मुख्य मजकुराकडे जा
मराठी

SCEP आणि PKCS द्वारे Microsoft Intune WiFi प्रमाणपत्र डिप्लॉयमेंट

तुम्ही कर्मचाऱ्यांच्या WiFi प्रमाणपत्रांसाठी SCEP आणि PKCS पैकी एक निवडू शकाल, आणि नंतर Intune मध्ये योग्य क्रमाने ट्रस्टेड रूट, क्लायंट प्रमाणपत्र आणि 802.1X WiFi प्रोफाईल डिप्लॉय करू शकाल. तसेच, पायलटचे व्हॅलिडेशन कसे करायचे, रिव्होकेशनची चाचणी कशी घ्यायची आणि Windows, iOS आणि Android वर EAP-TLS रोलआउट्स थांबवणाऱ्या त्रुटी कशा दुरुस्त करायच्या हे देखील तुम्हाला समजेल.

Tom Hackett द्वारेप्रकाशित अद्ययावत केले
📖 15 मिनिट वाचन3,339 शब्द3 सोडवलेली उदाहरणे3 सराव प्रश्न12 महत्वाच्या व्याख्या

Video overview

आमच्या मुख्य मालिकेचा भाग: एंटरप्राइज WiFi सुरक्षा मार्गदर्शक →

Interactive Architecture Tool802.1X EAP-TLS Profile Sizer

Microsoft Intune WiFi certificate profile and architecture advisor

Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.

Architecture Score
95/100
Strong architecture

Certificate Enrollment Specifications

  • Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
  • Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
  • Key Length: RSA 2048-bit (SHA-256 Signature Hash)
  • Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
  • Subject Name Format: CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal
  • Subject Alternative Name (SAN): User Principal Name (UPN) = {{UserPrincipalName}}
  • Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)

AAA & RADIUS Integration Details

  • RADIUS Engine: Purple Cloud RADIUS (Recommended)
  • Architecture Mode: 100% Cloud Native AAA
  • RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
  • Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
  • CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
  • Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.

Remove on-premises NPS and NDES with Purple Cloud RADIUS

Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.

Useful? Link to this tool

Intune WiFi प्रमाणपत्र डिप्लॉयमेंट तीन प्रोफाइल वापरते: एक विश्वासार्ह रूट प्रमाणपत्र, SCEP किंवा PKCS क्लायंट प्रमाणपत्र, आणि EAP-TLS वर सेट केलेले 802.1X WiFi प्रोफाइल. ते सर्व एकाच Microsoft Entra ID ग्रुपला असाइन करून याच क्रमाने डिप्लॉय करा. SCEP डिव्हाइसवर खाजगी की तयार करते, तर PKCS ती केंद्रीय पद्धतीने तयार करते. Windows, iOS आणि Android वरील WiFi साठी, SCEP निवडा.

Intune WiFi प्रमाणपत्र डिप्लॉयमेंट नेमके काय करते?

Intune प्रत्येक मॅनेज केलेल्या डिव्हाइसला त्याची स्वतःची ओळख दर्शवणारे प्रमाणपत्र आणि ते सादर करण्यासाठी WiFi सेटिंग्ज देते. त्यानंतर डिव्हाइस कोणीही पासवर्ड टाईप न करता तुमच्या कर्मचाऱ्यांच्या नेटवर्कमध्ये समाविष्ट होते.

याची कार्यपद्धती IEEE 802.1X आहे, जी पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी मानक आहे. 802.1X अंतर्गत, ॲक्सेस पॉइंट ऑथेंटिकेशन सर्व्हरने मंजूर करेपर्यंत डिव्हाइसला नेटवर्कपासून दूर ठेवतो. तो सर्व्हर RADIUS सर्व्हर असतो, जी एक अशी सर्व्हिस आहे ज्यास तुमचे ॲक्सेस पॉइंट्स डिव्हाइसला प्रवेश देण्यापूर्वी विचारणा करतात.

ऑथेंटिकेशन पद्धत EAP-TLS (विस्तारण्यायोग्य ऑथेंटिकेशन प्रोटोकॉल - ट्रान्सपोर्ट लेयर सिक्युरिटी) आहे, जी RFC 5216 मध्ये परिभाषित केली आहे. दोन्ही बाजू प्रमाणपत्रांसह त्यांची ओळख सिद्ध करतात:

  • डिव्हाइस क्लायंट प्रमाणपत्र सादर करते.
  • RADIUS सर्व्हर, सर्व्हर प्रमाणपत्र सादर करतो.
  • प्रत्येक बाजू तपासते की दुसऱ्याचे प्रमाणपत्र तिच्या विश्वासार्ह प्रमाणपत्र प्राधिकरणाशी (CA) जोडलेले आहे का.

कोणताही पासवर्ड टाईप केला जात नाही, स्टोअर केला जात नाही किंवा फिशिंगसाठी उघड केला जात नाही.

हे प्रत्येक वर्षी अधिक महत्त्वाचे ठरत आहे. Microsoft असे नमूद करते की Windows Defender Credential Guard, PEAP-MSCHAPv2 सारख्या पासवर्ड-आधारित 802.1X पद्धतींसाठी सिंगल साइन-ऑन ब्लॉक करते. PEAP (संरक्षित EAP) एनक्रिप्टेड बोगद्यातून पासवर्ड पाठवते. अलिकडील Windows 11 Enterprise बिल्ड्सवर Credential Guard डीफॉल्टनुसार चालू असते आणि Microsoft त्याऐवजी प्रमाणपत्र-आधारित ऑथेंटिकेशनची शिफारस करते.

Intune तीन कॉन्फिगरेशन प्रोफाईलद्वारे प्रमाणपत्र-आधारित WiFi वितरीत करते:

  • विश्वासार्ह प्रमाणपत्र प्रोफाइल. तुमचे रूट CA आणि कोणतेही इंटरमीडिएट CA इंस्टॉल करते. त्यानंतर डिव्हाइस स्वतःच्या प्रमाणपत्र साखळीवर आणि तुमच्या RADIUS सर्व्हरवर विश्वास ठेवू शकते.
  • SCEP किंवा PKCS प्रमाणपत्र प्रोफाइल. प्रत्येक डिव्हाइसला एक युनिक क्लायंट प्रमाणपत्र वितरीत करते.
  • WiFi प्रोफाइल. SSID (ब्रॉडकास्ट नेटवर्क नाव), सुरक्षा प्रकार आणि EAP पद्धत सेट करते. हे सादर करायचे प्रमाणपत्र आणि विश्वास ठेवण्यासाठी सर्व्हरचे नाव देखील निर्दिष्ट करते.

वेन्यू ऑपरेटर्ससाठी, ही नेटवर्कची कर्मचारी बाजू आहे. Hotels, Retail आणि Healthcare मधील कर्मचाऱ्यांचे लॅपटॉप, हँडहेल्ड आणि टॅब्लेट यांना अशा सिस्टीममध्ये प्रवेश आवश्यक असतो जिथे अतिथी, खरेदीदार आणि रुग्ण कधीही पोहोचू नयेत. तुमचे Guest WiFi त्याचे Captive Portal (मुलाखतकार किंवा अभ्यागत पाहतात ते साइन-इन पेज) कायम ठेवते. कर्मचाऱ्यांची डिव्हाइसेस एका वेगळ्या SSID आणि VLAN (लॉजिकली आयसोलेटेड नेटवर्क सेगमेंट) वर शांतपणे ऑथेंटिकेट होतात.

SCEP किंवा PKCS: तुम्ही कोणते प्रमाणपत्र प्रोफाइल वापरावे?

दोन्ही प्रोफाइल डिव्हाइसवर क्लायंट प्रमाणपत्र सोडतात. फरक एवढाच आहे की खाजगी की कुठे तयार केली जाते.

SCEP (Simple Certificate Enrolment Protocol, RFC 8894) हे डिव्हाइसला स्वतःची की जोडी (key pair) तयार करण्यास सांगते. डिव्हाइस Network Device Enrolment Service (NDES) सर्व्हरद्वारे किंवा Microsoft Cloud PKI द्वारे प्रमाणपत्र स्वाक्षरी विनंती (certificate signing request) पाठवते. CA विनंतीवर स्वाक्षरी करते आणि प्रमाणपत्र परत करते. प्रायव्हेट की (private key) कधीही डिव्हाइस सोडत नाही. Windows वर, SCEP प्रोफाईल ती की Trusted Platform Module (TPM) या हार्डवेअर सुरक्षा चिपमध्ये ठेवू शकते.

PKCS प्रोफाईल तुमच्या CA कडून प्रमाणपत्राची विनंती करण्यासाठी Certificate Connector for Microsoft Intune चा वापर करतात. की जोडी डिव्हाइसच्या बाहेर तयार केली जाते. त्यानंतर Intune हे प्रमाणपत्र आणि प्रायव्हेट की कूटबद्ध (encrypted) स्वरूपात डिव्हाइसवर पोहोचवते. यामुळे तुम्हाला NDES चालवणे टाळता येते, परंतु प्रायव्हेट की डिव्हाइसव्यतिरिक्त इतर ठिकाणी अस्तित्वात आलेली असते.

तिसरा प्रकार, PKCS imported certificates, तुमच्याकडे आधीपासून असलेली प्रमाणपत्रे पोहोचवतो. याचे सामान्य काम S/MIME ईमेल एनक्रिप्शनचे आहे, जिथे की Escrow केल्या जातात. WiFi साठी हे अयोग्य साधन आहे.

AD CS आणि NDES द्वारे SCEP Microsoft Cloud PKI द्वारे SCEP कनेक्टर आणि AD CS द्वारे PKCS
प्रायव्हेट की कुठे तयार केली जाते डिव्हाइसवर डिव्हाइसवर डिव्हाइसच्या बाहेर, नंतर पोहोचवली जाते
प्रमाणपत्र प्राधिकरणात (Certificate authority) तुमचे Active Directory Certificate Services (AD CS) एंटरप्राइज CA Microsoft-होस्ट केलेले CAs, किंवा तुमचे स्वतःचे रूट तुमचे AD CS एंटरप्राइज CA
तुम्ही चालवत असलेले ऑन-प्रीमिस सर्व्हर CA, NDES सर्व्हर, Certificate Connector काहीही नाही CA, Certificate Connector
इंटरनेट-फेसिंग घटक NDES URL, Microsoft Entra ॲप्लिकेशन प्रॉक्सीद्वारे प्रकाशित काहीही नाही: Microsoft SCEP एंडपॉइंट होस्ट करते काहीही नाही: कनेक्टर फक्त आऊटबाउंड कनेक्ट करतो
अतिरिक्त परवाना Windows Server व्यतिरिक्त काहीही नाही Cloud PKI ॲड-ऑन किंवा Microsoft Intune Suite Windows Server व्यतिरिक्त काहीही नाही
सेटअपचे प्रयत्न सर्वाधिक: CA, NDES, कनेक्टर आणि प्रॉक्सी पब्लिशिंग सर्वात कमी: Intune ॲडमिन सेंटरमध्ये तयार केलेले CAs मध्यम: CA आणि कनेक्टर, NDES नाही
हे कोणासाठी योग्य आहे AD CS असलेल्या संस्था ज्यांना की डिव्हाइसवर ठेवायच्या आहेत ऑन-प्रीमिस PKI नसलेल्या क्लाउड-फर्स्ट संस्था AD CS असलेल्या संस्था ज्या NDES एंडपॉइंट प्रकाशित करू शकत नाहीत

WiFi साठी, तुम्ही SCEP चे इन्फ्रास्ट्रक्चर पूर्ण करू शकत नसल्यास वगळता नेहमी SCEP निवडा. डिव्हाइस कधीही न सोडणारी की सर्व्हरवरून कॉपी केली जाऊ शकत नाही किंवा ट्रान्सिटमध्ये पकडली जाऊ शकत नाही. जर तुमच्याकडे ऑन-प्रीमिस PKI नसेल आणि तुम्हाला ते तयार करायचे नसेल तर Microsoft Cloud PKI निवडा. तुम्ही AD CS चालवत असाल पण इंटरनेटवर NDES एंडपॉइंट प्रकाशित करू शकत नसाल तर PKCS निवडा.

Intune सह WiFi प्रमाणपत्रे तैनात करण्यापूर्वी तुम्हाला कशाची आवश्यकता आहे?

एकही प्रोफाईल तयार करण्यापूर्वी प्रत्येक बाबीची खात्री करा. बहुतेक अयशस्वी रोलआउट्स या सूचीतील त्रुटींमुळे होतात.

  • परवाना (Licensing). प्रत्येक व्यक्तीला Intune परवान्याची आवश्यकता असते. Intune हे Microsoft 365 E3, E5 आणि Business Premium मध्ये आणि Enterprise Mobility + Security E3 आणि E5 मध्ये समाविष्ट आहे.
  • नोंदणीकृत डिव्हाइसेस. Windows डिव्हाइसेस ही Microsoft Entra ID शी जोडलेली असतात, बर्‍याचदा Windows Autopilot द्वारे. iOS आणि iPadOS डिव्हाइसेस Apple Business Manager स्वयंचलित डिव्हाइस नोंदणीद्वारे नोंदवली जातात. Android डिव्हाइसेस Android Enterprise वापरतात. Microsoft ने Google Mobile Services सह डिव्हाइसेससाठी डिव्हाइस प्रशासक व्यवस्थापन समाप्त केले आहे, म्हणून Android Enterprise ची योजना करा.
  • प्रमाणपत्र प्राधिकरण (Certificate authority). याचा अर्थ AD CS एंटरप्राइझ CA, Microsoft Cloud PKI, किंवा Intune ला सपोर्ट करणारे थर्ड-पार्टी CA.
  • एक प्रमाणपत्र टेम्पलेट. AD CS वर, क्लायंट ऑथेंटिकेशन एक्स्टेंडेड की युसेजसह एक टेम्पलेट प्रकाशित करा.
  • कनेक्टर पायाभूत सुविधा. AD CS वर SCEP ला NDES सर्व्हर आणि Certificate Connector for Microsoft Intune ची आवश्यकता आहे. PKCS ला फक्त कनेक्टरची आवश्यकता आहे.
  • EAP-TLS ला सपोर्ट करणारा RADIUS सर्व्हर. त्याचे सर्व्हर प्रमाणपत्र तुम्ही तैनात करणार असलेल्या रूटशी जोडलेले असणे आवश्यक आहे. त्या प्रमाणपत्रावरील तंतोतंत नाव नोंदवा, कारण WiFi प्रोफाईलला त्याची आवश्यकता असते.
  • पहोचयोग्य निर्सन (Reachable revocation). तुमच्या RADIUS सर्व्हरने प्रमाणपत्र निर्सन सूची (CRL) किंवा OCSP (ऑनलाइन प्रमाणपत्र स्थिती प्रोटोकॉल) प्रतिसादकापर्यंत पोहोचणे आवश्यक आहे. ते न पोहोचल्यास, ऑथेंटिकेशन अयशस्वी होते.
  • एंटरप्राइझ SSIDs. तुमच्या ॲक्सेस पॉइंट्सने तुमच्या RADIUS सर्व्हरकडे निर्देशित केलेले WPA2-Enterprise किंवा WPA3-Enterprise SSID प्रसारित केले पाहिजे. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet हे सर्व 802.1X ला सपोर्ट करतात.
  • Entra ID गट. एक पायलट गट आणि एक उत्पादन गट तयार करा. त्यामध्ये व्यक्ती आहेत की डिव्हाइसेस हे आताच ठरवा.
  • बूटस्ट्रॅप नेटवर्क. 802.1X SSID मध्ये सामील होण्यापूर्वी डिव्हाइसला त्याचे प्रमाणपत्र गोळा करण्यासाठी इंटरनेट ॲक्सेसची आवश्यकता असते. वायरद्वारे ॲक्सेस, मोबाईल डेटा किंवा आयसोलेटेड ऑनबोर्डिंग SSID प्रदान करा. ऑन-बोर्ड क्रूला टॅब्लेट जारी करणाऱ्या ट्रेन ऑपरेटरने टॅब्लेट प्रवासाला निघण्यापूर्वी डेपोमध्ये त्यांची तरतूद करावी.

तुम्ही Intune मध्ये SCEP किंवा PKCS WiFi प्रमाणपत्रे कशी सेट करता?

Microsoft च्या Intune दस्तऐवजीकरणामध्ये प्रत्येक प्लॅटफॉर्मसाठी क्षेत्र-बाय-क्षेत्र टप्पे आहेत. खालील क्रम आणि निर्णय हेच यश ठरवतात. प्रत्येक प्लॅटफॉर्मनुसार प्रोफाईलचा एक संच तयार करा: Windows, iOS/iPadOS आणि Android Enterprise.

टप्पा 1: विश्वासू रूट प्रमाणपत्र प्रोफाईल तैनात करा

तुमचे रूट CA प्रमाणपत्र .cer फाईल म्हणून एक्सपोर्ट करा. ते समाविष्ट असलेले एक विश्वासू प्रमाणपत्र प्रोफाईल तयार करा. प्रत्येक विश्वासू प्रमाणपत्र प्रोफाईलमध्ये एक प्रमाणपत्र असते, म्हणून रूटसाठी आणि प्रत्येक इंटरमीडिएट CA साठी स्वतंत्र प्रोफाईल तयार करा.

Windows वर, रूट संगणक रूट स्टोअरवर आणि इंटरमीडिएट इंटरमीडिएट स्टोअरवर पाठवा. एका वेगळ्या CA ने तुमच्या RADIUS सर्व्हर प्रमाणपत्रावर स्वाक्षरी केली असल्यास, तो रूट देखील तैनात करा. त्याशिवाय, डिव्हाइसेस सर्व्हर प्रमाणीकृत करू शकत नाहीत.

टप्पा 2: SCEP किंवा PKCS प्रमाणपत्र प्रोफाईल तैनात करा

प्रमाणपत्राच्या प्रकाराने सुरुवात करा, कारण ते इतर सर्व गोष्टी नियंत्रित करते.

  • डिव्हाइस प्रमाणपत्रे सामायिक केलेले हँडहेल्ड, किओस्क आणि लॅपटॉपसाठी योग्य आहेत जे Windows साइन-इन स्क्रीनवर कनेक्ट असणे आवश्यक आहे. डिव्हाइस ओळखकर्त्यावरून तयार केलेले विषय नाव वापरा, जसे की CN={{AAD_Device_ID}}.
  • व्यक्ति-आधारित प्रमाणपत्रे कर्मचाऱ्यांच्या एका सदस्याला नियुक्त केलेल्या फोन आणि लॅपटॉपसाठी योग्य आहेत. विषय मध्ये CN={{UserPrincipalName}} वापरा. विषय पर्यायी नाव म्हणून तेच मूल्य जोडा, कारण अनेक RADIUS सर्व्हर तिथून ओळख वाचतात.

नंतर उर्वरित क्षेत्रे सेट करा:

  • की वापर: डिजिटल स्वाक्षरी आणि की एन्सायफरमेंट.
  • विस्तारित की वापर: क्लायंट प्रमाणीकरण, OID 1.3.6.1.5.5.7.3.2.
  • की आकार: किमान 2048 बिट्स.
  • वैधता: तुमच्या CA टेम्पलेटला परवानगी असलेल्या कालावधीपेक्षा जास्त नाही.
  • नूतनीकरण मर्यादा: Microsoft चे डीफॉल्ट प्रमाणपत्राचे उर्वरित आयुष्याच्या 20% आहे.
  • रूट प्रमाणपत्र: पायरी 1 मधील विश्वासार्ह प्रमाणपत्र प्रोफाइल निवडा.
  • Windows वर की स्टोरेज: हार्डवेअर-बॅक्ड की साठी TPM पर्याय निवडा.

SCEP साठी, बाह्य NDES URL किंवा तुमचा Cloud PKI SCEP URI प्रविष्ट करा. PKCS साठी, त्याऐवजी CA नाव आणि टेम्पलेट नाव प्रविष्ट करा.

तुम्ही हायब्रिड ओळखींसह Microsoft NPS (नेटवर्क पॉलिसी सर्व्हर) वापरत असल्यास, मजबूत प्रमाणपत्र मॅपिंगवर Microsoft चे KB5014754 वाचा. Microsoft एका विषय पर्यायी नाव URI चे दस्तऐवजीकरण करते जे नेमके याच प्रकरणासाठी ऑन-प्रीमिस सुरक्षा आयडेंटिफायर वाहून नेते.

पायरी 3: 802.1X WiFi प्रोफाइल तैनात करा

या सेटिंग्जसह एंटरप्राइझ WiFi प्रोफाइल तयार करा:

  • तुमचे ॲक्सेस पॉइंट्स ब्रॉडकास्ट करतात तसाच SSID प्रविष्ट करा.
  • सुरक्षा प्रकार WPA2-Enterprise वर सेट करा, किंवा तुमचे ॲक्सेस पॉइंट्स आणि प्लॅटफॉर्म त्यास सपोर्ट करत असल्यास WPA3-Enterprise वर सेट करा.
  • EAP प्रकार EAP-TLS वर सेट करा.
  • तुमच्या RADIUS सर्व्हर प्रमाnature पत्रावरील नावाशी जुळणारे प्रमाणपत्र सर्व्हर नावे प्रविष्ट करा. हे उपकरणांना त्यांची ओळख बनावट ॲक्सेस पॉइंटकडे सोपवण्यापासून थांबवते.
  • सर्व्हर प्रमाणीकरणासाठी रूट प्रमाणपत्र म्हणून पायरी 1 प्रोफाइल निवडा.
  • क्लायंट प्रमाणीकरण प्रमाणपत्र म्हणून पायरी 2 प्रोफाइल निवडा.

Windows, iOS आणि Android वर काय वेगळे आहे?

  • Windows कोणीही साइन इन करण्यापूर्वी डिव्हाइस प्रमाnature पत्रासह कनेक्ट होते. व्यक्ती-आधारित प्रमाणपत्र केवळ साइन-इन केल्यानंतरच कनेक्ट होते, जे शेअर केलेल्या लॅपटॉपवर पहिले साइन-इन खंडित करते.
  • iOS आणि iPadOS तुम्ही प्रविष्ट केलेल्या प्रमाणपत्र सर्व्हर नावांची जुळणी करून RADIUS सर्व्हरवर विश्वास ठेवतात. न जुळल्यास विश्वास अयशस्वी होतो, सायलेंट फॉलबॅक नाही.
  • Android Enterprise ला प्रमाणीकरणासाठी RADIUS सर्व्हर डोमेन नाव आणि मूळ प्रमाणपत्र आवश्यक आहे. अलीकडील Android आवृत्त्यांनी सर्व्हर प्रमाणीकरण वगळण्याचा पर्याय हटवला आहे.

नवीन डिव्हाइस नोंदणीकृत झाल्यावर काय होते?

नवीन नोंदणीकृत डिव्हाइसवर प्रमाणपत्र विस्तार क्रम खालीलप्रमाणे आहे:

  1. डिव्हाइस नोंदणीकृत होते आणि त्याच्या नियुक्त केलेल्या Entra ID ग्रुपमध्ये येते.
  2. Intune विश्वासार्ह रूट आणि मध्यस्थ प्रोफाइल वितरीत करते.
  3. डिव्हाइस त्याच्या क्लायंट प्रमाnature पत्राची विनंती करते. SCEP अंतर्गत, ते की जोडी तयार करते आणि एकाच वेळेच्या आव्हानासह स्वाक्षरीची विनंती पाठवते. CA काहीही जारी करण्यापूर्वी कनेक्टर Intune सह त्या आव्हानाचे प्रमाणीकरण करतो. PKCS अंतर्गत, कनेक्टर प्रमाnature पत्राची विनंती करतो आणि Intune ते वितरीत करते.
  4. डिव्हाइस इन्स्टॉल केलेल्या प्रमाnature पत्राची माहिती Intune ला देते.
  5. WiFi प्रोफाइल, जे दोन्ही प्रमाणपत्र प्रोफाइल्सवर अवलंबून असते, लागू होते.
  6. डिव्हाइस आपले प्रमाणपत्र SSID कडे सादर करते. RADIUS साखळीची पडताळणी करते, रद्दबातल (revocation) तपासते आणि डिव्हाइस स्वीकारते. त्यानंतर ते RADIUS गुणधर्मांद्वारे (attributes) VLAN असाइन करू शकते.
  7. नूतनीकरणाच्या मर्यादेपर्यंत (threshold) पोहोचल्यावर Intune प्रमाणपत्राचे नूतनीकरण करते. तुम्ही डिव्हाइस रिटायर किंवा वाईप करता तेव्हा कनेक्टरकडे CA वर रद्दबातल करण्याचे अधिकार असल्यास Intune ते रद्द करते.

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.

Intune WiFi प्रमाणपत्रे कार्य करत आहेत की नाही हे तुम्ही कसे तपासता?

असाइनमेंटचा विस्तार करण्यापूर्वी प्रति प्लॅटफॉर्म 10 ते 20 डिव्हाइसेसच्या पायलटसह चाचणी करा. चार ठिकाणे तपासा.

  1. Intune प्रोफाइल स्थिती. तिन्ही प्रोफाईल्सनी प्रत्येक पायलट डिव्हाइससाठी Succeeded रिपोर्ट केले पाहिजे. कोणत्याही एकावर Pending, Error किंवा Not applicable स्थिती असल्यास ते WiFi प्रोफाइल ब्लॉक करते.
  2. डिव्हाइस स्वतः. Windows वर, वैयक्तिक प्रमाणपत्र स्टोअर उघडा आणि Client Authentication उद्देश आणि तुमचे इश्यू करणारे CA निश्चित करा. iOS आणि Android वर, प्रमाणपत्र आणि WiFi प्रोफाइल व्यवस्थापन प्रोफाइल आणि वर्क प्रोफाइल क्रेडेंशियल्समध्ये दिसत असल्याचे आणि कार्य करत असल्याचे निश्चित करा.
  3. RADIUS लॉग्स. अपेक्षित विषयाच्या नावासह यशस्वी EAP-TLS प्रमाणीकरणे शोधा. NPS वर, इव्हेंट ID 6272 मंजूर प्रवेश आणि 6273 नाकारलेला प्रवेश कारणांच्या कोडसह रेकॉर्ड करतो.
  4. कनेक्टर आणि NDES लॉग्स. Certificate Connector हे Windows इव्हेंट लॉगमध्ये लिहिते. NDES विनंत्या IIS लॉगमध्ये दिसतात.

त्यानंतर मुद्दाम रद्दबातलाची चाचणी घ्या. Intune मधील एक पायलट डिव्हाइस रिटायर करा आणि प्रमाणपत्र CA वर रद्द (revoked) म्हणून दिसत असल्याची खात्री करा. CRL प्रकाशित करा, आणि RADIUS पुढील प्रमाणीकरण नाकारत असल्याची खात्री करा.

Intune WiFi प्रोफाईलमध्ये काय चुकीचे घडते, आणि तुम्ही ते कसे दुरुस्त करता?

WiFi प्रोफाइल Error किंवा Not applicable दाखवते

प्रमाणपत्रे आली, परंतु WiFi प्रोफाइल अयशस्वी झाले. याचे सामान्य कारण म्हणजे मिक्स ग्रुप टार्गेटिंग. उदाहरणार्थ, SCEP प्रोफाइल लोकांच्या ग्रुपला असाइन केले जाते तर WiFi प्रोफाइल डिव्हाइस ग्रुपला टार्गेट करते. Intune अवलंबित्व (dependency) सोडवू शकत नाही. सर्व तीन प्रोफाईल्स एकाच ग्रुपला किंवा किमान एकाच ग्रुप प्रकाराला असाइन करणे हा यावर उपाय आहे.

SCEP प्रमाणपत्र कधीही येत नाही

NDES IIS लॉग्स HTTP 403 किंवा 500 प्रतिसाद दाखवतात. कनेक्टर सर्व्हिस खात्याकडे प्रमाणपत्र टेम्पलेटवर Read आणि Enrol परवानग्या आहेत का ते तपासा. तुमचा फायरवॉल, रिव्हर्स प्रॉक्सी किंवा ॲप्लिकेशन प्रॉक्सी operation=GetCACaps सारख्या SCEP क्वेरी स्ट्रिंग्स हटवत नाही ना ते तपासा. त्यानंतर बाह्य NDES URL तुमच्या नेटवर्कच्या बाहेरून रिव्हॉल्व्ह होत असल्याची खात्री करा.

डिव्हाइसकडे प्रमाणपत्र आहे, परंतु RADIUS ते नाकारते

अनुक्रमे चार कारणांवर काम करा:

  1. WiFi प्रोफाईलमधील प्रमाणपत्र सर्व्हरची नावे RADIUS सर्व्हर प्रमाणपत्राशी जुळत नाहीत.
  2. RADIUS सर्व्हर क्लायंट प्रमाणपत्र जारी करणाऱ्या CA वर विश्वास ठेवत नाही.
  3. RADIUS सर्व्हर वर्तमान CRL डाउनलोड करू शकत नाही.
  4. KB5014754 अंतर्गत NPS स्ट्रॉंग मॅपिंग अंमलबजावणी स्ट्रॉंग मॅपिंगशिवाय प्रमाणपत्रे नाकारते.

NPS कारण कोड योग्य कारणाकडे निर्देश करतो.

रद्दबातल तपासणीमुळे आउटेज होतो

CRL डिस्ट्रीब्यूशन पॉइंट ऑफलाइन झाल्यास किंवा CRL ची मुदत संपल्यास, स्ट्रिक्ट RADIUS सर्व्हर प्रत्येक प्रमाणपत्र नाकारतात. तुमच्या RADIUS सर्व्हरला पोहोचता येईल अशा उच्च उपलब्धतेच्या HTTP स्थानावर CRLs प्रकाशित करा. CRL च्या पुढील-अपडेट वेळेचे निरीक्षण करा.

डिव्हाइसेस जुन्या नेटवर्कशी जोडली जात राहतात

डिव्हाइसवर अजूनही असलेले जुने प्री-शेअर्ड की किंवा PEAP प्रोफाईल प्राधान्य घेते. नवीन प्रोफाईल यश दर्शवल्यानंतर Intune द्वारे जुने प्रोफाईल हटवा, आणि नंतर जुने SSID निवृत्त करा.

रिअल व्हेन्यूमध्ये Intune सर्टिफिकेट-बेस्ड WiFi कसे कार्य करते?

खालील दोन परिस्थिती Microsoft च्या दस्तऐवजीकृत वर्तनावर आधारित तयार केलेली उदाहरणे आहेत. ते ठिकाणांचे प्रकार वर्णन करतात, कोणत्याही विशिष्ट उपयोगाचे नाव नाही.

12-हॉटेल ग्रुप कडून सामायिक स्टाफ पासवर्ड बंद करणे

परिस्थिती. 12 हॉटेल्सचा समूह, प्रत्येकी सुमारे 200 खोल्या, प्री-शेअर्ड की वर एक स्टाफ SSID चालवतो. ही की 840 डिव्हाइसेसद्वारे सामायिक केली जाते: रिसेप्शन PC, हाउसकीपिंग iPhones आणि फूड अँड बेव्हरेजमधील Android हँडहेल्ड्स. नेटवर्क कार्डधारक डेटा वातावरणाशी जोडलेले आहे. PCI DSS v4.0 ची आवश्यकता 2.3.2 मुळे, ही की माहित असलेली कोणतीही व्यक्ती सोडून गेल्यास ती बदलणे आवश्यक आहे. फ्रंट-ऑफ-हाउस टर्नओव्हरमुळे, कोणीतरी की पुन्हा प्रविष्ट करेपर्यंत प्रत्येक बदलाच्या वेळी डिव्हाइसेस बंद पडतात.

काय करण्यात आले. टीमने Microsoft Entra ID ॲप्लिकेशन प्रॉक्सीसह प्रकाशित केलेल्या NDES द्वारे SCEP तैनात केले. रिसेप्शन PC ला डिव्हाइस प्रमाणपत्रे प्राप्त होतात जेणेकरून ते साइन-इन स्क्रीनवर कनेक्ट होतात. फोन्सना व्यक्ती-आधारित प्रमाणपत्रे मिळतात. एका हॉटेलमध्ये दोन आठवड्यांसाठी 20-डिव्हाइसचा पायलट चालवला जातो. त्यानंतर, जुन्या SSID च्या समांतराने चालण्यासह दर आठवड्याला एक हॉटेल स्थानांतरित केले जाते.

मोजण्यायोग्य परिणाम. 12 आठवड्यांनंतर, सर्व 840 डिव्हाइसेस EAP-TLS सह प्रमाणीकृत होतात आणि प्री-शेअर्ड की SSID बंद केले जाते. 12 ठिकाणांवर फिरवल्या जाणाऱ्या सामायिक की ची संख्या एकावरून शून्य होते. सोडणाऱ्या व्यक्तीचा प्रवेश आता त्याचे डिव्हाइस निवृत्त झाल्यावर आणि CRL पुन्हा प्रकाशित झाल्यावर संपतो, पुढील की बदलाच्या वेळी नाही.

सामायिक हँडहेल्ड्स असलेली 150-स्टोअर रिटेल साखळी

परिस्थिती. प्रत्येक स्टोअरमध्ये चार सामायिक Android हँडहेल्ड्स आणि दोन Windows बॅक-ऑफिस लॅपटॉप चालतात, एकूण 900 डिव्हाइसेस. हँडहेल्ड्स प्रत्येक शिफ्टमध्ये कर्मचाऱ्यांमध्ये बदलले जातात, त्यामुळे व्यक्ती-आधारित प्रमाणपत्रांना काही अर्थ उरत नाही. साखळीची क्लाउड RADIUS सेवा केवळ अंतर्गत नेटवर्कवर प्रकाशित केलेल्या CRL पर्यंत पोहोचू शकत नाही.

काय करण्यात आले. साखळीने Android Enterprise समर्पित डिव्हाइसेस म्हणून हँडहेल्डची नोंदणी केली आणि SCEP द्वारे डिव्हाइस प्रमाणपत्रे जारी केली. प्रति प्लॅटफॉर्म एक WiFi प्रोफाईल प्रत्येक स्टोअरसाठी कार्य करते, कारण SSID सर्वत्र समान आहे. CRL इंटरनेटवर पोहोचण्यायोग्य HTTP डिस्ट्रीब्यूशन पॉइंटवर हलवले जाते.

मोजण्यायोग्य परिणाम. कोणत्याही सामायिक हँडहेल्डमध्ये WiFi पासवर्ड नसतो. स्टोअरमधील कर्मचारी प्रत्येक बदलानंतर की विचारणे थांबवतात. हरवलेले हँडहेल्ड Intune मध्ये निवृत्त करून बंद केले जाते, आणि CRL रिफ्रेश झाल्यावर त्याच्या प्रमाणपत्राची पुढील प्रमाणीकरणाच्या वेळी पडताळणी अयशस्वी होते.

Intune WiFi प्रमाणपत्र तैनातीची किंमत काय आहे आणि तुम्हाला काय परत मिळते?

याचा खर्च काय आहे

  • लायसन्स. बहुतांश संस्थांकडे आधीच Microsoft 365 किंवा Enterprise Mobility + Security द्वारे Intune ची मालकी आहे, त्यामुळे प्रति-सीट नवीन खर्च नाही.
  • सर्व्हर्स. AD CS, NDES आणि NPS या Windows Server भूमिका आहेत ज्यांना Windows Server व्यतिरिक्त कोणत्याही स्वतंत्र परवान्याची आवश्यकता नाही.
  • क्लाउड PKI. Microsoft Cloud PKI हा एक सशुल्क ॲड-ऑन आहे, जो Microsoft Intune Suite मध्ये देखील समाविष्ट आहे. ऑन-प्रीमिसेस CA आणि NDES तयार करणे आणि त्यांचे व्यवस्थापन करणे याच्याशी त्याच्या खर्चाची तुलना करा.
  • प्रयत्न. काम PKI डिझाइन, NDES पब्लिशिंग आणि पायलटमध्ये आहे. तीन प्रोफाईलसाठी आठवडे नाही, तर काही तास लागतात.

तुम्हाला परत काय मिळते

  • कोणत्याही शेअर केलेल्या WiFi की नाहीत. हे PCI DSS आवश्यकता 2.3.2 द्वारे कार्डधारक डेटा वातावरणाशी कनेक्ट केलेल्या वायरलेस नेटवर्कवर लादलेले की रोटेशन काढून टाकते.
  • तुम्ही रद्द करू शकता असा लीव्हर ॲक्सेस. Intune मधील डिव्हाइस निवृत्त केल्याने त्याचे प्रमाणपत्र रद्द होऊ शकते, त्यामुळे WiFi ॲक्सेस तुमच्या जॉइनर्स, मूव्हर्स आणि लीव्हर्स (JML) प्रक्रियेचे अनुसरण करतो.
  • Credential Guard सह सुसंगतता. जिथे Windows पासवर्ड-आधारित 802.1X सिंगल साइन-ऑन ब्लॉक करते तिथे EAP-TLS कार्य करत राहते.
  • फिशिंगसाठी क्रेडेंशियल नाही. TPM शी बाइंड केलेले प्रमाणपत्र बनावट लॉगिन पेजवर टाइप केले जाऊ शकत नाही.
  • पासवर्डची मुदत संपत नाही. प्रमाणपत्रे त्यांची मुदत संपण्यापूर्वी आपोआप नूतनीकृत होतात, ज्यामुळे पासवर्ड रिसेट करणे हे WiFi तिकिटांचे कारण राहत नाही.

प्रारंभापासूनच GDPR हाताळणीचे नियोजन करा. कर्मचाऱ्याचे साइन-इन नाव असलेल्या प्रमाणपत्राचे विषय तुमच्या RADIUS लॉगमध्ये वैयक्तिक डेटा असतात. धारणा कालावधी सेट करा आणि त्या लॉगचा ॲक्सेस मर्यादित करा.

Purple हे 80,000 पेक्षा जास्त लाईव्ह व्हेन्यूमध्ये Staff WiFi आणि Guest WiFi सोबत चालवते (Purple डेटा). हे प्लॅटफॉर्म Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet मध्ये हार्डवेअर-ॲग्नोस्टिक आहे. Purple कडे ISO 27001 प्रमाणपत्र आहे. आमचे Identity-Based Networks हे Microsoft Entra ID, Okta आणि Google Workspace सोबत काम करतात, त्यामुळे कर्मचाऱ्यांचा ॲक्सेस तुमच्या Intune इस्टेटप्रमाणेच समान ओळख स्त्रोताचे अनुसरण करतो. भेट देणाऱ्यांच्या बाजूने, WiFi Analytics कर्मचाऱ्यांच्या ट्रॅफिकपेक्षा वेगळ्या गेस्ट कनेक्शन्सवर अहवाल देते.

वारंवार विचारले जाणारे प्रश्न

Intune द्वारे WiFi प्रमाणपत्रे तैनात करण्यासाठी तुम्हाला अतिरिक्त परवान्यांची आवश्यकता आहे का?

नाही, NDES द्वारे SCEP किंवा PKCS साठी नाही. Intune चा समावेश Microsoft 365 E3, E5 आणि Business Premium मध्ये, आणि Enterprise Mobility + Security E3 आणि E5 मध्ये आहे. Active Directory Certificate Services आणि NDES या Windows Server भूमिका आहेत, त्यामुळे त्यांना केवळ तुमच्या विद्यमान Windows Server परवान्याची आवश्यकता आहे. अपवाद म्हणजे Microsoft Cloud PKI, हा एक सशुल्क ॲड-ऑन आहे जो Microsoft Intune Suite मध्ये देखील समाविष्ट आहे. जर तुम्हाला ऑन-प्रीमिसेस CA चालवणे टाळायचे असेल तरच यासाठी बजेट ठेवा.

Intune कडून प्रमाणपत्र-आधारित WiFi तुमच्या विद्यमान ॲक्सेस पॉईंट्ससह कार्य करेल का?

होय, अट अशी आहे की तुमचे ॲक्सेस पॉईंट्स WPA2-Enterprise किंवा WPA3-Enterprise SSID ब्रॉडकास्ट करू शकतात. EAP-TLS डिव्हाइस आणि RADIUS सर्व्हर दरम्यान चालते आणि ॲक्सेस पॉईंट फक्त ते IEEE 802.1X अंतर्गत रिले करतो. Purple हे हार्डवेअर-ॲग्नोस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर चालते. तुम्ही तुमच्याकडे आधीपासून असलेले हार्डवेअर ठेवता आणि फक्त SSID सुरक्षा सेटिंग्ज बदलता.

तुम्ही डाऊनटाईमशिवाय PEAP किंवा शेअर केलेल्या पासवर्डवरून EAP-TLS कडे जाऊ शकता का?

होय. जुन्या SSID सोबत नवीन 802.1X SSID चालवा, किंवा संक्रमणादरम्यान PEAP आणि EAP-TLS दोन्ही स्वीकारण्यासाठी तुमचे RADIUS सर्व्हर कॉन्फिगर करा. प्रथम पायलट ग्रुपवर तीन Intune प्रोफाईल्स तैनात करा. तुमच्या RADIUS लॉग्जमध्ये यशस्वी EAP-TLS ऑथेंटिकेशन्सची पुष्टी करा, नंतर टप्प्याटप्प्याने असाइनमेंट वाढवा. नवीन प्रोफाईल यशस्वी झाल्याचा अहवाल दिल्यानंतरच जुने WiFi प्रोफाईल हटवा, आणि नंतर जुना SSID रिटायर करा.

कर्मचाऱ्यांच्या WiFi साठी तुम्ही SCEP की PKCS निवडावे?

SCEP निवडा. SCEP सह डिव्हाइस स्वतःची प्रायव्हेट की तयार करते, जी ते कधीही सोडत नाही, आणि Windows ती की TPM मध्ये स्टोअर करू शकते. PKCS ही की डिव्हाइसच्या बाहेर तयार करते आणि ती डिलिव्हर करते. त्यामुळे NDES सर्व्हरची गरज उरत नाही परंतु की जिथे अस्तित्वात होती तो भाग विस्तृत होतो. केवळ तेव्हाच PKCS निवडा जेव्हा तुम्ही Active Directory Certificate Services चालवता आणि NDES पब्लिश करू शकत नाही, किंवा NDES शिवाय SCEP साठी Microsoft Cloud PKI वापरा.

तुम्हाला अजूनही NDES सर्व्हरची गरज आहे का?

केवळ ऑन-प्रिमाइसेस Active Directory Certificate Services CA सोबत SCEP साठी. Microsoft Cloud PKI एक होस्ट केलेले SCEP एंडपॉइंट प्रदान करते, त्यामुळे तुम्हाला कोणताही NDES सर्व्हर, कनेक्टर किंवा ऑन-प्रिमाइसेस CA चालवावा लागत नाही. PKCS प्रोफाईल्स देखील NDES टाळतात, कारण Certificate Connector for Microsoft Intune आउटबाउंड कनेक्शन्सद्वारे तुमच्या CA कडून सर्टिफिकेट्सची विनंती करते. Intune सपोर्ट करत असलेल्या थर्ड-पार्टी सर्टिफिकेशन्स अथॉरिटी देखील NDES शिवाय SCEP सर्टिफिकेट्स इश्यू करू शकतात.

जेव्हा एखादी व्यक्ती संस्था सोडते तेव्हा WiFi ॲक्सेस किती वेगाने संपतो?

तुमची रिव्होकेशन पाइपलाइन जितकी जलद अनुमती देते तितक्या वेगाने. जेव्हा तुम्ही Intune मध्ये एखादे डिव्हाइस रिटायर किंवा वाइप करता, तेव्हा Certificate Connector तुमच्या CA वरील त्याचे सर्टिफिकेट रिव्होक करू शकते. जेव्हा तुमचे RADIUS सर्व्हर रीफ्रेश केलेल्या CRL द्वारे किंवा OCSP चेकद्वारे ते रिव्होकेशन पाहते, तेव्हा ॲक्सेस संपतो. जर त्याच तासात रिमूव्हल महत्त्वाचे असेल, तर CRL पब्लिकेशन इंटरव्हल कमी करा किंवा OCSP वापरा. केवळ खाते डिझाइन केल्याने वैध सर्टिफिकेट थांबणार नाही, जोपर्यंत RADIUS डिरेक्टरी देखील तपासत नाही.

सर्टिफिकेट-आधारित WiFi PCI DSS आणि GDPR साठी मदत करते का?

होय. PCI DSS v4.0 आवश्यकता 2.3.2 नुसार कार्डहोल्डर डेटा एन्व्हायर्नमेंटशी कनेक्ट केलेल्या नेटवर्कवरील वायरलेस कीज, जेव्हा ती की माहित असलेली व्यक्ती संस्था सोडते तेव्हा बदलणे आवश्यक आहे. प्रति-डिव्हाइस सर्टिफिकेट्सचा अर्थ असा की रोटेट करण्यासाठी कोणतीही सामायिक केलेली की अस्तित्वात नाही. GDPR साठी, कर्मचाऱ्याचे साइन-इन नाव असलेल्या सर्टिफिकेट सब्जेक्ट्सना वैयक्तिक डेटा म्हणून गृहीत धरा. RADIUS लॉग्जसाठी रिटेंशन कालावधी सेट करा, त्यांचा ॲक्सेस मर्यादित करा आणि प्रोसेसिंगची नोंद ठेवा.

महत्वाच्या व्याख्या

IEEE 802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE मानक. ऑथेंटिकेशन सर्व्हर, सहसा RADIUS, मंजूर करेपर्यंत ॲक्सेस पॉइंट डिव्हाइसला नेटवर्कपासून दूर ठेवतो; ॲक्सेस पॉइंट फक्त EAP एक्सचेंज रिले करतो.

तुमचा WPA2-Enterprise किंवा WPA3-Enterprise स्टाफ SSID 802.1X वापरतो. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet हे सर्व याला सपोर्ट करतात, त्यामुळे तुम्ही हार्डवेअरऐवजी SSID सुरक्षा सेटिंग्ज बदलता.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security, RFC 5216 मध्ये परिभाषित केले आहे. डिव्हाइस क्लायंट प्रमाणपत्र सादर करते आणि RADIUS सर्व्हर एक सर्व्हर प्रमाणपत्र सादर करतो, आणि प्रत्येकजण तपासतो की दुसरा ट्रस्टेड सर्टिफिकेट ॲथॉरिटीशी जोडलेला आहे की नाही.

हा EAP प्रकार आहे जो तुम्ही Intune WiFi प्रोफाईलमध्ये सेट करता. हे टाईप केलेले पासवर्ड काढून टाकते, Windows Defender Credential Guard अंतर्गत कार्य करत राहते आणि फिशिंगसाठी कोणतेही क्रेडेंशियल सोडत नाही.

SCEP

Simple Certificate Enrolment Protocol, RFC 8894. डिव्हाइस स्वतःची की जोडी जनरेट करते आणि NDES किंवा Microsoft Cloud PKI द्वारे वन-टाइम चॅलेंजसह प्रमाणपत्र स्वाक्षरी विनंती पाठवते; प्रायव्हेट की डिव्हाइस सोडून कधीही बाहेर जात नाही.

Windows, iOS आणि Android वरील WiFi साठी शिफारस केलेले Intune प्रमाणपत्र प्रोफाइल, कारण डिव्हाइसवरून कधीही बाहेर न पडणारी की सर्व्हरवरून कॉपी केली जाऊ शकत नाही किंवा ट्रान्सिट दरम्यान अडवली जाऊ शकत नाही.

PKCS प्रमाणपत्र प्रोफाइल

एक Intune प्रोफाइल ज्यामध्ये Certificate Connector for Microsoft Intune तुमच्या CA कडून प्रमाणपत्राची विनंती करतो, की जोडी डिव्हाइसच्या बाहेर तयार केली जाते आणि Intune एनक्रिप्टेड स्वरूपात डिव्हाइसवर प्रमाणपत्र आणि प्रायव्हेट की वितरित करते.

जेव्हा तुम्ही AD CS चालवता परंतु NDES एंडपॉइंट प्रकाशित करू शकत नाही तेव्हा ते वापरा. हे प्रायव्हेट की डिव्हाइसव्यतिरिक्त इतर कुठेतरी अस्तित्त्वात असण्याच्या किंमतीवर NDES टाळते. आयात केलेले PKCS प्रमाणपत्रे S/MIME साठी असतात, WiFi साठी नाहीत.

NDES

Network Device Enrolment Service, ही एक Windows Server भूमिका जी SCEP प्रमाणपत्र स्वाक्षरी विनंत्या प्राप्त करते आणि त्यांना Active Directory Certificate Services एंटरप्राइझ CA कडे पाठवते.

ऑन-प्रीमिसिस AD CS CA सह SCEP साठीच आवश्यक आहे. हे इंटरनेटवर प्रकाशित केले जाणे आवश्यक आहे, सामान्यतः Microsoft Entra अनुप्रयोग प्रॉक्सीद्वारे, आणि जेव्हा प्रमाणपत्रे कधीही पोहोचत नाहीत तेव्हा त्याचे IIS लॉग HTTP 403 किंवा 500 त्रुटी दाखवतात.

RADIUS

डिव्हाइसला प्रवेश देण्यापूर्वी IEEE 802.1X ॲक्सेस पॉइंट्स ज्या ऑथेंटिकेशन सर्व्हरची चौकशी करतात. EAP-TLS साठी ते क्लायंट प्रमाणपत्र साखळी सत्यापित करते, रिव्होकेशन तपासते आणि RADIUS वैशिष्ट्यांद्वारे VLAN असाइन करू शकते.

त्याच्या सर्व्हरचे प्रमाणपत्र नाव WiFi प्रोफाइलशी जुळले पाहिजे आणि त्यांनी जारी करणाऱ्या CA वर विश्वास ठेवला पाहिजे. Microsoft NPS वर, इव्हेंट ID 6272 मंजूर केलेला ॲक्सेस नोंदवतो आणि 6273 कारण कोडसह नाकारलेला ॲक्सेस नोंदवतो.

Microsoft Cloud PKI

मायक्रोसॉफ्ट-होस्ट केलेली प्रमाणपत्र प्राधिकरण सेवा, मायक्रोसॉफ्ट-होस्ट केलेल्या CAs सह किंवा तुमच्या स्वतःच्या रूटसह, जी Intune ॲडमिन सेंटरवरून तयार केलेला होस्ट केलेला SCEP एंडपॉइंट प्रदान करते.

ऑन-प्रीमिसिस CA, NDES सर्व्हर आणि कनेक्टरची आवश्यकता दूर करते. हे एक पेड ॲड-ऑन आहे जे Microsoft Intune Suite मध्ये देखील समाविष्ट आहे, त्यामुळे ऑन-प्रीमिसिस PKI तयार करणे आणि राखणे यासह त्याच्या खर्चाची तुलना करा.

सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) आणि OCSP

CRL ही रद्द केलेल्या प्रमाणपत्रांची CA-प्रकाशित केलेली सूची आहे; OCSP (Online Certificate Status Protocol) हा एक रिस्पॉन्डर आहे जो वैयक्तिक प्रमाणपत्रांसाठी रिव्होकेशन प्रश्नांची उत्तरे देतो.

तुमचा RADIUS सर्व्हर त्यापैकी एकापर्यंत पोहोचला पाहिजे अन्यथा ऑथेंटिकेशन अपयशी ठरते. तुम्ही एखादे डिव्हाइस निवृत्त केल्यानंतर बाहेर पडणारी व्यक्ती किती लवकर ॲक्सेस गमावते हे देखील ते सेट करतात, त्यामुळे एकाच तासात काढणे महत्त्वाचे असल्यास CRL अंतर कमी करा किंवा OCSP वापरा.

PEAP-MSCHAPv2

संरक्षित EAP जे एनक्रिप्टेड टनेलमध्ये MSCHAPv2 पासवर्ड वाहून नेते; पासवर्ड-आधारित 802.1X पद्धत.

मायक्रोसॉफ्ट दस्तऐवजीकरण करते की Windows Defender Credential Guard, जे अलीकडील Windows 11 Enterprise बिल्ड्सवर डीफॉल्टनुसार सुरू असते, ते यासाठी सिंगल साईन-ऑन ब्लॉक करते. मायग्रेशन दरम्यान, RADIUS एकाच वेळी PEAP आणि EAP-TLS स्वीकारू शकते.

मजबूत प्रमाणपत्र मॅपिंग (KB5014754)

Windows डोमेन कंट्रोलर्ससाठी मायक्रोसॉफ्टचे प्रमाणपत्र-आधारित ऑथेंटिकेशन बदल, ज्यामध्ये विषय पर्यायी नाव URI समाविष्ट आहे जे ऑन-प्रीमिसिस सुरक्षा आयडेंटिफायर वाहून नेते.

तुम्ही हायब्रिड आयडेंटिटीसह Microsoft NPS वापरत असल्यास प्रासंगिक. अंमलबजावणी ही मजबूत मॅपिंग नसलेली Intune-जारी केलेली प्रमाणपत्रे नाकारू शकते, जी वैध प्रमाणपत्र असूनही RADIUS नकार म्हणून दिसून येते.

Trusted Platform Module (TPM)

Windows डिव्हाइसेसवरील हार्डवेअर सुरक्षा चिप ज्यामध्ये SCEP प्रोफाइल प्रायव्हेट की जनरेट आणि स्टोअर करू शकते, ज्यामुळे ते हार्डवेअर-बॅक्ड आणि एक्सपोर्ट न करता येण्याजोगे बनते.

Windows SCEP प्रोफाइलमध्ये TPM की स्टोरेज निवडण्याचा अर्थ असा आहे की प्रमाणपत्र बनावट लॉगिन पेजमध्ये टाईप केले जाऊ शकत नाही किंवा लॅपटॉपवरून कॉपी केले जाऊ शकत नाही.

PCI DSS v4.0 आवश्यकता 2.3.2

कार्डधारक डेटा वातावरणाशी कनेक्ट केलेल्या नेटवर्कवरील वायरलेस एनक्रिप्शन की, की चे ज्ञान असलेली कोणतीही व्यक्ती सोडल्यानंतर बदलली जाणे ही PCI DSS ची आवश्यकता आहे.

हॉटेल आणि रिटेलमधील शेअर केलेले प्री-शेअर की स्टाफ SSIDs प्रत्येक बाहेर पडणाऱ्या कर्मचाऱ्यानंतर बदलले पाहिजेत. प्रति-डिव्हाइस EAP-TLS प्रमाणपत्रे शेअर केलेली की पूर्णपणे काढून टाकतात.

सोडवलेली उदाहरणे

12 हॉटेल्सचा एक समूह reception PCs, हाउसकीपिंग iPhones आणि Android हँडहेल्ड्ससह 840 उपकरणांद्वारे शेअर केलेल्या एका प्री-शेअर केलेल्या की वर एक स्टाफ SSID चालवतो. हे नेटवर्क कार्डधारक डेटा वातावरणाशी कनेक्ट केलेले आहे, ज्यामुळे प्रत्येक व्यक्तीने नोकरी सोडल्यानंतर की रोटेट करावी लागते आणि त्यामुळे उपकरणे नेटवर्कपासून दूर होतात.

टीमने NDES द्वारे SCEP डिप्लॉय केले, जे Microsoft Entra ID ॲप्लिकेशन प्रॉक्सीसह प्रकाशित केले गेले. Reception PCs ना डिव्हाइस प्रमाणपत्रे मिळाली जेणेकरून ते Windows साइन-इन स्क्रीनवर कनेक्ट होतात, तर फोनना व्यक्ती-आधारित प्रमाणपत्रे मिळाली. एका हॉटेलमध्ये दोन आठवड्यांसाठी 20-उपकरणांचा पायलट चालवला गेला, आणि नंतर जुना SSID समांतराने चालू ठेवून दरमहा एका हॉटेलचे स्थलांतर केले गेले. 12 आठवड्यांनंतर सर्व 840 उपकरणे EAP-TLS सह ऑथेंटिकेट झाली आणि प्री-शेअर केलेली की असलेला SSID बंद करण्यात आला. PCI DSS v4.0 आवश्यकता 2.3.2 अंतर्गत रोटेट करावयाच्या शेअर केलेल्या की ची संख्या 12 साइट्सवर 1 वरून शून्य झाली. आता नोकरी सोडणाऱ्या व्यक्तीचा ॲक्सेस पुढील की रोटेशनच्या वेळी नाही, तर त्यांचे डिव्हाइस निवृत्त झाल्यावर आणि CRL पुन्हा प्रकाशित झाल्यावर संपतो.

150-स्टोअरची एक रिटेल साखळी प्रति स्टोअर चार शेअर केलेले Android हँडहेल्ड्स आणि दोन Windows बॅक-ऑफिस लॅपटॉप चालवते, एकूण 900 उपकरणे आहेत. हँडहेल्ड्स प्रत्येक शिफ्टमध्ये बदलतात, आणि क्लाउड RADIUS सेवा केवळ अंतर्गत नेटवर्कवर प्रकाशित केलेल्या CRL पर्यंत पोहोचू शकत नाही.

हँडहेल्ड्स कर्मचाऱ्यांमध्ये बदलत असल्यामुळे, व्यक्ती-आधारित प्रमाणपत्रांना काही अर्थ नव्हता. साखळीने त्यांना Android Enterprise समर्पित उपकरणे म्हणून नोंदवले आणि SCEP द्वारे डिव्हाइस प्रमाणपत्रे जारी केली. प्रत्येक स्टोअरमध्ये SSID समान आहे, त्यामुळे प्रति प्लॅटफॉर्म एक WiFi प्रोफाईल संपूर्ण मालमत्तेसाठी कार्य करते. CRL इंटरनेटद्वारे पोहोचण्यायोग्य HTTP वितरण बिंदूवर हलवले गेले, जेणेकरून क्लाउड RADIUS सेवा रिव्होकेशन तपासू शकेल. परिणाम: कोणत्याही शेअर केलेल्या हँडहेल्डमध्ये WiFi पासवर्ड नसतो आणि प्रत्येक बदलानंतर स्टोअर कर्मचारी की मागणे बंद करतात. गहाळ झालेले हँडहेल्ड Intune मध्ये निवृत्त करून ब्लॉक केले जाते, आणि CRL रिफ्रेश झाल्यावर पुढील ऑथेंटिकेशनच्या वेळी त्याचे प्रमाणपत्र अयशस्वी होते.

पायलट उपकरणांवर SCEP प्रमाणपत्र इन्स्टॉल केलेले दिसते, तरीही WiFi प्रोफाईल त्रुटी रिपोर्ट करते किंवा RADIUS सर्व्हर कनेक्शन नाकारतो.

प्रथम टार्गेटिंग तपासा. जर SCEP प्रोफाईल लोकांच्या ग्रुपला असाइन केले असेल तर WiFi प्रोफाईल डिव्हाइस ग्रुपला टार्गेट करत असेल, तर Intune हे अवलंबित्व सोडवू शकत नाही, म्हणून तिन्ही प्रोफाईल एकाच ग्रुप किंवा ग्रुप प्रकाराला असाइन करा. जर प्रोफाईल लागू होत असेल परंतु RADIUS डिव्हाइस नाकारत असेल, तर या चार कारणांवर क्रमाने काम करा: RADIUS प्रमाणपत्राशी जुळत नसलेली प्रमाणपत्र सर्व्हरची नावे, जारी करणाऱ्या CA वर विश्वास न ठेवणारा RADIUS सर्व्हर, RADIUS सर्व्हर डाउनलोड करू शकत नसलेली CRL, आणि KB5014754 अंतर्गत NPS स्ट्रॉंग मॅपिंग एन्फोर्समेंट. NPS वर, इव्हेंट ID 6273 मधील कारण कोड कोणते कारण लागू होते ते ओळखतो.

सराव प्रश्न

Q1. तुम्ही तुमच्या Windows 10 डिव्हाइसवर Root CA, SCEP आणि WiFi प्रोफाईल तैनात केले आहेत. प्रमाणपत्रे यशस्वीरित्या इन्स्टॉल होतात, परंतु Intune कन्सोलमध्ये 'Error' दाखवून WiFi प्रोफाईल लागू होण्यात अपयशी ठरते. याचे सर्वात संभाव्य कारण काय आहे?

टीप: Azure AD ग्रुप्सना प्रोफाइल कसे असाइन केले जातात ते तपासा.

नमुना उत्तर पहा

सर्वात संभाव्य कारण म्हणजे ग्रुप टार्गेटिंगमधील तफावत. जर SCEP प्रोफाईल युझर ग्रुपला असाइन केले असेल, परंतु WiFi प्रोफाईल डिव्हाइस ग्रुपला असाइन केले असेल, तर Intune त्यांच्यातील अवलंबित्व निराकरण करू शकत नाही. तिन्ही प्रोफाईल्स (Root, SCEP, WiFi) अगदी एकाच ग्रुप प्रकाराला टार्गेट केले पाहिजेत.

Q2. तुमची सुरक्षा टीम अशी अट घालते की प्रायव्हेट की कधीही नेटवर्कवरून ट्रान्समिट केली जाऊ नये, अगदी एनक्रिप्ट केलेली असली तरीही. तुम्ही Intune मध्ये कोणती सर्टिफिकेट डिप्लॉयमेंट पद्धत वापरली पाहिजे, आणि कोणत्या अतिरिक्त पायाभूत सुविधा सर्व्हरची आवश्यकता आहे?

टीप: की पेअर कुठे जनरेट होते याचा विचार करा.

नमुना उत्तर पहा

तुम्ही SCEP (Simple Certificate Enrolment Protocol) वापरले पाहिजे. कारण SCEP एंडपॉइंट डिव्हाइसला स्थानिक पातळीवर प्रायव्हेट की जनरेट करण्याचे निर्देश देते, ते कधीही नेटवर्कवरून प्रवास करत नाही. या डिप्लॉयमेंटसाठी सर्टिफिकेट अथॉरिटीचा ब्रिज म्हणून काम करण्यासाठी Network Device Enrolment Service (NDES) सर्व्हरची आवश्यकता असते.

Q3. एक रिमोट कर्मचारी Windows Autopilot द्वारे घरी नवीन लॅपटॉप प्रोव्हिजन करतो. Intune प्रोफाईल्स यशस्वीरित्या तैनात होतात, परंतु डिव्हाइस SCEP प्रमाणपत्र मिळवण्यात अपयशी ठरते. कोणती इन्फ्रास्ट्रक्चर कॉन्फिगरेशन गहाळ असण्याची शक्यता आहे?

टीप: डिव्हाइस इंटरनेटवरून अंतर्गत CA पर्यंत कसे पोहोचते?

नमुना उत्तर पहा

NDES सर्व्हर बहुदा इंटरनेटवर पब्लिश केलेला नसावा. कॉर्पोरेट ऑफिसमध्ये पोहोचण्यापूर्वी रिमोट डिव्हाइसेसनी प्रमाणपत्रांची विनंती करण्यासाठी, NDES URL बाह्यरित्या ॲक्सेस करण्यायोग्य असणे आवश्यक आहे, आदर्शपणे Azure AD Application Proxy द्वारे सुरक्षितपणे पब्लिश केलेले असावे.

वारंवार विचारले जाणारे प्रश्न

What is the difference between SCEP and PKCS for Intune WiFi certificates?

SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.

What on-premises infrastructure is required for SCEP deployment with Intune?

A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.

How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?

Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.

In what order must Intune configuration profiles be assigned to endpoints?

Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.

How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?

Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.

स्रोत

  1. IETF RFC 5216: The EAP-TLS Authentication Protocol
  2. IETF RFC 8894: Simple Certificate Enrolment Protocol
  3. Microsoft Learn: Use certificates for authentication in Microsoft Intune
  4. Microsoft Learn: Configure infrastructure to support SCEP with Intune
  5. Microsoft Learn: Configure and use PKCS certificates with Intune
  6. Microsoft Learn: Windows Defender Credential Guard
  7. Microsoft KB5014754: Certificate-based authentication changes on Windows domain controllers
  8. PCI Security Standards Council document library (PCI DSS v4.0)

या मालिकेमध्ये पुढे वाचा

एंटरप्राइझ डिप्लॉयमेंटसाठी IronWiFi पर्याय

तुमच्या नेटवर्कला कराव्या लागणाऱ्या कामांच्या आधारे तुम्ही IronWiFi पर्यायाची निवड करू शकाल: ऑथेंटिकेशन, ओळख, संमती, हार्डवेअर कव्हरेज आणि तीन वर्षांचा खर्च. Purple, Cloud4Wi, Spotipo किंवा Cloudi-Fi केव्हा अधिक योग्य ठरतात, IronWiFi अजूनही केव्हा फायदेशीर ठरते आणि प्रत्येक व्हेंडरच्या दाव्यांची पडताळणी करणारा एक-वेन्यू पायलट कसा चालवायचा हे तुम्हाला समजेल.

मार्गदर्शिका वाचा →

Sophos Firewall आणि गेस्ट WiFi: Purple सह कॅप्टिव्ह पोर्टल सेटअप

Purple चे क्लाउड गेस्ट WiFi हे मानक बाह्य कॅप्टिव्ह पोर्टल आणि RADIUS द्वारे Sophos Firewall आणि त्याच्या ॲक्सेस पॉइंट्ससह कसे कार्य करते, आणि सपोर्ट कुठे तपासायचा व पायऱ्या कुठे शोधायच्या.

मार्गदर्शिका वाचा →

Aruba Central आणि Purple WiFi: क्लाउड-मॅनेज्ड इंटिग्रेशन

Purple च्या क्लाउड-होस्टेड अतिथी WiFi इंटेलिजन्स प्लॅटफॉर्मसोबत Aruba Central इंटिग्रेट करण्यासाठी एक सर्वसमावेशक तांत्रिक संदर्भ मार्गदर्शक. हे मार्गदर्शक आर्किटेक्चर, बाह्य Captive Portal आणि RADIUS चे टप्प्याटप्प्याने कॉन्फिगरेशन आणि एंटरप्राइझ IT टीम्ससाठी मल्टी-साइट रोलआउट धोरणे कव्हर करते.

मार्गदर्शिका वाचा →

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.