如何使用 Microsoft Intune 向设备推送 WiFi 证书

如何使用 MICROSOFT INTUNE 向设备推送 WIFI 证书 Purple 企业 WiFi 智能简报 [引言与背景 — 约 1 分钟] 欢迎回来。今天我代表 Purple，企业 WiFi 智能平台发言，本期节目将聚焦于 Microsoft Intune 工具包中最实用——老实说也是最被低估的——功能之一：面向 802.1X WiFi 身份验证的自动化证书部署。 如果您正在管理酒店、零售连锁店、体育场或公共部门场所的 WiFi，您就会知道我将要描述的痛点。您拥有数百或数千台受管设备。您希望它们自动、安全地连接到您的企业 WiFi，无需用户输入密码，也无需 IT 人员接触每一台设备。并且您希望这种连接在加密层面是强大的——而不仅仅是一个已经有人通过电子邮件发送给半个组织的共享密码。 这正是 Intune 证书部署所解决的问题。在接下来的九分钟里，我将向您介绍它的工作原理、如何部署它，以及大多数团队在首次尝试时遇到的陷阱。 [技术深度探讨 — 约 5 分钟] 让我们从架构开始。基础是 IEEE 802.1X——基于端口的网络访问控制标准，它已经成为企业 WiFi 安全的支柱超过二十年。当设备连接到您的 WiFi 时，802.1X 要求其在获得任何网络访问权限之前进行身份验证。身份验证对话发生在三方之间：设备——称为请求者——您的 WiFi 接入点（充当认证者），以及您的 RADIUS 服务器（即做出最终决定的身份验证服务器）。 现在，802.1X 支持多种身份验证方法。最安全的是 EAP-TLS——可扩展身份验证协议 - 传输层安全。EAP-TLS 使用相互证书身份验证：设备出示证书以证明其身份，RADIUS 服务器出示证书以证明其身份。不涉及密码。没有可以被网络钓鱼的凭据。这就是我们的目标。 挑战始终在于如何大规模地将这些证书部署到设备上。这就是 Microsoft Intune 发挥作用的地方。 Intune 支持两种证书部署机制：SCEP——简单证书注册协议——和 PKCS，它代表公钥加密标准。理解区别很重要。 使用 SCEP，私钥在设备本身上生成。设备创建证书签名请求，通过称为 NDES——网络设备注册服务——的中介服务器将其发送到您的证书颁发机构，然后 CA 将证书颁发回去。私钥永远不会离开设备。这是更安全的方法，建议用于 BYOD 环境和高安全部署。 使用 PKCS，证书颁发机构生成密钥对，Intune 证书连接器将私钥和证书传递给设备。设置更简单——不需要 NDES 服务器——但私钥确实会通过连接器传输，这是您安全态势的一个考虑因素。 对于大多数企业部署，我建议对 BYOD 和混合设备环境使用 SCEP，对拥有同质化公司自有 Windows 设备群且希望最小化基础设施复杂性的情况使用 PKCS。 现在，让我们谈谈部署顺序——因为顺序很重要，而搞错顺序是部署失败最常见的原因。 第一步：配置您的证书颁发机构。您需要在您的 Active Directory 证书服务实例上准备一个证书模板——或者如果您是完全云原生的，Microsoft 的 Intune Cloud PKI 现已普遍可用，完全消除了对本地 CA 的要求。模板需要正确的密钥使用扩展：客户端身份验证是必需的。将最小密钥大小设置为 2048 位，如果您的组织安全策略要求，可设置为 4096 位。 第二步：部署受信任的根证书。在任何设备能够验证 RADIUS 服务器的证书之前，它需要信任颁发该证书的 CA。您在 Intune 中创建一个受信任的证书配置文件，上传根 CA 证书，并将其分配给您的设备组。这必须在任何 WiFi 配置文件或客户端证书配置文件之前到达设备。如果您搞错了顺序，设备将拒绝 RADIUS 服务器，您将花一个下午盯着 Windows 事件日志中的事件 ID 20271。 第三步：部署客户端证书配置文件。这可以是您的 SCEP 配置文件——指向您的 NDES 服务器 URL——或您的 PKCS 配置文件，指向您的证书颁发机构。使用者备用名称应包括用户证书的用户主体名称，或设备证书的 AAD 设备 ID。这种区别很重要：用户证书验证登录用户的身份，设备证书验证机器本身，这意味着设备可以在用户登录之前连接到 WiFi——这对于域加入场景和信息亭部署非常有用。 第四步：创建 WiFi 配置文件。在 Intune 中，它位于设备、配置文件、模板、Wi-Fi 下。将 WiFi 类型设置为企业，输入您的 SSID，将 EAP 类型设置为 EAP-TLS，配置服务器信任设置——这里您需要引用 RADIUS 服务器证书名称——对于客户端身份验证，引用您在第三步创建的证书配置文件。 第五步：将一切分配给正确的组并进行验证。将您的根证书、客户端证书和 WiFi 配置文件分配给相同的设备或用户组。使用 Intune 的内置报告来监控配置文件部署状态。成功的部署会在设备的配置文件列表中显示所有三个配置文件都成功。 关于 Windows Server 环境中 NPS 配置的一个关键点：从 2024 年初开始，Microsoft 收紧了证书映射要求。如果您使用已加入 Azure AD 的设备证书对本地 NPS 进行身份验证，则需要确保 Active Directory 中计算机对象的 altSecurityIdentities 属性已填充证书的指纹。这不是自动发生的——您需要一个脚本或工作流程来处理，通常在 CA 颁发新证书时触发。 [实施建议与陷阱 — 约 2 分钟] 让我给您列举我在企业部署中最常看到的三个陷阱。 陷阱一：证书链缺口。设备需要信任从根 CA 到 RADIUS 服务器证书的链中的每个证书。如果您的 RADIUS 服务器证书是由中间 CA 颁发的，您需要将根证书和中间证书都部署到设备。我曾见过部署失败数周，因为有人部署了根证书但没有中间证书。 陷阱二：配置文件分配时机。Intune 配置文件不会立即到达设备。在大环境中，分配后配置文件可能需要 15 到 30 分钟才能传播。创建配置文件后不要立即测试。使用 Intune 门户中的同步按钮强制签入，然后等待。此外，必须在应用 WiFi 配置文件之前部署并确认客户端证书配置文件——如果 WiFi 配置文件引用了一个尚不存在的证书，配置文件将在某些平台上静默失败。 陷阱三：BYOD 证书吊销。当设备从 Intune 取消注册时——因为员工离职或设备丢失——您需要一个流程来吊销证书。如果您使用带有 ADCS 的 SCEP，请正确配置证书吊销列表分发点，并确保您的 RADIUS 服务器在每次身份验证时检查 CRL 或 OCSP。这是 PCI DSS 等框架的合规性要求，该框架规定当不再需要时，必须及时吊销访问控制机制。 关于合规性：如果您处于 PCI DSS 范围内——例如零售支付环境——基于证书的 802.1X 身份验证是您无线网络访问的最强控制。它满足了 PCI DSS 要求 1.3（围绕网络访问控制）和要求 8.6（围绕身份验证因素）。将您的证书生命周期管理流程记录为合规证据的一部分。 对于受 GDPR 监管的环境，特别是在酒店业和公共部门，您的企业 802.1X 网络与访客 WiFi 网络之间的隔离至关重要。您的由 Intune 管理的企业网络应与任何访客或访客网络位于完全独立的 VLAN 和 SSID 上。Purple 的访客 WiFi 平台处理面向访客的部分——强制门户、同意捕获、分析——而您的由 Intune 管理的企业网络处理员工和操作设备。这两个网络绝不应共享身份验证基础设施。 [快速问答 — 约 1 分钟] 让我快速回答几个经常出现的问题。 我可以使用 Intune Cloud PKI 代替本地 ADCS 吗？可以。Microsoft 于 2024 年发布的 Intune Cloud PKI 在 Azure 中提供了一个完全托管的 CA。它消除了 SCEP 对 NDES 服务器的需求，并显著简化了连接器设置。对于全新部署或没有现有 ADCS 基础设施的组织，这是推荐的路径。 这对 macOS 和 iOS 设备有效吗？有效。Intune 支持 Windows、iOS、iPadOS、Android 和 macOS 的证书配置文件。不同平台的配置文件类型和配置选项略有不同，但核心架构——受信任的根证书、客户端证书、WiFi 配置文件——是一致的。 BYOD 计划中的个人设备呢？SCEP 是您的朋友。利用 Intune 的设备符合性策略，您可以要求在颁发证书之前设备满足最低安全标准。如果设备变得不符合——没有屏幕锁定、操作系统过时——证书可以被吊销，并自动移除网络访问。 Purple 可以与这种架构集成吗？当然可以。Purple 的平台位于访客网络侧，处理强制门户身份验证、同意管理和分析。企业 802.1X 网络和 Purple 的访客 WiFi 并行运行——相同的物理基础设施，不同的 SSID 和 VLAN——为您提供员工连接与访客互动之间的完全隔离。 [总结与后续步骤 — 约 1 分钟] 总结一下：通过 Intune 部署 WiFi 证书是一个五步流程——CA 配置、受信任的根证书部署、客户端证书配置文件、WiFi 配置文件以及组分配。为 BYOD 和高安全环境选择 SCEP；为简单的公司自有设备群选择 PKCS。处理好顺序，解决 NPS 证书映射要求，并从第一天开始建立证书吊销工作流程。 业务理由很直接：您消除了共享的 WiFi 密码，获得了每设备和每用户的身份验证日志，满足了 PCI DSS 和 ISO 27001 的无线安全要求，并减少了在大环境中管理 WiFi 凭据的 IT 开销。 如果您正在计划部署并想了解 Purple 的访客 WiFi 和分析平台如何与您的企业网络架构配合使用，请访问 purple.ai。我们提供了关于 Azure Entra ID 集成、802.1X 架构以及面向酒店、零售和公共部门环境的访客网络设计的详细指南。 感谢收听。下次再见。