Použití certifikátů k ověřování v Microsoft Intune

Používejte certifikáty s Intune k ověřování uživatelů v aplikacích a podnikových prostředcích prostřednictvím vpn, Wi-Fi nebo e-mailových profilů. Když k ověření těchto připojení použijete certifikáty, koncoví uživatelé nebudou muset zadávat uživatelská jména a hesla, což jim umožní bezproblémový přístup. Certifikáty se používají také k podepisování a šifrování e-mailů pomocí S/MIME.

Úvod do certifikátů s Intune

Certifikáty poskytují ověřený přístup bez zpoždění v následujících dvou fázích:

  • Fáze ověřování: Zkontroluje se pravost uživatele, aby se potvrdilo, že uživatel je tím, za koho se vydávají.
  • Fáze autorizace: Uživatel podléhá podmínkám, pro které se určí, zda má být uživateli udělen přístup.

Mezi typické scénáře použití certifikátů patří:

  • Síťové ověřování (například 802.1x) pomocí certifikátů zařízení nebo uživatelů
  • Ověřování na serverech VPN pomocí certifikátů zařízení nebo uživatelů
  • Podepisování e-mailů na základě uživatelských certifikátů

Intune podporuje protokol SCEP (Simple Certificate Enrollment Protocol), standardy PKCS (Public Key Cryptography Standards) a importované certifikáty PKCS jako metody zřizování certifikátů na zařízeních. Různé metody zřizování mají různé požadavky a výsledky. Příklad:

  • SCEP zřizuje certifikáty, které jsou jedinečné pro každou žádost o certifikát.
  • PKCS zřídí každé zařízení jedinečným certifikátem.
  • S importovaným pkcs můžete nasadit stejný certifikát, který jste vyexportovali ze zdroje, jako je e-mailový server, pro více příjemců. Tento sdílený certifikát je užitečný k zajištění toho, aby všichni vaši uživatelé nebo zařízení mohli dešifrovat e-maily, které byly tímto certifikátem zašifrované.

Pokud chcete zřídit uživatele nebo zařízení s konkrétním typem certifikátu, Intune používá profil certifikátu.

Kromě tří typů certifikátů a metod zřizování budete potřebovat důvěryhodný kořenový certifikát od důvěryhodné certifikační autority (CA). Certifikační autoritou může být místní certifikační autorita Microsoftu nebo certifikační autorita třetí strany. Důvěryhodný kořenový certifikát vytvoří vztah důvěryhodnosti ze zařízení ke kořenové nebo zprostředkující (vydávající) certifikační autoritě, ze které jsou vystaveny ostatní certifikáty. K nasazení tohoto certifikátu použijete profil důvěryhodného certifikátu a nasadíte ho do stejných zařízení a uživatelů, kteří obdrží profily certifikátů pro SCEP, PKCS a importované PKCS.

Tip

Intune také podporuje použití odvozených přihlašovacích údajů v prostředích, která vyžadují použití čipových karet.

Co je potřeba k použití certifikátů

  • Certifikační autorita. Vaše certifikační autorita je zdrojem důvěryhodnosti, na který certifikáty odkazují pro ověřování. Můžete použít certifikační autoritu Microsoftu nebo certifikační autoritu třetí strany.
  • Místní infrastruktura. Infrastruktura, kterou budete potřebovat, závisí na typech certifikátů, které budete používat:
  • Důvěryhodný kořenový certifikát. Před nasazením profilů certifikátů SCEP nebo PKCS nasaďte důvěryhodný kořenový certifikát z certifikační autority pomocí profilu důvěryhodného certifikátu . Tento profil pomáhá navázat vztah důvěryhodnosti ze zařízení zpět k certifikační autoritě a vyžaduje ho ostatní profily certifikátů.

Po nasazení důvěryhodného kořenového certifikátu pak budete připraveni nasadit profily certifikátů, které uživatelům a zařízením zřídí certifikáty pro ověřování.

Který profil certifikátu se má použít

Následující porovnání nejsou komplexní, ale slouží k odlišení různých typů profilů certifikátů.

Typ profilu Podrobnosti
Důvěryhodný certifikát Slouží k nasazení veřejného klíče (certifikátu) z kořenové nebo zprostředkující certifikační autority uživatelům a zařízením, aby se navázal vztah důvěryhodnosti zpět ke zdrojové certifikační autoritě. Jiné profily certifikátů vyžadují profil důvěryhodného certifikátu a jeho kořenový certifikát.
Certifikát SCEP Nasadí šablonu pro žádost o certifikát pro uživatele a zařízení. Každý certifikát, který je zřízený pomocí protokolu SCEP, je jedinečný a je svázaný s uživatelem nebo zařízením, které certifikát požaduje.

S SCEP můžete nasadit certifikáty do zařízení, která nemají přidružení uživatele, včetně použití SCEP ke zřízení certifikátu na zařízení bez veřejného terminálu nebo zařízení bez uživatele.
Certifikát PKCS Nasadí šablonu pro žádost o certifikát, která určuje typ certifikátu uživatele nebo zařízení.

– Požadavky na typ certifikátu uživatele vždy vyžadují přidružení uživatele. Při nasazení pro uživatele obdrží každé zařízení uživatele jedinečný certifikát. Při nasazení do zařízení s uživatelem se tento uživatel přidružuje k certifikátu pro toto zařízení. Při nasazení do zařízení bez uživatelů se nezřídí žádný certifikát.
– Šablony s typem certifikátu zařízení nevyžadují přidružení uživatele ke zřízení certifikátu. Nasazení do zařízení zřídí zařízení. Nasazení pro uživatele zřídí zařízení, ke kterým je uživatel přihlášený pomocí certifikátu.
Importovaný certifikát PKCS Nasadí jeden certifikát do více zařízení a uživatelů, což podporuje scénáře, jako je podepisování A/MIME a šifrování. Například nasazením stejného certifikátu do každého zařízení může každé zařízení dešifrovat e-maily přijaté ze stejného e-mailového serveru.

Jiné metody nasazení certifikátů nejsou pro tento scénář dostatečné, protože SCEP vytvoří pro každý požadavek jedinečný certifikát a PKCS přidruží pro každého uživatele jiný certifikát, přičemž různí uživatelé obdrží jiné certifikáty.

Intune podporované certifikáty a využití

Typ Ověřování Podepisování S/MIME Šifrování S/MIME
Importovaný certifikát PKCS (Public Key Cryptography Standards) Podporovány Podporovány
PKCS#12 (nebo PFX) Podporovány Podporovány
SCEP (Simple Certificate Enrollment Protocol) Podporovány Podporovány

Pokud chcete tyto certifikáty nasadit, vytvoříte a přiřadíte k zařízením profily certifikátů.

Každý profil certifikátu, který vytvoříte, podporuje jednu platformu. Pokud například používáte certifikáty PKCS, vytvoříte profil certifikátu PKCS pro Android a samostatný profil certifikátu PKCS pro iOS/iPadOS. Pokud pro tyto dvě platformy používáte také certifikáty SCEP, vytvoříte profil certifikátu SCEP pro Android a jiný pro iOS/iPadOS.

Obecné aspekty při používání certifikační autority Microsoftu

Pokud používáte certifikační autoritu (CA) Microsoftu:

Obecné aspekty při používání certifikační autority třetí strany

Pokud používáte certifikační autoritu třetí strany (mimo Microsoft):

Podporované platformy a profily certifikátů

Platforma Profil důvěryhodného certifikátu Profil certifikátu PKCS Profil certifikátu SCEP Importovaný profil certifikátu PKCS
Správce zařízení s Androidem Podporovány
(viz poznámka 1)
Podporovány Podporovány Podporovány
Android Enterprise
- Plně spravované (vlastník zařízení)
Podporovány Podporovány Podporovány Podporovány
Android Enterprise
– Dedicated (vlastník zařízení)
Podporovány Podporovány Podporovány Podporovány
Android Enterprise
– Corporate-Owned pracovní profil
Podporovány Podporovány Podporovány Podporovány
Android Enterprise
– Personally-Owned pracovní profil
Podporovány Podporovány Podporovány Podporovány
Android (AOSP) Podporovány Podporovány Podporovány
iOS/iPadOS Podporovány Podporovány Podporovány Podporovány
macOS Podporovány Podporovány Podporovány Podporovány
Windows 8.1 a novější Podporovány Podporovány
Windows 10/11 Podporovány
(viz poznámka 2)
Podporovány
(viz poznámka 2)
Podporovány
(viz poznámka 2)
Podporovány

Důležité

22. října 2022 Microsoft Intune ukončila podporu zařízení s Windows 8.1. Technická pomoc a automatické aktualizace na těchto zařízeních nejsou k dispozici.

Pokud aktuálně používáte Windows 8.1, doporučujeme přejít na zařízení Windows 10/11. Microsoft Intune má integrované funkce zabezpečení a zařízení, které spravují Windows 10/11 klientských zařízení.

Další kroky

Další zdroje

Vytvoření profilů certifikátů:

Informace o Certificate Connectoru pro Microsoft Intune