Εισαγωγή

Το Microsoft Intune επιτρέπει την ενσωμάτωση εισαγόμενων πιστοποιητικών PFX, για τα οποία χρησιμοποιούνται συχνά S/MIME κρυπτογράφηση σε προφίλ email. Το Intune υποστηρίζει την εισαγωγή πιστοποιητικών PFX σε αυτές τις πλατφόρμες:

• Διαχειριστής συσκευής Android
• Android Enterprise:
  • Πλήρως διαχειριζόμενη
  • Εταιρικό Προφίλ Εργασίας
  • Προσωπικό Προφίλ Εργασίας
• iOS / iPadOS
• macOS
• Παράθυρα 10 / 11

Κατανόηση S/MIME Ανάπτυξη πιστοποιητικού με χρήση του Intune

Όταν το Intune χρησιμοποιείται για την ανάπτυξη ενός εισαγόμενου πιστοποιητικού PFX σε έναν χρήστη, δύο βασικά στοιχεία παίζουν ρόλο δίπλα στη συσκευή:

• Υπηρεσία Intune: Αυτή η υπηρεσία αποθηκεύει με ασφάλεια τα πιστοποιητικά PFX σε κρυπτογραφημένη μορφή και διαχειρίζεται την ανάπτυξή τους στη συσκευή του χρήστη. Οι κωδικοί πρόσβασης που προστατεύουν τα ιδιωτικά κλειδιά αυτών των πιστοποιητικών κρυπτογραφούνται πριν μεταφορτωθούν, χρησιμοποιώντας είτε μονάδα ασφαλείας υλικού (HSM) είτε κρυπτογραφία των Windows. Αυτό διασφαλίζει ότι το Intune δεν έχει ποτέ πρόσβαση στα ιδιωτικά κλειδιά.
• Υποδοχή πιστοποιητικού για το Microsoft Intune: Όταν μια συσκευή ζητά ένα εισαγόμενο πιστοποιητικό PFX, ο κρυπτογραφημένος κωδικός πρόσβασης, το πιστοποιητικό και το δημόσιο κλειδί της συσκευής προωθούνται στην εφαρμογή σύνδεσης. Η σύνδεση αποκρυπτογραφεί τον κωδικό πρόσβασης χρησιμοποιώντας το ιδιωτικό κλειδί εσωτερικής εγκατάστασης και, στη συνέχεια, κρυπτογραφεί ξανά τον κωδικό πρόσβασης με το κλειδί της συσκευής. Στη συνέχεια, το πιστοποιητικό επιστρέφεται στο Intune, το οποίο το παραδίδει στη συσκευή. Η συσκευή το αποκρυπτογραφεί με το δικό της ιδιωτικό κλειδί και εγκαθιστά το πιστοποιητικό.

Συγκεκριμένοι ρόλοι ηθοποιών

• Εισαγωγή αναγνωριστικού: Λειτουργεί ως ο κύριος πάροχος ταυτότητας, ενσωματώνοντας διάφορες υπηρεσίες της Microsoft και εταιρικές εφαρμογές.
• Intune: Διαχειρίζεται συσκευές που είναι εγγεγραμμένες στο σύστημα, εφαρμόζει πολιτικές ασφαλείας και αναπτύσσει πιστοποιητικά.
• S/MIME Πιστοποιητικά: Παρέχονται από το SSL.com, αυτά τα πιστοποιητικά εξασφαλίζουν ασφαλή επικοινωνία μέσω email μέσω κρυπτογράφησης και υπογραφής email.
• Entra Connect: Συνδέει την υπηρεσία καταλόγου Active Directory εντός της εγκατάστασης με το αναγνωριστικό Azure Entra για να παρέχει μια λύση υβριδικής ταυτότητας.
• Συσκευές: Αυτά είναι εγγεγραμμένα στο Intune και ασφαλίζονται με πιστοποιητικά, παρέχοντας στους χρήστες ασφαλή πρόσβαση σε εταιρικούς πόρους.

Περίληψη ροής εργασιών

1. Ο οργανισμός καταχωρεί την εταιρική του εφαρμογή στο Entra ID.
2. Τα στοιχεία της εταιρικής εφαρμογής καταχωρούνται επίσης στο SSL.com.
3. Οι διαχειριστές Intune αγοράζουν πιστοποιητικά για χρήστες από το SSL.com.
4. Κατά την αγορά, οι διαχειριστές επιλέγουν τον σκοπό του πιστοποιητικού, όπως γενική χρήση, S/MIME Κρυπτογράφηση ή S/MIME Υπογραφή.
5. Στη συνέχεια, το πιστοποιητικό PFX εισάγεται στο Intune για τον λογαριασμό του χρήστη.
6. Το Intune συνδέεται με την υποδοχή Intune για να επικυρώσει το πιστοποιητικό.
7. Μόλις επικυρωθεί, το Intune αναπτύσσει το πιστοποιητικό στη συσκευή του χρήστη.

Τα συγκεκριμένα βήματα για τη ροή εργασιών και την ενσωμάτωση συζητούνται στις ακόλουθες ενότητες.

Τρόπος ρύθμισης παραμέτρων του Microsoft Intune και του Microsoft Active Directory για S/MIME Πιστοποιητικά

Προϋποθέσεις

Παρακάτω παρατίθενται οι προϋποθέσεις για το API. Αυτά πρέπει να ρυθμιστούν στο Intune μισθωτή στον οποίο θα εισαχθούν πιστοποιητικά από το SSL.com.

• Ένας λογαριασμός με δικαιώματα διαχειριστή Intune
  Προσθήκη χρηστών και παραχώρηση αδειών – Microsoft Intune | Microsoft Learn
• Όλοι οι χρήστες για τους οποίους εισάγεται το πιστοποιητικό PFX θα πρέπει να έχουν εκχωρηθεί άδεια Intune
  Εκχώρηση αδειών χρήσης Microsoft Intune | Microsoft Learn
• Η σύνδεση πιστοποιητικού Intune έχει εγκατασταθεί και ρυθμιστεί σε διακομιστή Windows
  Εγκαταστήστε το Certificate Connector για το Microsoft Intune – Azure | Microsoft Learn
• Εξαγωγή δημόσιου κλειδιού από τον διακομιστή σύνδεσης Intune
  Χρησιμοποιήστε εισαγόμενα πιστοποιητικά PFX στο Microsoft Intune | Microsoft Learn
• Δημιουργία εφαρμογής Enterprise στο Microsoft Entra
  Αυτός ο οδηγός προϋποθέτει ότι η εφαρμογή Enterprise θα δημιουργηθεί ήδη στους ενοικιαστές και το SSL.com θα έχει τις πληροφορίες σχετικά με την εγγεγραμμένη εταιρική εφαρμογή. Η διαδικασία εγγραφής της εφαρμογής Enterprise (χρησιμοποιώντας την πύλη Entra) εξηγείται παρακάτω.
  1. Συνδεθείτε στο portal.azure.com και αναζητήστε Αναγνωριστικό Microsoft Entra
  2. Πατήστε Επιχειρηματικές εφαρμογές
  3. Πατήστε Νέα εφαρμογή
  4. Πατήστε Δημιουργήστε τη δική σας εφαρμογή
  5. Εισαγάγετε το όνομα της εφαρμογής και κάντε κλικ δημιουργώ
  6. Η εφαρμογή δημιουργήθηκε πλέον με επιτυχία.
  7. Πατήστε Εγγραφές εφαρμογών
  8. Πατήστε Όλες οι εφαρμογές
  9. Επιλέξτε την Εφαρμογή.
     Σημειώστε το Αναγνωριστικό εφαρμογής και την Αναγνωριστικό καταλόγου: αυτά πρέπει να περάσουν στο API.
  10. Πατήστε Πιστοποιητικά και μυστικά και στη συνέχεια επιλέξτε Νέο μυστικό πελάτη
  11. Πατήστε Πιστοποίηση και προσθέστε τις διευθύνσεις URL ανακατεύθυνσης Ιστού του SSL.com. Οι διευθύνσεις URL ανακατεύθυνσης είναι https://secure.ssl.com/oauth2/azure για Παραγωγή και https://sandbox.ssl.com/oauth2/azure για το Sandbox
  12. Δώστε ένα όνομα στο κλειδί και κάντε κλικ Πρόσθεση
      Σημειώστε την τιμή του κλειδιού. Αυτό πρέπει να περάσει στο API.
      
      
• Ρυθμίστε ένα προφίλ εισαγωγής πιστοποιητικού PKCS
  Μόλις εισαχθούν τα πιστοποιητικά στο Intune, διαμορφώστε ένα προφίλ εισαγωγής πιστοποιητικού PKCS και αντιστοιχίστε το σε σχετικές ομάδες Microsoft Entra. Λεπτομερή βήματα είναι διαθέσιμα σε αυτό Οδηγός της Microsoft.

Απαιτήσεις άδειας για την εφαρμογή Enterprise για εισαγωγή του πιστοποιητικού

1. Κάτω από Εγγραφές εφαρμογών >> Όνομα εφαρμογής, κάντε κλικ στην επιλογή Δικαιώματα API.
2. Πατήστε Προσθέστε μια άδεια.
3. Πατήστε Microsoft Graph.
4. Πατήστε Εξουσιοδοτημένα δικαιώματα και αναζητήστε user.read. Επιλέξτε τα πλαίσια για Χρήστης.Διαβάστε και Χρήστης.Διαβάστε.Όλα.
5. Πατήστε Ανατεθειμένες άδειες και αναζητήστε "ομάδα". Επιλέξτε το πλαίσιο για Group.ReadWrite.All.
6. Πατήστε Εξουσιοδοτημένα δικαιώματα και αναζητήστε "DeviceManagementApps". Επιλέξτε το πλαίσιο για DeviceManagementApps.ReadWrite.All.
7. Αναζήτηση "DeviceManagementConfiguration". Επιλέξτε τα πλαίσια για DeviceManagementConfiguration.Read.All και DeviceManagementConfiguration.ReadWrite.All. Προχωρήστε για να κάνετε κλικ στο Προσθέστε δικαιώματα κουμπί.
8. Πατήστε Προσθέστε μια άδεια.
9. Αγορά Microsoft Graph.
10. Πατήστε Άδεια εφαρμογής και αναζητήστε "user.read". Επιλέξτε τα πλαίσια για Χρήστης.Διαβάστε.Όλα και Χρήστης.ReadWrite.All.
11. Πατήστε Άδεια εφαρμογής και αναζητήστε "ομάδα". Επιλέξτε το πλαίσιο για Group.ReadWrite.All.
12. Πατήστε Άδεια εφαρμογής και αναζητήστε "DeviceManagementApps". Επιλέξτε το πλαίσιο για DeviceManagementApps.ReadWrite.All
13. Πατήστε Άδεια εφαρμογής και αναζητήστε "DeviceManagementService". Επιλέξτε το πλαίσιο για DeviceManagementService.ReadWrite.All
14. Αναζήτηση "DeviceManagementConfiguration" και επιλέξτε τα πλαίσια για DeviceManagementConfiguration.Read.All και DeviceManagementConfiguration.ReadWrite.All. Προχωρήστε για να κάνετε κλικ στο Προσθήκη Δικαιωμάτων κουμπί.
15. Μόλις εκχωρηθούν όλα τα δικαιώματα, κάντε κλικ Εκχώρηση συγκατάθεσης διαχειριστή για [όνομα οργανισμού].
16. Πατήστε Ναι να δώσει την άδεια
17. Η άδεια θα πρέπει τώρα να χορηγηθεί με επιτυχία.

Τρόπος εξαγωγής πιστοποιητικών στην υπηρεσία καταλόγου Active Directory Azure χρησιμοποιώντας το εργαλείο ενσωμάτωσης SSL.com Azure

Οι ακόλουθες ενότητες παρέχουν οδηγίες σχετικά με τον τρόπο χρήσης του SSL.com Azure Integration Tool για την εξαγωγή πιστοποιητικών στο Azure Active Directory. 

Απαιτήσεις από το SSL.com

1. Ένα ενεργό Συμφωνητικό Προεπικύρωσης Ταυτότητας Μαζικής Παραγγελίας. Οδηγίες μπορείτε να βρείτε στο αυτός ο οδηγός. Μόλις ενεργοποιηθεί, μπορούν να εκτελεστούν τα βήματα στην επόμενη ενότητα.
2. Διαμορφώθηκε ο λογαριασμός Microsoft Entra και Intune, όπως περιγράφεται σε αυτήν την προηγούμενη ενότητα: Τρόπος ρύθμισης παραμέτρων του Microsoft Intune και του Microsoft Active Directory για S/MIME Πιστοποιητικά.

Διαμόρφωση συγχρονισμού Azure

1. Συνδεθείτε στον λογαριασμό σας SSL.com και κάντε κλικ Ενσωματώσεις στο επάνω μενού. Από τις επιλογές που αναφέρονται, κάντε κλικ Azure AD.
   
2. Συμπληρώστε τα απαιτούμενα πεδία για την ενσωμάτωση του Azure. Στη συνέχεια, κάντε κλικ στο Αποθήκευση κουμπί.
   
   1. Αναγνωριστικό πελάτη. Αναγνωριστικό εφαρμογής (πελάτη).
   2. Μυστικό πελάτη. Αντιγράψτε την αξία μυστικού(ων) πελάτη από τα διαπιστευτήρια πελάτη.
   3. Αναγνωριστικό μισθωτή. Ταυτότητα καταλόγου (ενοικιαστή).
   4. Δημόσιο κλειδί Intune. Η έκδοση Base64 του Δημόσιου κλειδιού εξήχθη από τον διακομιστή σύνδεσης Intune. Για περισσότερες λεπτομέρειες, ελέγξτε αυτό Πηγή της Microsoft.

Χρησιμοποιήστε το SSL.com Azure Integration Tool για έκδοση S/MIME πιστοποιητικά

1. Μόλις η Γαλανός η ρύθμιση έχει δημιουργηθεί. Κάντε κλικ στο Εξουσιοδοτώ σύνδεσμο. 
   
   
2. Πατήστε Χρήστες Azure έτσι ώστε η λίστα των χρηστών από το Azure να μπορεί να εισαχθεί στο σύστημα του SSL.com.
   
   
3. Θα σας ζητηθεί να συνδεθείτε στον λογαριασμό σας Microsoft.
   
4. Κάντε κλικ στο Εισαγωγή χρηστών κουμπί στο SSL.com Azure Integration Tool.
   
5. Το SSL.com θα ειδοποιήσει ότι οι πληροφορίες των χρηστών του Azure στους οποίους θα εκχωρηθούν ψηφιακά πιστοποιητικά βρίσκονται σε διαδικασία εισαγωγής. Επαναλάβετε τη φόρτωση της σελίδας για να επιβεβαιώσετε ότι έχουν εισαχθεί. 
   
6. Το SSL.com θα εμφανίσει τη λίστα των χρηστών του Azure, που υποδεικνύεται από το όνομα, το επίθετο και τη διεύθυνση email τους. Επιλέξτε το πλαίσιο ελέγχου για όλους τους χρήστες στους οποίους θα εκχωρηθεί πιστοποιητικό.  Ο αριθμός των χρηστών που εμφανίζονται στη λίστα μπορεί να αυξηθεί κάνοντας κλικ στο αναπτυσσόμενο βέλος στο κάτω αριστερό μέρος της σελίδας. Μετά την οριστικοποίηση των επιλεγμένων χρηστών, κάντε κλικ στο Εγγραφή πιστοποιητικού για να προχωρήσετε.
   
7. Εκπληρώστε τις απαιτήσεις για το πιστοποιητικό.
   1. Πιστοποιητικό: Επιλέξτε τον τύπο πιστοποιητικού που θέλετε να εκχωρήσετε στους επιλεγμένους χρήστες.
      
   2. Διάρκεια: Καθορίστε το χρονικό διάστημα πριν από τη λήξη του πιστοποιητικού. 
      
   3. Προβλεπόμενος σκοπός: Επιλέξτε μεταξύ Γενικού Σκοπού, Κρυπτογράφηση SMIME ή Υπογραφή SMIME.
      
   4. Αφού οριστικοποιηθούν οι επιλογές, κάντε κλικ στο Πρόσθεση κουμπί.
      
      
8. Σε κάθε χρήστη θα εκχωρηθεί μια νέα παραγγελία πιστοποιητικού από εδώ. Με την παρουσία ενός συμφωνητικού προεπικύρωσης ταυτότητας, κάθε παραγγελία θα επικυρώνεται αυτόματα και θα εκδίδεται. Η επιτυχής έκδοση του πιστοποιητικού μπορεί να επιβεβαιωθεί κάνοντας κλικ Παραγγελιες από το επάνω μενού, ακολουθούμενο από το καθέκαστα σύνδεσμος της συγκεκριμένης παραγγελίας. Κάνοντας κύλιση προς τα κάτω και κάνοντας κλικ στο ΤΕΛΙΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΟΝΤΟΤΗΤΩΝ ενότητα, θα εμφανιστούν τα στοιχεία του πιστοποιητικού συμπεριλαμβανομένου του ΕΚΔΟΘΗΚΕ κατάστασης. 
   
   
   

Σχετικοί οδηγοί: 

Το LDAP, ή το Lightweight Directory Access Protocol, είναι ένα ευρέως αναγνωρισμένο πρότυπο για τη διαχείριση υπηρεσιών πληροφοριών καταλόγου, συμπεριλαμβανομένων των δεδομένων χρηστών και ομάδων εντός ενός δικτύου. Ακριβώς όπως το Azure Active Directory, το LDAP παρέχει ισχυρή διαχείριση ψηφιακών πιστοποιητικών, αν και τα δύο συστήματα χρησιμοποιούν διαφορετικά πρωτόκολλα ασφαλείας.  Αν ψάχνετε να διαχειριστείτε το δικό σας S/MIME πιστοποιητικά με υπηρεσία που χρησιμοποιεί LDAP, ανατρέξτε σε αυτό το άρθρο του SSL.com: Ενσωμάτωση LDAP με S/MIME Πιστοποιητικά.