Integracja kontroli dostępu do sieci (NAC) z usługą Intune

  • Artykuł

Usługa Intune integruje się z partnerami kontroli dostępu do sieci (NAC), aby ułatwić organizacjom zabezpieczanie danych firmowych, gdy urządzenia próbują uzyskać dostęp do zasobów lokalnych.

Uwaga

Nowa usługa NAC (CR) została wydana w lipcu 2021 r., a wielu naszych partnerów NAC przechodzi do tej nowej usługi. Chociaż rozszerzyliśmy oś czasu obsługi starszej usługi NAC do 31 marca 2024 r., zalecamy migrację do nowej usługi CR, aby uniknąć zakłóceń w działaniu usługi. Obecnie następujący produkt partnerski NAC obsługuje nową usługę NAC:

  • Cisco ISE 3.1 i nowsze
  • Citrix Gateway 13.0-84.11 i nowsze
  • Citrix Gateway 13.1-12.50 i nowsze
  • F5 BIG-IP Access Policy Manager 14.1.5.2 i nowsze
  • F5 BIG-IP Access Policy Manager 15.1.7 lub nowszy
  • F5 BIG-IP Access Policy Manager 16.1.3.1 lub nowszy
  • F5 BIG-IP Access Policy Manager 17.0 i nowsze
  • Ivanti Connect Secure 9.1R16 i nowsze
  • Aruba ClearPass z rozszerzeniem Microsoft Intune v6 i nowszym
  • Forescout eyeExtend Microsoft Module w wersji 1.0.1 lub nowszej
  • Portnox Cloud

Jeśli masz pytania dotyczące wpływu tego przejścia, skontaktuj się z partnerem NAC. Aby uzyskać więcej informacji, zobacz nasz wpis w blogu dotyczący nowej usługi pobierania zgodności.

W jaki sposób rozwiązania usługi Intune i translatora adresów sieciowych pomagają chronić zasoby organizacji?

Rozwiązania NAC sprawdzają stan rejestracji urządzeń i zgodności w usłudze Intune, aby podejmować decyzje dotyczące kontroli dostępu. Jeśli urządzenie nie jest zarejestrowane lub jest zarejestrowane i niezgodne z zasadami zgodności urządzeń usługi Intune, urządzenie powinno zostać przekierowane do usługi Intune w celu rejestracji lub sprawdzenia zgodności urządzenia.

Przykład

Jeśli urządzenie jest zarejestrowane i zgodne z usługą Intune, rozwiązanie NAC powinno zezwalać urządzeniu na dostęp do zasobów firmowych. Na przykład użytkownicy mogą mieć dozwolony lub zablokowany dostęp podczas próby uzyskania dostępu do firmowych Wi-Fi lub zasobów sieci VPN.

Zachowania funkcji

Urządzenia aktywnie synchronizowane z usługą Intune nie mogą przenieść się ze zgodnych / niezgodnych do niezsynchronizowanych (lub nieznanych). Stan Nieznany jest zarezerwowany dla nowo zarejestrowanych urządzeń, które nie zostały jeszcze ocenione pod kątem zgodności.

W przypadku urządzeń, które nie mają dostępu do zasobów, usługa blokująca powinna przekierowywać wszystkich użytkowników do portalu zarządzania , aby określić, dlaczego urządzenie jest zablokowane. Jeśli użytkownicy odwiedzają tę stronę, ich urządzenia są synchronicznie ponownie oceniane pod kątem zgodności.

Translator adresów dostępu i dostęp warunkowy

Usługa NAC współpracuje z dostępem warunkowym w celu zapewnienia decyzji dotyczących kontroli dostępu. Aby uzyskać więcej informacji, zobacz Typowe sposoby korzystania z dostępu warunkowego w usłudze Intune.

Jak działa integracja translatora adresów sieciowych

Poniższa lista zawiera omówienie sposobu działania integracji translatora adresów sieciowych w przypadku integracji z usługą Intune. Pierwsze trzy kroki, 1–3, wyjaśniają proces dołączania. Po zintegrowaniu rozwiązania NAC z usługą Intune kroki 4–9 opisują trwającą operację.

Koncepcyjny obraz sposobu działania translatora adresów sieciowych z usługą Intune

  1. Zarejestruj rozwiązanie partnerskie NAC przy użyciu identyfikatora Microsoft Entra i przyznaj delegowane uprawnienia do interfejsu API translatora adresów sieciowych usługi Intune.
  2. Skonfiguruj rozwiązanie partnerskie NAC przy użyciu odpowiednich ustawień, w tym adresu URL odnajdywania usługi Intune.
  3. Skonfiguruj rozwiązanie partnerskie NAC na potrzeby uwierzytelniania certyfikatów.
  4. Użytkownik nawiązuje połączenie z firmowym punktem dostępu Wi-Fi lub wysyła żądanie połączenia sieci VPN.
  5. Rozwiązanie partnerskie translatora adresów sieciowych przekazuje informacje o urządzeniu do usługi Intune i pyta usługę Intune o stan rejestracji i zgodności urządzenia.
  6. Jeśli urządzenie nie jest zgodne lub nie zostało zarejestrowane, rozwiązanie partnerskie translatora adresów sieciowych nakazuje użytkownikowi zarejestrowanie lub naprawienie zgodności urządzenia.
  7. Urządzenie próbuje przywrócić jego zgodność i stan rejestracji, jeśli ma to zastosowanie.
  8. Po zarejestrowaniu i zgodności urządzenia rozwiązanie partnerskie NAC pobiera stan z usługi Intune.
  9. Połączenie zostało pomyślnie nawiązane, co umożliwia urządzeniu dostęp do zasobów firmowych.

Uwaga

Rozwiązania partnerskie translatora adresów sieciowych zwykle wysyłają do usługi Intune dwa różne typy zapytań, aby zapytać o stan zgodności urządzeń:

  • Filtrowanie zapytań na podstawie znanej wartości właściwości pojedynczego urządzenia, takiej jak adres IMEI lub adres MAC Wi-Fi
  • Szerokie, niefiltrowane zapytania dotyczące wszystkich niezgodnych urządzeń.

Rozwiązania NAC mogą wykonywać dowolną liczbę zapytań specyficznych dla urządzenia zgodnie z wymaganiami. Jednak szerokie niefiltrowane zapytania mogą być ograniczane. Rozwiązanie translatora adresów sieciowych powinno być skonfigurowane tak, aby przesyłało tylko zapytania dotyczące wszystkich niezgodnych urządzeń co najwyżej raz na cztery godziny. Zapytania wykonywane częściej będą otrzymywać błąd http 503 z usługi Intune.

Włączanie translatora adresów dostępu

Aby włączyć korzystanie z translatora adresów sieciowych i usługi pobierania zgodności , która stała się dostępna w lipcu 2021 r., zapoznaj się z najnowszą dokumentacją produktu NAC dotyczącą włączania integracji nac z usługą Intune. Ta integracja może wymagać wprowadzenia zmian po uaktualnieniu do nowego produktu lub wersji translatora adresów sieciowych.

Usługa pobierania zgodności wymaga uwierzytelniania opartego na certyfikatach i użycia identyfikatora urządzenia usługi Intune jako alternatywnej nazwy podmiotu certyfikatów. W przypadku certyfikatów protokołu Simple Certificate Enrollment Protocol (SCEP) oraz certyfikatów par kluczy prywatnych i publicznych (PKCS) można dodać atrybut typu identyfikatora URI z wartością zdefiniowaną przez dostawcę TRANSLATOR. Na przykład instrukcje dostawcy NAC mogą zawierać IntuneDeviceId://{{DeviceID}}jako alternatywną nazwę podmiotu.

Inne produkty NAC mogą wymagać uwzględnienia identyfikatora urządzenia podczas korzystania z translatora adresów sieciowych z profilami sieci VPN systemu iOS.

Uwaga

Dodaliśmy obsługę wykonywania zapytań dotyczących urządzeń na podstawie adresów Mac dla klientów, którzy nie mogą korzystać z uwierzytelniania opartego na certyfikatach. Zalecamy jednak używanie uwierzytelniania opartego na certyfikatach z identyfikatorem urządzenia usługi Intune tam, gdzie jest to możliwe.

Aby dowiedzieć się więcej o profilach certyfikatów, zobacz: Używanie profilów certyfikatów SCEP z Microsoft Intune i Używanie profilu certyfikatu PKCS do aprowizacji urządzeń z certyfikatami w Microsoft Intune

Dane udostępniane partnerom NAC

Określone właściwości urządzenia, które są współużytkowane z partnerami NAC, zależą od wersji interfejsu API NAC używanego przez produkt NAC. Skontaktuj się z partnerem translatora adresów sieciowych, aby uzyskać więcej informacji na temat wersji interfejsu NAC lub interfejsu API pobierania zgodności używanego przez produkt NAC.

Ponadto zwrócone dane będą ograniczone, jeśli:

  • Urządzenie nie jest zarejestrowane w usłudze Intune. W takim przypadku żadne informacje inne niż to, że urządzenie nie jest zarządzane przez usługę Intune, nie zostaną udostępnione produktowi NAC.
  • System operacyjny uniemożliwia udostępnianie określonej właściwości urządzenia firmie Microsoft. Usługa Intune będzie udostępniać puste wartości z powrotem do produktu NAC dla właściwości danych, które nie są udostępniane usłudze Intune przez system operacyjny.
Właściwość urządzenia Dostępne w usłudze NAC 1.0 Dostępne w usłudze NAC 1.1 Dostępne w nac 1.3 Dostępne w sekcji Pobieranie zgodności/NAC 2.0
Stan zgodności Tak Tak Tak Tak
Zarządzane przez usługę Intune Tak Tak Tak Tak
Własność osobista lub firmowa Nie Tak Tak Nie
Adres MAC Tak Tak Tak Tak
Numer seryjny Tak Tak Tak Nie
Numer IMEI Tak Tak Tak Nie
UDID Tak Tak Tak Nie
MEID Tak Tak Tak Nie
Wersja systemu operacyjnego Tak Tak Tak Nie
Model urządzenia Tak Tak Tak Nie
Producent Tak Tak Tak Nie
identyfikator urządzenia Microsoft Entra Tak Tak Tak Nie
Czas ostatniego kontaktu z usługą Intune Tak Tak Tak Nie
Identyfikator urządzenia usługi Intune Nie Nie Nie Tak

Następne kroki