Защитената електронна поща е от съществено значение за защитата на чувствителни бизнес комуникации. S/MIME (Разширения за защитена/многофункционална интернет поща) позволява на потребителите да подписват цифрово съобщения, за да проверят самоличността на подателя и да криптират имейли, за да предотвратят неоторизиран достъп.
Организации, използващи Microsoft Exchange Online и Microsoft Outlook за iOS или Android, могат да внедрят SSL.com S/MIME сертификати за осигуряване на цялостна защита на имейлите на мобилни устройства. В зависимост от вашата среда, сертификатите могат да се разпространяват ръчно или автоматично чрез Microsoft Intune.
Това ръководство обяснява предварителните изисквания, опциите за внедряване и стъпките за конфигуриране, необходими за използване на SSL.com. S/MIME сертификати с Microsoft Outlook за iOS и Android.
Преди да започнеш
Преди внедряване S/MIME сертификати за мобилни устройства, уверете се, че са изпълнени следните изисквания:
- SSL.com S/MIME сертификат е издаден за всеки потребител.
- Microsoft Exchange Online е конфигуриран да поддържа S/MIME.
- Exchange Online е конфигуриран с виртуална колекция от сертификати.
- Списъците с анулирани сертификати (CRL) са публично достъпни.
- Доверени сертификати за коренни и междинни CA са налични в колекцията от виртуални сертификати на Exchange Online.
- Мобилните устройства се регистрират в Microsoft Intune, ако се използва автоматизирано внедряване.
За изискванията за конфигурация на Exchange Online вижте Документацията на Microsoft за конфигуриране S/MIME в Exchange Online.
Как Outlook проверява S/MIME Сертификати - Sanxin
Преди Outlook да активира подписване или криптиране, Exchange Online валидира веригата от сертификати чрез:
- Проверка на всеки сертификат във веригата
- Потвърждаване на наличието на надежден коренен сертификат
- Проверка на състоянието на анулиране на сертификата
Освен това, Outlook за iOS и Android сравнява основния SMTP имейл адрес на потребителя с имейл адреса, съдържащ се в полето „Тема“ или „Алтернативно име на тема“ (SAN) на сертификата.
Ако тези стойности не съвпадат точно, Outlook няма да направи сертификата достъпен за подписване или криптиране на имейли.
Изберете метод за разпространение на сертификат
Microsoft Outlook поддържа два метода за внедряване S/MIME сертификати.
Ръчно раздаване на сертификати
Ръчната инсталация е подходяща за малки организации или индивидуални потребители.
Потребителят експортира личния си сертификат като защитен с парола PFX файл и го изпраща до себе си, използвайки Outlook. Отварянето на прикачения файл от Outlook на iOS или Android автоматично започва инсталирането на сертификата.
За инструкции относно експортирането на сертификат вижте това Ръководство на Microsoft.
Въпреки че е просто, ръчното разпространение изисква всеки потребител да инсталира и управлява свой собствен сертификат.
Автоматизирано разпространение на сертификати с Microsoft Intune
За по-големи организации Microsoft препоръчва автоматизирано внедряване на сертификати чрез Microsoft Intune.
Автоматизираното внедряване опростява управлението на жизнения цикъл на сертификатите, намалява административните разходи и гарантира, че потребителите винаги получават правилните сертификати за подписване и криптиране.
Съображения за iOS архитектура
В iOS сертификатите, използвани от Outlook, трябва да се намират в ключодържателя на издателя на Microsoft, а не в системния ключодържател.
Тъй като Apple ограничава достъпа на приложения на трети страни до сертификати, съхранявани в системната верига за ключове, Outlook за iOS може да използва само сертификати, доставени чрез управлявани от Microsoft приложения, като например Company Portal.
Архитектура на Android
Outlook за Android поддържа автоматизирана доставка на сертификати чрез Microsoft Intune в множество модели на записване, включително:
- Работен профил на Android Enterprise
- Напълно управлявано Android Enterprise
- Администратор на устройства (където се поддържа)
Предварителни изисквания за автоматизирано внедряване
Преди да внедрите сертификати чрез Intune, изпълнете следните задачи.
Разполагане на надеждни коренни сертификати
Разположите всички необходими надеждни коренни и междинни сертификати. За повече подробности вижте това ръководство: Профили на надеждни коренни сертификати за Microsoft Intune
Това позволява на Outlook да установи пълна верига на доверие при валидиране на потребителски сертификати.
Импортиране на сертификати за шифроване на потребители
Импортирайте сертификатите за криптиране на потребителите в Microsoft Intune, като използвате импортирани от PKCS сертификати. За повече подробности вижте това ръководство: Конфигурирайте и използвайте импортирани PKCS сертификати с Intune
Тези сертификати ще бъдат разпространявани автоматично до регистрираните устройства.
Инсталирайте конектора за сертификати на Microsoft Intune PFX
Инсталирайте и конфигурирайте Microsoft Intune PFX Certificate Connector. За повече подробности вижте това ръководство: Изтеглете, инсталирайте и конфигурирайте PFX Certificate Connector за Microsoft Intune
Конекторът сигурно доставя потребителски сертификати от вашия PKI среда към управляваните устройства.
Регистриране на потребителски устройства
Уверете се, че всички целеви устройства с iOS и Android са регистрирани в Microsoft Intune, преди да присвоите профили на сертификати или правила за конфигуриране на Outlook.
Конфигуриране на Outlook за Android
За да конфигурирате Outlook на Android:
- Влезте в центъра за администриране на Microsoft Intune.
- Създайте и задайте профил на сертификат SCEP или PKCS.
- Отидете до Приложения > Правила за конфигуриране на приложения.
- Изберете Добави > Управлявани устройства.
- Избирам:
- Платформа: AndroidEnterprise
- Тип на профила: Всички типове профили
- Изберете Microsoft Outlook като целевото приложение.
- Под Конфигурационни настройки, избирам Използвайте дизайнер на конфигурация.
- Разширете S/MIME раздел.
- Конфигуриране на:
- Разреши S/MIME
- Криптиране на всички имейли
- Подписвайте всички имейли
- Разрешения за промяна на потребителски права
- Присвоете политиката на съответните потребителски групи на Microsoft Entra ID.
След внедряване на правилата, Intune автоматично предоставя сертификати на регистрирани устройства с Android.
Конфигуриране на Outlook за iOS
Следвайте тези стъпки, за да конфигурирате Outlook за iOS да използва SSL.com S/MIME сертификати.
- Влезте в центъра за администриране на Microsoft Intune.
- Отидете до Приложения > Правила за конфигуриране на приложения.
- Изберете Добави > Управлявани устройства.
- Въведете име на политиката и по избор описание.
- Изберете iOS / iPadOS като платформата.
- Изберете Microsoft Outlook като целевото приложение.
- отворено Конфигурационни настройки.
- Разширете S/MIME раздел.
Конфигурирайте следните опции, както е подходящо:
- Разреши S/MIME
- Криптиране на всички имейли
- Подписвайте всички имейли
- Разрешаване или забрана на потребителите да променят тези настройки
- Конфигурирайте LDAP URL адрес, ако е необходимо търсене на сертификат на получателя
- Разреши Разполагане S/MIME сертификати от Intune
Конфигуриране на сертификати за подписване
Изберете един от следните типове профили на сертификати:
ПРДЕ
Създава уникален сертификат за всеки потребител и устройство. За повече подробности вижте това ръководство: Създаване и присвояване на профили на SCEP сертификати в Intune
PKCS импортирани сертификати
Използва потребителски сертификати, импортирани от администратор, които могат да бъдат разпределени между множество регистрирани устройства. За повече подробности вижте това ръководство: Конфигуриране и използване на PKCS сертификати с Intune
Изведени идентификационни данни
Използва съществуващи идентификационни данни, извлечени чрез работния процес за извлечени идентификационни данни на Intune.
Конфигуриране на сертификати за криптиране
Изберете една от следните опции:
PKCS импортирани сертификати
Разпространява импортираните сертификати за криптиране автоматично към регистрираните устройства.
Изведени идентификационни данни
Използва съществуващ сертификат за устройство, получен чрез работния процес за извлечени от Intune идентификационни данни.
Конфигуриране на потребителски известия
Когато сертификатите станат налични, Intune може да уведоми потребителите, използвайки един от два метода.
Фирмен портал
Потребителите получават push известие, което ги насочва към приложението Company Portal, където започва извличането на сертификат.
Имейл
Потребителите получават имейл с инструкции да отворят фирмения портал и да изтеглят своите S/MIME сертификат.
В iOS потребителите трябва да завършат извличането на сертификата чрез портала на компанията, преди Outlook да може да използва сертификата за подписване или криптиране.
Разреши S/MIME в Outlook
След инсталирането на сертификатите, потребителите трябва ръчно да ги активират S/MIME в мобилното приложение Outlook.
За да активирате S/MIME:
- Отворете Microsoft Outlook.
- отворено Настройки.
- Изберете подходящия имейл акаунт.
- Отидете до Охрана.
- Включи S/MIME.
След като е активирано, потребителите могат да подписват или криптират имейл съобщения директно от Outlook.
По избор: Конфигуриране на LDAP за търсене на сертификат
Организациите могат да конфигурират LDAP (Lightweight Directory Access Protocol), за да опростят откриването на сертификати.
LDAP позволява на Outlook и други приложения автоматично да намират сертификати на получатели, което позволява на потребителите да криптират имейли, без да импортират сертификати ръчно.
Предимствата на LDAP интеграцията включват:
- Централизирано управление на сертификати
- Опростено откриване на сертификат на получател
- Подобрена проверка на сертификати
- По-лесно в цялото предприятие S/MIME внедряване
За инструкции вижте ръководството на SSL.com:
LDAP интеграция с SSL.com S/MIME Сертификати - Sanxin
Заключение
Внедряване на SSL.com S/MIME Сертификатите с Microsoft Outlook за iOS и Android помагат на организациите да защитят чувствителна комуникация чрез цифрови подписи и цялостно криптиране на имейли.
Независимо дали сертификатите се разпространяват ръчно за малки внедрявания или автоматично чрез Microsoft Intune за корпоративни среди, правилната конфигурация гарантира, че потребителите могат сигурно да изпращат удостоверени и криптирани имейли, като същевременно спазват правилата за сигурност на организацията. Автоматизираното внедряване също така намалява административните усилия, опростява управлението на жизнения цикъл на сертификатите и осигурява последователно потребителско изживяване на всички управлявани мобилни устройства.
