Microsoft Cloud PKI

Dieses Dokument beschreibt die Konfigurationsschritte, die erforderlich sind, um eine zertifikatbasierte WiFi-Authentifizierung mit Microsoft Cloud PKI und Intune zu implementieren.

Es wird davon ausgegangen, dass die Microsoft Cloud PKI sowohl die Root- als auch die Ausstellende CA hostet. Für Szenarien mit eigenen CAs (BYOCAs) konsultieren Sie bitte die Online-Ressourcen oder das Web von Microsoft.

1

Eine Microsoft Cloud PKI bereitstellen

Erstellen einer Root-CA im Intune Admin Center

Bevor Sie Zertifikate an verwaltete Geräte ausstellen können, müssen Sie in Ihrem Mandanten eine Root-CA erstellen, die als Vertrauensanker fungiert. Um eine Root-CA im Intune Admin Center zu erstellen, folgen Sie bitte diesem Microsoft-Leitfaden.

Bitte beachten Sie den CRL-Verteilungspunkt, da Sie diesen später in Schritt 2.

Erstellen einer ausstellenden CA im Intune Admin Center

Eine ausstellende CA ist erforderlich, um Zertifikate für von Intune verwaltete Geräte auszustellen. Cloud PKI stellt automatisch einen SCEP-Dienst bereit, der als Zertifikatsregistrierungsstelle fungiert. Er fordert im Auftrag von Intune-verwalteten Geräten Zertifikate von der ausstellenden CA über ein SCEP-Profil an. Um eine ausstellende CA zu erstellen, folgen Sie bitte diesem Microsoft-Leitfaden.

Bitte beachten Sie den CRL-Verteilungspunkt, da Sie diesen später in Schritt 2.

Root- und ausstellende CAs

2

Vertrauen zwischen RADIUSaaS und der Microsoft Cloud PKI herstellen

Konfigurieren Sie RADIUSaaS so, dass Client-Authentifizierungszertifikaten vertraut wird, die von der Microsoft Cloud PKI ausgestellt wurden. Da die Cloud PKI eine gestufte CA-Struktur erfordert, müssen Sie sowohl die Root-CA als auch die ausstellende CA hochladen (d. h. die vollständige Vertrauenskette). Gehen Sie dazu bitte wie folgt vor:

1. Navigieren Sie zu Vertrauenswürdige Zertifikate.

2. Hochladen der Contoso Cloud PKI Root-CA wählen Sie Client-Authentifizierung im Upload-Prozess.

3. Als Verifizierungsmethode wählen Sie CRL zusammen mit DER Codierung.

4. Verwenden Sie die kopierte CRL-Verteilungspunkt-URL der Root-CA im CRL-Verteilungspunkte URL-Eingabefeld.

5. Laden Sie die Contoso Cloud PKI hoch Ausstellende CA wählen Sie Client-Authentifizierung im Upload-Prozess.

6. Wählen Sie erneut CRL als Verifizierungsmethode zusammen mit DER Codierung.

7. Verwenden Sie die kopierte CRL-Verteilungspunkt-URL der ausstellenden CA im CRL-Verteilungspunkte URL-Eingabefeld.

3

RADIUS-Serverzertifikat konfigurieren

Um das Serververtrauen zwischen Ihren Endgeräten und RADIUSaaS herzustellen, folgen Sie diesen Anweisungen.

4

Konfigurieren Sie Ihre Netzwerkausrüstung

Um Ihre Netzwerkausrüstung (WLAN-Zugangspunkte, Switches oder VPN-Gateways) zu konfigurieren, folgen Sie diesen Schritten.

Nach erfolgreicher Durchführung der Schritte 2 - 4 wird die Vertrauenswürdige Zertifikate Seite Ihrer RADIUSaaS‑Instanz ähnlich der unten stehenden aussehen. Bitte beachten Sie, dass wir in unserem Beispiel einen RadSec‑aktivierten MikroTik Zugangspunkt.

Übersicht über vertrauenswürdige Zertifikate, erforderlich für die Microsoft Cloud PKI.

5

Intune‑Profile konfigurieren

Um eine zertifikatbasierte WLAN-Authentifizierung einzurichten, müssen wir mehrere Profile erstellen und diese über Intune bereitstellen. Diese Profile sind:

Profiltyp	Zweck
Vertrauenswürdiges Zertifikat	Das Root-CA-Zertifikat bereitstellen.
Vertrauenswürdiges Zertifikat	Das Zertifikat der ausstellenden CA bereitstellen.
Vertrauenswürdiges Zertifikat	Das Root-CA-Zertifikat bereitstellen, das das RADIUS-Serverzertifikat ausgestellt hat.
SCEP‑Zertifikat	Das Client-Authentifizierungszertifikat registrieren.
Wi‑Fi	Bereitstellung der Einstellungen des drahtlosen Netzwerkadapters.

Relevante Intune-Profile

Profile für vertrauenswürdige Zertifikate

Microsoft Cloud PKI

Stellen Sie die in Schritt 1 erstellten Root-CA- und ausstellenden CA-Zertifikate über ein Vertrauenswürdiges Zertifikat Profil an Ihre Geräte bereit, indem Sie zum Intune Admin Center und dann zu Startseite > Geräte > Windows > Konfigurationsprofile > Erstellen > Neue Richtlinie mit den folgenden Parametern:

• Plattform = Windows 10 und höher

• Profiltyp = Vorlage

• Vorlagenname = Vertrauenswürdiges Zertifikat.

Laden Sie die entsprechende Zertifikatdatei (*.cer) im jeweiligen Profil hoch:

• Erstelltes Root-CA-Zertifikat hier

• Erstelltes ausstellendes CA-Zertifikat hier

Beachten Sie, dass Sie dieselbe Gruppe für die Zuweisung des Vertrauenswürdigen Zertifikats und der SCEP-Profile verwenden müssen. Andernfalls kann die Intune-Bereitstellung fehlschlagen.

Dies muss für jede Geräteplattform wiederholt werden, die den Dienst nutzen soll (z. B. Windows, macOS, ...)

RADIUS-Serververtrauen

Als Nächstes übertragen Sie das Root-CA-Zertifikat, das Ihr RADIUS-Serverzertifikat ausgestellt hat, wie hier beschrieben:

Serververtrauen

SCEP-Zertifikatprofil

Um ein SCEP‑Zertifikat Profil im Intune Admin Center zu erstellen, kopieren Sie zunächst die SCEP-URI aus Startseite > Mandantenadministrator > Cloud PKI > Contoso ausstellende CA > Eigenschaften > SCEP-URI.

Gehen Sie dann zu Startseite > Geräte > Windows > Konfigurationsprofile > Erstellen > Neue Richtlinie mit den folgenden Parametern:

• Plattform = Windows 10 und höher

• Profiltyp = Vorlage

• Vorlagenname = SCEP-Zertifikat

Konfigurieren Sie als Nächstes die Vorlage gemäß dem Screenshot unten und stellen Sie sicher, dass Sie das angehängt haben Contoso-Root-Zertifikat das zuvor in Schritt 1 erstellt wurde, und die SCEP-URI die Sie oben kopiert haben.

SCEP-Gerätezertifikat-Konfiguration

Dies muss für jede Geräteplattform wiederholt werden, die den Dienst nutzen soll (z. B. Windows, macOS, ...)

Wi‑Fi‑Profil

Stellen Sie die WLAN-Adaptereinstellungen auf Ihren Geräten bereit, indem Sie diesem Artikel folgen:

WLAN-Profil

6

Berechtigungen und technische Kontakte

7

Regeln

Dies ist ein optional Schritt.

Wenn Sie zusätzliche Regeln konfigurieren möchten, zum Beispiel um VLAN‑IDs zuzuweisen oder Authentifizierungsanfragen auf bestimmte vertrauenswürdige CAs oder Wi‑Fi‑Access‑Points zu beschränken, sehen Sie sich bitte die RADIUSaaS Rule Engine an.

Regeln