Konfigurera certifikatanslutningsappen för Microsoft Intune för att stödja DigiCert PKI-plattformen
Du kan använda certifikatanslutningsappen för Microsoft Intune för att utfärda PKCS-certifikat (Public Key Cryptography Standards) från DigiCert PKI Platform till Intune hanterade enheter. Certifikatanslutningsappen fungerar antingen med en DigiCert-certifikatutfärdare (CA) eller med både en DigiCert CA och en Microsoft CA.
Tips
DigiCert förvärvade Symantecs webbplatssäkerhet och relaterade PKI Solutions-verksamhet. Mer information om den här ändringen finns i artikeln teknisk support för Symantec.
Om du redan använder certifikatanslutningsappen för Microsoft Intune för att utfärda certifikat från en Microsoft CA med hjälp av PKCS eller Simple Certificate Enrollment Protocol (SCEP), kan du använda samma anslutningsapp för att konfigurera och utfärda PKCS-certifikat från en DigiCert CA. När du har slutfört konfigurationen för att stödja DigiCert CA:en kan anslutningsappen utfärda följande certifikat:
- PKCS-certifikat från en Microsoft CA
- PKCS-certifikat från en DigiCert CA
- Endpoint Protection-certifikat från en Microsoft CA
Om du inte har installerat anslutningsappen men planerar att använda den för både en Microsoft CA och en DigiCert CA slutför du konfigurationen av anslutningsappen för Microsoft CA först. Gå sedan tillbaka till den här artikeln för att konfigurera den så att den även stöder DigiCert. Mer information om certifikatprofiler och anslutningsappen finns i Konfigurera en certifikatprofil för dina enheter i Microsoft Intune.
Om du bara vill använda anslutningsappen med DigiCert CA använder du anvisningarna i den här artikeln för att installera och sedan konfigurera anslutningsappen.
Förhandskrav
Följande är krav för att stödja användning av en DigiCert CA:
En aktiv prenumeration på DigiCert CA : Prenumerationen krävs för att hämta ett registreringsutfärdarcertifikat (RA) från DigiCert CA:en.
Certifikatanslutningsapp för Microsoft Intune – Senare i den här artikeln finns instruktioner för hur du installerar och konfigurerar certifikatanslutningsappen. Information om hur du planerar för anslutningskraven i förväg finns i följande artiklar:
Installera DigiCert RA-certifikatet
Spara följande kodfragment som i en fil med namnet certreq.ini och uppdatera det efter behov (till exempel : Ämnesnamn i CN-format).
[Version] Signature="$Windows NT$" [NewRequest] ;Change to your,country code, company name and common name Subject = "Subject Name in CN format" KeySpec = 1 KeyLength = 2048 Exportable = TRUE MachineKeySet = TRUE SMIME = False PrivateKeyArchive = FALSE UserProtected = FALSE UseExistingKeySet = FALSE ProviderName = "Microsoft RSA SChannel Cryptographic Provider" ProviderType = 12 RequestType = PKCS10 KeyUsage = 0xa0 [EnhancedKeyUsageExtension] OID=1.3.6.1.5.5.7.3.2 ; Client Authentication // Uncomment if you need a mutual TLS authentication ;-----------------------------------------------Öppna en upphöjd kommandotolk och generera en certifikatsigneringsbegäran (CSR) med hjälp av följande kommando:
Certreq.exe -new certreq.ini request.csrÖppna request.csr-filen i Anteckningar och kopiera CSR-innehållet i följande format:
-----BEGIN NEW CERTIFICATE REQUEST----- MIID8TCCAtkCAQAwbTEMMAoGA1UEBhMDVVNBMQswCQYDVQQIDAJXQTEQMA4GA1UE … … fzpeAWo= -----END NEW CERTIFICATE REQUEST-----Logga in på DigiCert CA och bläddra till Hämta ett RA-certifikat från aktiviteterna.
a. I textrutan anger du CSR-innehållet från steg 3.
b. Ange ett eget namn för certifikatet.
c. Välj Fortsätt.
d. Använd den angivna länken för att ladda ned RA-certifikatet till din lokala dator.
Importera RA-certifikatet till Windows-certifikatarkivet:
a. Öppna en MMC-konsol.
b. Välj Lägg>till eller ta bort tilläggscertifikat>> för snapin-moduler.
c. Välj Datorkonto>nästa.
d. Välj Slutför lokal dator>.
e. Välj OK i fönstret Lägg till eller ta bort snapin-moduler . Expandera Certifikat (lokal dator)>Personliga>certifikat.
f. Högerklicka på noden Certifikat och välj Importera alla aktiviteter>.
g. Välj platsen för RA-certifikatet som du laddade ned från DigiCert CA:en och välj sedan Nästa.
h. Välj Personligt certifikatarkiv>nästa.
i. Välj Slutför för att importera RA-certifikatet och dess privata nyckel till det lokala dator-personliga arkivet.
Exportera och importera certifikatet för den privata nyckeln:
a. Expandera Certifikat (lokal dator)>Personliga>certifikat.
b. Välj det certifikat som importerades i föregående steg.
c. Högerklicka på certifikatet och välj Exportera alla aktiviteter>.
d. Välj Nästa och ange sedan lösenordet.
e. Välj den plats som du vill exportera till och välj sedan Slutför.
f. Använd proceduren från steg 5 för att importera certifikatet för den privata nyckeln till det lokala dator-personliga arkivet.
g. Registrera en kopia av RA-certifikatets tumavtryck utan blanksteg. Till exempel:
RA Cert Thumbprint: "EA7A4E0CD1A4F81CF0740527C31A57F6020C17C5"Senare använder du det här värdet för att uppdatera tre .config-filer för certifikatanslutningsappen för Microsoft Intune när du har installerat anslutningsappen.
Obs!
Om du vill ha hjälp med att hämta RA-certifikatet från DigiCert CA:en kontaktar du DigiCerts kundsupport.
Konfigurera certifikatanslutningsappen för att stödja DigiCert
Använd informationen i Installera certifikatanslutningsappen för Microsoft Intune för att först ladda ned och sedan installera och konfigurera certifikatanslutningsappen för Microsoft Intune:
- Under installationssteg 2 i installationsproceduren för anslutningsappen väljer du alternativen för PKCS och eventuellt för återkallande av certifikat.
- När du har slutfört installations- och konfigurationsproceduren för anslutningsprogrammet återgår du till den här proceduren för att fortsätta.
Konfigurera anslutningsappen så att den stöder DigiCert genom att ändra tre .config filer för anslutningsappen och sedan starta om deras relaterade tjänster:
På servern där anslutningsappen installerades går du till %ProgramFiles%\Microsoft Intune\PFXCertificateConnector\ConnectorSvc. (Certifikatanslutningsappen för Microsoft Intune installeras som standard på %ProgramFiles%\Microsoft Intune\PFXCertificateConnector.)
Använd en textredigerare som Notepad.exe för att uppdatera nyckelvärdet RACertThumbprint i följande tre filer. Ersätt värdet i filerna med det värde som du kopierade under steg 6.g. i proceduren i föregående avsnitt:
- Microsoft.Intune.ConnectorsPkiCreate.exe.config
- Microsoft.Intune.ConnectorsPkiRevoke.exe.config
- Microsoft.Intune.ConnectorsPkiCreateLegacy.exe.config
Leta till exempel upp posten i varje fil som liknar
<add key="RACertThumbprint" value="EA7A4E0CD1A4F81CF0740527C31A57F6020C17C5"/>och ersättEA7A4E0CD1A4F81CF0740527C31A57F6020C17C5med det nya RA-certifikatets tumavtrycksvärde .Kör services.msc och stoppa och starta sedan om följande tre tjänster:
- PFX Återkalla certifikatanslutningsapp för Microsoft Intune (PkiRevokeConnectorSvc)
- PFX Skapa certifikatanslutningsapp för Microsoft Intune (PkiCreateConnectorSvc)
- PFX Skapa äldre anslutningsapp för Microsoft Intune (PfxCreateLegacyConnectorSvc)
Skapa en betrodd certifikatprofil
PKCS-certifikaten som du distribuerar för Intune hanterade enheter måste vara länkade med ett betrott rotcertifikat. För att upprätta den här kedjan skapar du en Intune betrodd certifikatprofil med rotcertifikatet från DigiCert CA och distribuerar både den betrodda certifikatprofilen och PKCS-certifikatprofilen till samma grupper.
Hämta ett betrott rotcertifikat från DigiCert CA:en:
a. Logga in på digiCert CA-administratörsportalen.
b. Välj Hantera certifikatutfärdare från Uppgifter.
c. Välj lämplig ca i listan.
d. Välj Ladda ned rotcertifikat för att ladda ned det betrodda rotcertifikatet.
Skapa en betrodd certifikatprofil i Microsoft Intune administrationscenter. Detaljerad vägledning finns i Skapa en betrodd certifikatprofil. Se till att tilldela den här profilen till enheter som ska ta emot certifikat. Information om hur du tilldelar profilen till grupper finns i Tilldela enhetsprofiler.
När du har skapat profilen visas den i listan över profiler i fönstret Enhetskonfiguration – Profiler , med profiltypen Betrott certifikat.
Hämta certifikatprofilens OID
Certifikatprofilens OID är associerad med en certifikatprofilmall i DigiCert CA:en. Om du vill skapa en PKCS-certifikatprofil i Intune måste certifikatmallens namn vara i form av en certifikatprofil-OID som är associerad med en certifikatmall i DigiCert CA:en.
Logga in på digiCert CA-administratörsportalen.
Välj Hantera certifikatprofiler.
Välj den certifikatprofil som du vill använda.
Kopiera certifikatprofilens OID. Det ser ut ungefär som i följande exempel:
Certificate Profile OID = 2.16.840.1.113733.1.16.1.2.3.1.1.47196109
Obs!
Om du behöver hjälp med att hämta certifikatprofilens OID kontaktar du DigiCerts kundsupport.
Skapa en PKCS-certifikatprofil
Logga in på Microsoft Intune administrationscenter.
Välj Enheter>Hantera enheter>Konfiguration>Skapa.
Ange följande egenskaper:
- Plattform: Välj plattform för dina enheter.
- Profil: Välj PKCS-certifikat. Eller välj PKCS-certifikat för mallar>.
Välj Skapa.
Ange följande egenskaper i Grundinställningar:
- Namn: Ange ett beskrivande namn på profilen. Namnge dina profiler så att du enkelt kan identifiera dem senare.
- Beskrivning: Ange en beskrivning för profilen. Denna inställning är valfri, men rekommenderas.
I Konfigurationsinställningar konfigurerar du parametrar med värdena från följande tabell. Dessa värden krävs för att utfärda PKCS-certifikat från en DigiCert CA via certifikatanslutningsappen för Microsoft Intune.
PKCS-certifikatparameter Värde Beskrivning Certifikatutfärdare pki-ws.symauth.com Det här värdet måste vara DigiCert CA-bastjänstens FQDN utan avslutande snedstreck. Om du inte är säker på om det här är rätt bastjänst-FQDN för din DigiCert CA-prenumeration kontaktar du DigiCerts kundsupport.
Med ändringen från Symantec till DigiCert förblir denna URL oförändrad.
Om det här FQDN:t är felaktigt utfärdar inte certifikatanslutningsappen PKCS-certifikat från DigiCert CA:n.Certifikatutfärdarnamn Symantec Det här värdet måste vara strängen Symantec.
Om det sker någon ändring av det här värdet utfärdar inte certifikatanslutningsappen PKCS-certifikat från DigiCert CA:en.Certifikatmallens namn Certifikatprofilens OID från DigiCert CA:en. Exempel: 2.16.840.1.113733.1.16.1.2.3.1.1.61904612 Det här värdet måste vara en certifikatprofils-OID som hämtades i föregående avsnitt från digiCert CA-certifikatprofilmallen.
Om certifikatanslutningsappen inte kan hitta en certifikatmall som är associerad med den här certifikatprofilens OID i DigiCert CA:en utfärdar den inte PKCS-certifikat från DigiCert CA:en.
Obs!
PKCS-certifikatprofilen för Windows-plattformar behöver inte associeras med en betrodd certifikatprofil. Men det krävs för icke-Windows-plattformsprofiler som Android.
Slutför konfigurationen av profilen för att uppfylla dina affärsbehov och välj sedan Skapa för att spara profilen.
På sidan Översikt för den nya profilen väljer du Tilldelningar och konfigurerar en lämplig grupp för att ta emot den här profilen. Minst en användare eller enhet måste ingå i den tilldelade gruppen.
När du har slutfört föregående steg utfärdar Certifikatanslutningsappen för Microsoft Intune PKCS-certifikat från DigiCert CA:en till Intune hanterade enheter i den tilldelade gruppen. Dessa certifikat är tillgängliga i det personliga arkivet för det aktuella användarcertifikatarkivet på den Intune hanterade enheten.
Attribut som stöds för PKCS-certifikatprofilen
| Attribut | Intune format som stöds | Format som stöds av DigiCert Cloud CA | resultat |
|---|---|---|---|
| Ämnesnamn | Intune stöder endast ämnesnamnet i följande tre format: 1. Eget namn 2. Eget namn som innehåller e-post 3. Eget namn som e-post Till exempel: CN = IWUser0 <br><br> E = IWUser0@samplendes.onmicrosoft.com |
DigiCert CA stöder fler attribut. Om du vill välja fler attribut måste de definieras med fasta värden i digiCert-certifikatprofilmallen. | Vi använder eget namn eller e-postmeddelande från PKCS-certifikatbegäran. Eventuella matchningsfel i attributval mellan Intune-certifikatprofilen och DigiCert-certifikatprofilmallen resulterar i att inga certifikat utfärdas från DigiCert CA:n. |
| SAN | Intune stöder endast följande SAN-fältvärden: AltNameTypeEmail AltNameTypeUpn AltNameTypeOtherName (kodat värde) |
DigiCert Cloud CA stöder också dessa parametrar. Om du vill välja fler attribut måste de definieras med fasta värden i digiCert-certifikatprofilmallen. AltNameTypeEmail: Om den här typen inte finns i SAN använder certifikatanslutningsappen värdet från AltNameTypeUpn. Om AltNameTypeUpn inte heller finns i SAN använder certifikatanslutningsappen värdet från ämnesnamnet om det är i e-postformat. Om typen fortfarande inte hittas kan certifikatanslutningsappen inte utfärda certifikaten. Exempel: RFC822 Name=IWUser0@ndesvenkatb.onmicrosoft.com AltNameTypeUpn: Om den här typen inte finns i SAN använder certifikatanslutningsappen värdet från AltNameTypeEmail. Om AltNameTypeEmail inte heller hittas i SAN använder certifikatanslutningsappen värdet från ämnesnamnet om det är i e-postformat. Om typen fortfarande inte hittas kan certifikatanslutningsappen inte utfärda certifikaten. Exempel: Other Name: Principal Name=IWUser0@ndesvenkatb.onmicrosoft.com AltNameTypeOtherName: Om den här typen inte hittas i SAN kan certifikatanslutningsappen inte utfärda certifikaten. Exempel: Other Name: DS Object Guid=04 12 b8 ba 65 41 f2 d4 07 41 a9 f7 47 08 f3 e4 28 5c ef 2c Värdet för det här fältet stöds endast i kodat format (hexadecimalt värde) av DigiCert CA:en. För alla värden i det här fältet konverterar certifikatanslutningsappen den till base64-kodning innan certifikatbegäran skickas. Certifikatanslutningsappen för Microsoft Intune verifierar inte om det här värdet redan är kodat eller inte. |
Ingen |
Felsökning
Loggar för certifikatanslutningsappen för Microsoft Intune är tillgängliga som händelseloggar på servern där anslutningsappen är installerad. De här loggarna innehåller information om anslutningsåtgärden och kan användas för att identifiera problem med certifikatanslutningsappen och -åtgärder. Mer information finns i Loggning.
Relaterat innehåll
Använd informationen i den här artikeln med informationen i Vad är Microsoft Intune enhetsprofiler? för att hantera organisationens enheter och certifikaten på dem.