म्युचुअल ऑथेंटिकेशन के लिए आवश्यक चेन ऑफ ट्रस्ट (chain of trust) पर विचार करें।

मॉडल उत्तर देखें

डिवाइसों में उस Trusted Root CA सर्टिफिकेट की कमी है जिसने RADIUS सर्वर का सर्टिफिकेट जारी किया था। EAP-TLS में, डिवाइस को RADIUS सर्वर की पहचान को सत्यापित करना होगा। IT टीम को यह सुनिश्चित करना चाहिए कि Root CA (और किसी भी Intermediate CAs) से युक्त 'Trusted certificate' प्रोफाइल को Intune के माध्यम से डिवाइसों पर डिप्लॉय किया गया है और WiFi प्रोफाइल द्वारा कनेक्ट करने का प्रयास करने से पहले सफलतापूर्वक इंस्टॉल कर दिया गया है।

Q2. एक सार्वजनिक क्षेत्र का संस्थान Intune और PKCS सर्टिफिकेट का उपयोग करके कर्मचारियों के डिवाइसों के लिए 802.1X डिप्लॉय कर रहा है। वे एक अलग विज़िटर नेटवर्क भी संचालित करते हैं जो एक Guest WiFi प्लेटफ़ॉर्म द्वारा प्रबंधित किया जाता है। एक ऑडिटर नोट करता है कि यदि किसी कर्मचारी का लैपटॉप चोरी हो जाता है, तो सर्टिफिकेट 12 महीनों तक मान्य रहता है। नेटवर्क आर्किटेक्ट को इस जोखिम का समाधान कैसे करना चाहिए?

संकेत: ऑथेंटिकेशन सर्वर को कैसे पता चलता है कि कोई सर्टिफिकेट समाप्त होने से पहले ही अमान्य हो गया है?

मॉडल उत्तर देखें

आर्किटेक्ट को एक मजबूत Certificate Revocation वर्कफ़्लो लागू करना चाहिए। सबसे पहले, यह सुनिश्चित करें कि CA एक Certificate Revocation List (CRL) को अत्यधिक उपलब्ध डिस्ट्रीब्यूशन पॉइंट पर प्रकाशित करे। दूसरा, प्रत्येक ऑथेंटिकेशन प्रयास के दौरान CRL चेकिंग को अनिवार्य करने के लिए RADIUS सर्वर (जैसे, NPS) को कॉन्फ़िगर करें। अंत में, खोए या चोरी हुए के रूप में चिह्नित किसी भी डिवाइस के सर्टिफिकेट को स्पष्ट रूप से निरस्त करने के लिए एक Intune परिचालन प्रक्रिया स्थापित करें, जो CRL को अपडेट करती है और नेटवर्क एक्सेस को ब्लॉक करती है।

Q3. आप रिटेल वातावरण में साझा किए गए कियोस्क डिवाइसों के बेड़े के लिए Intune डिप्लॉयमेंट डिज़ाइन कर रहे हैं। ये डिवाइस प्रतिदिन रीबूट होते हैं और किसी भी यूज़र के इंटरैक्ट करने से पहले अपडेट डाउनलोड करने के लिए तुरंत कॉर्पोरेट नेटवर्क से कनेक्ट होने चाहिए। क्या आपको यूज़र सर्टिफिकेट या डिवाइस सर्टिफिकेट डिप्लॉय करना चाहिए, और किस Subject Alternative Name (SAN) फ़ॉर्मेट का उपयोग किया जाना चाहिए?

संकेत: रीबूट के तुरंत बाद डिवाइस की स्थिति पर विचार करें।

मॉडल उत्तर देखें

आपको Device प्रमाणपत्र तैनात करने होंगे। क्योंकि कियोस्क को उपयोगकर्ता के लॉग इन करने से पहले नेटवर्क एक्सेस की आवश्यकता होती है, इसलिए बूट समय पर User प्रमाणपत्र उपलब्ध नहीं होगा। Intune प्रमाणपत्र प्रोफ़ाइल में Subject Alternative Name (SAN) को Azure AD Device ID ({{AAD_Device_ID}}) या डिवाइस के फुली क्वालिफाइड डोमेन नेम का उपयोग करने के लिए कॉन्फ़िगर किया जाना चाहिए, जिससे RADIUS सर्वर विशिष्ट हार्डवेयर एसेट को प्रमाणित कर सके।

अक्सर पूछे जाने वाले प्रश्न

What is the difference between SCEP and PKCS for Intune WiFi certificates?

SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.

What on-premises infrastructure is required for SCEP deployment with Intune?

A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.

How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?

Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.

In what order must Intune configuration profiles be assigned to endpoints?

Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.

How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?

Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.

इस श्रृंखला में आगे पढ़ें

iOS और macOS 802.1X ट्रबलशूटिंग: Intune, Jamf और Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट

यह जांचने के लिए इस चेकलिस्ट का उपयोग करें कि iPhones, iPads और Macs Intune या Jamf Pro पर 802.1X में विफल क्यों होते हैं। प्रत्येक विफलता चार कारणों में से एक से जुड़ी होती है: सर्वर ट्रस्ट, आइडेंटिटी सर्टिफिकेट, macOS मोड या Entra ID ग्रुप स्कोपिंग। आप eapolclient और RADIUS लॉग से कारण की पुष्टि करेंगे, समाधान लागू करेंगे और भविष्य के सर्टिफिकेट रोटेशन को व्यवस्थित करेंगे।

गाइड पढ़ें →

Intune WiFi प्रोफाइल सर्वर ट्रस्ट: Microsoft Entra ID के लिए सर्टिफिकेट सर्वर नाम और रूट CA चेकलिस्ट

आप एक Intune WiFi प्रोफाइल के सर्वर वैलिडेशन वाले हिस्से को कॉन्फ़िगर करने में सक्षम होंगे ताकि Windows, Apple और Android पर EAP-TLS और PEAP कनेक्ट हो सकें। आप सर्टिफिकेट सर्वर नामों को RADIUS सर्टिफिकेट से मिलाएंगे, सही रूट CA को डिप्लॉय करेंगे, Microsoft Entra ID ग्रुप असाइनमेंट को संरेखित करेंगे, और सर्टिफिकेट रिन्यूअल को उनके द्वारा कनेक्शन को चुपचाप तोड़ने से पहले प्रबंधित करेंगे।

गाइड पढ़ें →

Android 802.1X और EAP-TLS ट्रबलशूटिंग: Intune और Microsoft Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट

आप यह सटीक रूप से पता लगाने में सक्षम होंगे कि आपके स्टाफ SSID पर प्रबंधित Android फोन EAP-TLS में क्यों विफल हो जाते हैं और Intune में इसे कैसे ठीक किया जाए। प्रत्येक लक्षण को चार सामान्य कारणों से मिलाएं - अनुपलब्ध CA या डोमेन, गलत प्रोफ़ाइल में क्लाइंट प्रमाणपत्र, बेमेल RADIUS सर्वर नाम मान, या बिना डिलीवर किया गया ट्रस्टेड रूट। फिर एक रोलआउट चेकलिस्ट लागू करें जो बार-बार होने वाले आउटेज को रोकती है।

गाइड पढ़ें →

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।