如何使用 Microsoft Intune 向设备推送 WiFi 证书

如何使用 MICROSOFT INTUNE 向设备推送 WIFI 证书 Purple 企业级 WiFi 智能简报 [引入与背景 — 约 1 分钟] 欢迎回来。今天我代表企业级 WiFi 智能平台 Purple 进行发言，本期视频是一期专题简报，重点介绍 Microsoft Intune 工具包中极具实用价值且说实话最容易被低估的功能之一：用于 802.1X WiFi 认证的自动化证书部署。 如果您正在管理酒店物业、零售连锁店、体育场馆或公共部门资产的 WiFi，您一定会对接下来我描述的痛点深有体会。您拥有成百上千台受管设备。您希望它们能够自动、安全地连接到您的企业 WiFi，无需用户输入密码，也无需 IT 人员逐一处理每台设备。并且您希望这种连接具有极强的密码学安全性 - 而不仅仅是一个已经被某人通过电子邮件发送给半个公司的共享密码。 这正是 Intune 证书部署所解决的问题。在接下来的九分钟里，我将带您了解它的工作原理、如何进行部署以及大多数团队在首次尝试时会遇到的陷阱。 [技术深挖 — 约 5 分钟] 让我们从架构开始。这里的基础是 IEEE 802.1X - 这是基于端口的网络访问控制标准，二十多年来一直是企业级 WiFi 安全的基石。当设备连接到您的 WiFi 时，802.1X 要求其在获得任何网络访问权限之前进行身份验证。身份验证对话在三方之间进行：设备（称为申请者）、您的 WiFi 接入点（充当验证者）以及您的 RADIUS 服务器（做出最终决定的身份验证服务器）。 现在，802.1X 支持多种身份验证方法。最安全的是 EAP-TLS - 具有传输层安全性的可扩展身份验证协议。EAP-TLS 使用双向证书身份验证：设备出示证书以证明其身份，RADIUS 服务器出示证书以证明其身份。不涉及密码。没有可以被钓鱼的凭据。这就是我们的目标。 面临的挑战一直是如何在大规模设备上部署这些证书。这就是 Microsoft Intune 的用武之地。 Intune 支持两种证书部署机制：SCEP（简单证书注册协议）和 PKCS（公钥加密标准）。理解这两者的区别至关重要。 使用 SCEP 时，私钥在设备本身上生成。设备创建一个证书签名请求，通过名为 NDES（网络设备注册服务）的中间服务器将其发送到您的证书颁发机构，然后 CA 将证书发回。私钥永远不会离开设备。这是一种更安全的方法，建议用于 BYOD 环境和高安全部署。使用 PKCS 时，证书颁发机构会生成密钥对，然后 Intune 证书连接器将私钥和证书发送到设备。它的设置更简单 - 不需要 NDES 服务器 - 但私钥确实会通过连接器传输，这是您的安全状况需要考虑的一个因素。 对于大多数企业部署，我建议在 BYOD 和混合设备环境中使用 SCEP，而在您拥有同质的 corporate-owned Windows 设备且希望最大限度地降低基础设施复杂性的情况下，使用 PKCS。 现在，让我们谈谈部署顺序 - 因为顺序至关重要，而顺序出错是导致部署失败的最常见原因。 第一步：配置您的证书颁发机构。您需要在 Active Directory 证书服务实例上配置一个证书模板 - 或者如果您是完全云原生的，Microsoft 的 Intune Cloud PKI 现在已经普遍可用，并且完全免除了本地 CA 的要求。该模板需要正确的密钥用法扩展：客户端身份验证是强制性的。将最小密钥大小设置为 2048 位，如果贵组织的安全策略有要求，也可以设置为 4096 位。 第二步：部署受信任的根证书。在任何设备可以验证 RADIUS 服务器的证书之前，它需要信任发行该证书的 CA。您需要在 Intune 中创建一个受信任的证书配置文件，上传根 CA 证书，并将其分配给您的设备组。这必须在任何 WiFi 配置文件或客户端证书配置文件之前送达设备。如果您搞错了顺序，设备将拒绝 RADIUS 服务器，您将不得不用一个下午的时间盯着 Windows 事件日志中的事件 ID 20271 发呆。 第三步：部署客户端证书配置文件。这可以是您的 SCEP 配置文件（指向您的 NDES 服务器 URL），也可以是您的 PKCS 配置文件（指向您的证书颁发机构）。使用者可选名称（Subject Alternative Name）应包含用于用户证书的用户主体名称（User Principal Name），或用于设备证书的 AAD 设备 ID。这种区别非常重要：用户证书验证已登录的用户，而设备证书验证机器本身，这意味着设备可以在用户登录之前连接到 WiFi - 这对于域加入场景和自助终端部署非常有用。 第四步：创建 WiFi 配置配置文件。在 Intune 中，这位于设备、配置文件、模板、Wi-Fi 下。将 WiFi 类型设置为企业级，输入您的 SSID，将 EAP 类型设置为 EAP-TLS，配置服务器信任设置 - 这是您引用 RADIUS 服务器证书名称的地方 - 对于客户端身份验证，引用您在第三步中创建的证书配置文件。 第五步：将所有内容分配给正确的组并进行验证。将您的根证书、客户端证书和 WiFi 配置文件分配给相同的设备或用户组。使用 Intune 的内置报告来监控配置文件部署状态。成功的部署会在设备的配置文件列表中显示所有三个配置文件均为“成功”。 关于 Windows Server 环境中 NPS 配置的一个关键点：自 2024 年初起，Microsoft 收紧了证书映射要求。如果您在与本地 NPS 进行身份验证的 Azure AD 加入设备上使用设备证书，则需要确保 Active Directory 中计算机对象上的 altSecurityIdentities 属性已填充证书的指纹。这不会自动发生 - 您需要一个脚本或工作流来处理它，通常在 CA 颁发新证书时触发。 [实施建议与常见陷阱 — 约 2 分钟] 让我为您介绍在企业部署中最常遇到的三个陷阱。 陷阱一：证书链不完整。设备需要信任从根 CA 直到 RADIUS 服务器证书链中的每一个证书。如果您的 RADIUS 服务器证书是由中间 CA 颁发的，则需要将根证书和中间证书同时部署到设备。我见过有些部署失败了数周，原因就是有人部署了根证书但没有部署中间证书。 陷阱二：配置文件分配时机。Intune 配置文件不会瞬间到达设备。在大型企业中，配置文件在分配后可能需要 15 到 30 分钟才能完成传播。请勿在创建配置文件后立即进行测试。使用 Intune 门户中的“同步”按钮强制执行签入，然后耐心等待。此外，必须在应用 WiFi 配置文件之前部署并确认客户端证书配置文件 - 如果 WiFi 配置文件引用了尚不存在的证书，则该配置文件在某些平台上会静默失败。 陷阱三：BYOD 证书吊销。当设备从 Intune 注销时（例如员工离职或设备丢失），您需要一个流程来吊销证书。如果您将 SCEP 与 ADCS 配合使用，请正确配置证书吊销列表分发点，并确保您的 RADIUS 服务器在每次身份验证时都检查 CRL 或 OCSP。这是 PCI-DSS 等框架下的合规性要求，这些框架强制要求在不再需要时立即撤销访问控制机制。 关于合规性话题：如果您在 PCI-DSS 范围内运营（例如零售支付环境），基于证书的 802.1X 身份验证是您对无线网络访问的最强控制。它满足了关于网络访问控制的 PCI-DSS 要求 1.3 以及关于身份验证因子的要求 8.6。将您的证书生命周期管理流程归档，作为您合规性证据的一部分。 对于受 GDPR 监管的环境，特别是在酒店业和公共部门，企业 802.1X 网络与访客 WiFi 网络之间的隔离至关重要。您的 Intune 托管企业网络应与任何访客网络位于完全独立的 VLAN 和 SSID 上。Purple 的访客 WiFi 平台处理面向访客的一侧 - 门禁门户（captive portal）、同意捕获、分析 - 而您的 Intune 托管企业网络则处理员工和运营设备。这两个网络绝不应共享身份验证基础设施。 [快速问答 - 约 1 分钟] 让我快速解答几个经常出现的问题。 我可以使用 Intune Cloud PKI 代替本地 ADCS 吗？可以。微软于 2024 年发布的 Intune Cloud PKI 在 Azure 中提供了一个完全托管的 CA。它消除了 SCEP 对 NDES 服务器的需求，并显著简化了连接器设置。对于新部署或没有现有 ADCS 基础设施的组织，这是推荐的途径。 这适用于 macOS 和 iOS 设备吗？是的。Intune 支持适用于 Windows、iOS、iPadOS、Android 和 macOS 的证书配置文件。配置文件类型和配置选项因平台而异，但核心架构 - 受信任的根、客户端证书、WiFi 配置文件 - 是一致的。 自带设备（BYOD）计划中的个人设备怎么办？在此场景下 SCEP 是您的得力助手。通过 Intune 的设备合规性策略，您可以要求设备在颁发证书之前满足最低安全标准。如果设备不符合合规性要求（例如未设屏幕锁定、操作系统版本过旧），则可以吊销证书并自动移除网络访问权限。 Purple 可以与此架构集成吗？当然可以。Purple 的平台位于访客网络端，处理门禁门户身份验证、同意管理和分析。企业 802.1X 网络和 Purple 的访客 WiFi 并行运行 - 相同物理基础设施，不同 SSID 和 VLAN - 让您在员工连接与访客互动之间实现完全隔离。 [总结与后续步骤 - 约 1 分钟] 总结一下：通过 Intune 部署 WiFi 证书是一个包含五个步骤的过程 - CA 配置、受信任根部署、客户端证书配置文件、WiFi 配置文件以及组分配。为 BYOD 和高安全环境选择 SCEP；为更简单的企业拥有设备选择 PKCS。理顺先后顺序，处理好 NPS 证书映射需求，并从第一天起就建立证书吊销工作流。 商业理由显而易见：您消除了共享的 WiFi 密码，获得了针对每个设备和每个用户的身份验证日志，满足了 PCI-DSS 和 ISO 27001 无线安全要求，并减少了在大型办公场所管理 WiFi 凭据的 IT 开销。 如果您正在规划部署，并希望了解 Purple 的客用 WiFi 和分析平台如何与您的企业网络架构相得益彰，请访问 purple.ai。我们为酒店、零售和公共部门环境提供了有关 Azure Entra ID（Microsoft Entra ID）集成、802.1X 架构以及客用网络设计的详细指南。 感谢收听。下期再见。