Introduktion
Microsoft Intune giver mulighed for integration af importerede PFX-certifikater, som ofte bruges til S/MIME kryptering i e-mail-profiler. Intune understøtter import af PFX-certifikater på tværs af disse platforme:- Android-enhedsadministrator
- Android Enterprise:
- Fuldt Managed
- Virksomhedsejet arbejdsprofil
- Personligt ejet arbejdsprofil
- iOS / iPadOS
- MacOS
- Windows 10 / 11
Forståelse S/MIME Certifikatimplementering ved hjælp af Intune
Når Intune bruges til at implementere et importeret PFX-certifikat til en bruger, spiller to nøglekomponenter en rolle ved siden af enheden:- Intune Service: Denne service gemmer PFX-certifikaterne sikkert i et krypteret format og administrerer deres implementering på brugerens enhed. Adgangskoderne, der beskytter disse certifikaters private nøgler, krypteres, før de uploades, ved hjælp af enten et hardwaresikkerhedsmodul (HSM) eller Windows Cryptography. Dette sikrer, at Intune aldrig har adgang til de private nøgler.
- Certifikatforbindelse til Microsoft Intune: Når en enhed anmoder om et importeret PFX-certifikat, videresendes den krypterede adgangskode, certifikatet og enhedens offentlige nøgle til stikket. Connectoren dekrypterer adgangskoden ved hjælp af den private nøgle på stedet, og krypterer derefter adgangskoden igen med enhedsnøglen. Certifikatet returneres derefter til Intune, som leverer det til enheden. Enheden dekrypterer den med sin egen private nøgle og installerer certifikatet.
Specifikke skuespillerroller
- Entra ID: Fungerer som den primære identitetsudbyder, der integreres med forskellige Microsoft-tjenester og virksomhedsapplikationer.
- Intune: Administrerer enheder, der er tilmeldt systemet, anvender sikkerhedspolitikker og implementerer certifikater.
- S/MIME Certifikater: Leveret af SSL.com sikrer disse certifikater sikker e-mail-kommunikation gennem kryptering og e-mail-signering.
- Entra Connect: Linker lokalt Active Directory med Azure Entra ID for at levere en hybrid identitetsløsning.
- Enheder: Disse er tilmeldt Intune og sikret med certifikater, hvilket giver brugerne sikker adgang til virksomhedens ressourcer.
Oversigt over arbejdsgange
- Organisationen registrerer deres virksomhedsapp i Entra ID.
- Enterprise app-oplysningerne er også registreret hos SSL.com.
- Intune-administratorer køber certifikater til brugere fra SSL.com.
- Under købet vælger administratorerne formålet med certifikatet, såsom generel brug, S/MIME Kryptering, eller S/MIME Underskriver.
- PFX-certifikatet importeres derefter til Intune for brugerens konto.
- Intune forbinder med Intune-stikket for at validere certifikatet.
- Når det er valideret, implementerer Intune certifikatet til brugerens enhed.
Styrk din e-mail-sikkerhed og beskyt følsomme data med SSL.com S/MIME certifikater.
Sådan konfigureres Microsoft Intune og Microsoft Active Directory til S/MIME Certifikater
Forudsætninger
Nedenstående er forudsætningerne for API. Disse skal konfigureres på Intune lejer, som certifikater vil blive importeret til fra SSL.com.- En konto med Intune-administratorrettigheder
Tilføj brugere og giv tilladelser – Microsoft Intune | Microsoft Lær - Alle de brugere, for hvem PFX-certifikatet er importeret, skal have tildelt Intune-licens
Tildel Microsoft Intune-licenser | Microsoft Lær - Intune-certifikatforbindelse installeret og konfigureret på en Windows-server
Installer Certificate Connector til Microsoft Intune – Azure | Microsoft Lær - Offentlig nøgle eksporteret fra Intune-forbindelsesserver
Brug importerede PFX-certifikater i Microsoft Intune | Microsoft Lær - Opret Enterprise-applikation i Microsoft Entra
Denne vejledning antager, at Enterprise-appen allerede vil være oprettet hos lejerne, og SSL.com vil have oplysningerne om den registrerede enterprise-app. Processen til registrering af Enterprise-appen (ved hjælp af Entra-portalen) er forklaret nedenfor.- Log ind på portal.azure.com og søg efter Microsoft Access ID
- Klik Enterprise applikationer
- Klik Ny ansøgning
- Klik Opret din egen applikation
- Indtast navnet på applikationen, og klik Opret
- Ansøgningen er nu oprettet.
- Klik App-registreringer
- Klik Alle applikationer
- Vælg applikationen.
Bemærk Ansøgnings-id og Katalog-id: disse skal sendes til API. - Klik Certifikater & hemmeligheder og vælg derefter Ny klienthemmelighed
- Klik Godkendelse og tilføj webomdirigerings-URL'erne for SSL.com. Omdirigerings-URL'er er https://secure.ssl.com/oauth2/azure til produktion og https://sandbox.ssl.com/oauth2/azure til sandkasse
- Angiv et navn til nøglen, og klik Tilføj
Bemærk nøglens værdi. Dette skal sendes til API'en.
- Konfigurer en PKCS-certifikatimportprofil
Når certifikaterne er importeret til Intune, skal du konfigurere en PKCS-certifikatimportprofil og tildele den til relevante Microsoft Entra-grupper. Detaljerede trin er tilgængelige i denne Microsoft guide.
Tilladelseskrav for Enterprise-applikationen til at importere certifikatet
- Under App-registreringer >> applikationens navn, klik på API-tilladelser.
- Klik Tilføj en tilladelse.
- Klik Microsoft Graph.
- Klik Delegerede tilladelser og søg på user.read. Sæt kryds i boksene for Bruger.Læs og Bruger.Læs.Alle.
- Klik Delegerede tilladelser og søg efter "gruppe". Sæt kryds i boksen for Group.ReadWrite.All.
- Klik Delegerede tilladelser og søg efter "DeviceManagementApps". Sæt kryds i boksen for DeviceManagementApps.ReadWrite.All.
- Søg efter "DeviceManagementConfiguration". Sæt kryds i boksene for DeviceManagementConfiguration.Read.All og DeviceManagementConfiguration.ReadWrite.All. Fortsæt med at klikke på Tilføj tilladelser .
- Klik Tilføj en tilladelse.
- Type Microsoft Graph.
- Klik Ansøgningstilladelser og søg efter "bruger.læst". Sæt kryds i boksene for Bruger.Læs.Alle og User.ReadWrite.All.
- Klik Ansøgningstilladelser og søg efter "gruppe". Sæt kryds i boksen for Group.ReadWrite.All.
- Klik Ansøgningstilladelser og søg efter "deviceManagementApps". Sæt kryds i boksen for DeviceManagementApps.ReadWrite.All
- Klik Ansøgningstilladelser og søg efter "DeviceManagementService". Sæt kryds i boksen for DeviceManagementService.ReadWrite.All
- Søg efter "DeviceManagementConfiguration" og marker afkrydsningsfelterne for DeviceManagementConfiguration.Read.All og DeviceManagementConfiguration.ReadWrite.All. Fortsæt med at klikke på Tilføj tilladelser .
- Når alle rettigheder er tildelt, skal du klikke Giv administratorsamtykke til [navn på organisation].
- Klik Ja at give tilladelsen
- Tilladelsen skulle nu være givet.
Sådan eksporteres certifikater til Azure Active Directory ved hjælp af SSL.com Azure Integration Tool
De følgende afsnit indeholder instruktioner om, hvordan du bruger SSL.com Azure Integration Tool til at eksportere certifikater til Azure Active Directory.Krav fra SSL.com
- En aktiv aftale om forhåndsvalidering af identitet også kendt som en virksomhed PKI (EPKI) Aftale. Find instruktioner her (Enterprise PKI (EPKI) Aftaleopsætning) for at indsende og aktivere denne aftale. Når den er aktiveret, kan trinene i næste afsnit udføres.
- Konfigureret Microsoft Entra- og Intune-konto, som beskrevet i dette forrige afsnit: Sådan konfigureres Microsoft Intune og Microsoft Active Directory til S/MIME Certifikater.
Konfigurer Azure Sync
- Log ind på din SSL.com-konto og klik integrationer i topmenuen. Fra de anførte muligheder skal du klikke Azure AD.
- Udfyld de påkrævede felter til Azure-integration. Klik derefter på Gem .
- kunde-id. Ansøgning (klient) ID.
- Klienthemmelighed. Kopier værdien af klienthemmeligheder fra klientlegitimationsoplysninger.
- Lejer ID. Directory (lejer) ID.
- Intune offentlig nøgle. Base64-version af den offentlige nøgle eksporteret fra Intune-forbindelsesserver. For flere detaljer, tjek dette Microsoft ressource.
Brug SSL.com Azure Integration Tool til udstedelse af S/MIME certifikater
- Når Azure indstilling er blevet oprettet. Klik på Bemyndige .
- Klik Azure-brugere så listen over brugere fra Azure kan importeres til SSL.coms system.
- Du bliver bedt om at logge ind på din Microsoft-konto.
- Klik på knappen Importer brugere knappen på SSL.com Azure Integration Tool.
- SSL.com vil meddele, at oplysningerne om de Azure-brugere, der vil blive tildelt digitale certifikater, er ved at blive importeret. Genindlæs siden for at bekræfte, at disse er blevet importeret.
- SSL.com viser listen over Azure-brugere, angivet med deres fornavn, efternavn og e-mailadresse. Marker afkrydsningsfeltet for alle de brugere, der vil blive tildelt et certifikat. Antallet af brugere, der vises på listen, kan øges ved at klikke på rullepilen nederst til venstre på siden. Ved færdiggørelse af udvalgte brugere, klik på Tilmeld certifikat knappen for at fortsætte.
- Opfyld kravene til certifikatet.
- certifikat: Vælg den type certifikat, du vil tildele til de valgte brugere.
- Varighed: Angiv længden af tid, før certifikatet udløber.
- Tilsigtet formål: Vælg mellem General Purpose, SMIME-kryptering eller SMIME-signering.
- Når valgene er afsluttet, skal du klikke på Tilføj .
- certifikat: Vælg den type certifikat, du vil tildele til de valgte brugere.
- Hver bruger vil blive tildelt en ny certifikatordre herfra. Med tilstedeværelsen af en aftale om forhåndsvalidering af identitet vil hver ordre automatisk blive valideret og udstedt. Den vellykkede udstedelse af certifikatet kan bekræftes ved at klikke Mine Ordrer fra topmenuen efterfulgt af detaljer link til den bestemte ordre. Ved at rulle ned og klikke på SLUT ENHEDSCERTIFIKATER sektion, vil oplysningerne om certifikatet fremkomme, herunder dets UDSTEDT status.
