डिवाइसों पर WiFi सर्टिफिकेट पुश करने के लिए Microsoft Intune का उपयोग कैसे करें

MICROSOFT INTUNE का उपयोग करके डिवाइसों पर WIFI प्रमाणपत्रों को कैसे पुश करें एक Purple Enterprise WiFi इंटेलिजेंस ब्रीफिंग [परिचय और संदर्भ - लगभग 1 मिनट] वापस स्वागत है। आज मैं Purple, जो कि एक एंटरप्राइज WiFi इंटेलिजेंस प्लेटफॉर्म है, की ओर से बात कर रहा हूँ, और यह एपिसोड Microsoft Intune टूलकिट में सबसे व्यावहारिक - और ईमानदारी से कहें तो सबसे कम आंका गया - फीचर: 802.1X WiFi प्रमाणीकरण के लिए स्वचालित प्रमाणपत्र परिनियोजन (certificate deployment) पर एक केंद्रित ब्रीफिंग है। यदि आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या सार्वजनिक क्षेत्र के एस्टेट में WiFi का प्रबंधन कर रहे हैं, तो आप उस समस्या को अच्छी तरह जानते होंगे जिसे मैं बताने जा रहा हूँ। आपके पास सैकड़ों या हजारों प्रबंधित डिवाइस हैं। आप चाहते हैं कि वे आपके कॉर्पोरेट WiFi से स्वचालित रूप से, सुरक्षित रूप से कनेक्ट हों, बिना उपयोगकर्ताओं द्वारा पासवर्ड टाइप किए, और बिना IT द्वारा प्रत्येक डिवाइस को स्पर्श किए। और आप चाहते हैं कि वह कनेक्शन क्रिप्टोग्राफिक रूप से मजबूत हो - न कि केवल एक साझा पासवर्ड जिसे किसी ने पहले ही संगठन के आधे लोगों को ईमेल कर दिया हो। यही वह समस्या है जिसे Intune प्रमाणपत्र परिनियोजन हल करता है। और अगले नौ मिनटों में, मैं आपको यह बताने जा रहा हूँ कि यह कैसे काम करता है, इसे कैसे परिनियोजित किया जाए, और वे कौन सी कमियाँ हैं जो अधिकांश टीमों को पहले प्रयास में परेशान करती हैं। [तकनीकी गहन विश्लेषण - लगभग 5 मिनट] आइए आर्किटेक्चर से शुरुआत करते हैं। यहाँ पर मुख्य आधार IEEE 802.1X है - पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक जो दो दशकों से अधिक समय से एंटरप्राइज WiFi सुरक्षा की रीढ़ रहा है। जब कोई डिवाइस आपके WiFi से कनेक्ट होता है, तो 802.1X को किसी भी नेटवर्क एक्सेस से पहले इसे प्रमाणित करने की आवश्यकता होती है। प्रमाणीकरण की बातचीत तीन पक्षों के बीच होती है: डिवाइस - जिसे सप्लीकेंट कहा जाता है - आपका WiFi एक्सेस पॉइंट, जो प्रमाणक (authenticator) के रूप में कार्य करता है, और आपका RADIUS सर्वर, जो प्रमाणीकरण सर्वर है जो अंतिम निर्णय लेता है। अब, 802.1X कई प्रमाणीकरण विधियों का समर्थन करता है। सबसे सुरक्षित EAP-TLS है - ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल। EAP-TLS आपसी प्रमाणपत्र प्रमाणीकरण का उपयोग करता है: डिवाइस अपनी पहचान साबित करने के लिए एक प्रमाणपत्र प्रस्तुत करता है, और RADIUS सर्वर अपनी पहचान साबित करने के लिए एक प्रमाणपत्र प्रस्तुत करता है। इसमें कोई पासवर्ड शामिल नहीं होता। कोई क्रेडेंशियल नहीं जिन्हें फ़िश किया जा सके। हमारा लक्ष्य यही है। चुनौती हमेशा बड़े पैमाने पर उन प्रमाणपत्रों को डिवाइसों पर पहुँचाने की रही है। यहीं पर Microsoft Intune काम आता है। Intune दो प्रमाणपत्र परिनियोजन तंत्रों का समर्थन करता है: SCEP - सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल - और PKCS, जिसका अर्थ पब्लिक की क्रिप्टोग्राफी स्टैंडर्ड्स है। इनके बीच के अंतर को समझना महत्वपूर्ण है। SCEP के साथ, प्राइवेट की डिवाइस पर ही उत्पन्न होती है। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट बनाता है, इसे NDES - नेटवर्क डिवाइस एनरोलमेंट सर्विस - नामक एक मध्यवर्ती सर्वर के माध्यम से आपके सर्टिफिकेट अथॉरिटी (CA) को भेजता है, और CA बदले में प्रमाणपत्र जारी करता है। प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है। यह अधिक सुरक्षित दृष्टिकोण है और BYOD वातावरण तथा उच्च-सुरक्षा परिनियोजन के लिए अनुशंसित है।PKCS के साथ, Certificate Authority कुंजी युग्म (key pair) जनरेट करती है, और Intune Certificate Connector डिवाइस को प्राइवेट कुंजी और सर्टिफिकेट डिलीवर करता है। इसे सेटअप करना अधिक सरल है - किसी NDES सर्वर की आवश्यकता नहीं होती - लेकिन प्राइवेट कुंजी कनेक्टर के माध्यम से ट्रांजिट होती है, जो आपकी सुरक्षा स्थिति के लिए एक विचारणीय पहलू है। अधिकांश एंटरप्राइज डिप्लॉयमेंट के लिए मैं BYOD और मिश्रित-डिवाइस परिवेशों के लिए SCEP की सिफारिश करूँगा, और PKCS की वहाँ सिफारिश करूँगा जहाँ आपके पास कॉर्पोरेट-स्वामित्व वाले Windows डिवाइसेस का एक समान बेड़ा है और आप इन्फ्रास्ट्रक्चर की जटिलता को न्यूनतम करना चाहते हैं। अब, आइए डिप्लॉयमेंट क्रम (deployment sequence) के बारे में बात करते हैं - क्योंकि यह क्रम बहुत महत्वपूर्ण है और इसे गलत करना विफल रोलआउट का सबसे आम कारण है। चरण एक: अपनी Certificate Authority को कॉन्फ़िगर करें। आपको अपने Active Directory Certificate Services इंस्टेंस पर एक सर्टिफिकेट टेम्प्लेट की आवश्यकता होगी - या यदि आप पूरी तरह से क्लाउड-नेटिव हैं, तो Microsoft का Intune Cloud PKI अब सामान्य रूप से उपलब्ध है और ऑन-प्रिमाइसेस CA की आवश्यकता को पूरी तरह से समाप्त कर देता है। टेम्प्लेट में सही कुंजी उपयोग एक्सटेंशन होना आवश्यक है: Client Authentication अनिवार्य है। न्यूनतम कुंजी का आकार 2048 बिट्स सेट करें, या यदि आपके संगठन की सुरक्षा नीति की आवश्यकता हो तो 4096 सेट करें। चरण दो: विश्वसनीय रूट सर्टिफिकेट डिप्लॉय करें। इससे पहले कि कोई भी डिवाइस RADIUS सर्वर के सर्टिफिकेट को सत्यापित कर सके, उसे जारी करने वाले CA पर भरोसा करना होगा। आप Intune में एक Trusted Certificate कॉन्फ़िगरेशन प्रोफ़ाइल बनाते हैं, रूट CA सर्टिफिकेट अपलोड करते हैं, और इसे अपने डिवाइस समूहों को असाइन करते हैं। यह किसी भी WiFi प्रोफ़ाइल या क्लाइंट सर्टिफिकेट प्रोफ़ाइल से पहले डिवाइसेस पर पहुंचना चाहिए। यदि आप इस क्रम को गलत करते हैं, तो डिवाइसेस RADIUS सर्वर को अस्वीकार कर देंगे और आप Windows इवेंट लॉग में Event ID 20271 को देखते हुए दोपहर बिताएंगे। चरण तीन: क्लाइंट सर्टिफिकेट प्रोफ़ाइल डिप्लॉय करें। यह या तो आपकी SCEP प्रोफ़ाइल है - जो आपके NDES सर्वर URL की ओर इंगित करती है - या आपकी PKCS प्रोफ़ाइल है, जो आपकी Certificate Authority की ओर इंगित करती है। Subject Alternative Name में उपयोगकर्ता सर्टिफिकेट के लिए User Principal Name, या डिवाइस सर्टिफिकेट के लिए AAD Device ID शामिल होना चाहिए। यह अंतर बहुत मायने रखता है: उपयोगकर्ता सर्टिफिकेट लॉग-इन किए गए उपयोगकर्ता को प्रमाणित करते हैं, डिवाइस सर्टिफिकेट मशीन को ही प्रमाणित करते हैं, जिसका अर्थ है कि उपयोगकर्ता के लॉग इन करने से पहले डिवाइस WiFi से कनेक्ट हो सकता है - जो डोमेन जॉइन परिदृश्यों और कियोस्क डिप्लॉयमेंट के लिए उपयोगी है। चरण चार: WiFi कॉन्फ़िगरेशन प्रोफ़ाइल बनाएं। Intune में, यह Devices, Configuration Profiles, Templates, Wi-Fi के अंतर्गत है। WiFi प्रकार को Enterprise पर सेट करें, अपना SSID दर्ज करें, EAP प्रकार को EAP-TLS पर सेट करें, सर्वर ट्रस्ट सेटिंग्स कॉन्फ़िगर करें - यह वह जगह है जहाँ आप RADIUS सर्वर सर्टिफिकेट नाम को संदर्भित करते हैं - और क्लाइंट प्रमाणीकरण के लिए, उस सर्टिफिकेट प्रोफ़ाइल को संदर्भित करें जिसे आपने चरण तीन में बनाया था। चरण पांच: सब कुछ सही समूहों को असाइन करें और सत्यापित करें। अपने रूट सर्टिफिकेट, क्लाइंट सर्टिफिकेट, और WiFi प्रोफ़ाइल्स को समान डिवाइस या उपयोगकर्ता समूहों को असाइन करें। प्रोफ़ाइल डिप्लॉयमेंट स्थिति की निगरानी के लिए Intune की अंतर्निहित रिपोर्टिंग का उपयोग करें। एक सफल डिप्लॉयमेंट डिवाइस की कॉन्फ़िगरेशन प्रोफ़ाइल सूची में तीनों प्रोफ़ाइल्स को Succeeded के रूप में दिखाता है। Windows Server परिवेशों के लिए NPS कॉन्फ़िगरेशन पर एक महत्वपूर्ण बिंदु: 2024 की शुरुआत से, Microsoft ने प्रमाणपत्र मैपिंग आवश्यकताओं को कड़ा कर दिया है। यदि आप ऑन-प्रिमाइसेस NPS के विरुद्ध प्रमाणित होने वाले Azure AD-joined उपकरणों के साथ डिवाइस प्रमाणपत्रों का उपयोग कर रहे हैं, तो आपको यह सुनिश्चित करना होगा कि Active Directory में कंप्यूटर ऑब्जेक्ट पर altSecurityIdentities विशेषता प्रमाणपत्र के थंबप्रिंट के साथ पॉप्युलेट की गई हो। यह स्वचालित रूप से नहीं होता है - इसे संभालने के लिए आपको एक स्क्रिप्ट या वर्कफ़्लो की आवश्यकता होती है, जो आम तौर पर तब ट्रिगर होती है जब CA एक नया प्रमाणपत्र जारी करता है। [कार्यान्वयन सिफारिशें और नुकसान - लगभग 2 मिनट] मैं आपको वे तीन नुकसान बताता हूँ जो मैं एंटरप्राइज डिप्लॉयमेंट में सबसे अधिक बार देखता हूँ। पहला नुकसान: प्रमाणपत्र श्रृंखला अंतराल (certificate chain gaps)। डिवाइस को रूट CA से लेकर RADIUS सर्वर के प्रमाणपत्र तक श्रृंखला के प्रत्येक प्रमाणपत्र पर भरोसा करने की आवश्यकता होती है। यदि आपका RADIUS सर्वर प्रमाणपत्र किसी इंटरमीडिएट CA द्वारा जारी किया गया था, तो आपको उपकरणों पर रूट और इंटरमीडिएट दोनों को तैनात करना होगा। मैंने देखा है कि डिप्लॉयमेंट हफ्तों तक विफल रहे क्योंकि किसी ने रूट को तो तैनात किया लेकिन इंटरमीडिएट को नहीं। दूसरा नुकसान: प्रोफाइल असाइनमेंट का समय। Intune प्रोफाइल उपकरणों पर तुरंत नहीं पहुंचते हैं। एक बड़े एस्टेट में, असाइनमेंट के बाद प्रोफाइल को प्रसारित होने में 15 से 30 मिनट लग सकते हैं। प्रोफाइल बनाने के तुरंत बाद परीक्षण न करें। चेक-इन के लिए बाध्य करने के लिए Intune पोर्टल में सिंक बटन का उपयोग करें, फिर प्रतीक्षा करें। इसके अलावा, WiFi प्रोफाइल लागू होने से पहले क्लाइंट प्रमाणपत्र प्रोफाइल को तैनात और पुष्टि किया जाना चाहिए - यदि WiFi प्रोफाइल किसी ऐसे प्रमाणपत्र को संदर्भित करता है जो अभी तक मौजूद नहीं है, तो कुछ प्लेटफॉर्म पर प्रोफाइल बिना किसी सूचना के विफल हो जाएगी। तीसरा नुकसान: BYOD प्रमाणपत्र निरसन (certificate revocation)। जब किसी डिवाइस को Intune से अन-एनरोल किया जाता है - क्योंकि कोई कर्मचारी चला जाता है, या कोई डिवाइस खो जाता है - तो आपको प्रमाणपत्र को निरस्त करने के लिए एक प्रक्रिया की आवश्यकता होती है। यदि आप ADCS के साथ SCEP का उपयोग कर रहे हैं, तो प्रमाणपत्र निरसन सूची (Certificate Revocation List) वितरण बिंदु को सही ढंग से कॉन्फ़िगर करें और सुनिश्चित करें कि आपका RADIUS सर्वर प्रत्येक प्रमाणीकरण पर CRL या OCSP की जांच कर रहा है। यह PCI-DSS जैसे फ्रेमवर्क के तहत एक अनुपालन आवश्यकता है, जो यह आदेश देता है कि जब एक्सेस कंट्रोल मैकेनिज्म की आवश्यकता न हो, तो उन्हें तुरंत निरस्त कर दिया जाए। अनुपालन के विषय पर: यदि आप PCI-DSS दायरे में काम कर रहे हैं - उदाहरण के लिए, रिटेल भुगतान परिवेश - तो वायरलेस नेटवर्क एक्सेस के लिए प्रमाणपत्र-आधारित 802.1X प्रमाणीकरण आपका सबसे मजबूत नियंत्रण है। यह नेटवर्क एक्सेस नियंत्रणों के आसपास PCI-DSS आवश्यकता 1.3 और प्रमाणीकरण कारकों के आसपास आवश्यकता 8.6 को पूरा करता है। अपने अनुपालन साक्ष्य के हिस्से के रूप में अपनी प्रमाणपत्र जीवनचक्र प्रबंधन प्रक्रिया का दस्तावेजीकरण करें।GDPR-विनियमित वातावरणों के लिए, विशेष रूप से हॉस्पिटैलिटी और सार्वजनिक क्षेत्र में, आपके कॉर्पोरेट 802.1X नेटवर्क और आपके अतिथि WiFi नेटवर्क के बीच अलगाव महत्वपूर्ण है। आपका कॉर्पोरेट Intune-प्रबंधित नेटवर्क किसी भी अतिथि या आगंतुक नेटवर्क से पूरी तरह से अलग VLAN और SSID पर होना चाहिए। Purple का अतिथि WiFi प्लेटफॉर्म आगंतुकों के सामने आने वाले पक्ष - captive portal, सहमति कैप्चर, एनालिटिक्स - को संभालता है - जबकि आपका Intune-प्रबंधित कॉर्पोरेट नेटवर्क कर्मचारियों और परिचालन उपकरणों को संभालता है। इन दोनों नेटवर्कों को कभी भी प्रमाणीकरण बुनियादी ढांचे को साझा नहीं करना चाहिए। [रैपिड-फायर प्रश्नोत्तर - लगभग 1 मिनट] आइए मैं कुछ ऐसे सवालों पर नज़र डालूँ जो नियमित रूप से सामने आते हैं। क्या मैं ऑन-प्रिमाइसेस ADCS के बजाय Intune Cloud PKI का उपयोग कर सकता हूँ? हाँ। Microsoft का Intune Cloud PKI, जो 2024 में रिलीज़ हुआ था, Azure में पूरी तरह से प्रबंधित CA प्रदान करता है। यह SCEP के लिए NDES सर्वर की आवश्यकता को हटा देता है और कनेक्टर सेटअप को काफी सरल बनाता है। ग्रीनफील्ड परिनियोजन या मौजूदा ADCS बुनियादी ढांचे के बिना संगठनों के लिए, यह अनुशंसित मार्ग है। क्या यह macOS और iOS उपकरणों के लिए काम करता है? हाँ। Intune Windows, iOS, iPadOS, Android, और macOS के लिए प्रमाणपत्र प्रोफ़ाइल का समर्थन करता है। प्रोफ़ाइल प्रकार और कॉन्फ़िगरेशन विकल्प प्लेटफ़ॉर्म के आधार पर थोड़े भिन्न होते हैं, लेकिन मुख्य आर्किटेक्चर - विश्वसनीय रूट, क्लाइंट प्रमाणपत्र, WiFi प्रोफ़ाइल - सुसंगत है। BYOD कार्यक्रम में व्यक्तिगत उपकरणों के बारे में क्या? SCEP यहाँ आपका मित्र है। Intune की डिवाइस अनुपालन नीतियों के साथ, आप यह आवश्यकता रख सकते हैं कि प्रमाणपत्र जारी होने से पहले एक उपकरण न्यूनतम सुरक्षा मानकों को पूरा करे। यदि डिवाइस अनुपालन से बाहर हो जाता है - कोई स्क्रीन लॉक नहीं, पुराना OS - तो प्रमाणपत्र को रद्द किया जा सकता है और नेटवर्क एक्सेस को स्वचालित रूप से हटाया जा सकता है। क्या Purple इस आर्किटेक्चर के साथ एकीकृत हो सकता है? बिल्कुल। Purple का प्लेटफ़ॉर्म अतिथि नेटवर्क की ओर काम करता है, जो captive portal प्रमाणीकरण, सहमति प्रबंधन और एनालिटिक्स को संभालता है। कॉर्पोरेट 802.1X नेटवर्क और Purple का अतिथि WiFi समानांतर में काम करते हैं - समान भौतिक बुनियादी ढांचा, अलग-अलग SSIDs और VLANs - जिससे आपको कर्मचारियों की कनेक्टिविटी और आगंतुकों की सहभागिता के बीच पूर्ण अलगाव मिलता है। [सारांश और अगले कदम - लगभग 1 मिनट] समाप्त करने के लिए: Intune के माध्यम से WiFi प्रमाणपत्रों को तैनात करना एक पांच-चरणीय प्रक्रिया है - CA कॉन्फ़िगरेशन, विश्वसनीय रूट परिनियोजन, क्लाइंट प्रमाणपत्र प्रोफ़ाइल, WiFi प्रोफ़ाइल, और समूह असाइनमेंट। BYOD और उच्च-सुरक्षा वातावरण के लिए SCEP चुनें; सरल कॉर्पोरेट-स्वामित्व वाले बेड़े के लिए PKCS चुनें। अनुक्रम सही रखें, NPS प्रमाणपत्र मैपिंग आवश्यकता को संभालें, और पहले दिन से एक प्रमाणपत्र निरसन वर्कफ़्लो का निर्माण करें। व्यावसायिक मामला सीधा है: आप साझा WiFi पासवर्ड को समाप्त करते हैं, आपको प्रति-डिवाइस और प्रति-उपयोगकर्ता प्रमाणीकरण लॉग मिलते हैं, आप PCI DSS और ISO 27001 वायरलेस सुरक्षा आवश्यकताओं को पूरा करते हैं, और आप एक बड़े एस्टेट में WiFi क्रेडेंशियल प्रबंधित करने के IT ओवरहेड को कम करते हैं। यदि आप किसी परिनियोजन (deployment) की योजना बना रहे हैं और यह समझना चाहते हैं कि Purple का guest WiFi और एनालिटिक्स प्लेटफ़ॉर्म आपके कॉर्पोरेट नेटवर्क आर्किटेक्चर के साथ कैसे फिट बैठता है, तो purple.ai पर जाएँ। हमारे पास Azure Entra ID एकीकरण, 802.1X आर्किटेक्चर और हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के वातावरण के लिए guest नेटवर्क डिज़ाइन पर विस्तृत गाइड उपलब्ध हैं। सुनने के लिए धन्यवाद। अगली बार तक के लिए अलविदा।