Tokenbaserad autentisering för molnhanteringsgateway

Gäller för: Configuration Manager (aktuell gren)

Molnhanteringsgatewayen (CMG) stöder många typer av klienter, men även med förbättrad HTTP kräver dessa klienter ett certifikat för klientautentisering. Det här certifikatkravet kan vara svårt att etablera på Internetbaserade klienter som inte ofta ansluter till det interna nätverket, inte kan ansluta till Microsoft Entra ID och inte har någon metod för att installera ett PKI-utfärdat certifikat.

För att lösa dessa utmaningar utökar Configuration Manager sitt enhetsstöd genom att utfärda egna autentiseringstoken till enheter. Om du vill dra full nytta av den här funktionen måste du även uppdatera klienter till den senaste versionen när du har uppdaterat webbplatsen. Det fullständiga scenariot fungerar inte förrän klientversionen också är den senaste. Om det behövs måste du se till att du befordrar den nya klientversionen till produktion.

Klienter registrerar sig först för dessa token med någon av följande två metoder:

  • Internt nätverk

  • Massregistrering

Configuration Manager -klienten tillsammans med hanteringsplatsen hanterar denna token, så det finns inget OS-versionsberoende på klientnivå. Den här funktionen är tillgänglig för alla klientoperativsystemversioner som stöds.

Obs!

De här metoderna stöder endast enhetscentrerade hanteringsscenarier.

Microsoft rekommenderar att du ansluter enheter till Microsoft Entra ID. Internetbaserade enheter kan använda Microsoft Entra ID för att autentisera med Configuration Manager. Den möjliggör också både enhets- och användarscenarier, oavsett om enheten är på Internet eller ansluten till det interna nätverket. Mer information finns i Installera och registrera klienten med Microsoft Entra identitet.

Se till att Aktivera klienter för att använda en molnhanteringsgateway i gruppen Molntjänster i klientinställningar. Även med en platstoken kan klienterna inte kommunicera med en CMG om klientinställningarna inte tillåter det. Mer information finns i Om klientinställningar: Molntjänster.

Intern nätverksregistrering

Den här metoden kräver att klienten först registrerar sig på hanteringsplatsen i det interna nätverket. Klientregistreringen sker vanligtvis direkt efter installationen. Hanteringsplatsen ger klienten en unik token som visar att den använder ett självsignerat certifikat. När klienten roamar till Internet för att kommunicera med CMG:en paras det självsignerade certifikatet med den token som utfärdats för hanteringsplatsen.

Det här beteendet är aktiverat som standard i hierarkin.

Obs!

Med en HTTPS-hanteringsplats måste klienten först registrera sig oberoende av hanteringsplatsen för Internet/intranät. Klienten måste presentera ett giltigt PKI-utfärdat certifikat, en Microsoft Entra token eller en massregistreringstoken.

Massregistreringstoken

Om du inte kan installera och registrera klienter i det interna nätverket skapar du en massregistreringstoken. Använd denna token när klienten installeras på en Internetbaserad enhet och registreras via CMG. Massregistreringstoken har en kort giltighetsperiod och lagras inte på klienten eller webbplatsen. Det gör att klienten kan generera en unik token, som tillsammans med det självsignerade certifikatet gör att den kan autentiseras med CMG:en.

Obs!

Blanda inte ihop massregistreringstoken med de som Configuration Manager utfärdar till enskilda klienter. Massregistreringstoken gör det möjligt för klienten att initialt installera och kommunicera med webbplatsen. Den här inledande kommunikationen är tillräckligt lång för att webbplatsen ska kunna utfärda en egen, unik klientautentiseringstoken till klienten. Klienten använder sedan sin autentiseringstoken för all kommunikation med webbplatsen medan den är på Internet. Utöver den första registreringen använder eller lagrar klienten inte massregistreringstoken.

Om du vill skapa en massregistreringstoken för användning under klientinstallationen på Internetbaserade enheter utför du följande åtgärder:

  1. Logga in på den översta platsservern i hierarkin med ett konto som är fullständig administratör i Configuration Manager och medlem i den lokala administratörsgruppen på servern.

  2. Öppna en kommandotolk som administratör.

  3. Kör verktyget från \bin\X64 mappen i installationskatalogen för Configuration Manager på platsservern: BulkRegistrationTokenTool.exe. Skapa en ny token med /new parametern . Till exempel BulkRegistrationTokenTool.exe /new. Mer information finns i Användning av verktyg för massregistrering av token.

  4. Kopiera token och spara den på en säker plats.

  5. Installera Configuration Manager-klienten på en Internetbaserad enhet. Inkludera parametern för klientinstallationen: /regtoken. Följande exempel på kommandoraden innehåller andra obligatoriska konfigurationsparametrar och egenskaper:

    ccmsetup.exe /mp:https://CONTOSO.CLOUDAPP.NET/CCM_Proxy_MutualAuth/72186325152220500 CCMHOSTNAME=CONTOSO.CLOUDAPP.NET/CCM_Proxy_MutualAuth/72186325152220500 SMSSiteCode=ABC /regtoken:eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik9Tbzh2Tmd5VldRUjlDYVh5T2lacHFlMDlXNCJ9.eyJTQ0NNVG9rZW5DYXRlZ29yeSI6IlN7Q01QcmVBdXRoVG9rZW4iLCJBdXRob3JpdHkiOiJTQ0NNIiwiTGljZW5zZSI6IlNDQ00iLCJUeXBlIjoiQnVsa1JlZ2lzdHJhdGlvbiIsIlRlbmFudElkIjoiQ0RDQzVFOTEtMEFERi00QTI0LTgyRDAtMTk2NjY3RjFDMDgxIiwiVW5pcXVlSWQiOiJkYjU5MWUzMy1wNmZkLTRjNWItODJmMy1iZjY3M2U1YmQwYTIiLCJpc3MiOiJ1cm46c2NjbTpvYXV0aDI6Y2RjYzVlOTEtMGFkZi00YTI0LTgyZDAtMTk2NjY3ZjFjMDgxIiwiYXVkIjoidXJuOnNjY206c2VydmljZSIsImV4cCI6MTU4MDQxNbUwNSwibmJmIjoxNTgwMTU2MzA1fQ.ZUJkxCX6lxHUZhMH_WhYXFm_tbXenEdpgnbIqI1h8hYIJw7xDk3wv625SCfNfsqxhAwRwJByfkXdVGgIpAcFshzArXUVPPvmiUGaxlbB83etUTQjrLIk-gvQQZiE5NSgJ63LCp5KtqFCZe8vlZxnOloErFIrebjFikxqAgwOO4i5ukJdl3KQ07YPRhwpuXmwxRf1vsiawXBvTMhy40SOeZ3mAyCRypQpQNa7NM3adCBwUtYKwHqiX3r1jQU0y57LvU_brBfLUL6JUpk3ri-LSpwPFarRXzZPJUu4-mQFIgrMmKCYbFk3AaEvvrJienfWSvFYLpIYA7lg-6EVYRcCAA

    Tips

    Mer information om den här kommandoraden finns i Installera och registrera klienten med Microsoft Entra identitet. Den här processen är liknande, bara använder inte Microsoft Entra egenskaper.

Du kan kontrollera detta genom att titta efter en liknande post i följande loggfil:

Rotating internet management point, new management point [1] is: https://CONTOSO.CLOUDAPP.NET/CCM_Proxy_MutualAuth/72186325152220500 (0) with capabilities: <Capabilities SchemaVersion ="1.0"><Property Name="SSL" Version="1" /></Capabilities>

Granska %WinDir%\ccmsetup\logs\ccmsetup.log på klienten för att felsöka installationen. Efter installationen, granska %WinDir%\ccm\logs\ClientIDManagerStartup.log.

Granska följande loggar på servern:

  • CMG-loggar
  • Hanteringsplats
    • CCM_STS.log
    • MP_RegistrationManager.log
    • ClientAuth.log

Användning av verktyg för massregistrering av token

Verktyget BulkRegistrationTokenTool.exe finns i \bin\X64 mappen för installationskatalogen för Configuration Manager på platsservern. Logga in på platsservern och kör den som administratör. Den stöder följande kommandoradsparametrar:

  • /?
  • /new
  • /lifetime

/?

Visa den här användningsinformationen.

Exempel: BulkRegistrationTokenTool.exe /?

/new

Skapa en ny massregistreringstoken.

Exempel: BulkRegistrationTokenTool.exe /new

Verktyget visar följande information:

  • Ett GUID som webbplatsen använder för att spåra utfärdade token
  • Giltighetsperioden för token, som är tre dagar som standard.
  • Denna massregistreringstoken.

Token lagras inte på klienten eller webbplatsen. Se till att kopiera token från kommandotolken och lagra den på en säker plats.

/lifetime

Använd with /new för att ange tokengiltighetsperioden för token. Ange ett heltalsvärde i minuter. Standardvärdet är 4 320 (tre dagar). Det maximala värdet är 10 080 (sju dagar).

Exempel: BulkRegistrationTokenTool.exe /lifetime 4320

Hantering av massregistreringstoken

Du kan se tidigare skapade massregistreringstoken och deras livslängd i Configuration Manager-konsolen och blockera deras användning om det behövs. Platsdatabasen lagrar dock inte massregistreringstoken.

Granska en massregistreringstoken

  1. I konsolen Configuration Manager går du till arbetsytan Administration.

  2. Expandera Säkerhet och välj noden Certifikat . Konsolen visar en lista över alla platsrelaterade certifikat och massregistreringstoken i informationsfönstret.

  3. Välj den massregistreringstoken som du vill granska.

Du kan filtrera eller sortera på kolumnen Typ . Identifiera specifika massregistreringstoken baserat på deras GUID. När du skapar en massregistreringstoken visar verktyget GUID.

Blockera en massregistreringstoken

  1. I konsolen Configuration Manager går du till arbetsytan Administration.

  2. Expandera Säkerhet, välj noden Certifikat och välj den massregistreringstoken som ska blockeras.

  3. Välj Blockera på fliken Start i menyfliksområdet eller på snabbmenyn som visas när du högerklickar. Om du vill avblockera tidigare blockerade massregistreringstoken väljer du åtgärden Avblockera .

Tokensignering

Den token som klienten får från hanteringsplatsen (när den är registrerad internt) eller när den installeras med bulktoken signeras av SMS-tokensigneringscertifikatet. Det här är ett självsignerat certifikat som skapats av komponenten Certifikathanteraren med hjälp av det SMS-utfärdande rotcertifikatet. Den Configuration Manager-utfärdade token innehåller referensen för SMS Token Signing Certificate, förutom andra autentiseringshuvuden när du skickar en begäran till hanteringsplatsen via CMG.

Även om det inte är vanligt att SMS-utfärdandet eller SMS Token Signeringscertifikatet behöver förnyas, finns det några osäkra scenarier som kan kräva att certifikatet förnyas:

  • Certifikatet är skadat
  • SMS-utfärdande certifikat förnyas
  • Uppgradering av platsoperativsystem, där en SHA-1-hash-algoritm användes för att signera certifikatet.

Obs!

Om SMS Token Signing Certificate förnyas kan klienter som använder den Configuration Manager-utfärdade token inte autentisera förrän den nya token, signerad med det nyare certifikatet, har angetts.

Förnyelse av token

Klienten förnyar sin unika, Configuration Manager-utfärdade token en gång i månaden och den är giltig i 90 dagar. En klient behöver inte ansluta till det interna nätverket för att förnya sin token. Så länge token fortfarande är giltig räcker det att ansluta till webbplatsen med hjälp av en CMG. Om token inte förnyas inom 90 dagar måste klienten ansluta direkt till en hanteringsplats i ett internt nätverk för att ta emot en ny token.

Obs!

Token förnyas bara under start av Configuration Manager -klienten. Därför måste CCMExec-tjänsten (SMS Agent Host) eller klientdatorn startas om minst var 90:e dag.

Du kan inte förnya en massregistreringstoken. När en massregistreringstoken upphör att gälla genererar du en ny för Internetbaserad enhetsregistrering med hjälp av en CMG.

Se även

  • Uppdaterades senast