通过 SCEP 和 PKCS 进行 Microsoft Intune WiFi 证书部署

Intune WiFi 证书部署使用三个配置文件：信任的根证书、SCEP 或 PKCS 客户端证书，以及设置为 EAP-TLS 的 802.1X WiFi 配置文件。请按此顺序进行部署，且全部分配给同一个 Microsoft Entra ID 组。SCEP 会在设备上创建私钥，而 PKCS 则进行集中式创建。对于 Windows、iOS 和 Android 上的 WiFi，请选择 SCEP。

Intune WiFi 证书部署究竟有什么作用？

Intune 为每台受管设备提供各自的身份证书以及用于出示该证书的 WiFi 设置。随后，设备无需任何人输入密码即可加入您的员工网络。

其运行机制是 IEEE 802.1X，即基于端口的网络访问控制标准。在 802.1X 机制下，无线接入点会将设备拦截在网络之外，直到认证服务器批准为止。该服务器即 RADIUS 服务器，是您的无线接入点在允许设备接入前所查询的服务。

认证方法是 EAP-TLS（可扩展身份验证协议 - 传输层安全性），在 RFC 5216 中进行了定义。双方均通过证书证明自身身份：

• 设备出示客户端证书。
• RADIUS 服务器出示服务器证书。
• 每一方都会检查对方的证书链是否指向其信任的证书颁发机构 (CA)。

无需输入、存储任何密码，也不会面临网络钓鱼风险。

这一点每年都变得愈发重要。Microsoft 的官方文档指出，Windows Defender Credential Guard 会阻断基于密码的 802.1X 方法（例如 PEAP-MSCHAPv2）的单点登录。PEAP（受保护的 EAP）会在加密隧道内发送密码。Credential Guard 在最近的 Windows 11 Enterprise 版本中默认启用，Microsoft 建议改用基于证书的认证。

Intune 通过三个配置文档实现基于证书的 WiFi：

• 受信任的证书配置文件。 安装您的根 CA 和任何中间 CA。随后，设备即可信任其自身的证书链以及您的 RADIUS 服务器。
• SCEP 或 PKCS 证书配置文件。 为每台设备颁发唯一的客户端证书。
• WiFi 配置文件。 设置 SSID（广播网络名称）、安全类型和 EAP 方法。它还会指定要出示的证书和要信任的服务器。

对于场所运营方而言，这是网络的员工专用端。酒店、零售 和 医疗保健 领域的员工笔记本电脑、手持设备和平板电脑需要访问访客、顾客和患者绝不能触及的系统。您的 Guest WiFi 保留其 Captive Portal（访客看到的登录页面）。员工设备则在独立的 SSID 和 VLAN（逻辑隔离的网络段）上进行静默认证。

SCEP 还是 PKCS：您应该使用哪种证书配置文件？

两种配置文件都会在设备上保留客户端证书。区别在于私钥是在何处创建的。

SCEP（简单证书注册协议，RFC 8894）由设备自身生成其密钥对。设备通过网络设备注册服务 (NDES) 服务器或 Microsoft Cloud PKI 发送证书签名请求。CA 对请求进行签名并返回证书。私钥永远不会离开设备。在 Windows 上，SCEP 配置文件可以将该密钥放置在可信平台模块 (TPM) 这类硬件安全芯片中。

PKCS 配置文件使用 Certificate Connector for Microsoft Intune 向您的 CA 请求证书。密钥对在设备之外创建。然后，Intune 将证书和私钥以加密形式交付给设备。您无需运行 NDES，但私钥曾存在于设备之外的地方。

第三种类型，PKCS 导入的证书，用于交付您已拥有的证书。它通常用于 S/MIME 电子邮件加密（其中密钥由第三方托管）。它并不是用于 WiFi 的正确工具。

	基于 NDES 和 AD CS 的 SCEP	基于 Microsoft Cloud PKI 的 SCEP	基于连接器和 AD CS 的 PKCS
私钥生成位置	设备上	设备上	设备外，然后交付
证书颁发机构	您的 Active Directory 证书服务 (AD CS) 企业 CA	Microsoft 托管的 CA，或您自己的根 CA	您的 AD CS 企业 CA
您运行的本地服务器	CA、NDES 服务器、Certificate Connector	无	CA、Certificate Connector
面向 Internet 的组件	NDES URL，通过 Microsoft Entra 应用程序代理发布	无：Microsoft 托管 SCEP 端点	无：连接器仅进行出站连接
额外许可证	除 Windows Server 外无需额外许可证	Cloud PKI 附加组件或 Microsoft Intune Suite	除 Windows Server 外无需额外许可证
配置工作量	最高：CA、NDES、连接器和代理发布	最低：在 Intune 管理中心创建 CA	中等：CA 和连接器，无 NDES
适用对象	拥有 AD CS 且希望密钥保留在设备上的企业	没有本地 PKI 的云优先企业	拥有 AD CS 但无法发布 NDES 的企业

对于 WiFi，除非您无法满足其基础设施需求，否则请选择 SCEP。永远不离开设备的密钥无法从服务器复制或在传输中被拦截。如果您没有本地 PKI 且不想构建本地 PKI，请选择 Microsoft Cloud PKI。如果您运行 AD CS 但无法将 NDES 端点发布到 Internet，请选择 PKCS。

使用 Intune 部署 WiFi 证书之前需要准备什么？

在创建任何配置文件之前，请确认以下每个项目。大多数失败的部署都可以追溯到此列表中的漏洞。

• 许可证。 每位用户都需要一个 Intune 许可证。Intune 包含在 Microsoft 365 E3、E5 和 Business Premium，以及 Enterprise Mobility + Security E3 和 E5 中。
• 已注册设备。 Windows 设备需加入 Microsoft Entra ID（通常通过 Windows Autopilot）。iOS 和 iPadOS 设备通过 Apple Business Manager 自动设备注册进行注册。Android 设备使用 Android Enterprise。Microsoft 已终止对带有 Google Mobile Services 的设备进行设备管理员管理，因此请计划使用 Android Enterprise。
• 证书颁发机构 (CA)。 这指的是 AD CS 企业 CA、Microsoft Cloud PKI 或 Intune 支持的第三方 CA。
• 证书模板。 在 AD CS 上，发布具有“客户端身份验证”扩展密钥用途的模板。
• 连接器基础结构。 AD CS 上的 SCEP 需要 NDES 服务器和 Certificate Connector for Microsoft Intune。PKCS 仅需要连接器。
• 支持 EAP-TLS 的 RADIUS 服务器。 其服务器证书必须链接到您要部署的根证书。记录该证书上的确切名称，因为 WiFi 配置文件需要它。
• 可访问的吊销状态。 您的 RADIUS 服务器必须能够访问证书吊销列表 (CRL) 或 OCSP（在线证书状态协议）响应程序。如果无法访问，身份验证将失败。
• 企业级 SSID。 您的接入点必须广播指向 RADIUS 服务器的 WPA2企业级或 WPA3企业级 SSID。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 均支持 802.1X。
• Entra ID 组。 创建一个试点组和一个生产组。现在决定它们是包含人员还是设备。
• 引导网络。 设备需要访问互联网以获取其证书，然后才能加入 802.1X SSID。请提供有线接入、移动数据或隔离的入网 SSID。向乘务人员发放平板电脑的 列车 运营商应在平板电脑出运前，在机务段完成配置。

如何在 Intune 中设置 SCEP 或 PKCS WiFi 证书？

Microsoft 的 Intune 文档包含每个平台的逐字段步骤。以下操作顺序和决策是成功的关键。为每个平台创建一套配置文件：Windows、iOS/iPadOS 和 Android Enterprise。

第 1 步：部署受信任的根证书配置文件

将您的根 CA 证书导出为 .cer 文件。创建一个包含它的受信任证书配置文件。每个受信任证书配置文件包含一个证书，因此请分别为根 CA 和每个中间 CA 创建独立的配置文件。

在 Windows 上，将根证书发送到计算机根存储，并将中间证书发送到中间存储。如果不同的 CA 签署了您的 RADIUS 服务器证书，也请部署该根证书。如果没有它，设备将无法验证服务器。

第 2 步：部署 SCEP 或 PKCS 证书配置文件

从证书类型开始，因为它决定了其他一切。

• 设备证书适用于共享手持设备、自助终端以及必须在 Windows 登录屏幕连接的笔记本电脑。使用根据设备标识符构建的主体名称，例如 CN={{AAD_Device_ID}}。
• 基于人员的证书适用于分配给单个员工的手机和笔记本电脑。在主题中使用 CN={{UserPrincipalName}}。添加相同的值作为主题替代名称，因为许多 RADIUS 服务器会从此处读取身份信息。

然后设置其余字段：

• 密钥用法： 数字签名和密钥加密。
• 扩展密钥用法： 客户端身份验证，OID 1.3.6.1.5.5.7.3.2。
• 密钥大小： 最小 2048 位。
• 有效期： 不长于您的 CA 模板允许的时长。
• 续订阈值： Microsoft 的默认值为证书剩余寿命的 20%。
• 根证书： 选择步骤 1 中受信任的证书配置文件。
• Windows 上的密钥存储： 选择 TPM 选项以使用硬件支持的密钥。

对于 SCEP，请输入外部 NDES URL 或您的 Cloud PKI SCEP URI。对于 PKCS，请输入 CA 名称和模板名称。

如果您将 Microsoft NPS（网络策略服务器）与混合身份配合使用，请阅读 Microsoft 关于强证书映射的 KB5014754。Microsoft 针对这种情况专门提供了一个带有本地安全标识符的主题替代名称 URI。

第 3 步：部署 802.1X WiFi 配置文件

使用以下设置创建企业级 WiFi 配置文件：

• 输入与您的接入点广播完全一致的 SSID。
• 将安全类型设置为 WPA2-Enterprise，或者在您的接入点和平台支持的情况下设置为 WPA3-Enterprise。
• 将 EAP 类型设置为 EAP-TLS。
• 输入与您的 RADIUS 服务器证书上的名称匹配的证书服务器名称。这可以防止设备将身份凭据提供给伪造的接入点。
• 选择步骤 1 的配置文件作为用于服务器验证的根证书。
• 选择步骤 2 的配置文件作为客户端身份验证证书。

Windows、iOS 和 Android 有何不同？

• Windows 在任何人登录之前使用设备证书进行连接。基于人员的证书仅在登录后连接，这会中断共享笔记本电脑上的首次登录。
• iOS 和 iPadOS 通过匹配您输入的证书服务器名称来信任 RADIUS 服务器。不匹配会导致信任失败，而不是无声回退。
• Android Enterprise 需要 RADIUS 服务器域名和用于验证的根证书。最近的 Android 版本已删除了跳过服务器验证的选项。

新设备注册时会发生什么？

这是新注册设备上的证书部署流程：

1. 设备注册并进入其分配的 Entra ID 组。
2. Intune 分发受信任的根配置文件和中间配置文件。
3. 设备请求其客户端证书。在 SCEP 模式下，设备生成密钥对并发送带有一次性质询的签名请求。连接器在 CA 颁发任何内容之前与 Intune 验证该质询。在 PKCS 模式下，连接器请求证书，然后由 Intune 进行交付。
4. 设备向 Intune 报告已安装的证书。
5. 依赖于这两个证书配置文件的 WiFi 配置文件生效。
6. 设备向 SSID 出示其证书。RADIUS 验证证书链，检查吊销状态并接受设备。然后可以通过 RADIUS 属性分配 VLAN。
7. 当证书达到续订阈值时，Intune 会对其进行续订。当您注销或擦除设备时，Intune 会吊销该证书，前提是连接器拥有 CA 的吊销权限。

如何检查 Intune WiFi 证书是否正常工作？

在扩大分配范围之前，先在每个平台上对 10 到 20 台设备进行试点测试。检查以下四个地方。

1. Intune 配置档案状态。 三个配置档案中的每一个都应针对每台试点设备报告“成功”。任何一个配置档案显示“挂起”、“错误”或“不适用”都会阻塞 WiFi 配置档案。
2. 设备本身。 在 Windows 上，打开个人证书存储区并确认客户端身份验证用途和您的颁发 CA。在 iOS 和 Android 上，确认证书和 WiFi 配置档案显示在管理配置档案和工作配置档案凭据中。
3. RADIUS 日志。 查找具有预期主题名称的成功 EAP-TLS 身份验证。在 NPS 上，事件 ID 6272 记录已授予的访问权限，6273 记录已被拒绝的访问权限，并带有原因代码。
4. 连接器和 NDES 日志。 Certificate Connector 会写入 Windows 事件日志。NDES 请求显示在 IIS 日志中。

然后专门测试吊销功能。在 Intune 中注销一台试点设备，并确认证书在 CA 上显示为已吊销。发布 CRL，并确认 RADIUS 会拒绝下一次身份验证请求。

Intune WiFi 配置档案会出现什么问题，如何修复？

WiFi 配置档案显示“错误”或“不适用”

证书已送达，但 WiFi 配置档案部署失败。常见原因是混合组目标定位。例如，SCEP 配置档案被分配给一个人群组，而 WiFi 配置档案针对的是一个设备组。Intune 无法解析该依赖关系。修复方法是将所有三个配置档案分配给同一个组，或者至少分配给相同类型的组。

SCEP 证书未送达

NDES IIS 日志显示 HTTP 403 或 500 响应。检查连接器服务账户是否对证书模板拥有“读取”和“注册”权限。检查您的防火墙、反向代理或应用代理未剥离诸如 operation=GetCACaps 等 SCEP 查询字符串。然后确认外部 NDES URL 可以从网络外部正常解析。

设备拥有证书，但 RADIUS 拒绝该证书

按顺序排查以下四个原因：

1. WiFi 配置档案中的证书服务器名称与 RADIUS 服务器证书不匹配。
2. RADIUS 服务器不信任颁发客户端证书的 CA。
3. RADIUS 服务器无法下载最新的 CRL。
4. KB5014754 项下的 NPS 强映射强制执行拒绝没有强映射的证书。

NPS 原因代码会指向正确的出错原因。

吊销检查导致服务中断

如果 CRL 分发点离线或 CRL 过期，严格的 RADIUS 服务器将拒绝所有证书。请将 CRL 发布在 RADIUS 服务器可以访问的高可用 HTTP 位置上，并时刻监控 CRL 的下一次更新时间。

设备继续连接旧网络

设备上仍然存在的旧版预共享密钥或 PEAP 配置文件拥有更高优先级。一旦新配置文件显示配置成功，请通过 Intune 移除旧配置文件，然后停用旧 SSID。

基于 Intune 证书的 WiFi 如何在真实场所中发挥作用？

以下两个场景是基于 Microsoft 官方文档行为构建的实用示例。它们描述的是场所类型，而非具体的部署案例。

拥有 12 家酒店的集团停用共享员工密码

现状。 一个由 12 家酒店组成的集团（每家酒店约 200 间客房）通过预共享密钥运行一个员工 SSID。该密钥由 840 台设备共享：前台 PC、客房部 iPhone 以及餐饮部门的 Android 手持设备。该网络连接到持卡人数据环境。因此，PCI DSS v4.0 的 2.3.2 项要求规定，只要有知情人员离职，就必须更换密钥。由于前台人员流动频繁，每次密钥轮换都会导致设备断网，直到有人重新输入密钥。

应对措施。 团队通过 NDES 部署 SCEP，并通过 Microsoft Entra ID 应用代理进行发布。前台 PC 接收设备证书，以便在登录界面即可完成连接。手机接收基于个人的证书。在一家酒店开展了为期两周的 20 台设备试点。此后，每周迁移一家酒店，同时旧 SSID 保持并行运行。

可衡量的结果。 12 周后，所有 840 台设备均使用 EAP-TLS 进行身份验证，预共享密钥 SSID 被关闭。需要轮换的共享密钥数量从跨 12 个场所的 1 个减少到 0 个。离职人员的访问权限现在会在其设备停用且 CRL 重新发布时立即终止，而无需等待下一次密钥轮换。

拥有 150 家门店且使用共享手持设备的连锁零售企业

现状。 每家门店运行四台共享 Android 手持设备和两台 Windows 后勤笔记本电脑，共计 900 台设备。手持设备在每班工作人员之间轮流使用，因此基于个人的证书毫无意义。该连锁企业的云端 RADIUS 服务无法访问仅发布在内部网络上的 CRL。

应对措施。 该连锁企业将手持设备注册为 Android Enterprise 专用设备，并通过 SCEP 颁发设备证书。由于各地的 SSID 完全相同，每个平台只需一个 WiFi 配置文件即可服务所有门店。CRL 移至可在互联网访问的 HTTP 分发点。

可衡量的结果。 没有共享手持设备包含 WiFi 密码。在每次变更后，门店员工不再询问密钥。丢失的手持设备可以通过在 Intune 中将其停用来切断连接，一旦 CRL 刷新，其证书将在下一次身份验证时失效。

Intune WiFi 证书部署成本如何，能带来什么收益？

成本投入

• 许可证。 大多数企业已经通过 Microsoft 365 或 Enterprise Mobility + Security 拥有了 Intune，因此不会产生新的按用户订阅成本。
• 服务器。 AD CS、NDES 和 NPS 均属于 Windows Server 角色，除了 Windows Server 之外无需单独的许可证。
• Cloud PKI。 Microsoft Cloud PKI 是一项付费附加组件，也包含在 Microsoft Intune Suite 中。请权衡其成本与构建及维护本地 CA 和 NDES 的费用。
• 工作量。 主要工作在于 PKI 设计、NDES 发布和试点测试。配置这三个配置文件只需数小时，而非数周。

您将获得的收益

• 无需共享 WiFi 密钥。 从而消除了 PCI-DSS 要求 2.3.2 对连接到持卡人数据环境的无线网络所强制施加的密钥轮换要求。
• 可撤销离职员工的访问权限。 在 Intune 中注销设备即可撤销其证书，使 WiFi 访问权限严格遵循您的入职、异动和离职（JML）流程。
• 与 Credential Guard 兼容。 在 Windows 阻止基于密码的 802.1X 单点登录的情况下，EAP-TLS 仍可正常工作。
• 无凭据可被钓鱼。 绑定到 TPM 的证书无法被输入到虚假登录页面中。
• 无密码过期困扰。 证书会在过期前自动续订，从而消除了因密码重置导致的 WiFi 故障工单。

从一开始就规划好 GDPR 的合规处理。RADIUS 日志中包含员工登录名称的证书主体属于个人数据。请设置保留期限并限制对这些日志的访问权限。

Purple 在 80,000 多个实时场所中同时运行员工 WiFi 和访客 WiFi（Purple 数据）。该平台独立于硬件，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。Purple 拥有 ISO 27001 认证。我们的 Identity-Based Networks 可与 Microsoft Entra ID、Okta 和 Google Workspace 无缝协作，使员工访问权限与您的 Intune 资产使用相同的身份源。在访客方面，WiFi Analytics 可以将访客连接与员工流量分开进行分析报告。

常见问题解答

通过 Intune 部署 WiFi 证书需要额外的许可证吗？

不需要，对于通过 NDES 的 SCEP 或 PKCS 都不需要。Intune 已包含在 Microsoft 365 E3、E5 和 Business Premium 以及 Enterprise Mobility + Security E3 和 E5 中。Active Directory 证书服务和 NDES 是 Windows Server 角色，因此只需要您现有的 Windows Server 许可证即可。唯一的例外是 Microsoft Cloud PKI，它是一个付费附加组件，也包含在 Microsoft Intune Suite 中。只有在希望避免运行本地 CA 时，才需要为其编制预算。

来自 Intune 的基于证书的 WiFi 能否与您现有的接入点配合使用？

可以，前提是您的接入点能够广播 WPA2-Enterprise 或 WPA3-Enterprise SSID。EAP-TLS 在设备和 RADIUS 服务器之间运行，接入点仅在 IEEE 802.1X 下进行中继。Purple 独立于硬件，可运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您只需保留现有的硬件，并仅更改 SSID 安全设置即可。

您能否在不停机的情况下从 PEAP 或共享密码迁移到 EAP-TLS？

是的。在过渡期间，将新的 802.1X SSID 与旧的 SSID 并行运行，或配置您的 RADIUS 服务器以同时接收 PEAP 和 EAP-TLS。首先将三个 Intune 配置文件部署到试点组。在 RADIUS 日志中确认成功的 EAP-TLS 身份验证，然后分批扩大分配范围。仅在新的配置文件报告成功后，才删除旧的 WiFi 配置文件，然后停用旧的 SSID。

您应该为员工 WiFi 选择 SCEP 还是 PKCS？

选择 SCEP。使用 SCEP 时，设备会生成自己的私钥，该私钥永远不会离开设备，并且 Windows 可以将该密钥存储在 TPM 中。PKCS 则在设备外部创建密钥并进行交付。这虽然去除了 NDES 服务器，但扩大了密钥存在过的范围。仅当您运行 Active Directory Certificate Services 且无法发布 NDES 时，才选择 PKCS，或者在没有 NDES 的情况下为 SCEP 使用 Microsoft Cloud PKI。

您是否仍然需要 NDES 服务器？

仅在使用本地 Active Directory Certificate Services CA 运行 SCEP 时才需要。Microsoft Cloud PKI 提供托管的 SCEP 端点，因此您无需运行 NDES 服务器、连接器或本地 CA。PKCS 配置文件也无需 NDES，因为 Certificate Connector for Microsoft Intune 会通过出站连接向您的 CA 请求证书。Intune 支持的第三方证书颁发机构也可以在没有 NDES 的情况下颁发 SCEP 证书。

当有人离职时，WiFi 访问权限终止的速度有多快？

这取决于您的吊销管道的速度。当您在 Intune 中停用或擦除设备时，Certificate Connector 可以在您的 CA 上吊销其证书。当您的 RADIUS 服务器通过刷新的 CRL 或 OCSP 检查看到该吊销时，访问权限即告终止。如果在一小时内完成注销非常重要，请缩短 CRL 发布间隔，或使用 OCSP。仅禁用帐户可能无法阻止有效证书，除非 RADIUS 同时检查目录。

基于证书的 WiFi 是否有助于满足 PCI-DSS 和 GDPR 的要求？

是的。PCI-DSS v4.0 要求 2.3.2 规定，当知晓无线密钥的人员离职时，连接到持卡人数据环境的网络上的无线密钥必须进行更改。基于单台设备的证书意味着不存在需要轮换的共享密钥。对于 GDPR，请将包含员工登录名的证书主体视为个人数据。请为 RADIUS 日志设置保留期、限制对其的访问并记录处理过程。