Vertrauenswürdige Zertifikate
Arten vertrauenswürdiger Zertifikate
Vertrauenswürdige CAs für Client-Authentifizierung
Vertrauenswürdige CAs für die Client-Authentifizierung stellen das Vertrauen zwischen den CAs her, die Client-Authentifizierungszertifikate für Ihre Endgeräte und RADIUSaaS ausstellen.
Vertrauenswürdige RadSec-Verbindungszertifikate
RadSec selbst arbeitet mit gegenseitiger Zertifikatsauthentifizierung (mTLS). Das bedeutet einerseits, dass Ihre Authentifikatoren RADIUSaaS vertrauen und andererseits muss RADIUSaaS wissen, welchen Authentifikatoren vertraut werden soll, damit eine gültige RadSec-Verbindung hergestellt werden kann. Die vertrauenswürdigen RadSec-Verbindungszertifikate stellen sicher, dass RADIUSaaS nur den von Ihnen angegebenen Authentifikatoren vertraut.
Vorinstalliertes vertrauenswürdiges RadSec-Zertifikat
Aufgrund des oben Genanntenwerden Sie immer mindestens ein vertrauenswürdiges RadSec-Zertifikat sehen, das das Vertrauen mit Ihrem RADIUS-Proxys (das effektiv als RadSec-Client fungiert). Damit Ihre Proxys ordnungsgemäß starten können und eine Verbindung zu Ihrer Instanz herstellen können, können Sie es nicht löschen.
Hinzufügen
Wenn Sie eine gestufte PKI-Infrastruktur haben (z. B. eine Microsoft Legacy PKI), beachten Sie bitte diesem.
Um ein neues vertrauenswürdiges Zertifikat hinzuzufügen, führen Sie die folgenden Schritte aus:
Klicken Sie auf Hinzufügen
Wählen Sie aus, ob Sie das vertrauenswürdige Zertifikat importieren möchten
von SCEPman (indem Sie die URL zu Ihrer SCEPman-Instanz angeben), oder
von einer anderen CA (durch Hochladen einer PEM- oder DER-kodierten Zertifikatsdatei)
Wählen Sie den Typ des vertrauenswürdigen Zertifikats unter Verwenden für:
Beides (hilfreich, wenn dieselbe CA sowohl Ihre Client-Authentifizierungszertifikate als auch Ihre RadSec-Client-Zertifikate ausstellt)
Laden Sie die Zertifikatsdatei per Drag & Drop hoch (alternativ können Sie in den blauen Bereich klicken und Ihre Datei auswählen)
Wählen Sie die Zertifikatsüberprüfungsoption:
OCSP-Autodetektion: RADIUSaaS versucht, die OCSP-Responder-URL aus der Authority Information Access-(AIA-)Erweiterung des Clientzertifikats abzuleiten, die für die Netzwerkauthentifizierung verwendet wird. Falls keine OCSP-Responder-URL gefunden wird oder der OCSP-Responder nicht verfügbar ist, berücksichtigt RADIUSaaS die Soft Fail -Konfiguration.
OCSP: Geben Sie manuell an, welche OCSP-Responder-URL für jedes von der vertrauenswürdigen CA ausgestellte Zertifikat verwendet wird. Falls der OCSP-Responder nicht verfügbar ist, berücksichtigt RADIUSaaS die Soft Fail -Konfiguration.
CRL: Wenn diese Option ausgewählt ist, verwendet RADIUSaaS statt OCSP eine CRL, um das von der CA ausgestellte Zertifikat zu überprüfen. Geben Sie die CRL-Kodierung (DER oder PEM) und die CRL-Verteilungspunkte.
Keine: Wenn Ihre CA weder OCSP noch CRL unterstützt, wählen Sie Keine um die Überprüfung zu überspringen.
Klicken Sie auf Speichern
Löschen
Um ein Zertifikat zu löschen, erweitern Sie die entsprechende Zeile, klicken Sie auf Löschen und bestätigen Sie Ihre Auswahl.
OCSP Soft-Fail
Diese Einstellung bestimmt, wie sich RADIUSaaS verhält, wenn der OCSP-Responder Ihrer vertrauenswürdigen CA nicht erreicht werden kann.
Wenn Sie deaktivieren diese Einstellung, werden Authentifizierungsanfragen abgelehnt wenn der OCSP-Responder Ihrer CA nicht erreicht werden kann.
Bitte prüfen Sie Folgen des OCSP-Soft-Fail um sicherzustellen, dass Sie die Auswirkungen dieser Einstellung verstehen.
Beachten Sie, dass diese Einstellung nur verfügbar ist, wenn OCSP-Autodetektion oder OCSP für die Zertifikatsüberprüfung ausgewählt ist.
Standardmäßig empfehlen wir, OCSP Soft Fail zu aktivieren um die Verfügbarkeit des Dienstes zu erhöhen, indem Authentifizierungsanfragen auch dann akzeptiert werden können, wenn der OCSP-Responder nicht erreicht werden kann. Mit diesem Soft-Fail -Mechanismus und falls OCSP nicht erreichbar ist, prüft RADIUSaaS nur, ob das eingehende Zertifikat von einer der vertrauenswürdigen CAs signiert wurde, und verarbeitet alle optionalen Regeln.
Gestufte PKI-Hierarchie
In einer gestuften CA-Umgebung mit mehreren konfigurierten ausstellenden CAs erhalten Zertifikate, die von der Root-CA oder einer beliebigen ausstellenden CA ausgestellt wurden, Zugriff, unabhängig davon, ob das Zertifikat von der Root- oder der ausstellenden CA ausgestellt wurde. Das bedeutet, dass das Vertrauen in die Root-CA automatisch auch Zertifikaten vertraut, die von einer der ausstellenden CAs ausgestellt wurden. Wenn der Zugriff anhand der ausstellenden CAs gesteuert werden muss, kann dies durch die Konfiguration von entsprechenden Regeln.
Überlegungen
Beim Hochladen von Root- und ausstellenden CAs einer gestuften PKI beachten Sie bitte Folgendes:
Die Die Root-CA muss zuerst hochgeladen werden, bevor aus dieser Root-CA abgeleitete ausstellende CAs hochgeladen werden.
Root- und ausstellende CAs müssen in separaten Dateien hochgeladen werden. Das Hochladen von Zertifikatsketten aus einer einzigen Datei kann zu unerwartetem Verhalten führen.
Optionale Einstellungen
Intune-ID
Es ist möglich, das Zertifikat zu verwenden, das jeder Windows-10-Maschine von Intune bei der Anmeldung bei Microsoft Entra ID (Azure AD) zugewiesen wird.
Diese Einstellung ist optional. Falls Sie mit Intune-Zertifikaten nicht vertraut sind, konfigurieren Sie sie bitte nicht!
Warum empfehlen wir nicht die Verwendung von Intune-Zertifikaten für Authentifizierungszwecke?
Intune-Zertifikate werden von Microsoft für andere Zwecke als die Verwaltung mit Intune nicht unterstützt.
Die Gültigkeitsdauer der Intune-Zertifikate beträgt 1 Jahr.
Es gibt keinen Mechanismus zum Widerruf von Zertifikaten (wie OCSP).
Anstatt Intune-Zertifikate zu verwenden, empfehlen wir Zertifikate von einer PKI wie SCEPman.
Intune-IDs konfigurieren
Verwenden Sie diese Einstellung mit Vorsicht. Eine der folgenden IDs muss in der Zertifikatserweiterung 1.2.840.113556.5.14 vorhanden sein. Alle anderen Zertifikate werden abgelehnt.
Um Ihre Intune-Mandanten-ID zu ermitteln, führen Sie die folgenden Schritte aus:
Drücken Sie Windows + R und geben Sie certlm.msc
ein
Gehen Sie zu Ihren persönlichen Zertifikaten. Dort wird ein Zertifikat von einem der folgenden Aussteller vorhanden sein
SC Online Issuing
MDM Device Authority Öffnen Sie dieses Zertifikat, gehen Sie zu Details
1.2.840.113556.5.14
und suchen Sie nach der Erweiterung
Der ausgegebene HEX-Wert ist Ihre Intune-Mandanten-ID.
Beispiel: Die Mandanten-ID des folgenden Zertifikats lautet:
XML
Das von RADIUSaaS generierte XML-Profil aktiviert PMK-Caching.
Heute bieten die meisten MDM-Plattformen eine Assistenten-basierte Methode zur Bereitstellung von Netzwerkprofilen (WLAN und LAN) an. Wenn dies nicht möglich ist oder der Assistent nur eingeschränkte Konfigurationsoptionen bietet, können Sie ein Roh-XML-Profil direkt auf der RADIUSaaS-Plattform generieren.
Um Ihr WLAN XML-Profil zu generieren:
Erweitern Sie das XML Menü,
wählen Sie das gewünschte Sicherheitsprotokoll (WPA2 oder WPA3),
geben Sie Ihre SSID
ein und klicken Sie auf Herunterladen.
Um Ihr Kabelgebunden XML-Profil, klicken Sie auf Herunterladen.
Zuletzt aktualisiert
War das hilfreich?