如何使用 Microsoft Intune 将 WiFi 证书推送到设备

Microsoft Intune 通过三个配置文件序列将 WiFi 证书推送至设备：受信任的根证书、SCEP 或 PKCS 客户端证书以及 EAP-TLS WiFi 设置。受管理的端点使用 802.1X 直接对您的 RADIUS 服务器进行身份验证。这消除了共享密码，强制执行 PCI DSS 合规性，并将企业流量与在强制门户上运行的未受管理访客网络隔离。

通过 Intune 推送 WiFi 证书实际上起什么作用？

Intune 是 Microsoft 的云端点管理服务。通过它推送 WiFi 证书可以赋予每台受管理的笔记本电脑、手机和平板电脑一个唯一的数字身份。该身份取代了共享的 WiFi 密码。当设备加入您的企业 SSID 时，会出示该身份，网络随之决定是否允许其接入。

802.1X 与 EAP-TLS 如何配合使用

IEEE 802.1X 是基于端口的网络接入控制标准。在 WiFi 上，除非设备证明了自己的身份，否则它会阻止除身份验证帧之外的所有流量。涉及三方参与：

• 申请者（Supplicant）： 请求加入的笔记本电脑、手机或平板电脑。
• 认证者（Authenticator）： 接入点（AP）或无线控制器，在身份验证成功前拦截流量。
• 身份验证服务器： RADIUS（远程身份验证拨号用户服务）服务器。例如 Microsoft 网络策略服务器 (NPS) 和 Cisco ISE。它负责检查凭据并返回接受或拒绝结果。

EAP-TLS（可扩展身份验证协议 - 传输层安全性，在 RFC 5216 中定义）在双边均使用证书。RADIUS 服务器首先出示其证书，因此设备可以拒绝伪造的“邪恶孪生”接入点。随后设备出示其客户端证书，因此服务器可以拒绝未知设备。由于没有密码在空中传输，因此不存在被钓鱼、猜测或重复使用的风险。

为什么要放弃共享密钥和 PEAP

大多数网络环境仍在运行两种较弱的模型之一。第一种是共享预共享密钥 (PSK)，每个上过班的人都知道。PCI DSS v4.0 要求 2.3.2 规定，每当知晓无线密钥的人员离职时，都应更改该密钥。

第二种是 PEAP-MSCHAPv2，即带有用户名和密码的受保护 EAP。Microsoft 的 Credential Guard 文档指出，一旦启用 Credential Guard，保存的 MSCHAPv2 凭据将无法再用于单点登录。Microsoft 在符合条件的 Windows 11 设备上默认启用了 Credential Guard，并建议改用基于证书的方法（如 EAP-TLS）。

Intune 带来了什么

证书生命周期管理曾是团队避免使用 EAP-TLS 的主要原因。Intune 实现了这一过程的自动化。它会在设备注册时颁发证书，并在过期前进行续订。当您停用或擦除设备时，它还会删除证书。证书颁发机构仍然属于您；Intune 成为分发和续订通道。

在部署 Intune WiFi 证书之前需要准备什么？

许可证和已注册设备

您需要 Intune Plan 1。Microsoft 已将其包含在 Microsoft 365 E3、E5 和 Business Premium，以及 Enterprise Mobility + Security E3 和 E5 中。设备必须已在 Intune 中注册。Windows、macOS、iOS 和 iPadOS 以及 Android Enterprise 均支持受信任的证书、SCEP 证书和 WiFi 配置文件。

证书颁发机构 (CA)

您有三种途径：

• Active Directory 证书服务 (ADCS)： 大多数企业已在运行的本地 Microsoft CA。
• Microsoft Cloud PKI： 由 Microsoft 托管的 CA，作为 Intune 附加组件或在 Intune Suite 中销售。
• 第三方 CA： 通过 Intune 的 SCEP 合作伙伴集成进行连接。

支持 EAP-TLS 的 RADIUS 服务器

NPS、Cisco ISE、HPE Aruba ClearPass 和云 RADIUS 服务均支持 EAP-TLS。RADIUS 服务器需要来自您设备信任的 CA 的专属服务器证书。它还必须能够访问您的证书吊销列表 (CRL)，以检查客户端证书是否已被吊销。

支持企业级认证的接入点 (AP)

您的 SSID 必须支持 WPA2-Enterprise 或 WPA3-Enterprise。所有主流企业级平台均支持该功能，包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。接入点仅用于中继 EAP-TLS，因此您只需将 SSID 指向 RADIUS 服务器，其余设置保持不变即可。

SCEP、PKCS 或 Cloud PKI：哪种交付方式适合您？

SCEP（简单证书注册协议，RFC 8894）在设备本地生成私钥。设备通过 Intune 向 NDES（网络设备注册服务）服务器发送证书签名请求，NDES 再将其传递给 ADCS。PKCS（公钥加密标准）在设备之外生成密钥对。Intune Certificate Connector 请求证书，随后 Intune 将加密后的证书交付给设备。

SCEP 是更为稳妥的首选方案，因为私钥绝不会传输。PKCS 虽然省去了 NDES 服务器，但需要将密钥生成移至设备之外进行。

设备证书还是用户证书？

设备证书在任何人登录之前即可对机器进行身份验证。用户证书则通过用户的 User Principal Name (UPN) 将访问权限与具体的人员绑定。

如何一步步配置 Intune WiFi 证书？

顺序至关重要。每个配置文件都依赖于前一个配置文件。请将所有三个配置文件分配给相同的组，并保持在相同的组类型上：设备证书使用设备组，用户证书使用用户组。Intune 管理中心内的菜单可能会有所变动，因此请参考 Microsoft Learn 上的 Microsoft Intune 文档以获取最新的界面说明。

第 1 步：构建证书模板

在您的 CA 上，创建一个用于 WiFi 客户端身份验证的模板：

• 扩展密钥用法： 包含客户端身份验证，OID 1.3.6.1.5.5.7.3.2。
• 密钥长度： 符合 NIST SP 800-131A 标准，最小为 RSA 2048 位。
• 使用者可选名称： 用户证书填写 UPN；设备证书填写 Microsoft Entra 设备 ID 或设备名称。
• 有效期： 有效期应足够长，确保在休假期间离线的设备不会在续订前过期。

第 2 步：部署受信任的根证书

将根 CA 证书以及所有中间 CA 证书导出为 .cer 文件。为每个证书和每个平台创建一个受信任的证书配置文件。分配这些配置文件，并在继续后续操作之前确认它们报告成功。

第 3 步：部署客户端证书配置文件

为每个平台创建一个 SCEP 或 PKCS 证书配置文件。设置证书类型（设备或用户）、主题名称格式和 SAN，使其与模板相匹配。关联第 2 步中受信任的根配置文件。在 Windows 上，将密钥存储在受信任的平台模块 (TPM) 密钥存储提供程序中，以获得硬件级的安全保障。设置续订阈值，以便证书在过期前较长时间即完成刷新。

第 4 步：部署 WiFi 配置文件

为每个平台创建一个 WiFi 配置文件：

• WiFi 类型： 企业级，输入的 SSID 必须与广播的名称完全一致。
• EAP 类型： EAP-TLS。
• 服务器信任： RADIUS 服务器证书名称，需与其主题或 SAN 完全匹配，再加上第 2 步中受信任的根配置文件。
• 客户端身份验证： 第 3 步中的 SCEP 或 PKCS 配置文件。

第 5 步：分环滚动部署

在现有网络旁广播新的 EAP-TLS SSID。首先将配置文件推送至 IT 试点组，然后推广到一个站点，最后按地区逐步推行。在每个阶段密切监视 RADIUS 的允许和拒绝日志。一旦所有受管理设备都通过证书成功连接，即可通过 Intune 移除旧的 WiFi 配置文件并停用旧版 SSID。

如何检查 Intune WiFi 证书是否正常工作？

依次检查三个层级：Intune、设备，然后是 RADIUS 服务器。

1. **Intune：**每个配置文件都会显示单台设备的具体状态，包含“成功”、“错误”、“冲突”或“未决”。在排查 WiFi 配置文件之前，请先清除受信任的根证书和证书配置文件中的错误。
2. **设备：**在 Windows 上，设备证书位于本地计算机“个人”存储库（certlm.msc）中，用户证书位于当前用户“个人”存储库（certmgr.msc）中。在 macOS 上，请查看“钥匙串访问”。在 iOS、iPadOS 和 Android 上，请检查管理配置文件已安装的证书。在 Windows 上运行 netsh wlan show wlanreport 可以生成包含近期连接尝试的报告。
3. **RADIUS 服务器：**在 NPS 上，“安全”日志中的事件 ID 6272 表示已授予访问权限。事件 ID 6273 表示访问被拒绝，并包含原因代码。

然后测试吊销功能。在 Intune 中停用一台试点设备，并等待 CRL 发布。确认 RADIUS 服务器拒绝该设备的下一次连接尝试。

Intune WiFi 证书会出现哪些问题，该如何修复？

几乎所有故障都可以追溯到证书链、配置文件排序或组目标定位问题。

WiFi 配置文件失败或从未出现

WiFi 配置文件依赖于证书配置文件。如果证书尚未送达，WiFi 配置文件就会失败，有时甚至是静默失败。请先确认证书是否存放在正确的存储库中。然后检查所有三个配置文件是否针对相同的组和相同的组类型。将用户组证书配置文件与设备组 WiFi 配置文件配对是导致此问题的常见原因。

设备拒绝 RADIUS 服务器

WiFi 配置文件中的服务器名称必须与 RADIUS 服务器证书上的主体（Subject）或 SAN 完全匹配。确认完整的证书链（根证书和中间证书）已部署到设备。缺少中间证书会导致信任失败，看起来像是配置文件故障。

RADIUS 服务器无法检查吊销状态

如果 RADIUS 服务器无法访问 CRL 分发点，它将拒绝身份验证。请将 CRL 发布到 RADIUS 服务器始终可以访问的位置，并监控其可用性。CRL 停机将同时锁死所有设备。

NPS 拒绝已加入 Microsoft Entra 的设备

NPS 会将证书映射到本地 Active Directory 对象。微软在 KB5014754 中记录的强证书映射变更严密化了该映射的工作方式。仅加入 Entra 的设备没有可用于映射的本地计算机对象。常见的变通方法是创建占位符计算机对象并填充其 altSecurityIdentities 属性（通常使用 X509IssuerSerialNumber）。然后，每当 Intune 发行新证书时，必须通过计划脚本对其进行更新。另一种选择是使用直接根据 Entra ID 和 Intune 验证证书的 RADIUS 服务。

保持离线状态的设备上的证书到期

错过更新窗口的设备将在证书到期时失去 WiFi 连接。请将更新阈值设置得足够早，以覆盖您可能的最长离线时间。请在 Intune 中对证书到期日期进行报告。

访客、承包商和未托管设备应如何归类？

Intune 适用于由您管理的设备。但大多数场所还会接待您永远无需为其注册设备的人员。这包括 酒店 中的住客、零售店 中的顾客、列车 上的乘客，以及 医疗机构 中的患者和探视人员。请将他们置于独立的 SSID 和 VLAN（虚拟局域网，即逻辑隔离的网络段）上，绝不可接入 802.1X 公司网络。

Purple 的 访客 WiFi 通过强制门户（在获取访问权限之前显示的登录页面）运行该访客网络。访客在知情同意的前提下加入，而您则根据 GDPR 收集第一方数据。然后，WiFi 分析 会根据同一网络报告访问量和停留时间。

承包商和使用个人手机的员工则需要不同的接入途径。Purple 的员工 WiFi 采用基于身份的网络。每个人都会获得专属的凭据，即 iPSK（身份预共享密钥，在共享的 SSID 上每个人唯一的密钥）。它与 Microsoft Entra ID、Okta 或 Google Workspace 相关联。当员工离职时，Purple 会自动撤销其访问权限，无需进行 MDM 注册。

Purple 独立于硬件品牌，作为云端覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。它已在 90 多个国家的 80,000 多个真实场所运行，每年处理 5 亿用户及登录。 Purple 拥有 ISO 27001 和 Cyber Essentials 认证，并且是经过认证的 B Corp。

这在酒店和零售企业中如何应用？

这些实际案例展示了该设计的具体应用。这些成果直接源于架构本身，而非供应商调查。

实际案例：一家酒店

现状。 酒店运行员工设备：前台的 Windows PC、供客房服务使用的 Android Enterprise 手机以及供值班经理使用的公司 iPhone。所有设备共享写在前台的一个员工 WiFi 密钥。每位离职员工、外包员工和承包商都见过这个密钥。该酒店没有本地服务器。

应对措施。 IT 部门选择了 Microsoft Cloud PKI，以避免构建 ADCS 和 NDES，并选择了云端 RADIUS 服务，以避免使用 NPS。前台 PC 和客房服务手机获得了设备证书；值班经理获得了用户证书。访客则保留在带有专属强制门户的独立访客 WiFi SSID 和 VLAN 上。

结果。 知道员工 WiFi 密钥的人数从所有值过班的人员降至零。删除离职员工的操作变成了针对单个设备或人员的单次 Intune 操作。而在过去，这意味着必须重新设置每台设备的密钥。访客绝不会看到员工 SSID。

实际案例：一家连锁零售企业

现状。 该连锁企业在 PCI DSS 范围内运行手持扫描仪和 POS 机平板电脑。每家门店都使用共享的无线密钥。根据 PCI DSS v4.0 的要求 2.3.2，每当知道该密钥的员工离职，都会触发对该门店所有设备重新设置密钥的操作。

操作内容。 该连锁企业此前已运行 ADCS，因此 IT 部门通过 NDES 部署了 SCEP，为每台手持设备和平板电脑分发了设备证书。推广过程始于试点门店组，随后按地区分步推进。旧版 SSID 一直保持在线状态，直到 RADIUS 拒绝日志显示完全无异常为止。顾客 WiFi 则迁移到了独立的网络中。

结果。 由于没有个人掌握密钥，由离职人员引起的无线网络重新配钥工作降至零。手持设备一旦丢失，只需在 Intune 中注销并撤销其证书，且仅影响该特定设备。QSA（合格安全性评估人员）现在接收证书颁发和撤销日志作为合规凭证。不再需要手动记录密钥变更的电子表格。

Intune 证书部署的成本是多少？能获得什么回报？

您的付费项目

• Intune： 通常已包含在 Microsoft 365 E3、E5 或 Business Premium 许可证中。
• 证书颁发机构： ADCS 运行在您可能已获得许可证的 Windows Server 上。Microsoft Cloud PKI 属于付费附加组件。
• RADIUS： NPS 是 Windows Server 中的一个角色。Cisco ISE、HPE Aruba ClearPass 以及云端 RADIUS 服务则需要单独的许可证。
• 工程时间： 一个证书模板，加上每个平台三个 Intune 配置档案，外加分阶段试点。由于 Intune 配置档案是特定于平台的，因此每增加一个平台，都需要添加其专属的一套配置档案。

您的回报

• 无需轮换共享密钥。 离职人员管理通过撤销证书即可处理，在设计上天然符合 PCI-DSS v4.0 的 2.3.2 要求。
• 防范流氓热点（evil-twin）攻击。 EAP-TLS 服务器验证可阻止设备将凭据发送给未经授权的恶意无线接入点。
• 与 Credential Guard 的兼容性。 证书能够规避 Microsoft 针对 Windows 11 记录的 MSCHAPv2 单点登录限制。
• 不再因密码问题导致 WiFi 中断。 证书会在您设定的阈值自动续期，无需人工输入。更改密码不再会导致设备断开连接。
• 单设备按需撤销。 设备丢失后，仅取消该设备的访问权限，绝不影响其他任何人。

常见问题解答

我需要额外的 Microsoft 许可证才能通过 Intune 推送 WiFi 证书吗？

不需要，只要您已经拥有 Intune Plan 1（Microsoft 已将其包含在 Microsoft 365 E3、E5 和 Business Premium 中）。SCEP 和 PKCS 证书配置档案属于 Intune 核心功能的一部分。只有当您选择 Microsoft Cloud PKI 代替 Active Directory Certificate Services 时，才需要额外付费（作为附加组件或包含在 Intune Suite 中出售）。除非您使用已获得许可证的 Windows Server 上的 NPS，否则 RADIUS 服务器属于单独的成本支出。

Intune WiFi 证书能否与我现有的无线接入点配合使用？

可以。EAP-TLS 在设备和 RADIUS 服务器之间运行，无线接入点仅通过 802.1X 进行中继。任何支持 WPA2-Enterprise 或 WPA3-Enterprise 的平台都可以正常工作。这包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您只需将企业 SSID 指向您的 RADIUS 服务器，并保持其余无线配置不变即可。

我们如何在不停机的情况下从共享 WiFi 密码或 PEAP 进行迁移？

并行运行两个网络。在现有网络旁广播新的 EAP-TLS SSID，然后将三个 Intune 配置文件推送给试点小组。按站点或区域分阶段扩大覆盖范围，在每个阶段监控 RADIUS 接受和拒绝日志。一旦所有受管设备均通过证书连接，即可通过 Intune 移除旧的 WiFi 配置文件并停用旧版 SSID。设备会自动切换，无需任何人输入密码。

我们能否将 Intune WiFi 证书推送给个人 BYOD 设备？

可以，适用于已注册 Intune 的个人设备，例如 Android Enterprise 工作档案和 iOS 用户注册。使用 SCEP，以便在设备上生成私钥，并颁发绑定到用户主体名称（User Principal Name）的个人证书。不会注册个人手机的员工需要另一种途径。Purple 的 Staff WiFi 为每位员工提供绑定到 Microsoft Entra ID、Okta 或 Google Workspace 的专属 iPSK 凭据，无需进行 MDM 注册。

基于证书的 WiFi 是否有助于满足 PCI DSS 和 GDPR 合规要求？

对 PCI DSS 确实有效。PCI DSS v4.0 的要求 2.3.2 规定，当任何知晓无线密钥的人员离职时，必须更换无线密钥。使用 EAP-TLS 后，没有任何人持有密钥，因此您只需吊销证书即可。对于 GDPR，请将公司设备和访客数据保持在独立的网络上。Purple 的 Guest WiFi 通过主动选择的同意机制收集访客数据，与您的 802.1X 网络完全隔离。

我们应该使用 Microsoft NPS 还是云 RADIUS 服务？

如果您的设备已混合加入本地 Active Directory 且您已在运行 Windows Server，请使用 NPS。如果您的设备仅加入 Microsoft Entra，请选择云 RADIUS 服务。NPS 会将证书映射到本地计算机对象，而 Microsoft 在 KB5014754 中强化的证书映射更改迫使仅加入 Entra 的设备必须采用脚本化变通方案。通过针对 Entra ID 和 Intune 验证证书的 RADIUS 服务，可消除此类日常维护工作。

部署 Intune WiFi 证书需要投入多少精力？

构建工作量很小：每个平台仅需一个证书模板和三个 Intune 配置文件。大部分精力消耗在架构设计决策和分阶段试点上，而非配置本身。选择 Microsoft Cloud PKI 可以完全省去 NDES 服务器和连接器的构建。每个新增平台都需要其专属的受信任根证书、证书以及 WiFi 配置文件，因为 Intune 配置文件是针对特定平台设计的。决定所需时间的因素是您的试点和分阶段推广计划，而非具体的配置步骤。