मुख्य सामग्री पर जाएं
हिन्दी

SCEP और PKCS के माध्यम से Microsoft Intune WiFi प्रमाणपत्र परिनियोजन

आप स्टाफ WiFi प्रमाणपत्रों के लिए SCEP और PKCS के बीच चयन करने में सक्षम होंगे, फिर सही क्रम में Intune में विश्वसनीय रूट, क्लाइंट प्रमाणपत्र और 802.1X WiFi प्रोफ़ाइल परिनियोजित कर सकेंगे। आप पायलट को मान्य करने, निरसन (revocation) का परीक्षण करने और Windows, iOS और Android पर EAP-TLS रोलआउट को रोकने वाली विफलताओं को ठीक करने का तरीका भी जानेंगे।

Tom Hackett द्वाराप्रकाशित अपडेट किया गया
📖 15 मिनट का पाठ4,290 शब्द3 हल किए गए उदाहरण3 अभ्यास प्रश्न12 मुख्य परिभाषाएं

Video overview

हमारी मुख्य श्रृंखला का हिस्सा: एंटरप्राइज़ WiFi सुरक्षा गाइड →

Interactive Architecture Tool802.1X EAP-TLS Profile Sizer

Microsoft Intune WiFi certificate profile and architecture advisor

Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.

Architecture Score
95/100
Strong architecture

Certificate Enrollment Specifications

  • Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
  • Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
  • Key Length: RSA 2048-bit (SHA-256 Signature Hash)
  • Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
  • Subject Name Format: CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal
  • Subject Alternative Name (SAN): User Principal Name (UPN) = {{UserPrincipalName}}
  • Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)

AAA & RADIUS Integration Details

  • RADIUS Engine: Purple Cloud RADIUS (Recommended)
  • Architecture Mode: 100% Cloud Native AAA
  • RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
  • Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
  • CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
  • Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.

Remove on-premises NPS and NDES with Purple Cloud RADIUS

Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.

Useful? Link to this tool

Intune WiFi प्रमाणपत्र परिनियोजन तीन प्रोफ़ाइल का उपयोग करता है: एक विश्वस्त रूट प्रमाणपत्र, एक SCEP या PKCS क्लाइंट प्रमाणपत्र, और EAP-TLS पर सेट एक 802.1X WiFi प्रोफ़ाइल। उन्हें इसी क्रम में परिनियोजित करें, सभी को एक ही Microsoft Entra ID समूह में असाइन किया गया हो। SCEP डिवाइस पर ही प्राइवेट की (private key) बनाता है, जबकि PKCS इसे केंद्रीय रूप से बनाता है। Windows, iOS और Android पर WiFi के लिए, SCEP चुनें।

Intune WiFi प्रमाणपत्र परिनियोजन वास्तव में क्या करता है?

Intune प्रत्येक प्रबंधित डिवाइस को उसकी अपनी पहचान का प्रमाणपत्र और इसे प्रस्तुत करने के लिए WiFi सेटिंग्स देता है। इसके बाद डिवाइस बिना किसी व्यक्ति द्वारा पासवर्ड टाइप किए आपके कर्मचारियों के नेटवर्क से जुड़ जाता है।

इसकी कार्यप्रणाली IEEE 802.1X है, जो पोर्ट आधारित नेटवर्क एक्सेस कंट्रोल का मानक है। 802.1X के तहत, एक्सेस पॉइंट डिवाइस को तब तक नेटवर्क से बाहर रखता है जब तक कि ऑथेंटिकेशन सर्वर इसे स्वीकृत न कर दे। वह सर्वर एक RADIUS सर्वर है, वह सेवा जिसे आपके एक्सेस पॉइंट किसी डिवाइस को अंदर आने देने से पहले क्वेरी करते हैं।

प्रमाणीकरण विधि EAP-TLS (विस्तारयोग्य प्रमाणीकरण प्रोटोकॉल - ट्रांसपोर्ट लेयर सिक्योरिटी) है, जिसे RFC 5216 में परिभाषित किया गया है। दोनों पक्ष प्रमाणपत्रों के साथ अपनी पहचान साबित करते हैं:

  • डिवाइस एक क्लाइंट प्रमाणपत्र प्रस्तुत करता है।
  • RADIUS सर्वर एक सर्वर प्रमाणपत्र प्रस्तुत करता है।
  • प्रत्येक पक्ष यह जांचता है कि दूसरे का प्रमाणपत्र उस प्रमाणन प्राधिकरण (CA) से जुड़ा है जिस पर वह भरोसा करता है।

कोई भी पासवर्ड टाइप, स्टोर या फ़िशिंग के लिए उजागर नहीं किया जाता है।

यह हर साल अधिक महत्वपूर्ण होता जा रहा है। Microsoft का विवरण है कि Windows Defender Credential Guard पासवर्ड आधारित 802.1X विधियों जैसे PEAP-MSCHAPv2 के लिए सिंगल साइन ऑन को रोकता है। PEAP (संरक्षित EAP) एक एन्क्रिप्टेड टनल के अंदर पासवर्ड भेजता है। Credential Guard हाल के Windows 11 Enterprise बिल्ड पर डिफ़ॉल्ट रूप से सक्षम है, और Microsoft इसके बजाय प्रमाणपत्र आधारित प्रमाणीकरण की अनुशंसा करता है।

Intune तीन कॉन्फ़िगरेशन प्रोफ़ाइल के माध्यम से प्रमाणपत्र आधारित WiFi प्रदान करता है:

  • विश्वस्त प्रमाणपत्र प्रोफ़ाइल। आपका रूट CA और कोई भी इंटरमीडिएट CA इंस्टॉल करता है। इसके बाद डिवाइस अपनी स्वयं की प्रमाणपत्र श्रृंखला और आपके RADIUS सर्वर पर भरोसा कर सकता है।
  • SCEP या PKCS प्रमाणपत्र प्रोफ़ाइल। प्रत्येक डिवाइस को एक अद्वितीय क्लाइंट प्रमाणपत्र जारी करता है।
  • WiFi प्रोफ़ाइल। SSID (प्रसारित नेटवर्क नाम), सुरक्षा प्रकार और EAP विधि सेट करता है। यह प्रस्तुत किए जाने वाले प्रमाणपत्र और भरोसा किए जाने वाले सर्वर का नाम भी निर्दिष्ट करता है।

स्थान संचालकों के लिए, यह नेटवर्क का स्टाफ पक्ष है। Hotels, Retail और Healthcare में कर्मचारियों के लैपटॉप, हैंड्रिल और टैबलेट को उन प्रणालियों तक पहुंच की आवश्यकता होती है जहां मेहमान, खरीदार और मरीज कभी नहीं पहुंच सकते। आपका Guest WiFi अपने Captive Portal को बनाए रखता है, वह साइन इन पृष्ठ जो आगंतुक देखते हैं। कर्मचारियों के उपकरण एक अलग SSID और VLAN, एक तार्किक रूप से अलग नेटवर्क खंड पर चुपचाप प्रमाणित होते हैं।

SCEP या PKCS: आपको किस प्रमाणपत्र प्रोफ़ाइल का उपयोग करना चाहिए?

दोनों प्रोफ़ाइल डिवाइस पर एक क्लाइंट प्रमाणपत्र छोड़ती हैं। अंतर यह है कि प्राइवेट की (private key) कहाँ बनाई जाती है।

SCEP (Simple Certificate Enrolment Protocol, RFC 8894) डिवाइस को अपनी स्वयं की कुंजी जोड़ी (key pair) जनरेट करने की अनुमति देता है। डिवाइस Network Device Enrolment Service (NDES) सर्वर के माध्यम से, या Microsoft Cloud PKI के माध्यम से एक प्रमाणपत्र हस्ताक्षर अनुरोध (certificate signing request) भेजता है। CA अनुरोध पर हस्ताक्षर करता है और प्रमाणपत्र वापस लौटाता है। निजी कुंजी (private key) कभी भी डिवाइस से बाहर नहीं जाती है। Windows पर, SCEP प्रोफ़ाइल उस कुंजी को Trusted Platform Module (TPM), हार्डवेयर सुरक्षा चिप में रख सकती है।

PKCS प्रोफ़ाइलें आपके CA से प्रमाणपत्र का अनुरोध करने के लिए Certificate Connector for Microsoft Intune का उपयोग करती हैं। कुंजी जोड़ी डिवाइस से दूर बनाई जाती है। इसके बाद Intune डिवाइस को एन्क्रिप्टेड रूप में प्रमाणपत्र और निजी कुंजी प्रदान करता है। आप NDES चलाने से बचते हैं, लेकिन निजी कुंजी डिवाइस के अलावा कहीं और मौजूद रही होती है।

एक तीसरा प्रकार, PKCS आयातित प्रमाणपत्र (imported certificates), आपके पास पहले से मौजूद प्रमाणपत्र प्रदान करता है। इसका सामान्य काम S/MIME ईमेल एन्क्रिप्शन है, जहाँ कुंजियों को एस्क्रो (escrowed) किया जाता है। यह WiFi के लिए गलत टूल है।

NDES और AD CS के माध्यम से SCEP Microsoft Cloud PKI के माध्यम से SCEP कनेक्टर्स और AD CS के माध्यम से PKCS
निजी कुंजी कहाँ बनाई जाती है डिवाइस पर डिवाइस पर डिवाइस से बाहर, फिर डिलीवर की जाती है
सर्टिफिकेट अथॉरिटी आपकी Active Directory Certificate Services (AD CS) एंटरप्राइज़ CA Microsoft-होस्ट किए गए CAs, या आपका अपना रूट आपकी AD CS एंटरप्राइज़ CA
ऑन-प्रीमिस सर्वर जो आप चलाते हैं CA, NDES सर्वर, Certificate Connector कोई नहीं CA, Certificate Connector
इंटरनेट-फ़ेसिंग घटक NDES URL, Microsoft Entra application proxy के माध्यम से प्रकाशित कोई नहीं: Microsoft SCEP एंडपॉइंट को होस्ट करता है कोई नहीं: कनेक्टर केवल आउटबाउंड कनेक्ट होता है
अतिरिक्त लाइसेंस Windows Server के अलावा कोई नहीं Cloud PKI ऐड-ऑन या Microsoft Intune Suite Windows Server के अलावा कोई नहीं
सेटअप का प्रयास उच्चतम: CA, NDES, कनेक्टर और प्रॉक्सी पब्लिशिंग न्यूनतम: Intune एडमिन सेंटर में बनाए गए CAs मध्यम: CA और कनेक्टर, कोई NDES नहीं
यह किसके लिए उपयुक्त है AD CS वाले वे घराने जो कुंजियों को डिवाइस पर रखना चाहते हैं बिना किसी ऑन-प्रीमिस PKI वाले क्लाउड-फ़र्स्ट घराने AD CS वाले वे घराने जो NDES एंडपॉइंट को इंटरनेट पर प्रकाशित नहीं कर सकते

WiFi के लिए, SCEP को चुनें जब तक कि आप इसकी इंफ्रास्ट्रक्चर आवश्यकताओं को पूरा करने में असमर्थ न हों। एक कुंजी जो कभी भी डिवाइस को नहीं छोड़ती है, उसे सर्वर से कॉपी नहीं किया जा सकता है या ट्रांसिट में इंटरसेप्ट नहीं किया जा सकता है। यदि आपके पास कोई ऑन-प्रीमिस PKI नहीं है और आप कोई नया बनाना नहीं चाहते हैं, तो Microsoft Cloud PKI चुनें। यदि आप AD CS चलाते हैं लेकिन इंटरनेट पर NDES एंडपॉइंट प्रकाशित नहीं कर सकते हैं तो PKCS चुनें।

Intune के साथ WiFi प्रमाणपत्र तैनात करने से पहले आपको क्या चाहिए?

एक भी प्रोफ़ाइल बनाने से पहले प्रत्येक आइटम की पुष्टि करें। अधिकांश विफल रोलआउट्स का कारण इस सूची में एक अंतर (gap) होता है।

  • लाइसेंसिंग। प्रत्येक व्यक्ति को Intune लाइसेंस की आवश्यकता होती है। Intune, Microsoft 365 E3, E5 और Business Premium में, और Enterprise Mobility + Security E3 और E5 में शामिल है।
  • एनरोल किए गए डिवाइस। Windows डिवाइस Microsoft Entra ID से जुड़े होते हैं, अक्सर Windows Autopilot के माध्यम से। iOS और iPadOS डिवाइस Apple Business Manager स्वचालित डिवाइस एनरोलमेंट के माध्यम से एनरोल किए जाते हैं। Android डिवाइस Android Enterprise का उपयोग करते हैं। Microsoft ने Google Mobile Services वाले डिवाइस के लिए डिवाइस एडमिनिस्ट्रेटर प्रबंधन समाप्त कर दिया है, इसलिए Android Enterprise की योजना बनाएं।
  • एक सर्टिफिकेट अथॉरिटी। इसका अर्थ है एक AD CS एंटरप्राइज CA, Microsoft Cloud PKI, या एक थर्ड पार्टी CA जिसे Intune सपोर्ट करता है।
  • एक सर्टिफिकेट टेम्पलेट। AD CS पर, क्लाइंट प्रमाणीकरण विस्तारित कुंजी उपयोग के साथ एक टेम्पलेट प्रकाशित करें।
  • कनेक्टर इन्फ्रास्ट्रक्चर। AD CS पर SCEP को एक NDES सर्वर और Microsoft Intune के लिए Certificate Connector की आवश्यकता होती है। PKCS को केवल कनेक्टर की आवश्यकता होती है।
  • एक RADIUS सर्वर जो EAP-TLS को सपोर्ट करता है। इसके सर्वर सर्टिफिकेट को उस रूट से श्रृंखलाबद्ध (chained) होना चाहिए जिसे आप तैनात करेंगे। उस सर्टिफिकेट पर सटीक नाम दर्ज करें, क्योंकि WiFi प्रोफाइल को इसकी आवश्यकता होती है।
  • पहुंच योग्य निरसन (Reachable revocation)। आपके RADIUS सर्वर को सर्टिफिकेट निरसन सूची (CRL) या एक OCSP (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल) उत्तरदाता तक पहुंचना चाहिए। यदि यह ऐसा नहीं कर सकता है, तो प्रमाणीकरण विफल हो जाता है।
  • एंटरप्राइज SSIDs। आपके एक्सेस पॉइंट्स को आपके RADIUS सर्वर की ओर इंगित एक WPA2-Enterprise या WPA3-Enterprise SSID प्रसारित करना होगा। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet सभी 802.1X को सपोर्ट करते हैं।
  • Entra ID समूह। एक पायलट समूह और एक प्रोडक्शन समूह बनाएं। अभी तय करें कि वे लोगों को रखते हैं या डिवाइस को।
  • एक बूटस्ट्रैप नेटवर्क। किसी डिवाइस को 802.1X SSID से जुड़ने से पहले अपना सर्टिफिकेट एकत्र करने के लिए इंटरनेट एक्सेस की आवश्यकता होती है। वायर्ड एक्सेस, मोबाइल डेटा या एक पृथक ऑनबोर्डिंग SSID प्रदान करें। ऑन-बोर्ड क्रू को टैबलेट जारी करने वाले Trains ऑपरेटरों को टैबलेट के यात्रा करने से पहले, डिपो में ही उन्हें प्रोविज़न करना चाहिए।

आप Intune में SCEP या PKCS WiFi सर्टिफिकेट कैसे सेट करते हैं?

Microsoft के Intune दस्तावेज़ों में प्रत्येक प्लेटफ़ॉर्म के लिए फ़ील्ड-दर-फ़ील्ड चरण शामिल हैं। नीचे दिए गए क्रम और निर्णय ही सफलता निर्धारित करते हैं। प्रति प्लेटफ़ॉर्म प्रोफाइल का एक सेट बनाएं: Windows, iOS/iPadOS और Android Enterprise।

चरण 1: विश्वसनीय रूट सर्टिफिकेट प्रोफाइल तैनात करें

अपने रूट CA सर्टिफिकेट को .cer फ़ाइल के रूप में एक्सपोर्ट करें। एक विश्वसनीय सर्टिफिकेट प्रोफाइल बनाएं जिसमें यह शामिल हो। प्रत्येक विश्वसनीय सर्टिफिकेट प्रोफाइल में एक सर्टिफिकेट होता है, इसलिए रूट और प्रत्येक इंटरमीडिएट CA के लिए अलग-अलग प्रोफाइल बनाएं।

Windows पर, रूट को कंप्यूटर रूट स्टोर पर और इंटरमीडिएट को इंटरमीडिएट स्टोर पर भेजें। यदि किसी भिन्न CA ने आपके RADIUS सर्वर सर्टिफिकेट पर हस्ताक्षर किए हैं, तो उस रूट को भी तैनात करें। इसके बिना, डिवाइस सर्वर को सत्यापित नहीं कर सकते।

चरण 2: SCEP या PKCS सर्टिफिकेट प्रोफाइल तैनात करें

सर्टिफिकेट के प्रकार से शुरुआत करें, क्योंकि यह बाकी सब कुछ संचालित करता है।

  • डिवाइस सर्टिफिकेट साझा किए गए हैंडहेल्ड, कियोस्क और लैपटॉप के लिए उपयुक्त हैं जिन्हें Windows साइन-इन स्क्रीन पर कनेक्ट होना चाहिए। डिवाइस पहचानकर्ता से निर्मित विषय नाम का उपयोग करें, जैसे CN={{AAD_Device_ID}}।
  • व्यक्ति-आधारित प्रमाणपत्र कर्मचारियों के एक सदस्य को सौंपे गए फ़ोन और लैपटॉप के लिए उपयुक्त हैं। विषय में CN={{UserPrincipalName}} का उपयोग करें। एक ही मान को विषय के वैकल्पिक नाम के रूप में जोड़ें, क्योंकि कई RADIUS सर्वर वहां से पहचान पढ़ते हैं।

फिर शेष फ़ील्ड सेट करें:

  • कुंजी का उपयोग (Key usage): डिजिटल हस्ताक्षर और कुंजी एन्सिफरमेंट।
  • विस्तारित कुंजी उपयोग (Extended key usage): क्लाइंट प्रमाणीकरण, OID 1.3.6.1.5.5.7.3.2।
  • कुंजी का आकार (Key size): न्यूनतम 2048 बिट्स।
  • वैधता (Validity): आपके CA टेम्पलेट की अनुमति से अधिक नहीं।
  • नवीनीकरण सीमा (Renewal threshold): Microsoft का डिफ़ॉल्ट प्रमाणपत्र के शेष जीवनकाल का 20% है।
  • रूट प्रमाणपत्र (Root certificate): चरण 1 से विश्वसनीय प्रमाणपत्र प्रोफ़ाइल चुनें।
  • Windows पर कुंजी संग्रहण: हार्डवेयर-समर्थित कुंजियों के लिए TPM विकल्प चुनें।

SCEP के लिए, बाहरी NDES URL या अपना Cloud PKI SCEP URI दर्ज करें। PKCS के लिए, इसके बजाय CA नाम और टेम्पलेट नाम दर्ज करें।

यदि आप हाइब्रिड पहचानों के साथ Microsoft NPS (नेटवर्क नीति सर्वर) का उपयोग करते हैं, तो मजबूत प्रमाणपत्र मैपिंग पर Microsoft का KB5014754 पढ़ें। Microsoft एक विषय वैकल्पिक नाम URI का दस्तावेज़ीकरण करता है जो ठीक इसी मामले के लिए ऑन-प्रेमिस सुरक्षा पहचानकर्ता रखता है।

चरण 3: 802.1X WiFi प्रोफ़ाइल तैनात करें

इन सेटिंग्स के साथ एक एंटरप्राइज़ WiFi प्रोफ़ाइल बनाएं:

  • SSID ठीक उसी तरह दर्ज करें जैसे आपके एक्सेस पॉइंट इसे प्रसारित करते हैं।
  • सुरक्षा प्रकार को WPA2-Enterprise, या WPA3-Enterprise पर सेट करें जहां आपके एक्सेस पॉइंट और प्लेटफ़ॉर्म इसका समर्थन करते हैं।
  • EAP प्रकार को EAP-TLS पर सेट करें।
  • प्रमाणपत्र सर्वर नाम दर्ज करें जो आपके RADIUS सर्वर प्रमाणपत्र पर दिए गए नाम से मेल खाते हों। यह उपकरणों को किसी अनधिकृत एक्सेस पॉइंट पर अपनी पहचान सौंपने से रोकता है।
  • सर्वर सत्यापन के लिए चरण 1 प्रोफ़ाइल को रूट प्रमाणपत्र के रूप में चुनें।
  • चरण 2 प्रोफ़ाइल को क्लाइंट प्रमाणीकरण प्रमाणपत्र के रूप में चुनें।

Windows, iOS और Android पर क्या भिन्नता है?

  • Windows किसी के साइन इन करने से पहले एक डिवाइस प्रमाणपत्र के साथ कनेक्ट होता है। व्यक्ति-आधारित प्रमाणपत्र केवल साइन-इन के बाद ही कनेक्ट होता है, जो साझा लैपटॉप पर पहले साइन-इन को बाधित करता है।
  • iOS और iPadOS आपके द्वारा दर्ज किए गए प्रमाणपत्र सर्वर नामों का मिलान करके RADIUS सर्वर पर भरोसा करते हैं। बेमेल होने पर ट्रस्ट विफलता उत्पन्न होती है, न कि साइलेंट फ़ॉलबैक।
  • Android Enterprise को सत्यापन के लिए एक RADIUS सर्वर डोमेन नाम और एक रूट प्रमाणपत्र की आवश्यकता होती है। हाल के Android रिलीज़ों ने सर्वर सत्यापन को छोड़ने का विकल्प हटा दिया है।

नया उपकरण नामांकित होने पर क्या होता है?

नए नामांकित उपकरण पर प्रमाणपत्र परिनियोजन अनुक्रम इस प्रकार है:

  1. उपकरण नामांकित होता है और अपने निर्दिष्ट Entra ID समूह में आता है।
  2. Intune विश्वसनीय रूट और मध्यवर्ती प्रोफ़ाइल प्रदान करता है।
  3. उपकरण अपने क्लाइंट प्रमाणपत्र का अनुरोध करता है। SCEP के तहत, यह एक कुंजी जोड़ी उत्पन्न करता है और वन-टाइम चैलेंज के साथ एक हस्ताक्षर अनुरोध भेजता है। CA द्वारा कुछ भी जारी करने से पहले कनेक्टर Intune के साथ उस चैलेंज को सत्यापित करता है। PKCS के तहत, कनेक्टर प्रमाणपत्र का अनुरोध करता है और Intune इसे वितरित करता है।
  4. उपकरण स्थापित प्रमाणपत्र की रिपोर्ट Intune को देता है।
  5. WiFi प्रोफ़ाइल, जो दोनों प्रमाणपत्र प्रोफ़ाइलों पर निर्भर करती है, लागू होती है।
  6. डिवाइस अपना प्रमाण पत्र SSID के सामने प्रस्तुत करता है। RADIUS श्रृंखला को मान्य करता है, निरसन (revocation) की जाँच करता है और डिवाइस को स्वीकार करता है। इसके बाद यह RADIUS विशेषताओं के माध्यम से एक VLAN असाइन कर सकता है।
  7. Intune नवनीकरण सीमा पर पहुँचने पर प्रमाण पत्र का नवनीकरण करता है। जब आप डिवाइस को रिटायर या वाइप करते हैं, तो Intune इसे निरस्त कर देता है, बशर्ते कनेक्टर के पास CA पर निरसन अधिकार हों।

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।

आप कैसे जाँचते हैं कि Intune WiFi प्रमाण पत्र काम कर रहे हैं?

असाइनमेंट बढ़ाने से पहले प्रति प्लेटफॉर्म 10 से 20 डिवाइस के पायलट के साथ परीक्षण करें। चार स्थानों की जाँच करें।

  1. Intune प्रोफ़ाइल स्थिति। तीनों प्रोफ़ाइल में से प्रत्येक को हर पायलट डिवाइस के लिए Succeeded रिपोर्ट करना चाहिए। किसी भी एक पर Pending, Error या Not applicable की स्थिति WiFi प्रोफ़ाइल को अवरुद्ध कर देती है।
  2. स्वयं डिवाइस। Windows पर, व्यक्तिगत प्रमाण पत्र स्टोर खोलें और Client Authentication उद्देश्य तथा अपने जारी करने वाले CA की पुष्टि करें। iOS और Android पर, पुष्टि करें कि प्रमाण पत्र और WiFi प्रोफ़ाइल प्रबंधन प्रोफ़ाइल और वर्क प्रोफ़ाइल क्रेडेंशियल्स में दिखाई देते हैं।
  3. RADIUS लॉग्स। अपेक्षित विषय नाम के साथ सफल EAP-TLS प्रमाणीकरण की तलाश करें। NPS पर, इवेंट ID 6272 दी गई पहुँच को रिकॉर्ड करता है और 6273 कारण कोड के साथ अस्वीकृत पहुँच को रिकॉर्ड करता है।
  4. कनेक्टर और NDES लॉग्स। Certificate Connector Windows इवेंट लॉग में लिखता है। NDES अनुरोध IIS लॉग्स में दिखाई देते हैं।

फिर जानबूझकर निरसन का परीक्षण करें। Intune में एक पायलट डिवाइस को रिटायर करें और पुष्टि करें कि प्रमाण पत्र CA पर निरस्त के रूप में दिखाई देता है। CRL प्रकाशित करें, और पुष्टि करें कि RADIUS अगले प्रमाणीकरण को अस्वीकार करता है।

Intune WiFi प्रोफ़ाइल में क्या गलत होता है, और आप इसे कैसे ठीक करते हैं?

WiFi प्रोफ़ाइल Error या Not applicable दिखाती है

प्रमाण पत्र आ गए, लेकिन WiFi प्रोफ़ाइल विफल हो गई। सामान्य कारण मिश्रित समूह लक्ष्यीकरण है। उदाहरण के लिए, SCEP प्रोफ़ाइल लोगों के समूह को सौंपी गई है जबकि WiFi प्रोफ़ाइल डिवाइस समूह को लक्षित करती है। Intune निर्भरता को हल नहीं कर सकता है। इसका समाधान तीनों प्रोफ़ाइल को एक ही समूह, या कम से कम एक ही समूह प्रकार को असाइन करना है।

SCEP प्रमाण पत्र कभी नहीं पहुँचता

NDES IIS लॉग HTTP 403 या 500 प्रतिक्रियाएं दिखाते हैं। जाँच करें कि कनेक्टर सेवा खाते के पास प्रमाण पत्र टेम्पलेट पर Read और Enrol अनुमतियाँ हैं। जाँच करें कि आपका फ़ायरवॉल, रिवर्स प्रॉक्सी या एप्लिकेशन प्रॉक्सी operation=GetCACaps जैसी SCEP क्वेरी स्ट्रिंग्स को हटा तो नहीं रहा है। फिर पुष्टि करें कि बाहरी NDES URL आपके नेटवर्क के बाहर से हल होता है।

डिवाइस के पास प्रमाण पत्र है, लेकिन RADIUS इसे अस्वीकार कर देता है

क्रम में चार कारणों के माध्यम से काम करें:

  1. WiFi प्रोफ़ाइल में प्रमाण पत्र सर्वर नाम RADIUS सर्वर प्रमाण पत्र से मेल नहीं खाते हैं।
  2. RADIUS सर्वर उस CA पर भरोसा नहीं करता है जिसने क्लाइंट प्रमाण पत्र जारी किया है।
  3. RADIUS सर्वर वर्तमान CRL डाउनलोड नहीं कर सकता है।
  4. KB5014754 के तहत NPS मजबूत मैपिंग प्रवर्तन बिना मजबूत मैपिंग वाले प्रमाण पत्रों को अस्वीकार करता है।

NPS कारण कोड सही कारण की ओर संकेत करता है।

निरसन जाँच के कारण आउटेज होता है

यदि CRL वितरण बिंदु ऑफ़लाइन हो जाता है या CRL समाप्त हो जाता है, तो सख्त RADIUS सर्वर प्रत्येक प्रमाण पत्र को अस्वीकार कर देते हैं। अत्यधिक उपलब्ध HTTP स्थान पर CRLs प्रकाशित करें जिस तक आपका RADIUS सर्वर पहुँच सके। CRL के अगले-अपडेट समय की निगरानी करें।

उपकरण पुराने नेटवर्क से जुड़ना जारी रखते हैं

उपकरण पर अभी भी मौजूद एक पुराना प्री-शेयर्ड की या PEAP प्रोफाइल प्राथमिकता लेता है। नया प्रोफाइल सफलता की रिपोर्ट करने के बाद Intune के माध्यम से पुराना प्रोफाइल हटाएं, फिर पुराने SSID को सेवानिवृत्त करें।

वास्तविक स्थान में Intune प्रमाण पत्र-आधारित WiFi कैसे काम करता है?

नीचे दी गई दो स्थितियां Microsoft के दस्तावेजी व्यवहार पर बने कार्य उदाहरण हैं। वे स्थान प्रकारों का वर्णन करती हैं, नामित तैनाती का नहीं।

12-होटल समूह जो एक साझा स्टाफ पासवर्ड को समाप्त कर रहा है

स्थिति। 12 होटलों का एक समूह, प्रत्येक में लगभग 200 कमरे हैं, एक प्री-शेयर्ड की पर एक स्टाफ SSID चलाता है। कुंजी 840 उपकरणों द्वारा साझा की जाती है: रिसेप्शन PC, हाउसकीपिंग iPhones, और खाद्य और पेय में Android हैंडहेल्ड। नेटवर्क कार्डधारक डेटा वातावरण से जुड़ा हुआ है। इसलिए PCI-DSS v4.0 आवश्यकता 2.3.2 के अनुसार जब भी इसे जानने वाला कोई व्यक्ति छोड़ता है तो कुंजी को बदलना आवश्यक होता है। फ्रंट-ऑफ-हाउस टर्नओवर के साथ, प्रत्येक रोटेशन तब तक उपकरणों को अटका देता है जब तक कि कोई व्यक्ति कुंजी को फिर से दर्ज न करे।

क्या किया गया। टीम NDES के माध्यम से SCEP तैनात करती है, जिसे Microsoft Entra एप्लिकेशन प्रॉक्सी के साथ प्रकाशित किया जाता है। रिसेप्शन PC को डिवाइस प्रमाण पत्र प्राप्त होते हैं ताकि वे साइन-इन स्क्रीन पर कनेक्ट हो सकें। फ़ोन व्यक्ति-आधारित प्रमाण पत्र प्राप्त करते हैं। दो सप्ताह के लिए एक होटल में 20-उपकरणों का पायलट चलता है। उसके बाद, पुराना SSID समानांतर रूप से चलने के साथ प्रत्येक सप्ताह एक होटल स्थानांतरित होता है।

मापने योग्य परिणाम। 12 सप्ताह के बाद, सभी 840 उपकरण EAP-TLS के साथ प्रमाणित होते हैं और प्री-शेयर्ड की SSID को बंद कर दिया जाता है। रोटेट करने के लिए साझा की गई कुंजियों की संख्या 12 साइटों पर एक से घटकर शून्य हो जाती है। छोड़ने वाले व्यक्ति की पहुंच अब उनके उपकरण को सेवानिवृत्त करने और CRL को फिर से प्रकाशित करने पर समाप्त होती है, न कि अगली कुंजी रोटेशन पर।

साझा हैंडहेल्ड के साथ 150-स्टोर की रिटेल श्रृंखला

स्थिति। प्रत्येक स्टोर में चार साझा Android हैंडहेल्ड और दो Windows बैक-ऑफिस लैपटॉप चलते हैं, कुल मिलाकर 900 उपकरण। हैंडहेल्ड हर शिफ्ट में कर्मचारियों के बीच बदलते हैं, इसलिए व्यक्ति-आधारित प्रमाण पत्रों का कोई अर्थ नहीं है। श्रृंखला की क्लाउड RADIUS सेवा केवल आंतरिक नेटवर्क पर प्रकाशित CRL तक नहीं पहुँच सकती है।

क्या किया गया। श्रृंखला हैंडहेल्ड को Android Enterprise समर्पित उपकरणों के रूप में नामांकित करती है और SCEP के माध्यम से डिवाइस प्रमाण पत्र जारी करती है। प्रति प्लेटफ़ॉर्म एक WiFi प्रोफाइल हर स्टोर की सेवा करता है, क्योंकि SSID हर जगह समान है। CRL इंटरनेट-पहुँच योग्य HTTP वितरण बिंदु पर चला जाता है।

मापने योग्य परिणाम। कोई भी साझा किया गया हैंडहेल्ड WiFi पासवर्ड नहीं रखता है। स्टोर कर्मचारी प्रत्येक बदलाव के बाद कुंजी मांगना बंद कर देते हैं। एक खोया हुआ हैंडहेल्ड Intune में इसे सेवानिवृत्त करके काट दिया जाता है, और CRL रीफ्रेश होने के बाद इसके प्रमाण पत्र का अगला प्रमाणीकरण विफल हो जाता है।

Intune WiFi प्रमाण पत्र तैनाती की लागत क्या है, और आपको वापस क्या मिलता है?

इसकी लागत क्या है

  • लाइसेंस। अधिकांश संपत्तियों के पास पहले से ही Microsoft 365 या Enterprise Mobility + Security के माध्यम से Intune है, इसलिए प्रति-सीट कोई नई लागत नहीं है।
  • सर्वर। AD CS, NDES और NPS Windows Server की भूमिकाएँ हैं जिनके लिए Windows Server के अलावा किसी अलग लाइसेंस की आवश्यकता नहीं होती है।
  • Cloud PKI। Microsoft Cloud PKI एक सशुल्क ऐड-ऑन है, जो Microsoft Intune Suite में भी शामिल है। इसकी लागत की तुलना एक ऑन-प्रिमाइसेस CA और NDES बनाने और बनाए रखने से करें।
  • प्रयास। कार्य PKI डिज़ाइन, NDES पब्लिशिंग और पायलट में निहित है। तीन प्रोफ़ाइल में कुछ ही घंटे लगते हैं, हफ़्ते नहीं।

बदले में आपको क्या मिलता है

  • कोई साझा WiFi कुंजी नहीं। यह कुंजी रोटेशन को हटा देता है जिसे PCI-DSS आवश्यकता 2.3.2 कार्डधारक डेटा वातावरण से जुड़े वायरलेस नेटवर्क पर लागू करती है।
  • लीवर एक्सेस जिसे आप रद्द कर सकते हैं। Intune में किसी डिवाइस को रिटायर करने से उसका प्रमाणपत्र रद्द किया जा सकता है, इसलिए WiFi एक्सेस आपके जॉइनर्स, मूवर्स और लीवर्स (JML) प्रक्रिया का पालन करती है।
  • Credential Guard के साथ अनुकूलता। EAP-TLS वहां काम करना जारी रखता है जहां Windows पासवर्ड-आधारित 802.1X सिंगल साइन-ऑन को ब्लॉक करता है।
  • फ़िश करने के लिए कोई क्रेडेंशियल नहीं। TPM से बंधे प्रमाणपत्र को किसी नकली लॉगिन पेज में टाइप नहीं किया जा सकता है।
  • कोई पासवर्ड समाप्ति नहीं। प्रमाणपत्र समाप्त होने से पहले अपने आप नवीनीकृत हो जाते हैं, जिससे पासवर्ड रीसेट WiFi टिकटों का कारण नहीं बनते हैं।

शुरुआत से ही GDPR हैंडलिंग की योजना बनाएं। किसी कर्मचारी सदस्य के साइन-इन नाम वाले सर्टिफिकेट विषय आपके RADIUS लॉग में व्यक्तिगत डेटा होते हैं। रिटेंशन अवधि निर्धारित करें और उन लॉग तक पहुंच को प्रतिबंधित करें।

Purple 80,000+ से अधिक लाइव वेन्यू पर स्टाफ WiFi और गेस्ट WiFi को साथ-साथ संचालित करता है (Purple डेटा)। यह प्लेटफ़ॉर्म Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet में हार्डवेयर-अज्ञेयवादी है। Purple के पास ISO 27001 प्रमाणीकरण है। हमारे Identity-Based Networks Microsoft Entra ID, Okta और Google Workspace के साथ काम करते हैं, इसलिए स्टाफ एक्सेस आपके Intune एस्टेट के समान पहचान स्रोत का पालन करती है। विज़िटर पक्ष पर, WiFi Analytics स्टाफ ट्रैफ़िक से अलग मेहमान कनेक्शन पर रिपोर्ट करता है।

अक्सर पूछे जाने वाले प्रश्न

क्या आपको Intune के माध्यम से WiFi प्रमाणपत्र तैनात करने के लिए अतिरिक्त लाइसेंस की आवश्यकता है?

नहीं, NDES या PKCS के माध्यम से SCEP के लिए नहीं। Intune Microsoft 365 E3, E5 और Business Premium में और Enterprise Mobility + Security E3 और E5 में शामिल है। Active Directory Certificate Services और NDES Windows Server भूमिकाएँ हैं, इसलिए उन्हें केवल आपके मौजूदा Windows Server लाइसेंसिंग की आवश्यकता है। अपवाद Microsoft Cloud PKI है, जो एक सशुल्क ऐड-ऑन है जो Microsoft Intune Suite में भी शामिल है। इसके लिए बजट केवल तभी रखें जब आप ऑन-प्रिमाइसेस CA चलाने से बचना चाहते हैं।

क्या Intune से प्रमाणपत्र-आधारित WiFi आपके मौजूदा एक्सेस पॉइंट्स के साथ काम करेगा?

हाँ, बशर्ते आपके एक्सेस पॉइंट WPA2-Enterprise या WPA3-Enterprise SSID प्रसारित कर सकें। EAP-TLS डिवाइस और RADIUS सर्वर के बीच चलता है, और एक्सेस पॉइंट केवल IEEE 802.1X के तहत इसे रिले करता है। Purple हार्डवेयर-अज्ञेयवादी है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet पर चलता है। आप अपने पास पहले से मौजूद हार्डवेयर को रखते हैं और केवल SSID सुरक्षा सेटिंग्स बदलते हैं।

क्या आप बिना किसी डाउनटाइम के PEAP या साझा पासवर्ड से EAP-TLS पर माइग्रेट कर सकते हैं?

हाँ। पुराने SSID के साथ नया 802.1X SSID चलाएं, या ट्रांजिशन के दौरान PEAP और EAP-TLS दोनों को स्वीकार करने के लिए अपने RADIUS सर्वर को कॉन्फ़िगर करें। सबसे पहले एक पायलट समूह में तीन Intune प्रोफ़ाइल तैनात करें। अपने RADIUS लॉग में सफल EAP-TLS प्रमाणीकरण की पुष्टि करें, फिर चरणों में असाइनमेंट को बढ़ाएं। नया प्रोफ़ाइल सफलता की रिपोर्ट देने के बाद ही लीगेसी WiFi प्रोफ़ाइल को हटाएं, फिर पुराने SSID को रिटायर करें।

क्या आपको स्टाफ WiFi के लिए SCEP या PKCS चुनना चाहिए?

SCEP चुनें। SCEP के साथ डिवाइस अपनी स्वयं की प्राइवेट की जनरेट करता है, जो इसे कभी नहीं छोड़ती है, और Windows उस की को TPM में स्टोर कर सकता है। PKCS डिवाइस से बाहर की बनाता है और इसे डिलीवर करता है। यह NDES सर्वर को हटा देता है लेकिन जहां की मौजूद है उस स्थान को बढ़ाता है। PKCS केवल तब चुनें जब आप Active Directory Certificate Services चलाते हैं और NDES प्रकाशित नहीं कर सकते हैं, या NDES के बिना SCEP के लिए Microsoft Cloud PKI का उपयोग करते हैं।

क्या आपको अभी भी NDES सर्वर की आवश्यकता है?

केवल ऑन-प्रेमिसिस Active Directory Certificate Services CA के साथ SCEP के लिए। Microsoft Cloud PKI एक होस्टेड SCEP एंडपॉइंट प्रदान करता है, इसलिए आप कोई NDES सर्वर, कनेक्टर या ऑन-प्रेमिसिस CA नहीं चलाते हैं। PKCS प्रोफ़ाइल भी NDES से बचती हैं, क्योंकि Certificate Connector for Microsoft Intune आउटबाउंड कनेक्शन के माध्यम से आपके CA से प्रमाणपत्रों का अनुरोध करता है। तीसरे पक्ष के प्रमाणपत्र प्राधिकरण जिन्हें Intune सपोर्ट करता है, वे भी NDES के बिना SCEP प्रमाणपत्र जारी कर सकते हैं।

जब कोई व्यक्ति छोड़ता है तो कितनी जल्दी WiFi एक्सेस समाप्त हो जाती है?

उतनी ही जल्दी जितनी आपकी निरसन (revocation) पाइपलाइन अनुमति देती है। जब आप Intune में किसी डिवाइस को रिटायर या वाइप करते हैं, तो Certificate Connector आपके CA पर उसके प्रमाणपत्र को रद्द कर सकता है। एक्सेस तब समाप्त होती है जब आपका RADIUS सर्वर रिफ्रेश्ड CRL या OCSP जांच के माध्यम से उस निरसन को देखता है। यदि एक ही घंटे में हटाना महत्वपूर्ण है, तो CRL प्रकाशन अंतराल को छोटा करें, या OCSP का उपयोग करें। केवल अकाउंट को अक्षम करने से वैध प्रमाणपत्र तब तक नहीं रुक सकता जब तक कि RADIUS डायरेक्टरी की भी जांच न करे।

क्या प्रमाणपत्र आधारित WiFi PCI-DSS और GDPR में मदद करता है?

हाँ। PCI-DSS v4.0 आवश्यकता 2.3.2 के अनुसार कार्डहोल्डर डेटा एनवायरनमेंट से जुड़े नेटवर्क पर वायरलेस कीज़ को तब बदलना आवश्यक है जब भी उन्हें जानने वाला कोई व्यक्ति छोड़ता है। प्रति-डिवाइस प्रमाणपत्रों का अर्थ है कि रोटेट करने के लिए कोई साझा की मौजूद नहीं है। GDPR के लिए, स्टाफ सदस्य का साइन-इन नाम रखने वाले प्रमाणपत्र विषयों को व्यक्तिगत डेटा के रूप में समझें। RADIUS लॉग के लिए एक प्रतिधारण अवधि निर्धारित करें, उन तक पहुंच को प्रतिबंधित करें, और प्रोसेसिंग को रिकॉर्ड करें।

मुख्य परिभाषाएं

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक। एक्सेस प्वाइंट डिवाइस को नेटवर्क से तब तक दूर रखता है जब तक कि एक प्रमाणीकरण सर्वर, आमतौर पर RADIUS, इसे स्वीकृत न कर दे; एक्सेस प्वाइंट केवल EAP विनिमय को रिले करता है।

आपका WPA2-Enterprise या WPA3-Enterprise स्टाफ SSID 802.1X का उपयोग करता है। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet सभी इसका समर्थन करते हैं, इसलिए आप हार्डवेयर के बजाय SSID सुरक्षा सेटिंग्स बदलते हैं।

EAP-TLS

एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रांसपोर्ट लेयर सिक्योरिटी, RFC 5216 में परिभाषित। डिवाइस एक क्लाइंट प्रमाणपत्र प्रस्तुत करता है और RADIUS सर्वर एक सर्वर प्रमाणपत्र प्रस्तुत करता है, और प्रत्येक यह जांचता है कि दूसरा किसी विश्वसनीय प्रमाणपत्र प्राधिकरण (CA) से जुड़ा है या नहीं।

यह वह EAP प्रकार है जिसे आप Intune WiFi प्रोफ़ाइल में सेट करते हैं। यह टाइप किए गए पासवर्ड को हटा देता है, Windows Defender Credential Guard के तहत काम करता रहता है और फ़िश करने के लिए कोई क्रेडेंशियल नहीं छोड़ता है।

SCEP

सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल, RFC 8894। डिवाइस अपनी स्वयं की कुंजी जोड़ी (key pair) उत्पन्न करता है और NDES या Microsoft Cloud PKI के माध्यम से वन-टाइम चैलेंज के साथ एक प्रमाणपत्र हस्ताक्षर अनुरोध भेजता है; निजी कुंजी कभी भी डिवाइस को नहीं छोड़ती है।

Windows, iOS और Android पर WiFi के लिए अनुशंसित Intune प्रमाणपत्र प्रोफ़ाइल, क्योंकि एक कुंजी जो कभी डिवाइस से बाहर नहीं जाती है, उसे सर्वर से कॉपी नहीं किया जा सकता है या ट्रांसिट में इंटरसेप्ट नहीं किया जा सकता है।

PKCS प्रमाणपत्र प्रोफ़ाइल

एक Intune प्रोफ़ाइल जिसमें Certificate Connector for Microsoft Intune आपके CA से प्रमाणपत्र का अनुरोध करता है, कुंजी जोड़ी डिवाइस से बाहर बनाई जाती है, और Intune प्रमाणपत्र और निजी कुंजी को एन्क्रिप्टेड रूप में डिवाइस पर वितरित करता है।

इसका उपयोग तब करें जब आप AD CS चलाते हैं लेकिन NDES एंडपॉइंट प्रकाशित नहीं कर सकते। यह निजी कुंजी को डिवाइस के अलावा कहीं और मौजूद होने की कीमत पर NDES से बचाता है। PKCS आयातित प्रमाणपत्र S/MIME के लिए हैं, WiFi के लिए नहीं।

NDES

नेटवर्क डिवाइस एनरोलमेंट सर्विस, एक Windows Server भूमिका जो SCEP प्रमाणपत्र हस्ताक्षर अनुरोधों को प्राप्त करती है और उन्हें Active Directory Certificate Services एंटरप्राइज CA को पास करती है।

ऑन-प्रीमिस AD CS CA के साथ SCEP के लिए ही आवश्यक है। इसे इंटरनेट पर प्रकाशित किया जाना चाहिए, आमतौर पर Microsoft Entra एप्लिकेशन प्रॉक्सी के माध्यम से, और इसके IIS लॉग HTTP 403 या 500 त्रुटियां दिखाते हैं जब प्रमाणपत्र कभी नहीं पहुंचते हैं।

RADIUS

प्रमाणीकरण सर्वर जिसे IEEE 802.1X एक्सेस पॉइंट किसी डिवाइस को स्वीकार करने से पहले क्वेरी करते हैं। EAP-TLS के लिए यह क्लाइंट प्रमाणपत्र श्रृंखला को मान्य करता है, निरसन की जांच करता है और RADIUS विशेषताओं के माध्यम से VLAN असाइन कर सकता है।

इसके सर्वर प्रमाणपत्र का नाम WiFi प्रोफ़ाइल से मेल खाना चाहिए, और इसे जारी करने वाले CA पर भरोसा करना चाहिए। Microsoft NPS पर, ईवेंट ID 6272 स्वीकृत एक्सेस को रिकॉर्ड करता है और 6273 रीज़न कोड के साथ अस्वीकृत एक्सेस को रिकॉर्ड करता है।

Microsoft Cloud PKI

Microsoft-होस्ट की गई प्रमाणपत्र प्राधिकरण सेवा, Microsoft-होस्ट किए गए CAs या आपके स्वयं के रूट के साथ, जो Intune एडमिन सेंटर से निर्मित एक होस्ट किया गया SCEP एंडपॉइंट प्रदान करती है।

ऑन-प्रीमिस CA, NDES सर्वर और कनेक्टर की आवश्यकता को समाप्त करता है। यह एक सशुल्क ऐड-ऑन है जो Microsoft Intune Suite में भी शामिल है, इसलिए ऑन-प्रीमिस PKI के निर्माण और रखरखाव के विरुद्ध इसकी लागत का आकलन करें।

सर्टिफिकेट रिवोकेशन लिस्ट (CRL) और OCSP

CRL रद्द किए गए प्रमाणपत्रों की CA-प्रकाशित सूची है; OCSP (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल) एक उत्तरदाता है जो व्यक्तिगत प्रमाणपत्रों के लिए निरसन प्रश्नों का उत्तर देता है।

आपके RADIUS सर्वर को इनमें से किसी एक तक पहुँचना अनिवार्य है अन्यथा प्रमाणीकरण विफल हो जाता है। वे यह भी सेट करते हैं कि किसी डिवाइस को रिटायर करने के बाद कोई कर्मचारी कितनी जल्दी एक्सेस खो देता है, इसलिए यदि उसी घंटे में एक्सेस हटाना महत्वपूर्ण है तो CRL अंतराल को छोटा करें या OCSP का उपयोग करें।

PEAP-MSCHAPv2

एन्क्रिप्टेड टनल के अंदर MSCHAPv2 पासवर्ड ले जाने वाला सुरक्षित EAP; एक पासवर्ड-आधारित 802.1X विधि।

Microsoft दस्तावेज़ित करता है कि Windows Defender Credential Guard, जो हाल के Windows 11 Enterprise बिल्ड पर डिफ़ॉल्ट रूप से चालू है, इसके लिए सिंगल साइन-ऑन को ब्लॉक करता है। माइग्रेशन के दौरान, RADIUS PEAP और EAP-TLS को साथ-साथ स्वीकार कर सकता है।

मजबूत प्रमाणपत्र मैपिंग (KB5014754)

Windows डोमेन नियंत्रकों के लिए Microsoft के प्रमाणपत्र-आधारित प्रमाणीकरण परिवर्तन, जिसमें एक विषय वैकल्पिक नाम URI शामिल है जो ऑन-प्रीमिस सुरक्षा पहचानकर्ता को ले जाता है।

प्रासंगिक यदि आप हाइब्रिड पहचानों के साथ Microsoft NPS का उपयोग करते हैं। प्रवर्तन उन Intune-जारी किए गए प्रमाणपत्रों को अस्वीकार कर सकता है जिनमें मजबूत मैपिंग की कमी होती है, जो एक वैध प्रमाणपत्र के बावजूद RADIUS अस्वीकृति के रूप में दिखाई देता है।

ट्रस्टेड प्लेटफॉर्म मॉड्यूल (TPM)

Windows डिवाइस पर हार्डवेयर सुरक्षा चिप जिसमें SCEP प्रोफ़ाइल निजी कुंजी उत्पन्न और संग्रहीत कर सकती है, जिससे यह हार्डवेयर-समर्थित और गैर-निर्यात योग्य बन जाती है।

Windows SCEP प्रोफ़ाइल में TPM कुंजी स्टोरेज चुनने का अर्थ है कि प्रमाणपत्र को किसी फ़र्जी लॉगिन पेज पर टाइप नहीं किया जा सकता है या लैपटॉप से कॉपी नहीं किया जा सकता है।

PCI-DSS v4.0 आवश्यकता 2.3.2

PCI-DSS आवश्यकता कि कार्डहोल्डर डेटा वातावरण से जुड़े नेटवर्क पर वायरलेस एन्क्रिप्शन कुंजियां तब बदलनी चाहिए जब भी कुंजी का ज्ञान रखने वाला कोई व्यक्ति छोड़ता है।

होटल और रिटेल में साझा किए गए प्री-शेयर की स्टाफ SSIDs को हर कर्मचारी के छोड़ने पर रोटेट किया जाना चाहिए। प्रति-डिवाइस EAP-TLS प्रमाणपत्र साझा की गई कुंजी को पूरी तरह से हटा देते हैं।

हल किए गए उदाहरण

12 होटलों का एक समूह 840 उपकरणों द्वारा साझा की गई प्री-शेयर की (pre-shared key) पर एक स्टाफ SSID चलाता है, जिसमें रिसेप्शन PC, हाउसकीपिंग iPhone और Android हैंडहेल्ड शामिल हैं। नेटवर्क कार्डधारक डेटा वातावरण से जुड़ता है, इसलिए प्रत्येक कर्मचारी के जाने पर की-रोटेशन करना पड़ता है जिससे डिवाइस कट जाते हैं।

टीम ने NDES के माध्यम से SCEP परिनियोजित किया, जिसे Microsoft Entra एप्लिकेशन प्रॉक्सी के साथ प्रकाशित किया गया। रिसेप्शन PC को डिवाइस प्रमाणपत्र प्राप्त हुए ताकि वे Windows साइन-इन स्क्रीन पर कनेक्ट हो सकें, जबकि फोन को व्यक्ति-आधारित प्रमाणपत्र प्राप्त हुए। एक होटल में दो सप्ताह के लिए 20-उपकरणों का पायलट चलाया गया, फिर पुराना SSID समानांतर रूप से चलाते हुए प्रत्येक सप्ताह एक होटल को स्थानांतरित किया गया। 12 सप्ताह के बाद सभी 840 उपकरण EAP-TLS के साथ प्रमाणित हुए और प्री-शेयर की SSID को बंद कर दिया गया। PCI DSS v4.0 आवश्यकता 2.3.2 के तहत रोटेट करने के लिए साझा कुंजियां 12 साइटों में एक से घटकर शून्य हो गईं। किसी कर्मचारी के जाने पर उनकी पहुंच अब तब समाप्त होती है जब उनका उपकरण रिटायर हो जाता है और CRL को फिर से प्रकाशित किया जाता है, न कि अगले की-रोटेशन पर।

150-स्टोर की एक रिटेल श्रृंखला प्रति स्टोर चार साझा Android हैंडहेल्ड और दो Windows बैक-ऑफिस लैपटॉप चलाती है, कुल मिलाकर 900 उपकरण। हैंडहेल्ड प्रत्येक शिफ्ट में हाथ बदलते हैं, और क्लाउड RADIUS सेवा केवल आंतरिक नेटवर्क पर प्रकाशित CRL तक नहीं पहुंच सकती है।

चूंकि हैंडहेल्ड कर्मचारियों के बीच बदलते रहते हैं, इसलिए व्यक्ति-आधारित प्रमाणपत्रों का कोई औचित्य नहीं था। श्रृंखला ने उन्हें Android Enterprise समर्पित उपकरणों के रूप में नामांकित किया और SCEP के माध्यम से डिवाइस प्रमाणपत्र जारी किए। SSID हर स्टोर में समान है, इसलिए प्रति प्लेटफ़ॉर्म एक WiFi प्रोफ़ाइल पूरी संपत्ति को सेवा प्रदान करती है। CRL एक इंटरनेट-पहुंच योग्य HTTP वितरण बिंदु पर स्थानांतरित हो गया, ताकि क्लाउड RADIUS सेवा निरसन की जांच कर सके। परिणाम: कोई भी साझा हैंडहेल्ड WiFi पासवर्ड नहीं रखता है और स्टोर कर्मचारी प्रत्येक बदलाव के बाद कुंजी नहीं मांगते हैं। Intune में इसे रिटायर करके एक खोए हुए हैंडहेल्ड को काट दिया जाता है, और CRL रीफ्रेश होने पर इसका प्रमाणपत्र अगले प्रमाणीकरण पर विफल हो जाता है।

पायलट उपकरण SCEP प्रमाणपत्र स्थापित दिखाते हैं, फिर भी WiFi प्रोफ़ाइल त्रुटि रिपोर्ट करती है या RADIUS सर्वर कनेक्शन को अस्वीकार कर देता है।

पहले लक्षित समूह (targeting) की जांच करें। यदि SCEP प्रोफ़ाइल लोगों के समूह को सौंपी गई है जबकि WiFi प्रोफ़ाइल किसी उपकरण समूह को लक्षित करती है, तो Intune निर्भरता को हल नहीं कर सकता है, इसलिए तीनों प्रोफ़ाइलों को समान समूह या समूह प्रकार में असाइन करें। यदि प्रोफ़ाइल लागू होती है लेकिन RADIUS उपकरण को अस्वीकार करता है, तो क्रम में चार कारणों से काम करें: प्रमाणपत्र सर्वर नाम जो RADIUS प्रमाणपत्र से मेल नहीं खाते हैं, एक RADIUS सर्वर जो जारीकर्ता CA पर भरोसा नहीं करता है, एक CRL जिसे RADIUS सर्वर डाउनलोड नहीं कर सकता है, और KB5014754 के तहत NPS मजबूत मैपिंग प्रवर्तन। NPS पर, इवेंट ID 6273 में कारण कोड यह पहचानता है कि कौन सा कारण लागू होता है।

अभ्यास प्रश्न

Q1. आपने अपने Windows 10 डिवाइस पर Root CA, SCEP, और WiFi प्रोफाइल तैनात किए हैं। प्रमाणपत्र सफलतापूर्वक इंस्टॉल हो जाते हैं, लेकिन WiFi प्रोफाइल लागू होने में विफल रहता है, और Intune कंसोल में 'Error' दिखाता है। इसका सबसे संभावित कारण क्या है?

संकेत: जांचें कि Azure AD समूहों में प्रोफ़ाइल कैसे असाइन किए गए हैं।

मॉडल उत्तर देखें

सबसे संभावित कारण ग्रुप टारगेटिंग में बेमेल (mismatch) होना है। यदि SCEP प्रोफाइल किसी User Group को असाइन किया गया था, लेकिन WiFi प्रोफाइल किसी Device Group को असाइन किया गया था, तो Intune उनके बीच निर्भरता (dependency) को हल नहीं कर सकता है। तीनों प्रोफाइल (Root, SCEP, WiFi) को ठीक एक ही ग्रुप टाइप पर टारगेट किया जाना चाहिए।

Q2. आपकी सुरक्षा टीम का जनादेश है कि प्राइवेट की (private keys) को नेटवर्क पर कभी भी ट्रांसमिट नहीं किया जाना चाहिए, भले ही वह एन्क्रिप्टेड हो। आपको Intune में किस सर्टिफिकेट डिप्लॉयमेंट विधि का उपयोग करना चाहिए, और किस अतिरिक्त इंफ्रास्ट्रक्चर सर्वर की आवश्यकता है?

संकेत: सोचें कि की-पेयर (key pair) कहां जनरेट होता है।

मॉडल उत्तर देखें

आपको SCEP (Simple Certificate Enrolment Protocol) का उपयोग करना चाहिए। चूंकि SCEP एंडपॉइंट डिवाइस को स्थानीय रूप से प्राइवेट की (private key) जनरेट करने का निर्देश देता है, इसलिए यह कभी भी नेटवर्क से होकर नहीं गुजरता है। इस डिप्लॉयमेंट के लिए सर्टिफिकेट अथॉरिटी के ब्रिज के रूप में कार्य करने के लिए Network Device Enrolment Service (NDES) सर्वर की आवश्यकता होती है।

Q3. एक रिमोट कर्मचारी Windows Autopilot के माध्यम से घर पर एक नया लैपटॉप प्रोविजन करता है। Intune प्रोफाइल सफलतापूर्वक डिप्लॉय हो जाते हैं, लेकिन डिवाइस SCEP सर्टिफिकेट प्राप्त करने में विफल रहता है। कौन सा इंफ्रास्ट्रक्चर कॉन्फ़िगरेशन गायब होने की संभावना है?

संकेत: डिवाइस इंटरनेट से आंतरिक CA तक कैसे पहुंचता है?

मॉडल उत्तर देखें

संभावना है कि NDES सर्वर इंटरनेट पर पब्लिश नहीं किया गया है। रिमोट डिवाइसेस को कॉर्पोरेट कार्यालय में आने से पहले सर्टिफिकेट का अनुरोध करने के लिए, NDES URL बाहरी रूप से सुलभ होना चाहिए, आदर्श रूप से Azure AD Application Proxy के माध्यम से सुरक्षित रूप से पब्लिश किया गया हो।

अक्सर पूछे जाने वाले प्रश्न

What is the difference between SCEP and PKCS for Intune WiFi certificates?

SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.

What on-premises infrastructure is required for SCEP deployment with Intune?

A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.

How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?

Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.

In what order must Intune configuration profiles be assigned to endpoints?

Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.

How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?

Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.

स्रोत

  1. IETF RFC 5216: The EAP-TLS Authentication Protocol
  2. IETF RFC 8894: Simple Certificate Enrolment Protocol
  3. Microsoft Learn: Use certificates for authentication in Microsoft Intune
  4. Microsoft Learn: Configure infrastructure to support SCEP with Intune
  5. Microsoft Learn: Configure and use PKCS certificates with Intune
  6. Microsoft Learn: Windows Defender Credential Guard
  7. Microsoft KB5014754: Certificate-based authentication changes on Windows domain controllers
  8. PCI Security Standards Council document library (PCI DSS v4.0)

इस श्रृंखला में आगे पढ़ें

Enterprise डिप्लॉयमेंट के लिए IronWiFi के विकल्प

आप अपने नेटवर्क द्वारा किए जाने वाले कार्यों - authentication, identity, सहमति, हार्डवेयर कवरेज और तीन साल की लागत के आधार पर IronWiFi के विकल्प को शॉर्टलिस्ट करने में सक्षम होंगे। आप जानेंगे कि कब Purple, Cloud4Wi, Spotipo या Cloudi-Fi बेहतर बैठता है, कब IronWiFi अभी भी जीतता है, और प्रत्येक वेंडर के दावों को साबित करने वाले वन-वेन्यू पायलट को कैसे चलाया जाए।

गाइड पढ़ें →

Sophos Firewall और अतिथि WiFi: Purple के साथ कैप्टिव पोर्टल सेटअप

कैसे Purple का क्लाउड अतिथि WiFi एक मानक बाहरी कैप्टिव पोर्टल और RADIUS के माध्यम से Sophos Firewall और इसके एक्सेस पॉइंट्स के साथ काम करता है, और सहायता की जांच कहां करें और चरणों को कहां खोजें।

गाइड पढ़ें →

Aruba Central और Purple WiFi: क्लाउड-प्रबंधित एकीकरण

Aruba Central को Purple के क्लाउड-होस्टेड गेस्ट WiFi इंटेलिजेंस प्लेटफ़ॉर्म के साथ एकीकृत करने के लिए एक व्यापक तकनीकी संदर्भ मार्गदर्शिका। यह मार्गदर्शिका उद्यम IT टीमों के लिए आर्किटेक्चर, बाहरी कैप्टिव पोर्टल और RADIUS के चरण-दर-चरण कॉन्फ़िगरेशन, और मल्टी-साइट रोलआउट रणनीतियों को कवर करती है।

गाइड पढ़ें →

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।