適用於 WiFi 的 Microsoft Cloud PKI：搭配 Intune 與 Microsoft Entra ID 部署 EAP-TLS 憑證

是的。Microsoft Cloud PKI 作為 Intune Suite 中的託管憑證授權單位，可將 EAP-TLS WiFi 憑證簽發給由 Intune 管理的裝置。SCEP 憑證設定檔會直接要求這些憑證，因此您不需要 NDES 伺服器、憑證連接器或地端 CA。您的 RADIUS 伺服器會信任匯入的 Cloud PKI 根憑證，並根據該服務發佈的 CRL 檢查每個憑證。

Microsoft Cloud PKI 對於 WiFi 驗證有何作用？

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security) 是一種 802.1X 方法，雙方均透過憑證證明其身分。IEEE 802.1X 是 WPA2-Enterprise 與 WPA3-Enterprise 背後的基於埠口之存取控制標準。無線存取點 (AP) 會將每次連線嘗試傳遞至 RADIUS 伺服器，即接受或拒絕裝置的驗證伺服器。使用 EAP-TLS 時，沒有可供釣魚的密碼，也沒有可供外洩的共用金鑰。每個裝置都持有自己的私密金鑰與憑證。

最困難的部分一直是其背後的 PKI (公開金鑰基礎建設)。傳統上，要在 Intune 管理的裝置上取得憑證需要四個要素：

• Active Directory Certificate Services (AD CS) 簽發 CA
• NDES (網絡裝置註冊服務) 伺服器
• Intune 憑證連接器
• 用於將 NDES 發佈至網際網路的反向代理或 Microsoft Entra 應用程式代理

每一個要素都需要補丁修復、備份與監控。

Microsoft Cloud PKI 以託管在您 Intune 租戶中的憑證授權單位取代了該技術堆疊。裝置透過 SCEP (Simple Certificate Enrollment Protocol) 請求憑證，而 Cloud PKI 會自行回應這些請求。它會針對 Intune 驗證每個請求、簽署憑證並將其傳回。裝置會在在地生成其私密金鑰，且該金鑰永遠不會離開裝置。

對於加入 Entra ID 的裝置群，這消除了憑證鏈中最後一個地端相依性。從未連接過網域控制器 (DC) 的裝置仍然可以取得 WiFi 憑證。

Cloud PKI CA 階層的運作方式

Cloud PKI 使用兩層式階層架構。根 CA 簽署一個或多個簽發 CA，而簽發 CA 則簽署裝置憑證。Microsoft 將 CA 簽署金鑰儲存在硬體安全模組 (HSM) 中，因此您無需管理金鑰資料。

您可以選擇以下兩種錨點之一：

• Cloud PKI 根憑證。 Microsoft 會在您的租戶中託管根 CA 與簽發 CA。這是全新的 Entra ID 環境中最簡單的選擇。
• 自建 CA (BYOCA)。 您可以建立 Cloud PKI 簽發 CA、下載其憑證簽署請求，並使用現有的私有根憑證 (如 AD CS 根憑證) 進行簽署。任何已經信任該根憑證的物件都會信任這個新簽發 CA 的憑證鏈。

您會在建立每個 CA 時設定延伸金鑰用法（EKU）。WiFi 用戶端憑證需要「用戶端驗證」EKU，因此請在兩個層級皆包含此項目。請仔細規劃，因為 EKU 會在建立 CA 時固定。

設計上有一個重要的邊界。Cloud PKI 會透過 SCEP 發行憑證給 Intune 管理的裝置。它並非設計用來發行您 RADIUS 伺服器自身的憑證，因此該憑證通常來自公開 CA 或您現有的 PKI。

Cloud PKI 與使用 NDES 及 PKCS 的 SCEP 比較

	Cloud PKI (SCEP)	使用 NDES 的 SCEP	PKCS
CA 託管	由 Microsoft 託管於您的 Intune 租戶中	您的 AD CS 或第三方 CA	您的 AD CS 或第三方 CA
地端伺服器	無	發行 CA、NDES 伺服器、連接器主機	發行 CA、連接器主機
發布至網際網路的元件	無	NDES，透過反向代理或應用程式代理	無
私密金鑰產生位置	裝置上	裝置上	CA 端，並以 PFX 形式傳送到裝置
適合僅限 Entra ID 的裝置群	原生支援	可運作，但會保留地端相依性	可運作，但會保留地端相依性
撤銷	在 Intune 管理中心撤銷，由 CRL 發布	透過連接器與您 CA 的 CRL	透過連接器與您 CA 的 CRL
授權模型	Intune Suite 或 Cloud PKI 附加元件，按席位計費	Windows Server 授權加上 Intune	Windows Server 授權加上 Intune
適用對象	退役地端 PKI 的雲端優先企業	擁有成熟 AD CS 團隊與長期 CA 規劃的企業	需要在多個平台上使用相同金鑰的情況，例如 S/MIME

我們關於透過 SCEP 與 PKCS 進行 Intune 憑證部署的獨立指南，深入探討了這兩種地端途徑。

在部署 EAP-TLS 的 Cloud PKI 之前，您需要準備什麼？

在建立任何項目之前，請先檢查以下六個項目。每一個項目都對應到下方疑難排解章節中的失敗情況。

• 授權。 Intune 方案 1 訂閱，加上 Microsoft Intune Suite 或獨立的 Cloud PKI 附加元件。
• 權限。 Intune 管理員角色，或具備 Cloud PKI 權限的自訂角色。
• 已註冊的裝置。 已註冊至 Intune 的 Windows、macOS、iOS/iPadOS 或 Android 裝置，並已分組於 Microsoft Entra ID 安全性群組中。
• 支援 EAP-TLS 的 RADIUS 伺服器。 必須允許您匯入 CA 憑證、透過 HTTP 連線至 Cloud PKI CRL，並將憑證身分對映至 Entra ID 物件。Microsoft NPS (Network Policy Server) 會在地端 Active Directory 中尋找帳戶，因此純雲端裝置在此會驗證失敗。
• RADIUS 伺服器憑證。 您還需要發行該憑證的根 CA 與任何中繼 CA 憑證，因為裝置必須驗證伺服器。
• 支援 802.1X 的無線基地台。 這些基地台必須廣播指向您 RADIUS 伺服器的 WPA2-Enterprise 或 WPA3-Enterprise SSID。

在無線基地台（Access Point）方面，所有主要平台皆支援 802.1X。這包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。如需特定廠商的詳細設定流程，請參閱 使用雲端 RADIUS 在 Juniper Mist 上設定 802.1X。

如何為 WiFi 設定 Cloud PKI 憑證？

以下流程摘要說明建置步驟。由於管理中心版面配置會在不同版本之間更動，請參閱 Microsoft Learn 上的 Microsoft Cloud PKI 文件，以取得最新的畫面與逐欄步驟。

步驟 1：建立根 CA，或使用您現有的 CA

在 Intune 管理中心內，於租戶管理下建立根 CA。選擇金鑰大小、有效期限以及 EKU（包含用戶端驗證）。

若採用自建 CA (BYOCA)，請跳過根 CA 步驟。將發行 CA 建立為 BYOCA 類型並匯出其憑證簽署要求 (CSR)。使用包含用戶端驗證的範本，在您的私有 CA 上對要求進行簽署，然後上傳已簽署的憑證及其鏈結。

步驟 2：建立發行 CA

建立錨定至步驟 1 根 CA 的發行 CA。其 EKU 必須包含用戶端驗證。建立完成後，其屬性頁面會顯示後續所需的升級資訊：

• SCEP URI
• CA 憑證下載
• CRL 發行點

步驟 3：部署信任的憑證設定檔

下載根 CA 與發行 CA 憑證。針對每個平台各建立一個信任的憑證設定檔。將它們指派給將接收 SCEP 和 WiFi 設定檔的相同群組。

裝置需要先取得此鏈結，SCEP 設定檔才能成功執行。如果裝置尚未信任發行 RADIUS 伺服器憑證的 CA，請為該 CA 建立另一個信任的憑證設定檔。

步驟 4：建立 SCEP 憑證設定檔

針對每個平台建立 SCEP 憑證設定檔，並指向 Cloud PKI。以下是關鍵決策：

• SCEP 伺服器 URL。 完整貼上發行 CA 的 SCEP URI。請勿編輯其預留位置文字，因為 Intune 會在核發時進行解析。
• 根憑證。 選擇 Cloud PKI 根 CA 的信任憑證設定檔，而非發行 CA。
• 憑證類型。 針對櫃檯平板電腦或門市手持設備等共用裝置，請選擇裝置憑證。若員工攜帶自己的筆記型電腦，且您希望原則與個人連結，請選擇個人憑證。
• 主體與主體別名 (SAN)。 包含 RADIUS 伺服器可以對應至 Entra ID 的識別碼。範例包括 Entra 裝置 ID 變數 {{AAD_Device_ID}} 或 UPN 變數 {{UserPrincipalName}}。
• 金鑰用法與 EKU。 設定數位簽章與金鑰加密，並包含用戶端驗證。
• Windows 上的金鑰儲存。 註冊至 TPM (Trusted Platform Module) 金鑰儲存提供者，使私密金鑰受到硬體綁定且無法匯出。
• 續訂閾值。 設定 Intune 進行續訂的剩餘生命週期百分比，確保憑證永遠不會在未察覺的情況下過期。

第 5 步：讓 RADIUS 伺服器信任 Cloud PKI

將 Cloud PKI 根憑證與發行 CA 憑證匯入至 RADIUS 伺服器的受信任 CA 存放區中。僅匯入根憑證是導致「未知的 CA」拒絕的最常見原因。

啟用 CRL 檢查，並允許 RADIUS 伺服器對每個憑證中列出的 CRL 分發點進行外連 HTTP 存取。使用 BYOCA 時，RADIUS 伺服器可能已經信任您的根憑證，因此您只需新增新的發行 CA 憑證即可。

如果 Purple 的雲端 RADIUS 為您的員工 WiFi 進行驗證，Purple 客戶團隊將會確認如何為您的租戶載入 Cloud PKI 鏈。

第 6 步：建立 WiFi 設定檔

建立一個具備企業安全性且將 EAP-TLS 指定為 EAP 類型的 Intune WiFi 設定檔。設定以下三個欄位：

• 用戶端驗證憑證。 選擇第 4 步中的 SCEP 設定檔。
• 用於伺服器驗證的根憑證。 為 RADIUS 伺服器的發行根憑證選擇受信任的憑證設定檔。
• 憑證伺服器名稱。 輸入與 RADIUS 伺服器憑證完全符合的名稱。

將此設定檔指派給與 SCEP 及受信任憑證設定檔相同的群組。

撤銷功能在 Cloud PKI 中如何運作？

您可以在 Intune 系統管理中心從發行 CA 撤銷 Cloud PKI 憑證。開啟已發行憑證清單，選擇該裝置的憑證並進行撤銷。Cloud PKI 接著會將變更發佈至其 CRL（憑證撤銷清單），該清單部位於其所發行的每個憑證中內嵌的 HTTP 分發點。

執行撤銷動作的是您的 RADIUS 伺服器，而非 Intune。它會下載 CRL 並拒絕序列號出現在清單上的任何憑證。

大多數 RADIUS 伺服器會快取 CRL 直到其下一次更新時間。因此，已撤銷的裝置在 RADIUS 伺服器擷取最新清單之前，仍可能繼續連線。您可以透過以下三種方式縮短此時間差：

1. 明確撤銷。 不要僅依賴移除設定檔指派或刪除裝置記錄。請將撤銷憑證本身作為入職、調職、離職（JML）流程的一部分。
2. 將撤銷與身分檢查搭配使用。 如果您的 RADIUS 服務在每次驗證時都會檢查 Microsoft Entra ID 帳戶或裝置狀態，則停用該帳戶可在 CRL 更新前阻止存取。
3. 監控 CRL 擷取狀態。 對失敗的 CRL 下載發出警報。持有過期 CRL 的 RADIUS 伺服器可能會繼續允許已撤銷的裝置連線，或者拒絕所有裝置，具體取決於其失敗策略。

如何確認 Cloud PKI WiFi 驗證正常運作？

針對您支援的每個平台，使用 5 到 10 台裝置的測試群組進行先導測試。確認以下五件事：

1. 設定檔狀態。 受信任的憑證、SCEP 和 WiFi 設定檔在 Intune 裝置設定報告中皆顯示成功。
2. 裝置上的憑證。 在 Windows 上，憑證會出現在個人存放區中，並包含預期的主體、SAN 和用戶端驗證 EKU。其鏈結應能建立至 Cloud PKI 根目錄。
3. 簽發記錄。 憑證會出現在 Intune 管理中心的簽發 CA 已簽發憑證清單中。
4. RADIUS 記錄。 驗證記錄顯示 EAP-TLS 成功、預期的身分識別以及有效的鏈結。
5. 撤銷測試。 撤銷一張測試憑證。一旦 RADIUS 伺服器取得新的 CRL，請確認該裝置已被拒絕。

在正式上線前請執行撤銷測試。這是唯一能證明您的 RADIUS 伺服器可以連線至 CRL 的檢查。

Cloud PKI EAP-TLS 出現問題時該如何修復？

症狀	可能原因	修復方法
SCEP 設定檔卡在錯誤或待處理狀態	受信任的憑證設定檔未指派給相同的群組，或 SCEP 設定檔引用了簽發 CA 而非根目錄	將根目錄和簽發受信任設定檔指派給相同的群組，並在 SCEP 設定檔中選擇根目錄
憑證已簽發，但 RADIUS 拒絕並顯示「未知的 CA」	僅將根目錄匯入 RADIUS	一併匯入簽發 CA 憑證
正式上線後每台裝置皆被拒絕	RADIUS 無法連線至 CRL 發放點並預設關閉拒絕	允許從 RADIUS 到 CRL 主機的出站 HTTP
Android 裝置拒絕連線	未設定伺服器驗證；Android 11 及更高版本需要此設定	將 RADIUS 伺服器的根目錄部署為受信任設定檔，並設定憑證伺服器名稱
Windows 提示員工信任該伺服器	WiFi 設定檔中的伺服器名稱與 RADIUS 憑證不符	修正伺服器名稱，使其與憑證完全吻合
NPS 拒絕已加入 Entra ID 的裝置	NPS 正在尋找不存在的本機 Active Directory 帳戶	使用可將憑證對映至 Microsoft Entra ID 物件的 RADIUS 服務
已撤銷的裝置仍可連線	RADIUS 保留了快取的 CRL	將撤銷與 Microsoft Entra ID 帳戶或裝置停用進行配對，並檢視 CRL 快取
憑證缺乏用戶端驗證	簽發 CA 在建立時未包含該 EKU	建立具有用戶端驗證的新簽發 CA，並重新指向 SCEP 設定檔
如果失敗集中在特定房間或樓層，而相同的裝置在其他地方可以通過驗證，則故障原因是無線電訊號覆蓋範圍，而非 PKI。EAP-TLS 比預先共用金鑰握手交換更多的封包，因此微弱的訊號會表現為逾時。WiFi 場地勘測：實用規劃指南 涵蓋了如何找出這些缺口。

Cloud PKI 或包含 NDES 的 SCEP：您應該選擇哪一個？

請根據您目前已運行的項目以及計劃淘汰的項目來做出決定。

您的狀況	建議	原因
已加入 Microsoft Entra ID 的裝置群，無 AD CS	使用帶有 Cloud PKI 根目錄的 Cloud PKI	無需建立或運行本機 PKI
現有 AD CS，NDES 伺服器即將進行作業系統更新	使用 BYOCA 的 Cloud PKI	保留您現有的根信任，並淘汰 NDES 和連接器
AD CS 團隊擁有長期 CA 路線圖和其他憑證範本	使用 NDES 的 SCEP，於下次伺服器更新時審查	現有投資已涵蓋非 WiFi 使用情境
多台裝置需要相同的金鑰對，例如 S/MIME	該使用情境使用 PKCS，WiFi 則使用 Cloud PKI	PKCS 提供可匯出的金鑰；WiFi 憑證應保持與裝置綁定
目前在 NPS 上的混合合併裝置，正移至 Entra ID Join	Cloud PKI 加上雲端 RADIUS 服務	裝置離開 Active Directory 後，NPS 查詢將失效

醫療保健 領域中受監管的資產通常會為其他工作負載保留 AD CS。對他們而言，BYOCA 通常是最適合的選擇，因為它能在整個組織中維持單一信任根。為 火車 上隨車工作人員平板電腦發放憑證的鐵路營運商，通常適合 Cloud PKI 根路徑。這些裝置從第一天起就採用雲端管理。

Cloud PKI 的成本為何？您能獲得什麼回報？

Microsoft 按每位使用者、每月收取 Cloud PKI 的授權費用。它可以包含在 Intune Suite 中，也可以作為 Intune Plan 1 之上的獨立附加元件。請查看 Microsoft 目前的價格表，因為方案組合可能會有所變動。

將其與地端路徑的成本進行權衡：

• 發行 CA、NDES 和連接器主機的 Windows Server 授權與虛擬機器
• 發布 NDES 的反向代理或應用程式代理
• CA 資料庫備份
• 修補與憑證範本管理

獲得的回報是更少的伺服器、無須將 NDES 端點發布至網際網路，以及您管理的每個平台上皆具備與裝置綁定的金鑰。

實際案例：擁有 30 家物業的飯店集團

情況。 一個擁有 30 家 飯店 的集團，在員工 SSID 上運作了 900 台加入 Entra ID 的筆記型電腦和前台平板電腦，並使用單一共享預共享金鑰進行保護。每季輪換該金鑰意味著需要碰觸每家物業的每台裝置。遺失平板電腦會使金鑰暴露，直到下次輪換為止。

採取的行動。 IT 部門建立了 Cloud PKI 根與發行 CA，然後透過 SCEP 發放受 TPM 保護的裝置憑證。雲端 RADIUS 服務驗證了憑證鏈並檢查了 CRL。該集團在試行期間運行了一個與舊網路並存的 EAP-TLS SSID，分批遷移物業，然後關閉了預共享金鑰網路。

結果。 該情境的計算非常簡單：

• 員工網路上的共享密密從一個降至零。
• 跨 30 家物業的每季金鑰輪換完全停止。
• 遺失平板電腦只代表一次憑證撤銷，而非對 900 台裝置重新進行金鑰設定。
• 不需要地端 CA、NDES 伺服器或連接器。

實際案例：擁有 250 家門市的零售連鎖店

現況。 一家 零售 連鎖企業透過 AD CS 和兩台 NDES 伺服器，向 4,000 台門市手持設備與筆記型電腦簽發 WiFi 憑證。Intune Certificate Connector 則在第三台伺服器上執行。這三台伺服器都需要更換作業系統，且 NDES 是透過應用程式代理程式發佈。

執行的工作。 團隊建立了 Cloud PKI 簽發 CA 作為 BYOCA，並使用現有的 AD CS 根進行簽署。RADIUS 伺服器已經信任該根，因此僅需匯入新的簽發 CA 憑證。SCEP 設定檔一次一個門市群組地轉移至 Cloud PKI。現有憑證在續訂前保持有效，從而保留了回滾能力。

結果。 該連鎖企業淘汰了三台伺服器：兩台 NDES 和一台連接器主機。同時也移除向網際網路發佈的 NDES 端點。RADIUS 或任何裝置上都不需要重新信任根。AD CS 根保留原位以供其他工作負載使用。

Purple 適合的場景

Purple Staff WiFi 使用搭配雲端 RADIUS 的身份基礎網路（Identity-Based Networks），連接至 Microsoft Entra ID、Okta 或 Google Workspace。Purple 可跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 實現硬體無關性。為什麼您的下一次 WiFi 升級不需要新硬體 解釋了為什麼轉向基於憑證的員工存取極少意味著需要更換無線存取點。

Purple 在 80,000 多個實體場地（Purple 資料）運行，可用性高達 99.999%，且通過 ISO 27001 認證。將員工和訪客保持在獨立的網絡中：針對您管理的裝置使用基於憑證的 Staff WiFi，對於其他所有人則使用 Guest WiFi。

常見問題

Microsoft Cloud PKI 可以簽發 WiFi 憑證嗎？

可以。Cloud PKI 透過 SCEP 憑證設定檔，向 Intune 管理的 Windows、macOS、iOS/iPadOS 和 Android 裝置簽發用戶端驗證憑證。這些憑證使用 EAP-TLS 將裝置驗證至 WPA2-Enterprise 或 WPA3-Enterprise 網路。您的簽發 CA 必須包含用戶端驗證 EKU，且您的 RADIUS 伺服器必須信任 Cloud PKI 根與簽發 CA。Cloud PKI 通常不簽發 RADIUS 伺服器自身的憑證。該憑證來自公開 CA 或您現有的 PKI。

使用 Cloud PKI 我還需要 NDES 嗎？

不需要。Cloud PKI 本身會回應 SCEP 請求，因此您不需要 NDES 伺服器、不需要 Intune Certificate Connector，也不需要將 NDES 發佈至網際網路的反向代理程式。Intune 中的 SCEP 設定檔直接指向您 Cloud PKI 簽發 CA 上顯示的 SCEP URI。如果您使用 Bring-your-own-CA 選項，您的私人根會對 Cloud PKI 簽發 CA 進行一次簽署。在此之後，裝置註冊永遠不會觸及您的地端伺服器。

RADIUS 伺服器如何信任 Cloud PKI 憑證？

您需將 Cloud PKI 根憑證與發行 CA 憑證匯入至 RADIUS 伺服器的受信任 CA 存放區。請從 Intune 管理中心下載這兩者。務必兩者皆匯入，因為僅匯入根憑證會導致 "unknown CA" 的拒絕。RADIUS 伺服器還需要向外存取每個憑證中 CRL 發行點的 HTTP 權限，才能檢查撤銷狀態。針對已加入 Entra ID 的裝置，其必須將憑證身分對映至 Entra ID，而非地端 Active Directory。

Cloud PKI 的撤銷機制如何運作？

您可以從 Intune 管理中心內的發行 CA 撤銷憑證，Cloud PKI 會將此變更發布至其 CRL。您的 RADIUS 伺服器會下載該 CRL 並拒絕已撤銷的憑證。由於 RADIUS 伺服器會快取 CRL，因此已撤銷的裝置在下次重新整理前可能仍可連線。只要您的 RADIUS 服務會在每次驗證時檢查身分狀態，您就可以透過停用該 Entra ID 帳戶或裝置來彌補此時間差。

我該選擇 Cloud PKI 還是帶有 NDES 的 SCEP？

如果您的裝置皆已加入 Entra ID，或是計劃淘汰地端 PKI 伺服器，請選擇 Cloud PKI。它能免去發行 CA、NDES 與連接器主機。如果您擁有成熟的 AD CS 團隊、長期的 CA 規劃藍圖以及其他憑證範本，請保留帶有 NDES 的 SCEP。如果您的 NDES 伺服器已到期需要更新，採用 BYOCA 的 Cloud PKI 能保留您現有的根信任，同時依然能淘汰 NDES。

Microsoft Cloud PKI 如何計費授權？

Cloud PKI 採用每人每月授權模式，需額外外掛於 Intune Plan 1 之上。它可以作為 Microsoft Intune Suite 的一部分購買，也可以作為獨立的 Cloud PKI 加購項目。由於套件內容可能調整，編列預算前請先確認 Microsoft 目前的價格表。您可以將授權成本與維護 AD CS、NDES 及連接器架構所需的 Windows Server 授權、虛擬機器、代理發布與補丁修復工作進行權衡比較。

我可以透過 Cloud PKI 保留現有的地端根 CA 嗎？

可以，透過 Bring-Your-Own-CA（BYOCA）選項即可實現。您可以建立 Cloud PKI 發行 CA，匯出其憑證簽署要求（CSR），並使用現有的私有根（例如 AD CS）進行簽署。屆時，任何已信任該根憑證的物件（包含您的 RADIUS 伺服器與裝置）都會信任新的憑證鏈。您只需新增發行 CA 憑證即可。您可以按群組逐步移轉 SCEP 設定檔，而現有憑證在到期前依然有效。

Cloud PKI 能搭配我現有的無線基地台運作嗎？

可以，只要您的無線基地台支援採用 WPA2-Enterprise 或 WPA3-Enterprise 的 802.1X 即可。Cloud PKI 僅會影響裝置上的憑證以及 RADIUS 伺服器上的信任設定。無線基地台只是單純將驗證轉發至 RADIUS。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 皆支援此功能。Purple 的 Staff WiFi 作為跨硬體架構的雲端覆蓋層，可在所有這八家廠商的設備上完美執行。