Microsoft Intune 的受信任跟證書配置檔

發行項
02/14/2024

使用 Intune 布建具有憑證的裝置以存取公司資源和網路時，請使用 受信任的憑證 配置檔將受信任的跟證書部署到這些裝置。受信任的跟證書會從裝置對您的根或中繼憑證建立信任， (發行) 其他憑證的 CA。

您會將受信任的憑證配置檔部署到相同的裝置和使用者，這些裝置和使用者會收到簡單憑證註冊通訊協定的憑證配置檔， (SCEP) 、公鑰密碼編譯標準 (PKCS) ，以及匯入的 PKCS。

提示

匯出受信任的根 CA 憑證

若要使用 PKCS、SCEP 和 PKCS 匯入的憑證，裝置必須信任您的跟證書授權單位。若要建立信任，請將受信任的根 CA 憑證，以及任何中繼或頒發證書頒發機構單位憑證導出為公開憑證 (.cer) 。您可以從發行 CA 取得這些憑證，或從信任發行 CA 的任何裝置取得這些憑證。

若要匯出憑證，請參閱您的證書頒發機構單位的檔。您必須將公開憑證導出為 DER 編碼的.cer檔案。請勿匯出私鑰.pfx 檔案。

當您建立受信任的憑證配置檔以將該憑證部署到您的裝置時，將會使用此.cer檔案。

建立受信任的憑證配置檔

在您建立 SCEP、PKCS 或 PKCS 匯入的憑證配置檔之前，請先建立並部署受信任的憑證配置檔。將受信任的憑證配置檔部署到接收其他憑證配置檔類型的相同群組，可確保每個裝置都能辨識 CA 的合法性。這包括 VPN、Wi-Fi 和電子郵件等配置檔。

SCEP 憑證配置檔會直接參考受信任的憑證配置檔。 PKCS 憑證配置檔不會直接參考受信任的憑證配置檔，但會直接參考裝載 CA 的伺服器。 PKCS 匯入的憑證配置檔不會直接參考受信任的憑證配置檔，但可以在裝置上使用它。將受信任的憑證配置檔部署到裝置可確保建立此信任。當裝置不信任根 CA 時，SCEP 或 PKCS 憑證配置檔原則將會失敗。

為您想要支援的每個裝置平臺建立個別的受信任憑證配置檔，就像您針對 SCEP、PKCS 和 PKCS 匯入的憑證配置檔所做的一樣。

重要事項

您為 平臺 Windows 10 和更新版本建立的信任根配置檔，會顯示在 Microsoft Intune 系統管理中心作為 平臺 Windows 8.1 和更新版本的配置檔。

這是針對受信任憑證配置檔呈現平臺的已知問題。雖然配置文件會顯示 Windows 8.1 和更新版本的平臺，但它適用於 Windows 10/11。

注意事項

Intune 中的 受信任憑證 配置檔只能用來傳遞跟證書或中繼憑證。部署這類憑證的目的是要建立信任鏈結。 Microsoft不支援使用受信任的憑證配置檔來傳遞跟證書或中繼憑證以外的憑證。在 Microsoft Intune 系統管理中心選取受信任的憑證配置檔時，可能會封鎖您匯入不被視為跟證書或中繼憑證的憑證。即使您能夠使用此配置檔類型匯入和部署不是根或中繼憑證的憑證，您也可能會在iOS和Android等不同平台之間遇到非預期的結果。

適用於 Android 裝置系統管理員的信任憑證配置檔

重要事項

Microsoft 2024 年 12 月 31 日，Intune 將終止在可存取 Google Mobile Services (GMS) 的裝置上進行 Android 裝置系統管理員管理的支援。在該日期之後，裝置註冊、技術支援、錯誤修正和安全性修正將無法使用。如果您目前使用裝置系統管理員管理，建議您在支持結束之前，先切換至 Intune 中的另一個 Android 管理選項。如需詳細資訊，請參閱在 GMS 裝置上終止對 Android 裝置系統管理員的支援。

從 Android 11 開始，您無法再使用受信任的憑證配置檔，將受信任的跟證書部署到已註冊為 Android 裝置系統管理員的裝置。此限制不適用於 Samsung Knox。

因為 SCEP 憑證設定檔需要在裝置上安裝受信任的跟證書，而且必須參考受信任的憑證配置檔，而該配置檔接著會參考該憑證，請使用下列步驟來解決這項限制：

使用受信任的跟證書手動布建裝置。如需範例指引，請參閱下一節。
部署至裝置，這是信任的跟證書配置檔，參考您已在裝置上安裝的受信任跟證書。
將 SCEP 憑證設定檔部署至參考受信任跟證書配置檔的裝置。

此問題不限於SCEP憑證配置檔。因此，如果您使用 PKCS 憑證配置檔，或需要 PKCS 匯入的憑證配置檔，請規劃在適用的裝置上手動安裝受信任的跟證書。

深入瞭解從 techcommunity.microsoft.com 支援Android裝置系統管理員的變更。

使用受信任的跟證書手動布建裝置

下列指引可協助您使用受信任的跟證書手動布建裝置。

下載受信任的跟證書或將其傳輸至 Android 裝置。例如，您可以使用電子郵件將憑證散發給裝置使用者，或讓使用者從安全的位置下載憑證。憑證在裝置上之後，必須開啟、命名及儲存。儲存憑證會將它新增至裝置上的用戶證書存儲。
1. 若要在裝置上開啟憑證，用戶必須找出並點選 (開啟憑證) 。例如，透過電子郵件傳送憑證之後，裝置使用者可以點選或開啟憑證附件。
2. 憑證開啟時，用戶必須先提供 PIN 或向裝置進行驗證，才能管理憑證。
驗證之後，憑證會開啟，而且必須先命名，才能儲存到使用者證書存儲。憑證名稱必須符合將傳送至裝置之受信任跟證書配置檔中指定的憑證名稱。命名憑證之後，即可儲存憑證。
儲存之後，憑證即可供使用。使用者可以確認憑證位於裝置上的正確位置：
1. 開啟 [設定安全>性信任的>認證]。 受信任認證的實際路徑可能會因裝置而異。
2. 開啟 [ 使用者] 索引標籤並找出憑證。
3. 如果出現在用戶憑證清單中，則會正確安裝憑證。
在裝置上安裝跟證書之後，您仍然必須部署下列專案來布建 SCEP 或 PKCS 憑證：
- 參考該憑證的受信任憑證配置檔
- 參考憑證配置檔以布建 SCEP 或 PKCS 憑證的 SCEP 或 PKCS 配置檔。

若要建立受信任的憑證配置檔

登入 Microsoft Intune 系統管理中心。
選取並移至 [裝置>管理裝置>][組態>建立]。
輸入下列內容：
- 平台：選擇將接收此配置檔之裝置的平臺。
- 配置文件：根據您選擇的平臺，選取 [ 信任的憑證 ] 或選取 [範本信任的>憑證]。
重要事項

在 2022 年 10 月 22 日，Microsoft Intune 終止對執行 Windows 8.1 之裝置的支援。無法在這些裝置上使用技術協助和自動更新。

如果您目前使用 Windows 8.1，則建議您移至 Windows 10/11 裝置。 Microsoft Intune 具有管理 Windows 10/11 用戶端裝置的內建安全性和裝置功能。
選取 [建立]。
在 [基本資訊] 中，輸入下列內容：
- 名稱：輸入設定檔的描述性名稱。為您的配置檔命名，以便稍後輕鬆地識別它們。例如，良好的配置檔名稱是 整個公司的受信任憑證配置檔。
- 描述：輸入設定檔的描述。這是選擇性設定，但建議進行。
選取[下一步]。
在 [ 組態設定] 中，為您先前導出的受信任根 CA 憑證指定.cer檔。

僅限 Windows 8.1 和 Windows 10/11 裝置，請從下列項目選取受信任憑證的 目的地存放 區：
- 計算機證書存儲 - 根目錄
- 計算機證書存儲 - 中繼
- 用戶憑證存儲 - 中繼
選取 [下一步]。
在 [ 指派] 中，選取將接收配置檔的使用者或群組。如需指派設定檔的詳細資訊，請參閱指派使用者和裝置設定檔。

選取[下一步]。
(僅適用於 Windows 10/11) 在適用性規則中，指定適用性規則以精簡此配置檔的指派。您可以選擇根據 OS 版本或裝置版本來指派或不指派設定檔。

如需詳細資訊，請參閱在 Microsoft Intune 中建立裝置配置檔中的適用性規則。
在 [檢閱 + 建立] 中，檢閱您的設定。當您選取 [建立] 時，系統會儲存您的變更，然後指派設定檔。原則也會顯示在設定檔清單中。

後續步驟

建立憑證設定檔：

共用方式為