Cet article a été traduit automatiquement. La traduction peut contenir des imprécisions.
Passer à la version originale en anglais.
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Certificats de confiance

Types de certificats approuvés

AC approuvées pour l'authentification du client

Les AC approuvées pour l'authentification du client établissent la confiance entre les AC qui émettent des certificats d'authentification du client pour vos appareils terminaux et RADIUSaaS.

Certificats de connexion RadSec approuvés

RadSec fonctionne lui-même avec une authentification mutuelle par certificat (mTLS). Cela signifie que, d'une part, vos authentificateurs doivent faire confiance à RADIUSaaS et d'autre part RADIUSaaS doit savoir quels authentificateurs approuver afin qu'une connexion RadSec valide puisse être établie. Les certificats de connexion RadSec approuvés garantissent que RADIUSaaS ne fait confiance qu'aux authentificateurs que vous spécifiez.

Certificat RadSec approuvé préinstallé

En raison de ce qui précède, vous verrez toujours au moins un certificat RadSec approuvé qui établit la confiance avec vos proxys RADIUS (agissant en pratique comme des clients RadSec). Pour garantir que vos proxys puissent démarrer correctement et établir une connexion à votre instance, vous ne pouvez pas le supprimer.

Ajouter

Si vous disposez d'une infrastructure PKI hiérarchisée (par ex. une PKI Microsoft legacy), veuillez envisager ceci.

Pour ajouter un nouveau certificat approuvé, procédez comme suit :

  1. Cliquez sur Ajouter

  2. Sélectionnez si vous souhaitez importer le certificat approuvé

    • depuis SCEPman (en fournissant l'URL de votre instance SCEPman), ou

    • depuis toute autre AC (en téléversant un fichier de certificat encodé PEM ou DER)

  3. Sélectionnez le type de certificat approuvé sous À utiliser pour:

  4. Téléversez le fichier de certificat par glisser-déposer (vous pouvez également cliquer dans la zone bleue et sélectionner votre fichier)

  5. Sélectionnez l'option de vérification du certificat :

    • Détection automatique OCSP: RADIUSaaS tentera de déduire l'URL du répondeur OCSP à partir de l'extension Authority Information Access (AIA) du certificat client utilisée pour l'authentification réseau. Si aucune URL de répondeur OCSP n'est trouvée ou si le répondeur OCSP n'est pas disponible, RADIUSaaS considérera la échec tolérant configuration.

    • OCSP: Indiquez manuellement quelle URL de répondeur OCSP sera utilisée pour tout certificat émis par l'AC approuvée. Si le répondeur OCSP n'est pas disponible, RADIUSaaS considérera la échec tolérant configuration.

    • CRL: Si cette option est sélectionnée, RADIUSaaS utilise une CRL au lieu d'OCSP pour vérifier les certificats émis par cette AC. Indiquez l'encodage de la CRL (DER ou PEM) et les points de distribution de la CRL. RADIUSaaS vérifie la CRL en cache toutes les heures et ne télécharge une nouvelle CRL qu'une fois que son Mise à jour suivante est écoulée.

    • Aucun : Si votre AC ne prend en charge ni OCSP ni CRL, sélectionnez Aucun pour ignorer la vérification.

  6. Cliquez sur Enregistrer

Si votre PKI comporte une hiérarchie multiniveau (AC racine, AC intermédiaire, AC émettrice), veillez à les téléverser toutes dans le magasin de certificats approuvés de RADIUSaaS.

Supprimer

Pour supprimer un certificat, développez la ligne correspondante, cliquez sur Supprimer et confirmez votre choix.

Affichage de la suppression d'un certificat approuvé

Échec tolérant OCSP

Ce paramètre détermine le comportement de RADIUSaaS lorsque le répondeur OCSP de votre AC approuvée est injoignable.

Si vous désactivez ce paramètre, les demandes d'authentification seront rejetées lorsque le répondeur OCSP de votre AC est injoignable.

Veuillez vérifier Conséquences du mode échec souple d'OCSP pour vous assurer que vous comprenez les implications de ce paramètre.

Notez que ce paramètre est uniquement disponible lorsque Détection automatique OCSP ou OCSP est sélectionné pour la vérification des certificats.

Par défaut, nous recommandons d'activer l'échec tolérant OCSP afin d'accroître la disponibilité du service en permettant d'accepter les demandes d'authentification même si le répondeur OCSP est injoignable. Avec ce échec tolérant mécanisme, et si OCSP n'est pas accessible, RADIUSaaS vérifiera uniquement si le certificat entrant a été signé par l'une des AC approuvées et traite toute Règles.

Hiérarchie PKI hiérarchisée

Dans un environnement d'AC hiérarchisée avec plusieurs AC émettrices configurées, les certificats émis par l'AC racine ou par toute AC émettrice obtiendront l'accès, qu'ils aient été émis par l'AC racine ou par une AC émettrice. Cela signifie qu'accorder sa confiance à la racine fera automatiquement confiance aux certificats émis par n'importe laquelle des AC émettrices. Si l'accès doit être contrôlé en fonction des AC émettrices, cela peut être réalisé en configurant les règles correspondantes.

Considérations

Lors du téléversement des AC racine et émettrices d'une PKI hiérarchisée, veuillez tenir compte des points suivants :

  • La AC racine doit être téléversée en premier, avant de téléverser toute AC émettrice dérivée de cette AC racine.

  • Les AC racine et émettrices doivent être téléversées dans des fichiers distincts. Le téléversement de chaînes de certificats à partir d'un seul fichier peut entraîner un comportement inattendu.

Paramètres optionnels

ID Intune

Il est possible d'utiliser le certificat que chaque machine Windows 10 reçoit d'Intune lorsqu'elle rejoint Microsoft Entra ID (Azure AD).

Ce paramètre est facultatif. Si vous ne connaissez pas les certificats Intune, veuillez ne pas les configurer !

Pourquoi ne recommandons-nous pas d'utiliser les certificats Intune à des fins d'authentification ?

  • Les certificats Intune ne sont pas pris en charge par Microsoft pour d'autres usages que la gestion avec Intune.

  • La durée de validité des certificats Intune est de 1 an.

  • Il n'existe aucun mécanisme de révocation des certificats (comme OCSP).

Au lieu d'utiliser les certificats Intune, nous recommandons d'utiliser des certificats provenant d'une PKI comme SCEPman.

Configurer les IDs Intune

Utilisez ce paramètre avec prudence. L'un des IDs suivants doit exister dans l'extension de certificat 1.2.840.113556.5.14. Tous les autres certificats seront rejetés.

Pour obtenir votre ID de Tenant Intune, procédez comme suit :

  • Appuyez sur Windows + R et saisissez certlm.msc

  • Accédez à vos certificats personnels. Il y aura un certificat émis par l'un des émetteurs suivants

    • SC Online Issuing

    • MDM Device Authority

  • Ouvrez ce certificat, accédez à Détails et recherchez l'extension

    1.2.840.113556.5.14

  • La valeur HEX affichée est votre ID de Tenant Intune.

Exemple :

L'ID de Tenant du certificat suivant est : bb4397cb6891c64db17f766487518a6a

Affichage du certificat

XML

Le profil XML généré par RADIUSaaS activera la mise en cache PMK.

Aujourd'hui, la plupart des plateformes MDM proposent une méthode guidée pour déployer des profils réseau (WiFi et LAN). Si cela n'est pas possible, ou si l'assistant ne propose que des options de configuration limitées, vous pouvez générer directement un profil XML brut sur la plateforme RADIUSaaS.

  • Pour générer votre WiFi profil XML :

    1. Développez le XML menu,

    2. sélectionnez le protocole de sécurité souhaité (WPA2 ou WPA3),

    3. saisissez votre SSID,

    4. et cliquez sur Télécharger.

  • Pour générer votre Filaire profil XML, cliquez sur Télécharger.

Mis à jour

Ce contenu vous a-t-il été utile ?