透過 SCEP 與 PKCS 進行 Microsoft Intune WiFi 憑證部署

Intune WiFi 憑證部署使用三種設定檔：信任的根憑證、SCEP 或 PKCS 用戶端憑證，以及設定為 EAP-TLS 的 802.1X WiFi 設定檔。請依此順序部署，並全部指派給同一個 Microsoft Entra ID 群組。SCEP 會在裝置上建立私密金鑰，而 PKCS 則集中建立。針對 Windows、iOS 和 Android 上的 WiFi，請選擇 SCEP。

Intune WiFi 憑證部署實際上是如何運作的？

Intune 會賦予每個受控裝置專屬的身分憑證以及用來出示該憑證的 WiFi 設定。接著，裝置就能加入您的員工網路，完全無需任何人輸入密碼。

其運作機制為 IEEE 802.1X，這是基於連接埠之網路存取控制的標準。在 802.1X 架構下，無線基地台會將裝置隔離在網路之外，直到驗證伺服器核准為止。該伺服器即為 RADIUS 伺服器，也是您的無線基地台在允許裝置連入前所查詢的服務。

驗證方法為 EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)，定義於 RFC 5216 中。雙方皆透過憑證證明自身身分：

• 裝置出示用戶端憑證。
• RADIUS 伺服器出示伺服器憑證。
• 雙方各自確認對方的憑證可追溯至其信任的憑證授權單位 (CA)。

無須輸入、儲存密碼，也不會將密碼暴露於網路釣魚風險中。

這點一年比一年更加重要。Microsoft 的官方說明指出，Windows Defender Credential Guard 會阻擋使用密碼型 802.1X 方法（例如 PEAP-MSCHAPv2）的單一登入。PEAP (Protected EAP) 會在加密通道內傳送密碼。Credential Guard 在近期的 Windows 11 Enterprise 版本中已預設啟用，Microsoft 建議改用基於憑證的驗證方式。

Intune 透過三種設定檔來提供基於憑證的 WiFi：

• 信任的憑證設定檔。 安裝您的根 CA 與任何中繼 CA。裝置隨即能信任自身的憑證鏈以及您的 RADIUS 伺服器。
• SCEP 或 PKCS 憑證設定檔。 為每台裝置核發獨一無二的用戶端憑證。
• WiFi 設定檔。 設定 SSID（廣播網路名稱）、安全性類型與 EAP 方法。此設定檔亦會指定要出示的憑證以及要信任的伺服器。

對場域營運商而言，這是網路的員工專用端。飯店、零售 與 醫療照護 領域的員工筆電、手持裝置和平板電腦，都需要存取訪客、購物者與病人絕不能接觸到的系統。您的 Guest WiFi 仍會保留其 Captive Portal（訪客看到的登入頁面）。員工裝置則會在獨立的 SSID 與 VLAN（邏輯上隔離的網路區段）上進行靜默驗證。

SCEP 或 PKCS：您應該使用哪一種憑證設定檔？

兩種設定檔都會在裝置上留下用戶端憑證。差異在於私密金鑰是在何處建立的。

SCEP (簡單憑證註冊協定，RFC 8894) 會由裝置自行產生其金鑰對。裝置會透過網路裝置註冊服務 (NDES) 伺服器或 Microsoft Cloud PKI 發送憑證簽署請求。憑證授權單位 (CA) 簽署該請求並傳回憑證。私鑰永遠不會離開裝置。在 Windows 上，SCEP 設定檔可以將該金鑰放置於信任平台模組 (TPM) 這個硬體安全性晶片中。

PKCS 設定檔使用 Certificate Connector for Microsoft Intune 向您的 CA 請求憑證。金鑰對是在裝置之外建立的。接著 Intune 會將憑證和私鑰以加密形式傳遞至裝置。您雖然可以避免執行 NDES，但私鑰曾存在於裝置以外的地方。

第三種類型 PKCS 匯入的憑證 則用於傳遞您已擁有的憑證。其通常用於 S/MIME 電子郵件加密 (其中金鑰會進行託管)。對於 WiFi 來說，這並不是正確的工具。

	透過 NDES 和 AD CS 的 SCEP	透過 Microsoft Cloud PKI 的 SCEP	透過 Connector 和 AD CS 的 PKCS
私鑰建立位置	裝置上	裝置上	裝置外，建立後再傳遞
憑證授權單位	您的 Active Directory 憑證服務 (AD CS) 企業 CA	Microsoft 代管的 CA 或您自己的根 CA	您的 AD CS 企業 CA
您運行的地端伺服器	CA、NDES 伺服器、Certificate Connector	無	CA、Certificate Connector
對外網際網路元件	NDES URL，透過 Microsoft Entra 應用程式代理發佈	無：Microsoft 代管 SCEP 端點	無：Connector 僅向外連線
額外授權	Windows Server 之外無需額外授權	Cloud PKI 附加元件或 Microsoft Intune Suite	Windows Server 之外無需額外授權
設定工作量	最高：CA、NDES、Connector 與代理發佈	最低：在 Intune 系統管理中心建立 CA	中等：CA 和 Connector，無需 NDES
適用對象	擁有 AD CS 且希望金鑰保留在裝置上的環境	無地端 PKI 的雲端優先環境	擁有 AD CS 但無法發佈 NDES 端點的環境

對於 WiFi，除非您無法滿足其基礎架構需求，否則請選擇 SCEP。永遠不離開裝置的金鑰無法從伺服器複製，也無法在傳輸過程中被攔截。如果您沒有地端 PKI 且不想建置，請選擇 Microsoft Cloud PKI。如果您運行 AD CS 但無法將 NDES 端點發佈至網際網路，請選擇 PKCS。

在使用 Intune 部署 WiFi 憑證之前，您需要準備什麼？

在建立任何設定檔之前，請確認每個項目。大多數失敗的部署都可以追溯到此清單中的疏漏。

• 授權。 每個人都需要一個 Intune 授權。Intune 已包含在 Microsoft 365 E3、E5 和 Business Premium，以及 Enterprise Mobility + Security E3 和 E5 中。
• 已註冊裝置： Windows 裝置已加入至 Microsoft Entra ID（通常透過 Windows Autopilot）。iOS 與 iPadOS 裝置則透過 Apple Business Manager 自動化裝置註冊進行註冊。Android 裝置使用 Android Enterprise。Microsoft 已停止對具備 Google Mobile Services 的裝置進行裝置管理員管理，因此請規劃使用 Android Enterprise。
• 憑證授權單位（CA）： 代表 AD CS 企業 CA、Microsoft Cloud PKI，或 Intune 支援的協力廠商 CA。
• 憑證範本： 在 AD CS 上，發佈具有「用戶端驗證」延伸金鑰用途的範本。
• 連接器基礎架構： AD CS 上的 SCEP 需要 NDES 伺服器以及 Certificate Connector for Microsoft Intune。PKCS 則只需要該連接器。
• 支援 EAP-TLS 的 RADIUS 伺服器： 其伺服器憑證必須鏈結至您將部署的根憑證。請記錄該憑證上的精確名稱，因為 WiFi 設定檔會需要它。
• 可存取的撤銷機制： 您的 RADIUS 伺服器必須能夠連線至憑證撤銷清單（CRL）或 OCSP（線上憑證狀態協定）回應程式。如果無法連線，驗證將會失敗。
• 企業級 SSID： 您的無線基地台必須廣播指向 RADIUS 伺服器的 WPA2-Enterprise 或 WPA3-Enterprise SSID。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 以及 Fortinet 皆支援 802.1X。
• Entra ID 群組： 建立一個試行群組和一個正式營運群組。現在就決定這些群組是要包含人員還是裝置。
• 引導（Bootstrap）網路： 裝置在加入 802.1X SSID 之前，需要網際網路存取權來取得其憑證。請提供有線網路、行動數據或隔離的上線專用 SSID。火車 營運商在向列車組員發放平板電腦時，應在車輛基地完成預先設定，然後再將平板電腦投入運作。

如何在 Intune 中設定 SCEP 或 PKCS WiFi 憑證？

Microsoft 的 Intune 文件包含每個平台的逐欄步驟。以下順序與決策是決定成功的關鍵。請為每個平台建立一組設定檔：Windows、iOS/iPadOS 與 Android Enterprise。

步驟 1：部署受信任的根憑證設定檔

將您的根 CA 憑證匯出為 .cer 檔案。建立一個包含該檔案的受信任憑證設定檔。每個受信任憑證設定檔包含一個憑證，因此請分別為根憑證與每個中間 CA 建立獨立的設定檔。

在 Windows 上，將根憑證傳送至電腦根存放區，並將中間憑證傳送至中間存放區。如果您的 RADIUS 伺服器憑證是由不同的 CA 所簽署，請一併部署該根憑證。如果沒有它，裝置將無法驗證該伺服器。

步驟 2：部署 SCEP 或 PKCS 憑證設定檔

請從憑證類型開始，因為它會決定後續的一切設定。

• 裝置憑證適用於共用的手持裝置、Kiosk kiosk 系統以及必須在 Windows 登入畫面連線的筆記型電腦。請使用根據裝置識別碼建立的主體名稱，例如 CN={{AAD_Device_ID}}。
• 基於個人的憑證適用於指派給單一員工的手機和筆記型電腦。在主體中使用 CN={{UserPrincipalName}}。請將相同的值新增為主體別名，因為許多 RADIUS 伺服器會從該處讀取身份識別。

然後設定其餘欄位：

• 金鑰用途： 數位簽章與金鑰加密。
• 延伸金鑰用途： 用戶端驗證，OID 1.3.6.1.5.5.7.3.2。
• 金鑰大小： 至少 2048 位元。
• 有效期： 不得長於您的 CA 範本所允許的時間。
• 續約閾值： Microsoft 的預設值為憑證剩餘壽命的 20%。
• 根憑證： 選擇步驟 1 中受信任的憑證設定檔。
• Windows 上的金鑰儲存： 選擇 TPM 選項以使用硬體支援的金鑰。

對於 SCEP，請輸入外部 NDES URL 或您的 Cloud PKI SCEP URI。對於 PKCS，請改為輸入 CA 名稱與範本名稱。

如果您將 Microsoft NPS (Network Policy Server) 用於混合身份識別，請閱讀 Microsoft 關於強式憑證對映的 KB5014754。Microsoft 記載了一個包含地端安全性識別碼的主體別名 URI，正是為了此類情況而設計。

步驟 3：部署 802.1X WiFi 設定檔

使用以下設定建立企業級 WiFi 設定檔：

• 輸入與您的無線基地台所廣播完全相同的 SSID。
• 將安全性類型設定為 WPA2-Enterprise，或是如果您的無線基地台與平台支援，則設定為 WPA3-Enterprise。
• 將 EAP 類型設定為 EAP-TLS。
• 輸入與您的 RADIUS 伺服器憑證上的名稱相符的憑證伺服器名稱。這可防止裝置將其身份識別傳送給偽冒的無線基地台。
• 選擇步驟 1 的設定檔作為伺服器驗證的根憑證。
• 選擇步驟 2 的設定檔作為用戶端驗證憑證。

Windows、iOS 和 Android 有何不同？

• Windows 在任何人登入之前就會使用裝置憑證進行連線。基於個人的憑證只有在登入後才會連線，這會破壞共用筆記型電腦上的首次登入。
• iOS 與 iPadOS 會透過比對您輸入的憑證伺服器名稱來信任 RADIUS 伺服器。若不相符會導致信任失敗，而不是無聲無息地退回其他機制。
• Android Enterprise 需要 RADIUS 伺服器功能變數名稱與根憑證來進行驗證。近期的 Android 版本已移除跳過伺服器驗證的選項。

新裝置註冊時會發生什麼事？

這是新註冊裝置上的憑證部署順序：

1. 裝置完成註冊並進入其指派的 Entra ID 群組。
2. Intune 傳遞受信任的根憑證與中間憑證設定檔。
3. 裝置請求其用戶端憑證。在 SCEP 機制下，它會產生一組金鑰對並發送帶有一次性驗證碼的簽署請求。Connector 會在 CA 發行任何內容之前，先向 Intune 驗證該驗證碼。在 PKCS 機制下，Connector 會請求憑證並由 Intune 進行傳遞。
4. 裝置向 Intune 回報已安裝的憑證。
5. 相依於這兩個憑證設定檔的 WiFi 設定檔開始生效。
6. 裝置會向 SSID 出示其憑證。RADIUS 會驗證憑證鏈、檢查撤銷狀態並接受該裝置。接著即可透過 RADIUS 屬性指派 VLAN。
7. 當憑證達到續訂臨界值時，Intune 會對其進行續訂。當您淘汰或擦除裝置時，只要連接器在 CA 上擁有撤銷權限，Intune 就會撤銷該憑證。

如何檢查 Intune WiFi 憑證是否正常運作？

在擴大指派範圍之前，請先使用每個平台 10 到 20 台裝置進行試點測試。請檢查以下四個地方。

1. Intune 設定檔狀態。 三個設定檔中的每一個都應對每台試點裝置回報「成功」。任何一個設定檔出現「待處理」、「錯誤」或「不適用」狀態，都會阻擋 WiFi 設定檔。
2. 裝置本身。 在 Windows 上，開啟個人憑證存放區，確認「用戶端驗證」用途以及您的發行 CA。在 iOS 與 Android 上，確認憑證與 WiFi 設定檔有出現在管理設定檔與工作設定檔憑證中。
3. RADIUS 日誌。 尋找具有預期主體名稱且成功的 EAP-TLS 驗證。在 NPS 上，事件 ID 6272 會記錄已授予存取權限，6273 會記錄已拒絕存取權限並附帶原因代碼。
4. 連接器與 NDES 日誌。 Certificate Connector 會寫入 Windows 事件日誌。NDES 請求則會出現在 IIS 日誌中。

接著請刻意測試撤銷功能。在 Intune 中淘汰一台試點裝置，並確認該憑證在 CA 上顯示為已撤銷。發布 CRL，並確認 RADIUS 會拒絕下一次驗證。

Intune WiFi 設定檔會出現什麼問題？要如何修復？

WiFi 設定檔顯示「錯誤」或「不適用」

憑證已送達，但 WiFi 設定檔失敗。通常的原因是混合群組目標指派。例如，SCEP 設定檔被指派給人員群組，而 WiFi 設定檔卻以裝置群組為目標。Intune 無法解析此相依性。修復方法是將所有三個設定檔指派給相同的群組，或至少指派給相同的群組類型。

SCEP 憑證從未送達

NDES IIS 日誌顯示 HTTP 403 或 500 回應。請檢查連接器服務帳戶是否對憑證範本擁有「讀取」與「註冊」權限。請檢查您的防火牆、反向代理或應用程式代理未剝除 SCEP 查詢字串（例如 operation=GetCACaps）。然後確認外部 NDES URL 能從您的網路外部進行解析。

裝置擁有憑證，但 RADIUS 拒絕該憑證

請依序排查以下四個原因：

1. WiFi 設定檔中的憑證伺服器名稱與 RADIUS 伺服器憑證不相符。
2. RADIUS 伺服器不信任發行用戶端憑證的 CA。
3. RADIUS 伺服器無法下載最新的 CRL。
4. 根據 KB5014754 的 NPS 強制對映執行政策拒絕了沒有強對映的憑證。

NPS 原因代碼會指向正確的原因。

撤銷檢查導致服務中斷

如果 CRL 發佈點離線或 CRL 過期，嚴格執行的 RADIUS 伺服器會拒絕所有憑證。請將 CRL 發佈在 RADIUS 伺服器可存取的高可用性 HTTP 位置，並隨時監控 CRL 的下一次更新時間。

裝置持續連線至舊網路

裝置上若仍保留舊有的預共享金鑰或 PEAP 設定檔，其優先順序會較高。當新的設定檔回報成功後，請透過 Intune 移除舊的設定檔，然後停用舊的 SSID。

Intune 憑證式 WiFi 如何 在實際場域中運作？

以下兩個情境是基於 Microsoft 官方文件的行為所建立的實作範例。其描述的是場域類型，而非特定名稱的部署專案。

擁有 12 間飯店的集團淘汰共用員工密碼

情境。 擁有 12 間飯店（每間約 200 間客房）的集團透過預共享金鑰運行一個員工 SSID。該金鑰由 840 台裝置共用：櫃檯 PC、房務部的 iPhone，以及餐飲部門的 Android 手持裝置。該網路連線至持卡人資料環境。因此 PCI DSS v4.0 規範 2.3.2 要求，只要知道金鑰的人員離職，就必須變更金鑰。在第一線員工流動率高的情況下，每次輪換金鑰都會導致裝置斷線，直到有人重新輸入金鑰為止。

做法。 團隊透過 NDES 部署 SCEP，並使用 Microsoft Entra ID 應用程式代理程式發佈。櫃檯 PC 接收裝置憑證，以便在登入畫面時即可連線。手機則接收基於個人的憑證。在其中一間飯店進行為期兩週、共 20 台裝置的試行。之後每週推廣至一間飯店，同時讓舊的 SSID 平行運作。

可衡量的成果。 12 週後，所有 840 台裝置皆使用 EAP-TLS 進行驗證，並關閉了預共享金鑰 SSID。需要輪換的共用金鑰數量從跨 12 個據點的 1 金鑰降至 0。離職者的存取權限會在裝置被廢止且 CRL 重新發佈時立即終止，無需等待下一次金鑰輪換。

擁有 150 間門市且使用共用手持裝置的零售連鎖店

情境。 每間門市配置四台共用的 Android 手持裝置與兩台 Windows 後勤筆電，全企業共 900 台裝置。手持裝置在每班次間由不同員工交接，因此基於個人的憑證並不適用。該連鎖店的雲端 RADIUS 服務無法存取僅發佈在內部網路的 CRL。

做法。 該連鎖店將手持裝置註冊為 Android Enterprise 專用裝置，並透過 SCEP 發行裝置憑證。由於所有門市的 SSID 皆相同，每個平台只需要一個 WiFi 設定檔即可服務所有門市。CRL 則移至可透過網際網路存取的 HTTP 發佈點。

可衡量的成果。 沒有任何共用手持裝置帶有 WiFi 密碼。門市員工不再於每次變更後詢問密碼。遺失的手持裝置可透過在 Intune 中廢止來切斷存取，一旦 CRL 重新整理，其憑證將在下一次驗證時失效。

Intune WiFi 憑證部署成本為何？又能帶來什麼回報？

相關成本

• 授權。 大多數企業已透過 Microsoft 365 或 Enterprise Mobility + Security 擁有 Intune，因此不會產生新的按人頭計費成本。
• 伺服器。 AD CS、NDES 和 NPS 都是 Windows Server 角色，除了 Windows Server 之外不需要額外的授權。
• Cloud PKI。 Microsoft Cloud PKI 是一項付費外掛程式，也包含在 Microsoft Intune Suite 中。請權衡其成本與建置及維護地端 CA 和 NDES 的費用。
• 所需工作。 工作主要集中在 PKI 設計、NDES 發布和試行。這三個設定檔只需要數小時即可完成，而非數週。

您所獲得的回報

• 無需共用 WiFi 金鑰。 這消除了 PCI-DSS 規範 2.3.2 對連接至持卡人資料環境的無線網路所要求的金鑰定期更換。
• 可撤銷離職人員的存取權限。 在 Intune 中停用裝置即可撤銷其憑證，因此 WiFi 存取權限會完全遵循您的入職、異動與離職（JML）流程。
• 與 Credential Guard 的相容性。 在 Windows 封鎖基於密碼的 802.1X 單一登入的情況下，EAP-TLS 仍可正常運作。
• 沒有可供網路釣魚的憑證。 綁定至 TPM 的憑證無法在假登入頁面中輸入。
• 密碼永不過期。 憑證會在到期前自動續訂，消除因密碼重設而導致的 WiFi 報修工單。

請從一開始就規劃 GDPR 的處理方式。RADIUS 記錄中包含員工登入名稱的憑證主體屬於個人資料。請設定保留期限並限制對這些記錄的存取。

Purple 在超過 80,000 個實體場域（Purple 數據）中同時運行員工 WiFi 與訪客 WiFi。此平台獨立於硬體，可跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 運作。Purple 擁有 ISO 27001 認證。我們的 Identity-Based Networks 可與 Microsoft Entra ID、Okta 及 Google Workspace 搭配使用，讓員工的存取權限遵循與 Intune 資產相同的身分驗證來源。在訪客方面，WiFi Analytics 可以將訪客連線與員工流量分開進行分析與報告。

常見問題

透過 Intune 部署 WiFi 憑證需要額外的授權嗎？

不需要，透過 NDES 進行 SCEP 或 PKCS 都不需要。Intune 已包含在 Microsoft 365 E3、E5 和 Business Premium，以及 Enterprise Mobility + Security E3 和 E5 中。Active Directory 憑證服務與 NDES 均為 Windows Server 角色，因此只需要您現有的 Windows Server 授權。唯一的例外是 Microsoft Cloud PKI，這是一項付費外掛程式，也包含在 Microsoft Intune Suite 中。只有在您希望避免運行地端 CA 時，才需要將其納入預算。

來自 Intune 的憑證式 WiFi 可以搭配您現有的基地台運作嗎？

可以，只要您的基地台能夠廣播 WPA2-Enterprise 或 WPA3-Enterprise SSID 即可。EAP-TLS 會在裝置和 RADIUS 伺服器之間運行，而基地台僅在 IEEE 802.1X 下進行中繼。Purple 獨立於硬體，可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上運行。您可以保留現有的硬體，僅需變更 SSID 安全性設定。

您可以在零停機時間的情況下，從 PEAP 或共用密碼轉移至 EAP-TLS 嗎？

是的。在過渡期間，您可以將新的 802.1X SSID 與舊的 SSID 同步執行，或是將 RADIUS 伺服器設定為同時接受 PEAP 和 EAP-TLS。請先將三個 Intune 設定檔部署至試行小組。在 RADIUS 記錄中確認 EAP-TLS 驗證成功後，再分波段擴大指派範圍。僅在新的 WiFi 設定檔回報成功後才移除舊版 WiFi 設定檔，接著即可停用舊的 SSID。

員工 WiFi 應該選擇 SCEP 還是 PKCS？

請選擇 SCEP。使用 SCEP 時，裝置會自行產生金鑰，該金鑰永遠不會離開裝置，且 Windows 可以將該金鑰儲存在 TPM 中。PKCS 則是在裝置外建立金鑰後再交付給裝置，雖然不需要 NDES 伺服器，但會擴大金鑰曾存取的範圍。只有在執行 Active Directory 憑證服務且無法發佈 NDES 時才選擇 PKCS，或者可將 Microsoft Cloud PKI 用於沒有 NDES 的 SCEP。

您是否仍需要 NDES 伺服器？

只有搭配地端 Active Directory 憑證服務 CA 使用 SCEP 時才需要。Microsoft Cloud PKI 提供託管的 SCEP 端點，因此您無需執行 NDES 伺服器、連接器或地端 CA。PKCS 設定檔同樣能避免使用 NDES，因為 Certificate Connector for Microsoft Intune 會透過出站連線向您的 CA 請求憑證。Intune 支援的第三方憑證頒發機構亦可在沒有 NDES 的情況下發行 SCEP 憑證。

當人員離職時，WiFi 存取權限會多快終止？

這取決於您的撤銷流程處理速度。當您在 Intune 中停用或抹除裝置時，Certificate Connector 可以在您的 CA 上撤銷其憑證。當您的 RADIUS 伺服器透過更新的 CRL 或 OCSP 檢查確認該撤銷時，存取權限即告終止。如果需要在同一小時內立即移除，請縮短 CRL 發佈間隔或使用 OCSP。僅停用帳戶可能無法阻止有效的憑證，除非 RADIUS 同時會檢查目錄。

基於憑證的 WiFi 是否有助於符合 PCI DSS 和 GDPR？

是的。PCI DSS v4.0 規範 2.3.2 要求，連接至持卡人資料環境的無線網路，只要有知悉金鑰的人員離職，就必須變更無線金鑰。使用單一裝置專屬憑證意味著不存在需要輪替的共用金鑰。至於 GDPR，包含員工登入名稱的憑證主體應被視為個人資料。請為 RADIUS 記錄設定保留期限、限制其存取權限，並記錄處理過程。