Integrace řízení přístupu k síti (NAC) s Intune

Intune se integruje s partnery pro řízení přístupu k síti (NAC), aby organizacím pomohli zabezpečit podniková data, když se zařízení pokusí získat přístup k místním prostředkům.

Poznámka

Služba načítání dodržování předpisů byla vydána v červenci 2021 a nahradila předchozí službu Intune NAC. Microsoft Intune poskytuje podporu pro starší verzi služby Intune NAC do 31. března 2024. Naši partneři NAC přecházejí na službu vyhledávání shod a zahrnují:

  • ExtremeCloud Universal ZTNA
  • Extreme Networks ExtremeCloud IQ-Site Engine verze 24.2
  • Cisco ISE 3.1 a novější
  • Citrix Gateway 13.0-84.11 a novější
  • Citrix Gateway 13.1–12.50 a novější
  • F5 Správce zásad přístupu BIG-IP 14.1.5.2 a novější
  • F5 Správce zásad přístupu BIG-IP 15.1.7 a novější
  • F5 Správce zásad přístupu BIG-IP 16.1.3.1 a novější
  • F5 Správce zásad přístupu BIG-IP 17.0 a novější
  • Ivanti Connect Secure 9.1R16 a novější
  • Aruba ClearPass s rozšířením Microsoft Intune verze 6 a novější
  • Forescout eyeExtend Microsoft Module v1.0.1 a novější
  • Portnox Cloud
  • Fortinet FortiNAC 9.4.x
  • Fortinet FortiNAC-F 7.x a novější

V budoucnu vyřadíme službu Intune NAC z provozu, proto doporučujeme migrovat na službu načítání dodržování předpisů, aby nedošlo k přerušení služeb. Pokud máte dotazy týkající se služby načítání dodržování předpisů nebo dopadu na vašeho tenanta, obraťte se na poskytovatele řešení NAC. Další informace a aktualizace o službě načítání dodržování předpisů a partnerech NAC najdete v tématu Microsoft Tech Community: Nová služba Microsoft Intune pro řízení přístupu k síti.

Jak řešení Intune a NAC pomáhají chránit prostředky vaší organizace?

Řešení NAC kontrolují stav registrace zařízení a dodržování předpisů pomocí Intune, aby bylo možné rozhodovat o řízení přístupu. Pokud zařízení není zaregistrované nebo je zaregistrované a nevyhovuje Intune zásadám dodržování předpisů zařízením, mělo by být přesměrováno na Intune za účelem registrace nebo kontroly dodržování předpisů zařízení.

Příklad

Pokud je zařízení zaregistrované a vyhovuje službě Intune, mělo by řešení NAC umožnit zařízení přístup k podnikovým prostředkům. Uživatelům se například může povolit nebo odepřít přístup při pokusu o přístup k podnikovým Wi-Fi nebo prostředkům sítě VPN.

Chování funkcí

Zařízení, která se aktivně synchronizují s Intune, se nemůžou přesunout z úrovně Vyhovující / nedodržující předpisy do kategorie Nesynchronizováno (nebo Neznámé). Neznámý stav je vyhrazený pro nově zaregistrovaná zařízení, která ještě nebyla vyhodnocena z hlediska dodržování předpisů.

U zařízení, u kterých je zablokován přístup k prostředkům, by blokující služba měla přesměrovat všechny uživatele na portál pro správu , aby zjistila, proč je zařízení blokováno. Pokud uživatelé navštíví tuto stránku, jejich zařízení se synchronně znovu vyhodnotí z hlediska dodržování předpisů.

NAC a podmíněný přístup

NAC spolupracuje s podmíněným přístupem k rozhodování o řízení přístupu. Další informace najdete v tématu Běžné způsoby použití podmíněného přístupu s Intune.

Jak funguje integrace NAC

Následující seznam obsahuje přehled o tom, jak funguje integrace NAC při integraci s Intune. První tři kroky, 1-3, vysvětlují proces onboardingu. Jakmile je řešení NAC integrované s Intune, kroky 4 až 9 popisují probíhající provoz.

Koncepční obrázek toho, jak NAC funguje s Intune

  1. Zaregistrujte partnerské řešení NAC s Microsoft Entra ID a udělte delegovaná oprávnění k rozhraní Intune NAC API.
  2. Nakonfigurujte partnerské řešení NAC s příslušnými nastaveními, včetně adresy URL zjišťování Intune.
  3. Nakonfigurujte partnerské řešení NAC pro ověřování certifikátů.
  4. Uživatel se připojuje k podnikovému přístupovému bodu Wi-Fi nebo zadá žádost o připojení VPN.
  5. Partnerské řešení NAC předá informace o zařízení službě Intune a zeptá se služby Intune na stav registrace zařízení a dodržování předpisů.
  6. Pokud zařízení neodpovídá předpisům nebo není zaregistrováno, partnerské řešení NAC dá uživateli pokyn, aby se zaregistroval nebo opravil dodržování předpisů zařízení.
  7. Zařízení se pokusí znovu ověřit dodržování předpisů a stav registrace, pokud je to možné.
  8. Jakmile je zařízení zaregistrované a kompatibilní, partnerské řešení NAC získá stav z Intune.
  9. Úspěšně je navázáno připojení, které umožňuje zařízení přístup k podnikovým prostředkům.

Poznámka

Partnerská řešení NAC obvykle provedou dva různé typy dotazů na Intune, aby se zeptala na stav dodržování předpisů zařízení:

  • Filtrování dotazů na základě známé hodnoty vlastnosti jednoho zařízení, jako je jeho IMEI nebo Wi-Fi adresa MAC
  • Široké, nefiltrované dotazy pro všechna zařízení, která nedodržují předpisy.

NAC Solutions mohou provádět tolik dotazů specifických pro dané zařízení, kolik je potřeba. Široké nefiltrované dotazy však mohou být omezeny. Řešení NAC by mělo být nakonfigurováno tak, aby odesílalo dotazy na všechna nevyhovující zařízení , maximálně jednou za čtyři hodiny. Dotazy, které se zadávají častěji, obdrží ze služby Intune chybu http 503.

Povolení NAC

Chcete-li povolit použití NAC a služby načítání shody, prostudujte si nejnovější dokumentaci k vašemu produktu NAC pro povolení integrace NAC s Intune. Tato integrace může vyžadovat, abyste provedli změny po upgradu na nový produkt nebo verzi NAC.

Služba načítání dodržování předpisů vyžaduje ověřování na základě certifikátů a použití ID zařízení Intune jako alternativního názvu předmětu certifikátů. Pro certifikáty SCEP (Simple Certificate Enrollment Protocol) a PKCS (Private and Public Key Pair) můžete přidat atribut typu URI s hodnotou definovanou vaším poskytovatelem NAC. Pokyny poskytovatele NAC mohou například říkat, že jako Předmět máte uvést IntuneDeviceId://{{DeviceID}}alternativní název.

Jiné produkty NAC mohou vyžadovat, abyste při používání NAC s profily VPN pro iOS uvedli ID zařízení.

Tip

Doporučujeme používat ověřování založené na certifikátech s ID zařízení Intune, kdykoli je to možné. Pokud nemůžete použít ověřování na základě certifikátů, Intune podporuje dotazování zařízení na základě adres MAC.

Další informace o profilech certifikátů najdete v tématech Použití profilů certifikátů SCEP s Microsoft Intune a Použití profilu certifikátu PKCS ke zřízení zařízení s certifikáty v Microsoft Intune.

Data sdílená s partnery NAC

Konkrétní vlastnosti zařízení, které jsou sdíleny s partnery NAC, závisí na verzi NAC API, kterou produkt NAC používá. Kontaktujte svého partnera NAC pro více informací o tom, kterou verzi NAC nebo Compliance Retrieval API váš produkt NAC používá.

Vrácená data budou také omezená, pokud:

  • Zařízení není zaregistrované v Intune. V takovém případě se s produktem NAC nebudou sdílet žádné jiné informace než to, že zařízení není spravované přes Intune.
  • Operační systém brání sdílení konkrétní vlastnosti zařízení s Microsoftem. Intune bude sdílet prázdné hodnoty zpět s produktem NAC pro datové vlastnosti, které operační systém nesdílí s Intune.
Vlastnost zařízení K dispozici v NAC 1.0 K dispozici v NAC 1.1 K dispozici v NAC 1.3 K dispozici v Compliance Retrieval/NAC 2.0
Stav dodržování předpisů Ano Ano Ano Ano
Spravováno službami Intune Ano Ano Ano Ano
Osobní nebo firemní vlastnictví Ne Ano Ano Ne
Adresa MAC Ano Ano Ano Ano
Sériové číslo Ano Ano Ano Ne
IMEI Ano Ano Ano Ne
UDID Ano Ano Ano Ne
MEID Ano Ano Ano Ne
Verze operačního systému Ano Ano Ano Ne
Model zařízení Ano Ano Ano Ne
Výrobce Ano Ano Ano Ne
ID zařízení Microsoft Entra Ano Ano Ano Ne
Čas posledního kontaktu s Intune Ano Ano Ano Ne
ID zařízení s Intune Ne Ne Ne Ano

Další kroky

  • Poslední aktualizace v