Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Gäller för: Configuration Manager (aktuell gren)
Nästa steg i konfigurationen av en CMG (Cloud Management Gateway) är att konfigurera hur klienter autentiseras. Eftersom dessa klienter potentiellt ansluter till tjänsten från det icke betrodda offentliga Internet har de ett högre autentiseringskrav. Det finns tre alternativ:
- Microsoft Entra ID
- PKI-certifikat
- Configuration Manager plats-utfärdade token
I den här artikeln beskrivs hur du konfigurerar vart och ett av dessa alternativ. Mer grundläggande information finns i Planera för CMG-klientautentiseringsmetoder.
Microsoft Entra ID
Om dina Internetbaserade enheter kör Windows 10 eller senare använder du modern autentisering för Microsoft Entra med CMG. Den här autentiseringsmetoden är den enda som möjliggör användarcentrerade scenarier.
Den här autentiseringsmetoden kräver följande konfigurationer:
Enheterna måste vara antingen molndomänanslutna eller Microsoft Entra hybridkopplade, och användaren behöver också en Microsoft Entra identitet.
Tips
Kör
dsregcmd.exe /statusi en kommandotolk för att kontrollera om en enhet är molnansluten. Om enheten är ansluten till Microsoft Entra eller hybridansluten visar fältet AzureAdjoined i resultatet YES. Mer information finns i dsregcmd kommando – enhetstillstånd.Ett av de primära kraven för att använda Microsoft Entra autentisering för Internetbaserade klienter med en CMG är att integrera webbplatsen med Microsoft Entra ID. Du har redan slutfört den åtgärden i föregående steg.
Det finns några andra krav, beroende på din miljö:
- Aktivera användaridentifieringsmetoder för hybrididentiteter
- Aktivera ASP.NET 4.5 på hanteringsplatsen
- Konfigurera klientinställningar
Mer information om dessa krav finns i Installera klienter med Microsoft Entra ID.
PKI-certifikat
Följ de här stegen om du har en PKI (Public Key Infrastructure) som kan utfärda certifikat för klientautentisering till enheter.
Det här certifikatet kan krävas på CMG-anslutningspunkten. Mer information finns i CMG-kopplingspunkt.
Utfärda certifikatet
Skapa och utfärda det här certifikatet från din PKI, som ligger utanför kontexten för Configuration Manager. Du kan till exempel använda služba Active Directory-certifikattjänster och grupprinciper för att automatiskt utfärda certifikat för klientautentisering till domänanslutna enheter. Mer information finns i Exempel på distribution av PKI-certifikat: Distribuera klientcertifikatet.
CMG-klientautentiseringscertifikatet stöder följande konfigurationer:
2048-bitars eller 4096-bitars nyckellängd
Det här certifikatet stöder nyckellagringsproviders för privata certifikatnycklar (v3). Mer information finns i Översikt över CNG v3-certifikat.
Exportera klientcertifikatets betrodda rot
CMG:en måste lita på certifikaten för klientautentisering för att upprätta HTTPS-kanalen med klienter. För att uppnå det här förtroendet exporterar du den betrodda rotcertifikatkedjan. Ange sedan dessa certifikat när du skapar CMG i Configuration Manager -konsolen.
Se till att exportera alla certifikat i förtroendekedjan. Om certifikatet för klientautentisering till exempel utfärdas av en mellanliggande certifikatutfärdare exporterar du både mellanliggande certifikat och rotcertifikatutfärdarcertifikat.
Obs!
När klienter använder antingen Microsoft Entra ID eller token för autentisering krävs inte det här certifikatet. Exportera bara det här certifikatet när klienter inte är anslutna till Entra ID och istället använder PKI-certifikat för autentisering.
När du har utfärdat ett certifikat för klientautentisering till en dator exporterar du det betrodda rotcertifikatet på den datorn på den datorn.
Öppna Start-menyn. Skriv "kör" för att öppna fönstret Kör. Öppna
mmc.Välj Lägg till/ta bort snapin-modul på Arkiv-menyn....
I dialogrutan Lägg till eller ta bort snapin-moduler väljer du Certifikat och sedan Lägg till.
I snapin-modulen för certifikat väljer du Datorkonto och sedan Nästa.
I dialogrutan Välj dator väljer du Lokal dator och sedan Slutför.
Välj OK i dialogrutan Lägg till eller ta bort snapin-moduler.
Expandera Certifikat, expandera Personligt och välj Certifikat.
Välj ett certifikat vars avsedda syfte är klientautentisering.
På Åtgärd-menyn väljer du Öppna.
Gå till fliken Certifieringssökväg .
Välj nästa certifikat uppåt i kedjan och välj Visa certifikat.
I den här nya dialogrutan för certifikat går du till fliken Information . Välj Kopiera till fil....
Slutför guiden Exportera certifikat med standardformatet för certifikat, DER-kodad binär X.509 (. CER). Anteckna namn och plats för det exporterade certifikatet.
Exportera alla certifikat i certifieringssökvägen för det ursprungliga certifikatet för klientautentisering. Notera vilka exporterade certifikat som är mellanliggande certifikatutfärdare och vilka som är betrodda rotcertifikatutfärdare.
CMG-kopplingspunkt
För att på ett säkert sätt vidarebefordra klientbegäranden kräver CMG-anslutningspunkten en säker anslutning till hanteringsplatsen. Om du använder PKI-klientautentisering och den Internetaktiverade hanteringsplatsen är HTTPS utfärdar du ett certifikat för klientautentisering till platssystemservern med CMG-anslutningspunktsrollen.
Obs!
CMG-anslutningspunkten kräver inget certifikat för klientautentisering i följande scenarier:
- Klienter använder Microsoft Entra autentisering.
- Klienter använder Configuration Manager tokenbaserad autentisering.
- De hanteringsplatser som är aktiverade för CMG-trafik har konfigurerats för förbättrad HTTP.
Mer information finns i Aktivera hanteringsplats för HTTPS.
Autentiseringsalternativ
Hanteringsplatser som är aktiverade för CMG-trafik kan vara antingen EHTTP eller HTTPS. Om du inte kan ansluta enheter till Microsoft Entra ID eller använda PKI-klientautentiseringscertifikat använder du Configuration Manager tokenbaserad autentisering. Mer information eller om du vill skapa en massregistreringstoken finns i Tokenbaserad autentisering för molnhanteringsgateway.
Aktivera hanteringsplats för HTTPS
När du aktiverar utökad HTTP genererar platsservern ett självsignerat certifikat med namnet SMS Role SSL Certificate. Det här certifikatet utfärdas av det utfärdande rotcertifikatet för SMS . Hanteringsplatsen lägger till certifikatet på IIS-standardwebbplatsen som är bunden till port 443.
Med det här alternativet kan interna klienter fortsätta att kommunicera med hanteringsplatsen utan ytterligare konfiguration. Internetbaserade klienter som använder Microsoft Entra ID kan kommunicera säkert via CMG med alla hanteringsplatser som är aktiverade för EHTTP.
Mer information finns i Förbättrad HTTP.
Konfigurera hanteringsplatsen för HTTPS
Om Entra ID-autentisering inte är tillgänglig konfigurerar du en hanteringsplats för HTTPS. Först utfärdar du ett webbservercertifikat till den och aktiverar sedan rollen för HTTPS.
Skapa och utfärda ett webbservercertifikat från din PKI eller en tredjepartsleverantör som ligger utanför kontexten för Configuration Manager. Du kan till exempel använda služba Active Directory-certifikattjänster och grupprincip för att utfärda ett webbservercertifikat till platssystemservern med hanteringsplatsrollen. Mer information finns i följande artiklar:
I egenskaperna för hanteringsplatsrollen anger du klientanslutningarna till HTTPS.
Tips
När du har konfigurerat CMG:en konfigurerar du andra inställningar för den här hanteringsplatsen.
Om din miljö har flera hanteringsplatser behöver du inte aktivera alla för CMG. Konfigurera de CMG-aktiverade hanteringsplatserna som endast Internet. Då försöker inte dina lokala klienter använda dem.
Sammanfattning av klientanslutningsläge för hanteringsplats
I de här tabellerna sammanfattas om hanteringsplatsen kräver EHTTP eller HTTPS, beroende på typen av klient. De använder följande termer:
- Arbetsgrupp: Enheten är inte ansluten till en domän eller Microsoft Entra ID, men har ett certifikat för klientautentisering.
- AD-domänansluten: Du ansluter enheten till en lokal Active Directory domän.
- Microsoft Entra ansluten: Kallas även molndomänansluten, du ansluter enheten till en Microsoft Entra klientorganisation. Mer information finns i Microsoft Entra anslutna enheter.
- Hybridansluten: Du ansluter enheten till din lokala Active Directory och registrerar den med ditt Microsoft Entra ID. Mer information finns i Microsoft Entra hybridanslutna enheter.
- HTTPS: I egenskaperna för hanteringsplatsen anger du klientanslutningarna till HTTPS.
- E-HTTP: På fliken Kommunikationssäkerhet i webbplatsegenskaperna anger du platssysteminställningarna till HTTPS eller EHTTP och aktiverar alternativet Använd Configuration Manager-genererade certifikat för HTTP-platssystem. Du konfigurerar hanteringsplatsen för EHTTP och hanteringsplatsen är redo för CMG-kommunikation.
Viktigt
Från och med Configuration Manager version 2103 är webbplatser som tillåter endast HTTP-klientkommunikation inaktuella och platsen måste konfigureras för förbättrad HTTP. Mer information finns i Aktivera webbplatsen för endast HTTPS eller förbättrad HTTP.
För Internetbaserade klienter som kommunicerar med CMG:en
Konfigurera en lokal hanteringsplats för att tillåta anslutningar från CMG:en med följande klientanslutningsläge:
| Internetbaserad klient | Hanteringsplats |
|---|---|
| Arbetsgrupp Anmärkning 1 | E-HTTP, HTTPS |
| AD-domänansluten Anmärkning 1 | E-HTTP, HTTPS |
| Microsoft Entra gick med | E-HTTP, HTTPS |
| Hybridansluten | E-HTTP, HTTPS |
Obs!
Obs 1: Den här konfigurationen kräver att klienten har ett certifikat för klientautentisering och stöder endast enhetscentrerade scenarier.
För lokala klienter som kommunicerar med den lokala hanteringsplatsen
Konfigurera en lokal hanteringsplats med följande klientanslutningsläge:
| Lokal klient | Hanteringsplats |
|---|---|
| Workgroup | EHTTP, HTTPS |
| AD-domänansluten | EHTTP, HTTPS |
| Microsoft Entra gick med | EHTTP, HTTPS |
| Hybridansluten | EHTTP, HTTPS |
Obs!
Lokala AD-domänanslutna klienter stöder både enhets- och användarcentrerade scenarier som kommunicerar med en EHTTP- eller HTTPS-hanteringsplats.
Nästa steg
Nu är du redo att skapa CMG i Configuration Manager: