Jamf e RADIUS: Autenticazione WiFi basata su certificati per flotte di dispositivi Apple
Questa guida tecnica di riferimento fornisce a IT manager, architetti di rete e CTO passaggi operativi per implementare l'autenticazione WiFi 802.1X basata su certificati per flotte di dispositivi Apple utilizzando Jamf Pro e RADIUS. Copre l'intero workflow di provisioning dei certificati SCEP, la struttura del profilo di configurazione WiFi, i requisiti di integrazione RADIUS e scenari di implementazione reali in ambienti sanitari e aziendali. La guida è essenziale per qualsiasi organizzazione che desideri eliminare le vulnerabilità del WiFi basato su password, ridurre il carico di lavoro dell'helpdesk e raggiungere la conformità agli standard di accesso alla rete PCI DSS e GDPR.
🎧 Ascolta questa guida
Visualizza trascrizione
Sintesi Esecutiva
Gestire l'accesso WiFi sicuro per una flotta di dispositivi Apple in un ambiente aziendale presenta una sfida operativa e di sicurezza significativa quando si fa affidamento sulla tradizionale autenticazione basata su password. Gli utenti cambiano le loro credenziali di Active Directory e immediatamente i loro iPhone, iPad e MacBook perdono la connessione alla rete — generando ticket all'helpdesk, interrompendo i flussi di lavoro ed esponendo l'organizzazione ad attacchi basati sulle credenziali.
Per IT manager, architetti di rete e CTO di hotel, catene retail, stadi e organizzazioni del settore pubblico, la soluzione è l'autenticazione 802.1X basata su certificati utilizzando EAP-TLS. Sfruttando Jamf Pro per distribuire certificati crittografici univoci tramite SCEP (Simple Certificate Enrollment Protocol) e integrandolo con un server RADIUS, le organizzazioni possono ottenere un accesso WiFi fluido e senza password per ogni dispositivo Apple gestito. Questa guida fornisce un approccio pratico e indipendente dal fornitore per implementare l'autenticazione dei certificati WiFi Jamf RADIUS, garantendo una sicurezza robusta, la conformità a standard come PCI DSS e GDPR e una riduzione misurabile dei costi di supporto.
Approfondimento Tecnico
L'Architettura 802.1X EAP-TLS
Il fondamento dell'autenticazione WiFi basata su certificati è lo standard IEEE 802.1X combinato con il protocollo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). Per un'introduzione dettagliata allo standard 802.1X stesso, consulta la nostra guida su Autenticazione 802.1X: Proteggere l'Accesso alla Rete sui Dispositivi Moderni .
A differenza di PEAP (Protected EAP), che si basa su nome utente e password, EAP-TLS richiede che sia il dispositivo client sia il server di autenticazione dimostrino le proprie identità utilizzando certificati digitali. Questa autenticazione reciproca è ciò che rende EAP-TLS il gold standard per le implementazioni aziendali. Il modello a tre parti consiste nei seguenti componenti.
| Componente | Ruolo | Esempi |
|---|---|---|
| Supplicant | Il dispositivo Apple che richiede l'accesso alla rete | MacBook, iPhone, iPad |
| Authenticator | Il dispositivo di rete edge che applica il controllo degli accessi | WiFi Access Point, WLC |
| Authentication Server | Convalida i certificati e autorizza l'accesso | FreeRADIUS, Cisco ISE, Microsoft NPS |
L'Access Point funge da gatekeeper, bloccando tutto il traffico finché il server RADIUS non invia un messaggio di Access-Accept. Questo è il cuore del modello IEEE 802.1X port-based Network Access Control (PNAC).
SCEP e Jamf Pro: Distribuzione Scalabile dei Certificati
La sfida con EAP-TLS su larga scala è la distribuzione dei certificati. Installare manualmente un certificato univoco su 500 iPad non è un'operazione sostenibile. È qui che l'integrazione tra Jamf Pro e SCEP Jamf diventa l'abilitatore critico.
SCEP (Simple Certificate Enrollment Protocol) è un protocollo leggero che consente a un dispositivo di richiedere e ricevere automaticamente un certificato firmato da una Certificate Authority (CA). Jamf Pro agisce come orchestratore, inviando un Profilo di Configurazione a ogni dispositivo Apple. Questo profilo contiene un payload SCEP che istruisce il dispositivo a contattare il server SCEP, fornisce una password di verifica dinamica e specifica gli attributi del certificato richiesti — come il Subject Alternative Name (SAN), che è tipicamente mappato sull'indirizzo MAC o sul numero di serie del dispositivo.
Il meccanismo della password di verifica dinamica è particolarmente importante. In un'implementazione SCEP integrata con Jamf, Jamf genera una password di verifica univoca e monouso per ogni dispositivo. Ciò garantisce che solo i dispositivi registrati in Jamf Pro — e quindi gestiti a livello aziendale — possano ottenere con successo un certificato dalla CA. Questo è un controllo di sicurezza critico che impedisce la registrazione di dispositivi non autorizzati.
Attributi RADIUS per l'Autenticazione dei Dispositivi Apple
Quando il server RADIUS riceve una Access-Request dall'Access Point, valuta diversi attributi per prendere la decisione di autorizzazione. Per le implementazioni Apple 802.1X, gli attributi RADIUS più rilevanti sono i seguenti.
| Attributo RADIUS | Descrizione | Rilevanza Apple |
|---|---|---|
User-Name (Attr 1) |
L'identità presentata dal supplicant | Tipicamente il Subject CN o SAN del certificato |
NAS-IP-Address (Attr 4) |
L'IP dell'Access Point | Utilizzato per policy specifiche per l'AP |
Called-Station-Id (Attr 30) |
Il BSSID e l'SSID dell'AP | Consente l'applicazione di policy basate sull'SSID |
EAP-Message (Attr 79) |
Il pacchetto EAP incapsulato | Contiene i dati dell'handshake TLS |
Tunnel-Type (Attr 64) |
Specifica il tipo di assegnazione VLAN | Utilizzato per l'assegnazione dinamica della VLAN post-autenticazione |
Tunnel-Medium-Type (Attr 65) |
Specifica il mezzo per il tunnel | Richiesto per il tagging VLAN 802.1Q |
Tunnel-Private-Group-Id (Attr 81) |
L'ID VLAN da assegnare | Consente la segmentazione della rete basata sui ruoli |
L'attributo Tunnel-Private-Group-Id è particolarmente potente nelle implementazioni aziendali. Restituendo diversi ID VLAN in base agli attributi del certificato (ad esempio, dipartimento, tipo di dispositivo), il server RADIUS può segmentare dinamicamente la rete senza richiedere SSID separati.
Guida all'Implementazione
L'implementazione dell'autenticazione WiFi Apple tramite certificati via Jamf Pro segue una sequenza strutturata. Deviare da questo ordine è la causa principale del fallimento delle implementazioni.
Passaggio 1: Stabilire l'Infrastruttura della Certificate Authority
Prima di toccare Jamf, l'infrastruttura CA deve essere pronta. Per gli ambienti Microsoft, si tratta in genere di Active Directory Certificate Services (AD CS) con il ruolo Network Device Enrollment Service (NDES), che funge da server SCEP. Per gli ambienti non Microsoft, le opzioni includono EJBCA, HashiCorp Vault PKI o CA basate su cloud come AWS Private CA.
Assicurati che la gerarchia della CA sia chiara: una Root CA mantenuta offline e una o più Issuing CA che firmano i certificati dei dispositivi. Il server RADIUS avrà bisogno del proprio certificato firmato dalla stessa gerarchia CA.
Passaggio 2: Configurare il Payload SCEP in Jamf Pro
Naviga su Computer (o Dispositivi mobili) > Profili di configurazione > Nuovo. Aggiungi un payload Certificato e seleziona SCEP come origine del certificato. I campi critici sono i seguenti.
- URL: L'endpoint SCEP (es.
http://ndes.tuodominio.com/certsrv/mscep/mscep.dll). - Nome: Un nome descrittivo che apparirà nel Portachiavi del dispositivo.
- Soggetto: Il Distinguished Name del certificato. Usa le variabili Jamf come
CN=$COMPUTERNAMEper i computer oCN=$JSSIDfor per i dispositivi mobili. - Subject Alternative Name (SAN): Imposta il tipo di SAN su
RFC 822 Namecon il valore$MACADDRESS@tuodominio.com, oDNS Namecon$COMPUTERNAME.tuodominio.com. Questo è ciò che il server RADIUS leggerà per identificare il dispositivo. - Tipo di verifica: Seleziona Dinamico per utilizzare il proxy SCEP integrato di Jamf, che genera password di verifica per singolo dispositivo.
- Dimensione chiave: RSA a 2048 bit minimo. 4096 bit è raccomandato per le nuove implementazioni.
- Utilizzo chiave: Abilita sia Firma che Crittografia.
Passaggio 3: Configurare il Payload WiFi
Nello stesso Profilo di Configurazione, aggiungi un payload Wi-Fi. Le impostazioni chiave per Apple 802.1X sono le seguenti.
- SSID: Il nome esatto del tuo SSID aziendale sicuro.
- Tipo di sicurezza: WPA2 Enterprise o WPA3 Enterprise (raccomandato dove l'hardware lo supporta).
- Protocolli — Tipi EAP accettati: Seleziona solo TLS. Deseleziona PEAP, TTLS e tutti gli altri tipi per imporre esclusivamente EAP-TLS.
- Autenticazione — Certificato di identità: Seleziona il payload SCEP creato nel Passaggio 2. Questo è il collegamento critico tra il certificato e la connessione WiFi.
- Fiducia — Nomi certificati server attendibili: Inserisci il Common Name (CN) esatto del certificato del tuo server RADIUS (es.
radius.tuodominio.com). Questo è l'elemento di configurazione più comunemente dimenticato. - Fiducia — Certificati attendibili: Carica la Root CA e tutti i certificati delle CA intermedie che hanno firmato il certificato del server RADIUS.
Passaggio 4: Configurare il Server RADIUS
Sul tuo server RADIUS, crea una policy di rete che corrisponda agli attributi del certificato definiti in Jamf. Per Microsoft NPS, ciò significa creare una Connection Request Policy che corrisponda all'SSID tramite l'attributo Called-Station-Id e una Network Policy che convalidi il certificato rispetto alla tua CA e assegni opzionalmente una VLAN tramite gli attributi Tunnel.
Per FreeRADIUS, configura il modulo eap per utilizzare tls e punta al certificato della tua CA, al certificato del server e alla chiave privata. Il file users o il backend SQL devono essere configurati per far corrispondere il SAN del certificato con l'inventario dei tuoi dispositivi.
Passaggio 5: Definire l'Ambito e Distribuire il Profilo
In Jamf Pro, definisci l'ambito del Profilo di Configurazione per i gruppi di dispositivi appropriati — ad esempio, tutti i dispositivi nello Smart Group "Flotta Aziendale". Il profilo verrà inviato automaticamente tramite MDM. I dispositivi online lo riceveranno in pochi minuti; i dispositivi offline lo riceveranno al successivo check-in.
Best Practice
Implementa WPA3 Enterprise dove possibile. WPA3 Enterprise con modalità a 192 bit fornisce una forza crittografica avanzata utilizzando GCMP-256 e HMAC-SHA-384, offrendo una protezione significativamente più forte rispetto a WPA2 Enterprise. Per gli ambienti Hospitality e le organizzazioni Healthcare che gestiscono dati sensibili, questo aggiornamento è sempre più un requisito di conformità piuttosto che una semplice best practice.
Sfrutta i certificati basati sul dispositivo per l'hardware condiviso. Per i dispositivi condivisi — come gli iPad per i punti vendita retail, i tablet per il concierge degli hotel o i dispositivi clinici — utilizza certificati legati al dispositivo anziché all'utente. Ciò garantisce che il dispositivo si connetta alla rete all'avvio, prima che qualsiasi utente acceda, consentendo ai check-in MDM, agli aggiornamenti delle app e alle notifiche push di funzionare correttamente. Questa è una considerazione critica per le implementazioni Retail dove i dispositivi possono essere condivisi tra più turni.
Integra l'accesso alla rete con la tua postura di sicurezza più ampia. Mentre il personale utilizza 802.1X per l'accesso interno sicuro, assicurati che le tue reti pubbliche siano gestite attraverso una robusta soluzione di Guest WiFi per mantenere una chiara separazione del traffico. Combinare l'autenticazione del personale basata su certificati con WiFi Analytics fornisce piena visibilità sia sul comportamento dei dispositivi autenticati sia sull'attività della rete ospite.
Automatizza il rinnovo dei certificati. Configura il payload SCEP in Jamf per attivare il rinnovo automatico quando un certificato è a 14-30 giorni dalla scadenza. Ciò previene lo scenario in cui un dispositivo perde silenziosamente l'accesso alla rete perché il suo certificato è scaduto durante la notte. In Jamf Pro, questo è controllato tramite l'impostazione Renewal Threshold nel payload SCEP.
Mantieni una Certificate Revocation List (CRL) o un risponditore OCSP. Quando un dispositivo viene dismesso, rubato o rimosso da Jamf, il suo certificato deve essere revocato a livello di CA. Configura il tuo server RADIUS per controllare l'endpoint CRL o OCSP a ogni tentativo di autenticazione. Senza questo, un dispositivo rubato con un certificato valido può ancora autenticarsi alla rete.
Per ulteriore contesto sulle decisioni relative alle moderne infrastrutture di rete, la guida I principali vantaggi di SD WAN per le aziende moderne fornisce informazioni utili su come l'autenticazione basata su certificati si integra con le architetture overlay SD-WAN.
Risoluzione dei Problemi e Mitigazione dei Rischi
Il problema del provisioning "uovo e gallina". I dispositivi hanno bisogno di una connessione di rete per raggiungere il server SCEP e scaricare il certificato, ma hanno bisogno del certificato per unirsi al WiFi sicuro. Questo è il blocco più comune nelle implementazioni. Le strategie di mitigazione raccomandate sono: provisioning tramite Ethernet utilizzando adattatori da USB-C o Lightning a Ethernet; utilizzo dei dati cellulari su iPhone e iPad con connettività cellulare; o creazione di un SSID di onboarding temporaneo e limitato con regole firewall che consentano solo il traffico SCEP e MDM.
Fallimenti silenziosi di EAP-TLS su macOS. Se la catena di fiducia è incompleta, macOS potrebbe fallire silenziosamente la connessione senza visualizzare un errore significativo nell'interfaccia utente. L'unica indicazione si trova nel log di sistema. Usa log stream --predicate 'subsystem == "com.apple.network"' per catturare gli eventi di autenticazione in tempo reale. Verifica sempre che l'array Trusted Server Certificate Names nel profilo Jamf corrisponda esattamente al CN nel certificato del server RADIUS.
Timeout RADIUS durante eventi ad alto carico. In ambienti come stadi o centri congressi, richieste di autenticazione simultanee da centinaia di dispositivi possono sovraccaricare il server RADIUS. Mitiga questo problema distribuendo RADIUS in una coppia ad alta disponibilità, regolando il parametro max_requests in FreeRADIUS e assicurandoti che il server RADIUS abbia CPU e memoria sufficienti per il carico di autenticazione simultanea previsto. Per implementazioni in grandi sedi, consulta la nostra guida su Definizione di Wireless Access Points: La tua guida definitiva 2026 per considerazioni sulla pianificazione della capacità.
Mancata corrispondenza degli attributi del certificato. Se il SAN nel certificato del dispositivo non corrisponde a quanto previsto dalla Network Policy RADIUS, l'autenticazione fallirà. Questo è particolarmente comune quando si migra da una CA a un'altra o quando le variabili Jamf si risolvono in modo diverso dal previsto. Testa sempre con un singolo dispositivo e ispeziona i log del server RADIUS per confermare l'esatta stringa di identità presentata prima di estendere l'implementazione all'intera flotta.
ROI e Impatto Aziendale
Il passaggio all'autenticazione dei certificati WiFi Jamf RADIUS offre un valore aziendale misurabile su diverse dimensioni.
| Metrica | Risultato Tipico |
|---|---|
| Riduzione ticket helpdesk | Riduzione del 60–85% delle richieste di supporto relative al WiFi |
| Tempo di onboarding per dispositivo | Ridotto da 15–30 minuti a meno di 2 minuti (zero-touch) |
| Rischio di incidenti di sicurezza | Quasi totale eliminazione degli attacchi WiFi basati sulle credenziali |
| Postura di conformità | Soddisfa il requisito PCI DSS 1.3 e i controlli di rete dell'Articolo 32 del GDPR |
| Ciclo di vita del certificato | Il rinnovo automatizzato elimina la gestione manuale dei certificati |
Il driver di ROI più significativo è l'eliminazione delle interruzioni dovute alla rotazione delle password. In una flotta di 500 dispositivi in cui il 10% dei dispositivi perde la connessione ogni trimestre a causa del cambio password, e ogni incidente richiede 20 minuti di tempo IT per essere risolto, i soli risparmi sui costi di supporto annuali possono giustificare l'investimento nell'implementazione entro il primo anno.
Per gli operatori del settore Trasporti e i grandi ambienti per eventi, il business case è ulteriormente rafforzato dalla capacità di applicare l'assegnazione dinamica della VLAN — garantendo che i dispositivi operativi, i dispositivi del personale e i sistemi di gestione siano segmentati automaticamente senza riconfigurazione manuale della rete.
Termini chiave e definizioni
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
The most secure 802.1X authentication method, requiring both the client device and the RADIUS server to authenticate each other using digital certificates. No password is exchanged or transmitted.
When IT teams need to eliminate password-based WiFi and enforce strict device compliance, EAP-TLS is the mandatory standard. It is the only EAP type that provides mutual authentication.
SCEP (Simple Certificate Enrollment Protocol)
A protocol that allows devices to securely and automatically request digital certificates from a Certificate Authority using a challenge-response mechanism.
Essential for scaling certificate deployments via Jamf Pro without requiring IT staff to manually install certificates on thousands of devices. Jamf's dynamic SCEP proxy generates per-device challenge passwords.
RADIUS (Remote Authentication Dial-In User Service)
A networking protocol providing centralised Authentication, Authorisation, and Accounting (AAA) management for devices connecting to a network service.
The central decision engine that tells the WiFi Access Point whether a Jamf-managed device is allowed on the network, and optionally which VLAN to assign.
Configuration Profile
An XML file (.mobileconfig) deployed by Jamf Pro that contains one or more payloads to manage settings on Apple devices, including certificates, WiFi, VPN, and restrictions.
This is the vehicle used to push the SCEP settings, WiFi SSID configuration, and certificate trust chain to the iPhone, iPad, or Mac.
CSR (Certificate Signing Request)
A block of encoded text generated by the Apple device containing the public key and identity information, sent to the Certificate Authority to apply for a signed digital certificate.
The first step in the SCEP process. The device generates the CSR locally, ensuring the private key never leaves the device — a fundamental principle of PKI security.
Subject Alternative Name (SAN)
An extension to an X.509 certificate that allows multiple identity values to be associated with the certificate, such as email addresses, DNS names, IP addresses, or MAC addresses.
Crucial for RADIUS authentication. The RADIUS server reads the SAN to identify the device or user. In Jamf deployments, the SAN is typically set to the device's MAC address or the user's UPN.
Root CA (Certificate Authority)
The top-most certificate in a PKI hierarchy, the private key of which is used to sign subordinate CA certificates. The Root CA certificate must be trusted by all parties in the authentication chain.
Must be deployed to Apple devices via Jamf so they trust the certificates presented by the RADIUS server during the EAP-TLS handshake. Without it, the handshake fails.
IEEE 802.1X
An IEEE standard for port-based Network Access Control (PNAC), providing an authentication mechanism to devices wishing to attach to a LAN or WLAN before network access is granted.
The overarching framework that blocks network traffic at the Access Point until the RADIUS server validates the Jamf-provisioned certificate. All enterprise WiFi security is built on this standard.
Dynamic VLAN Assignment
A RADIUS feature that assigns a connecting device to a specific VLAN based on policy attributes returned in the Access-Accept message, using RADIUS Tunnel attributes 64, 65, and 81.
Enables network segmentation without multiple SSIDs. A single corporate SSID can automatically place clinical iPads on VLAN 20, executive MacBooks on VLAN 30, and guest devices on VLAN 100.
Casi di studio
A 500-bed hospital needs to deploy 1,200 shared iPads for clinical staff. They currently use PEAP with Active Directory credentials, resulting in hundreds of disconnected devices every 90 days when passwords expire. How should they redesign their authentication architecture?
The hospital should migrate to EAP-TLS using device-based certificates managed through Jamf Pro. The implementation involves four key steps. First, deploy AD CS with the NDES role to act as the SCEP server, issuing certificates from a dedicated 'Clinical Device' certificate template. Second, configure a Jamf Configuration Profile with a SCEP payload using $MACADDRESS as the SAN, and a WiFi payload targeting the clinical SSID with EAP-TLS only, explicitly trusting the RADIUS server certificate. Third, configure Microsoft NPS with a Network Policy that matches the 'Clinical Device' certificate template and assigns devices to the Clinical VLAN (Tunnel-Private-Group-Id = 20). Fourth, set the SCEP renewal threshold to 30 days to ensure automatic certificate renewal without IT intervention. Devices should be provisioned via Ethernet during the initial rollout to resolve the onboarding network challenge.
A creative agency with 300 MacBooks is moving to a new office. They want zero-touch WiFi provisioning — new MacBooks should automatically connect to the secure corporate SSID when unboxed by end-users at their desks, with no IT intervention. How do they achieve this?
The agency must combine Apple Automated Device Enrollment (ADE) with Jamf Pro and a carefully sequenced Configuration Profile. During the macOS Setup Assistant, the MacBook connects to the internet via a temporary open onboarding SSID (restricted by firewall to permit only Apple activation, Jamf MDM, and SCEP traffic). It contacts Apple, recognises it belongs to the agency via ADE, and automatically enrolls in Jamf Pro. Jamf Pro immediately pushes a pre-staged Configuration Profile containing the SCEP payload and the corporate WiFi payload. The SCEP enrollment completes over the onboarding SSID, the certificate is installed in the Keychain, and the WiFi payload activates. The MacBook then automatically transitions to the secure 802.1X corporate SSID. From the user's perspective, they simply complete the Setup Assistant and the laptop is on the corporate network.
Analisi degli scenari
Q1. You have deployed a Jamf Configuration Profile with a SCEP payload and a WiFi payload to 50 MacBooks. The SCEP certificates are successfully installed in the Keychain, but the MacBooks are prompting users with a 'Verify Certificate' dialogue when attempting to connect to the corporate SSID. What configuration element is missing or incorrect?
💡 Suggerimento:Think about what information the Apple device needs to automatically trust the RADIUS server's identity without user interaction.
Mostra l'approccio consigliato
The WiFi payload in the Jamf Configuration Profile is missing either the 'Trusted Server Certificate Names' entry (which must exactly match the CN in the RADIUS server's certificate), or the Root CA and Intermediate CA certificates that signed the RADIUS server's certificate are not included in the profile's Trust payload. Without explicit trust defined by the MDM, macOS and iOS require the user to manually verify and accept the RADIUS server's certificate during the EAP-TLS handshake. Both fields must be populated: the Trusted Certificates array (containing the CA chain) and the Trusted Server Certificate Names array (containing the RADIUS server's CN).
Q2. A retail chain wants their point-of-sale iPads to connect to the secure corporate WiFi immediately upon boot, before any staff member logs into the POS application. The current deployment uses user certificates tied to individual employee UPNs. Devices frequently fail to connect at the start of a shift. What is the root cause and what is the correct architectural change?
💡 Suggerimento:Consider when different types of certificates become available to the iOS network stack relative to the user authentication lifecycle.
Mostra l'approccio consigliato
The root cause is that user certificates (tied to a UPN) are stored in the user's keychain and are only accessible after the user has authenticated to the device. At boot or at the iOS lock screen, the user keychain is locked, so the WiFi stack cannot access the certificate to perform EAP-TLS. The correct architectural change is to switch to device certificates, where the SAN is set to the device's MAC address or serial number. Device certificates are stored in the system keychain, which is accessible at boot time before any user logs in. The RADIUS Network Policy must be updated to match device certificates rather than user certificates, and the Jamf SCEP payload must be updated to use device-level variables such as $MACADDRESS or $SERIALNUMBER as the SAN.
Q3. Your organisation uses Microsoft NPS as the RADIUS server. You are configuring a new Jamf SCEP payload for 200 MacBooks. The NPS Network Policy is configured to require that the certificate's Subject Alternative Name matches a computer account in Active Directory. What SAN value should you configure in the Jamf SCEP payload, and what format does NPS expect?
💡 Suggerimento:NPS computer certificate authentication requires the SAN to match the computer's identity in Active Directory in a specific format.
Mostra l'approccio consigliato
For NPS computer certificate authentication, the SAN must be set to the DNS Name type with the value $COMPUTERNAME.yourdomain.com (using the Jamf variable for the computer's hostname). NPS expects the SAN DNS Name to match the computer's fully qualified domain name (FQDN) as it appears in Active Directory. Alternatively, if using the User Principal Name SAN type, the format should be host/$ COMPUTERNAME@YOURDOMAIN.COM . The NPS Network Policy's condition should be set to match the 'Client Certificate SAN' attribute. Ensure the MacBooks are bound to Active Directory, or that the computer names in Jamf match the computer objects in AD, otherwise the NPS lookup will fail even if the certificate is valid.
Punti chiave
- ✓EAP-TLS is the gold standard for enterprise WiFi authentication — it eliminates passwords entirely and requires both the device and the RADIUS server to prove their identity using digital certificates.
- ✓Jamf Pro automates certificate distribution to Apple fleets at scale using the SCEP protocol, with dynamic per-device challenge passwords ensuring only managed devices can enrol.
- ✓A successful Jamf WiFi deployment requires two linked payloads in a single Configuration Profile: a SCEP payload to obtain the certificate, and a WiFi payload that references that certificate as the identity.
- ✓The most common deployment failure is an incomplete certificate trust chain — the Jamf WiFi profile must explicitly include the Root CA and specify the RADIUS server's CN in the Trusted Server Certificate Names field.
- ✓Device-based certificates (SAN = MAC address) are essential for shared hardware, ensuring network connectivity at boot before any user logs in.
- ✓Plan the onboarding network carefully — devices need a network path to the SCEP server before they can receive their certificate and join the secure 802.1X SSID.
- ✓Automated certificate renewal (configured at 30 days before expiration) and immediate revocation upon device decommissioning are non-negotiable operational requirements for a secure, resilient deployment.
