Microsoft Cloud PKI

Este documento describe los pasos de configuración necesarios para implementar la autenticación WiFi basada en certificados mediante Microsoft Cloud PKI con Intune.

Se supone que Microsoft Cloud PKI aloja tanto la CA raíz como la CA emisora. Para escenarios que impliquen BYOCAs, consulte los recursos en línea de Microsoft o la web.

1

Implementar un Microsoft Cloud PKI

Crear una CA raíz en Intune admin center

Antes de poder emitir certificados a dispositivos administrados, necesita crear una CA raíz en su Tenant para que actúe como ancla de confianza. Para crear una CA raíz en Intune admin center, siga este la guía de Microsoft.

Tome nota del punto de distribución de CRL, ya que lo necesitará más adelante en Paso 2.

Crear una CA emisora en Intune admin center

Se requiere una CA emisora para emitir certificados para dispositivos administrados por Intune. Cloud PKI proporciona automáticamente un servicio SCEP que actúa como autoridad de registro de certificados. Solicita certificados a la CA emisora en nombre de los dispositivos administrados por Intune mediante un perfil SCEP. Para crear una CA emisora, siga este la guía de Microsoft.

Tome nota del punto de distribución de CRL, ya que lo necesitará más adelante en Paso 2.

CA raíz y CA emisora

2

Establecer confianza entre RADIUSaaS y Microsoft Cloud PKI

Configure RADIUSaaS para confiar en los certificados de autenticación de cliente emitidos por Microsoft Cloud PKI. Dado que la PKI en la nube requiere una estructura de CA en niveles, debe cargar tanto la CA raíz como la CA emisora (es decir, la cadena de confianza completa). Para lograrlo, siga los pasos a continuación:

1. Vaya a Certificados de confianza.

2. Cargar la PKI en la nube de Contoso CA raíz, seleccionando Autenticación de cliente en el proceso de carga.

3. Como método de verificación, seleccione CRL junto con DER codificación.

4. Use la URL copiada del punto de distribución de CRL de la CA raíz en el Puntos de distribución de CRL campo de entrada de URL.

5. Cargue la CA emisora de la PKI en la nube de Contoso CA emisora, seleccionando Autenticación de cliente en el proceso de carga.

6. De nuevo, seleccione CRL como método de verificación junto con DER codificación.

7. Use la URL copiada del punto de distribución de CRL de la CA emisora en el Puntos de distribución de CRL campo de entrada de URL.

3

Configurar el certificado del servidor RADIUS

Para establecer la confianza del servidor entre sus dispositivos finales y RADIUSaaS, siga estas instrucciones.

4

Configure su equipo de red

Para configurar su equipo de red (puntos de acceso WiFi, conmutadores o puertas de enlace VPN), siga estos pasos.

Tras completar correctamente los pasos 2 - 4, la Certificados de confianza página de su instancia de RADIUSaaS se parecerá a la siguiente. Tenga en cuenta que en nuestro ejemplo hemos utilizado un MikroTik punto de acceso.

Descripción general de certificados de confianza requerida para Microsoft Cloud PKI.

5

Configurar perfiles de Intune

Para configurar la autenticación WiFi basada en certificados, necesitamos crear una serie de perfiles e implementarlos mediante Intune. Estos perfiles son:

Tipo de perfil	Propósito
certificado de confianza	Implemente el certificado de la CA raíz.
certificado de confianza	Implemente el certificado de la CA emisora.
certificado de confianza	Implemente el certificado de la CA raíz que ha emitido el certificado del servidor RADIUS.
certificado SCEP	Inscriba el certificado de autenticación de cliente.
Wi-Fi	Despliegue la configuración del adaptador de red inalámbrica.

Perfiles relevantes de Intune

Perfiles de certificados de confianza

Microsoft Cloud PKI

Implemente los certificados de CA raíz y CA emisora creados en Paso 1 mediante un certificado de confianza perfil en sus dispositivos navegando hasta el Intune admin center y luego a Inicio > Dispositivos > Windows > Perfiles de configuración > Crear > Nueva directiva con los siguientes parámetros:

• Plataforma = Windows 10 y posteriores

• Tipo de perfil = Plantilla

• Nombre de la plantilla = Certificado de confianza.

Cargue el archivo de certificado correspondiente (*.cer) en el perfil respectivo:

• Certificado de CA raíz creado aquí

• Certificado de CA emisora creado aquí

Tenga en cuenta que debe usar el mismo grupo para asignar el certificado de confianza y los perfiles SCEP. De lo contrario, la implementación de Intune podría fallar.

Esto debe repetirse para cada plataforma de dispositivo que vaya a usar el servicio (por ejemplo, Windows, macOS, ...)

Confianza del servidor RADIUS

A continuación, envíe el certificado de CA raíz que ha emitido su certificado del servidor RADIUS, como se describe aquí:

Confianza del servidor

Perfil de certificado SCEP

Para crear un certificado SCEP perfil en Intune admin center, primero copie la URI de SCEP de Inicio > Tenant admin > Cloud PKI > Contoso Issuing CA > Propiedades > URI de SCEP.

A continuación, vaya a Inicio > Dispositivos > Windows > Perfiles de configuración > Crear > Nueva directiva con los siguientes parámetros:

• Plataforma = Windows 10 y posteriores

• Tipo de perfil = Plantilla

• Nombre de la plantilla = Certificado SCEP

A continuación, configure la plantilla según la captura de pantalla siguiente, asegurándose de haber adjuntado el Certificado raíz de Contoso creado anteriormente en el paso 1 y la URI de SCEP de la que tomó una copia arriba.

Configuración del certificado de dispositivo SCEP

Esto debe repetirse para cada plataforma de dispositivo que vaya a usar el servicio (por ejemplo, Windows, macOS, ...)

perfil Wi-Fi

Implemente la configuración del adaptador WiFi en sus dispositivos siguiendo este artículo:

Perfil WiFi

6

Permisos y contactos técnicos

Esto es un obligatorio paso.

Primero, revise su Permisos para asegurarse de que las personas adecuadas de su organización tengan el nivel correcto de acceso administrativo a su instancia de RADIUSaaS.

Para evitar quedar bloqueado fuera de su instancia de RADIUSaaS, asegúrese siempre de que, o bien

• al menos dos identidades de usuario o

• una cuenta de servicio

estén configuradas como Administradores.

A continuación, asegúrese de que podamos contactarlo en caso de que tengamos información técnica importante que compartir, revisando la Contactos técnicos sección.

Para que podamos entregarle información importante de forma fiable por correo electrónico, asegúrese siempre de que, o bien

• al menos dos direcciones de correo electrónico de personas o

• un buzón compartido / lista de distribución

estén configurados.

7

Reglas

Esto es un opcionales paso.

Si desea configurar reglas adicionales, por ejemplo para asignar identificadores VLAN o limitar las solicitudes de autenticación a determinadas CA de confianza o puntos de acceso WiFi, consulte el motor de reglas de RADIUSaaS.

Reglas