Utilizar um perfil de dispositivo personalizado para criar um perfil Wi-Fi com uma chave pré-partilhada com o Intune

Artigo
06/21/2024

Importante

O Microsoft Intune vai terminar o suporte para a gestão de administradores de dispositivos Android em dispositivos com acesso ao Google Mobile Services (GMS) a 31 de dezembro de 2024. Após essa data, a inscrição de dispositivos, suporte técnico, correções de erros e correções de segurança estarão indisponíveis. Se utilizar atualmente a gestão de administradores de dispositivos, recomendamos que mude para outra opção de gestão do Android no Intune antes de o suporte terminar. Para obter mais informações, veja Terminar o suporte para administradores de dispositivos Android em dispositivos GMS.

As PSK (chaves pré-compartilhadas), normalmente, são usadas para autenticar usuários em redes Wi-Fi ou em LANs sem fio. Com o Intune, pode criar uma política de configuração de dispositivos Wi-Fi com uma chave pré-partilhada.

Para criar o perfil, use o recurso Perfis de dispositivo personalizados no Intune.

Esse recurso aplica-se a:

Administrador de dispositivo Android
Dispositivos Android Enterprise de propriedade pessoal com um perfil de trabalho
Windows
Wi-Fi baseado em EAP

Pode adicionar informações Wi-Fi e PSK num ficheiro XML. Em seguida, adicione o ficheiro XML a uma política de configuração de dispositivos personalizada no Intune. Quando a política estiver pronta, atribua a política aos seus dispositivos. Da próxima vez que o dispositivo iniciar sessão, a política é aplicada e é criado um perfil de Wi-Fi no dispositivo.

Este artigo mostra-lhe como criar a política no Intune e inclui um exemplo XML de uma política de Wi-Fi baseada em EAP.

Importante

Usar uma chave pré-compartilhada com Windows 10/11 faz com que um erro de correção seja mostrado no Intune. Quando isto acontece, o perfil de Wi-Fi é atribuído corretamente ao dispositivo e o perfil funciona conforme esperado.
Se você exportar um perfil de Wi-Fi que inclua uma chave pré-compartilhada, o arquivo deverá estar protegido. A chave está em texto simples. É da sua responsabilidade proteger a chave.

Pré-requisitos

Para criar a política, no mínimo, inicie sessão no centro de administração do Microsoft Intune com uma conta que tenha a função incorporada Gestor de Políticas e Perfis . Para obter mais informações sobre as funções incorporadas, aceda a Controlo de acesso baseado em funções do Microsoft Intune.

Antes de começar

Poderá ser mais fácil copiar a sintaxe XML de um computador que se liga a essa rede, conforme descrito em Criar o ficheiro XML a partir de uma ligação de Wi-Fi existente (neste artigo).
Você pode adicionar várias redes e chaves acrescentando mais configurações OMA-URI.
Para iOS/iPadOS, use o Apple Configurator em uma estação Mac para configurar o perfil.
PSK requer uma cadeia de caracteres de 64 dígitos hexadecimais ou uma senha de 8 a 63 caracteres ASCII imprimíveis. Alguns carateres, como asterisco (*), não são suportados.

Criar um perfil personalizado

Entre no Centro de administração do Microsoft Intune.
Selecione Dispositivos>Dispositivos gerenciados>Configuração>Criar>Nova política.
Insira as seguintes propriedades:
- Plataforma: escolha sua plataforma.
- Tipo de perfil: selecione Personalizado. Ou selecioneModelos>Personalizado.
Selecionar Criar.
Em Noções básicas, insira as seguintes propriedades:
- Nome: insira um nome descritivo para a política. Nomeie suas políticas para você identificá-las facilmente mais tarde. Por exemplo, um bom nome de política é Android-Custom Wi-Fi perfil.
- Descrição: Insira uma descrição para o perfil. Essa configuração é opcional, mas recomendada.
Selecione Avançar.
Em Definições de configuração, selecione Adicionar. Insira uma nova configuração de OMA-URI com as seguintes propriedades:
1. Nome: insira um nome para a configuração de OMA-URI.
2. Descrição: insira uma descrição para a configuração de OMA-URI. Essa configuração é opcional, mas recomendada.
3. OMA-URI: insira uma das seguintes opções:
  - Para Android: ./Vendor/MSFT/WiFi/Profile/SSID/Settings
  - Para Windows: ./Vendor/MSFT/WiFi/Profile/SSID/WlanXml
  Observação
  - Certifique-se de que inclui o caráter de ponto final no início do valor OMA-URI.
  - Caso haja espaço no SSID, adicione um espaço de escape de %20.
  SSID (Service Set Identifier) é o nome da rede Wi-Fi para o qual está a criar a política. Por exemplo, se o Wi-Fi chama-se Hotspot-1, insira ./Vendor/MSFT/WiFi/Profile/Hotspot-1/Settings. Caso o Wi-Fi seja nomeado como Contoso WiFi, insira ./Vendor/MSFT/WiFi/Profile/Contoso%20WiFi/Settings (com o espaço de escape %20).
4. Tipo de dados: selecione Cadeia de Caracteres.
5. Valor: cole seu código XML. Veja os exemplos neste artigo. Atualize cada valor de acordo com as suas configurações de rede. A seção de comentários do código inclui alguns ponteiros.
6. Selecione Adicionar para salvar as alterações.
Selecione Avançar.
Em Marcas de escopo (opcional), atribua uma marca para filtrar o perfil para grupos de TI específicos, como US-NC IT Team ou JohnGlenn_ITDepartment. Para obter mais informações sobre etiquetas de âmbito, aceda a Utilizar RBAC e etiquetas de âmbito para TI distribuídas.

Selecione Avançar.
Em Atribuições, selecione os usuários ou o grupo de usuários que receberão seu perfil. Para obter mais informações sobre a atribuição de perfis, aceda a Atribuir perfis de utilizador e de dispositivo.

Observação

Esta política só pode ser atribuída a grupos de usuários.

Selecione Avançar.
Em Examinar + criar, examine as configurações. Quando você seleciona Criar, suas alterações são salvas e o perfil é atribuído. A política também é mostrada na lista de perfis.

Na próxima vez em que cada dispositivo fizer check-in, a política será aplicada e será criado um perfil de Wi-Fi no dispositivo. Assim, o dispositivo poderá se conectar à rede automaticamente.

Exemplo de perfil de Wi-Fi do Windows ou do Android

O exemplo a seguir inclui o código XML para um perfil de Wi-Fi do Windows ou do Android. O exemplo é fornecido para mostrar o formato adequado e fornecer mais detalhes. Ele é apenas um exemplo e não se destina como uma configuração recomendada para o seu ambiente.

O que você precisa saber

<protected>false</protected> deve ser definido como false. Quando verdadeiro, pode fazer com que o dispositivo espere uma palavra-passe encriptada e, em seguida, tente desencriptá-la; o que pode resultar numa falha de ligação.
<hex>53534944</hex> deve ser definido como o valor hexadecimal de <name><SSID of wifi profile></name>. Os dispositivos Windows 10/11 podem devolver um erro falso x87D1FDE8 Remediation failed , mas o dispositivo ainda contém o perfil.
XML tem caracteres especiais, como o & (E comercial). A utilização de carateres especiais pode impedir que o XML funcione conforme esperado.

Exemplo

<!--
<hex>53534944</hex> = The hexadecimal value of <name><SSID of wifi profile></name>
<Name of wifi profile> = Name of profile shown to users. For example, enter <name>ContosoWiFi</name>.
<SSID of wifi profile> = Plain text of SSID. Does not need to be escaped. It could be <name>Your Company's Network</name>.
<nonBroadcast><true/false></nonBroadcast>
<Type of authentication> = Type of authentication used by the network, such as WPA2PSK.
<Type of encryption> = Type of encryption used by the network, such as AES.
<protected>false</protected> do not change this value, as true could cause device to expect an encrypted password and then try to decrypt it, which can result in a failed connection.
<password> = Plain text of the password to connect to the network
-->

<WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
  <name><Name of wifi profile></name>
  <SSIDConfig>
    <SSID>
      <hex>53534944</hex>
 <name><SSID of wifi profile></name>
    </SSID>
    <nonBroadcast>false</nonBroadcast>
  </SSIDConfig>
  <connectionType>ESS</connectionType>
  <connectionMode>auto</connectionMode>
  <autoSwitch>false</autoSwitch>
  <MSM>
    <security>
      <authEncryption>
        <authentication><Type of authentication></authentication>
        <encryption><Type of encryption></encryption>
        <useOneX>false</useOneX>
      </authEncryption>
      <sharedKey>
        <keyType>passPhrase</keyType>
        <protected>false</protected>
        <keyMaterial>password</keyMaterial>
      </sharedKey>
      <keyIndex>0</keyIndex>
    </security>
  </MSM>
</WLANProfile>

Exemplo de perfil de Wi-Fi baseado em EAP

O exemplo seguinte inclui o código XML para um perfil de Wi-Fi baseado em EAP. O exemplo mostra o formato adequado e fornece mais detalhes. Ele é apenas um exemplo e não se destina como uma configuração recomendada para o seu ambiente.

    <WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
      <name>testcert</name>
      <SSIDConfig>
        <SSID>
          <hex>7465737463657274</hex>
          <name>testcert</name>
        </SSID>
        <nonBroadcast>true</nonBroadcast>
      </SSIDConfig>
      <connectionType>ESS</connectionType>
      <connectionMode>auto</connectionMode>
      <autoSwitch>false</autoSwitch>
      <MSM>
        <security>
          <authEncryption>
            <authentication>WPA2</authentication>
            <encryption>AES</encryption>
            <useOneX>true</useOneX>
            <FIPSMode     xmlns="http://www.microsoft.com/networking/WLAN/profile/v2">false</FIPSMode>
          </authEncryption>
          <PMKCacheMode>disabled</PMKCacheMode>
          <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
            <cacheUserData>false</cacheUserData>
            <authMode>user</authMode>
            <EAPConfig>
              <EapHostConfig     xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
                <EapMethod>
                  <Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
                  <VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
                  <VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
                  <AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
                </EapMethod>
                <Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
                  <Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1">
                    <Type>13</Type>
                    <EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
                      <CredentialsSource>
                        <CertificateStore>
                          <SimpleCertSelection>true</SimpleCertSelection>
                        </CertificateStore>
                      </CredentialsSource>
                      <ServerValidation>
                        <DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
                        <ServerNames></ServerNames>
                      </ServerValidation>
                      <DifferentUsername>false</DifferentUsername>
                      <PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation>
                      <AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
                      <TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">
                        <FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3">
                          <AllPurposeEnabled>true</AllPurposeEnabled>
                          <CAHashList Enabled="true">
                            <IssuerHash>75 f5 06 9c a4 12 0e 9b db bc a1 d9 9d d0 f0 75 fa 3b b8 78 </IssuerHash>
                          </CAHashList>
                          <EKUMapping>
                            <EKUMap>
                              <EKUName>Client Authentication</EKUName>
                              <EKUOID>1.3.6.1.5.5.7.3.2</EKUOID>
                            </EKUMap>
                          </EKUMapping>
                          <ClientAuthEKUList Enabled="true"/>
                          <AnyPurposeEKUList Enabled="false">
                            <EKUMapInList>
                              <EKUName>Client Authentication</EKUName>
                            </EKUMapInList>
                          </AnyPurposeEKUList>
                        </FilteringInfo>
                      </TLSExtensions>
                    </EapType>
                  </Eap>
                </Config>
              </EapHostConfig>
            </EAPConfig>
          </OneX>
        </security>
      </MSM>
    </WLANProfile>

Criar o arquivo XML de uma conexão Wi-Fi existente

Você também pode criar o arquivo XML de uma conexão Wi-Fi existente. Em um computador com Windows, use as seguintes etapas:

Crie uma pasta local para os perfis de Wi-Fi exportados, como c:\Wi-Fi.
Abra um prompt de comando como administrador (clique com o botão direito do mouse em cmd>Executar como administrador).
Execute netsh wlan show profiles. Os nomes de todos os perfis são listados.
Execute netsh wlan export profile name="YourProfileName" folder=c:\Wifi. Este comando cria um arquivo chamado Wi-Fi-YourProfileName.xml em c:\Wifi.
- Se estiver a exportar um perfil Wi-Fi que inclui uma chave pré-partilhada, adicione key=clear ao comando . O key=clear parâmetro exporta a chave em texto simples, que é necessário para utilizar o perfil com êxito:
  
  netsh wlan export profile name="YourProfileName" key=clear folder=c:\Wifi
- Se o elemento de perfil <name></name> Wi-Fi exportado incluir um espaço, poderá devolver um ERROR CODE 0x87d101f4 ERROR DETAILS Syncml(500) erro quando atribuído. Quando esse problema acontece, o perfil é listado em \ProgramData\Microsoft\Wlansvc\Profiles\Interfaces e mostrado como uma rede conhecida. No entanto, não é exibido com êxito como política gerenciada no URI "Áreas gerenciadas por...".
  
  Para resolver esse problema, remova o espaço.

Depois de ter o ficheiro XML, copie e cole a sintaxe XML nas definições > OMA-URI Tipo de dados. Criar um perfil personalizado (neste artigo) lista as etapas.

Dica

\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces\{guid} também inclui todos os perfis no formato XML.

Práticas recomendadas

Antes de implantar um perfil de Wi-Fi com a PSK, confirme se o dispositivo pode se conectar ao ponto de extremidade diretamente.
Ao trocar chaves (senhas ou frases secretas), espere o tempo de inatividade e planeje as implantações. Deve:
- Confirme que os dispositivos têm uma ligação alternativa à Internet.
  
  Por exemplo, o usuário final deve poder voltar para o Wi-Fi de convidado (ou alguma outra rede Wi-Fi) ou ter conectividade de celular para se comunicar com o Intune. A ligação adicional permite ao utilizador receber atualizações de política quando o perfil de Wi-Fi empresarial é atualizado no dispositivo.
- Emitir novos perfis de Wi-Fi durante o horário de trabalho.
- Avisar os utilizadores de que a conectividade pode ser afetada.

Recursos

Lembre-se de atribuir o perfil e de monitorar o status dele.

Partilhar via