La posta elettronica sicura è essenziale per proteggere le comunicazioni aziendali sensibili. S/MIME (Secure/Multipurpose Internet Mail Extensions) consente agli utenti di firmare digitalmente i messaggi per verificare l'identità del mittente e crittografare le e-mail per impedire accessi non autorizzati.
Le organizzazioni che utilizzano Microsoft Exchange Online e Microsoft Outlook per iOS o Android possono implementare SSL.com S/MIME I certificati garantiscono la sicurezza end-to-end delle email su tutti i dispositivi mobili. A seconda dell'ambiente, i certificati possono essere distribuiti manualmente o automaticamente tramite Microsoft Intune.
Questa guida illustra i prerequisiti, le opzioni di implementazione e le fasi di configurazione necessarie per utilizzare SSL.com. S/MIME certificati con Microsoft Outlook per iOS e Android.
Prima di iniziare
Prima della distribuzione S/MIME Per i certificati destinati ai dispositivi mobili, assicurarsi che siano soddisfatti i seguenti requisiti:
- Un SSL.com S/MIME Per ogni utente è stato rilasciato un certificato.
- Microsoft Exchange Online è stato configurato per supportare S/MIME.
- Exchange Online è configurato con una raccolta di certificati virtuali.
- Gli elenchi di revoca dei certificati (CRL) sono accessibili al pubblico.
- I certificati CA radice e intermedi attendibili sono disponibili nella raccolta di certificati virtuali di Exchange Online.
- I dispositivi mobili vengono registrati in Microsoft Intune se si utilizza la distribuzione automatizzata.
Per i requisiti di configurazione di Exchange Online, fare riferimento a Documentazione di Microsoft per la configurazione S/MIME in Exchange Online.
Come Outlook convalida S/MIME Certificati
Prima che Outlook abiliti la firma o la crittografia, Exchange Online convalida la catena di certificati tramite:
- Verifica di ogni certificato nella catena
- Confermare la presenza di un certificato radice attendibile
- Verifica dello stato di revoca del certificato
Inoltre, Outlook per iOS e Android confronta l'indirizzo e-mail SMTP principale dell'utente con l'indirizzo e-mail contenuto nel campo Oggetto o Nome alternativo del soggetto (SAN) del certificato.
Se questi valori non corrispondono esattamente, Outlook non renderà disponibile il certificato per la firma o la crittografia delle e-mail.
Scegli un metodo di distribuzione dei certificati
Microsoft Outlook supporta due metodi per la distribuzione S/MIME certificati.
Distribuzione manuale dei certificati
L'installazione manuale è adatta a piccole organizzazioni o singoli utenti.
L'utente esporta il proprio certificato personale come file PFX protetto da password e se lo invia tramite Outlook. L'apertura dell'allegato da Outlook su iOS o Android avvia automaticamente l'installazione del certificato.
Per istruzioni sull'esportazione di un certificato, vedere questo Guida Microsoft.
Sebbene semplice, la distribuzione manuale richiede che ogni utente installi e gestisca il proprio certificato.
Distribuzione automatizzata dei certificati con Microsoft Intune
Per le organizzazioni di maggiori dimensioni, Microsoft consiglia la distribuzione automatizzata dei certificati tramite Microsoft Intune.
La distribuzione automatizzata semplifica la gestione del ciclo di vita dei certificati, riduce il carico amministrativo e garantisce che gli utenti ricevano sempre i certificati di firma e crittografia corretti.
Considerazioni sull'architettura iOS
Su iOS, i certificati utilizzati da Outlook devono risiedere nel portachiavi dell'editore di Microsoft anziché nel portachiavi di sistema.
Poiché Apple impedisce alle applicazioni di terze parti di accedere ai certificati memorizzati nel portachiavi di sistema, Outlook per iOS può utilizzare solo certificati forniti tramite applicazioni gestite da Microsoft, come ad esempio Company Portal.
Architettura Android
Outlook per Android supporta la distribuzione automatizzata dei certificati tramite Microsoft Intune per diversi modelli di registrazione, tra cui:
- Profilo di lavoro Android Enterprise
- Sistema operativo Android Enterprise completamente gestito
- Amministratore del dispositivo (ove supportato)
Prerequisiti per la distribuzione automatizzata
Prima di distribuire i certificati tramite Intune, completare le seguenti attività.
Distribuisci certificati radice attendibili
Distribuisci tutti i certificati radice e intermedi attendibili necessari. Per maggiori dettagli, consulta questa guida: Profili di certificati radice attendibili per Microsoft Intune
Ciò consente a Outlook di stabilire una catena di fiducia completa durante la convalida dei certificati utente.
Importazione dei certificati di crittografia utente
Importa i certificati di crittografia degli utenti in Microsoft Intune utilizzando certificati PKCS importati. Per maggiori dettagli, consulta questa guida: Configura e usa i certificati PKCS importati con Intune
Questi certificati verranno distribuiti automaticamente ai dispositivi registrati.
Installare il connettore del certificato Microsoft Intune PFX
Installare e configurare il connettore del certificato Microsoft Intune PFX. Per maggiori dettagli, consultare questa guida: Scarica, installa e configura il connettore di certificato PFX per Microsoft Intune
Il connettore consegna in modo sicuro i certificati utente dal tuo PKI ambiente per dispositivi gestiti.
Registra i dispositivi utente
Assicurati che tutti i dispositivi iOS e Android di destinazione siano registrati in Microsoft Intune prima di assegnare profili di certificato o criteri di configurazione di Outlook.
Configurare Outlook per Android
Per configurare Outlook su Android:
- Accedi al Centro di amministrazione di Microsoft Intune.
- Crea e assegna un profilo di certificato SCEP o PKCS.
- Accedere a App > Criteri di configurazione delle app.
- Seleziona Aggiungi > Dispositivi gestiti.
- Scegli:
- Piattaforma: Impresa Android
- Tipo di profilo: Tutti i tipi di profilo
- Seleziona Microsoft Outlook come applicazione di destinazione.
- Sotto Impostazioni di configurazionescegli Utilizzare Progettazione configurazione.
- espandere la S/MIME .
- Configura:
- Consentire a tutti S/MIME
- Crittografa tutte le email
- Firma tutte le email
- autorizzazioni di modifica da parte dell'utente
- Assegnare i criteri ai gruppi di utenti Microsoft Entra ID appropriati.
Dopo l'implementazione dei criteri, Intune assegna automaticamente i certificati ai dispositivi Android registrati.
Configurare Outlook per iOS
Segui questi passaggi per configurare Outlook per iOS in modo che utilizzi SSL.com S/MIME certificati.
- Accedi al Centro di amministrazione di Microsoft Intune.
- Accedere a App > Criteri di configurazione delle app.
- Seleziona Aggiungi > Dispositivi gestiti.
- Inserisci il nome della polizza e una descrizione facoltativa.
- Seleziona iOS / iPadOS come piattaforma.
- Scegli Microsoft Outlook come applicazione di destinazione.
- Apri Impostazioni di configurazione.
- espandere la S/MIME .
Configura le seguenti opzioni in base alle tue esigenze:
- Consentire a tutti S/MIME
- Crittografa tutte le email
- Firma tutte le email
- Consenti o impedisci agli utenti di modificare queste impostazioni
- Configurare un URL LDAP se è necessaria la ricerca del certificato del destinatario.
- Consentire a tutti Schierare S/MIME certificati da Intune
Configurare i certificati di firma
Scegli uno dei seguenti tipi di profilo di certificato:
SCEP
Crea un certificato univoco per ogni utente e dispositivo. Per maggiori dettagli, consulta questa guida: Creare e assegnare profili di certificati SCEP in Intune
Certificati importati PKCS
Utilizza certificati utente importati dall'amministratore, che possono essere distribuiti su più dispositivi registrati. Per maggiori dettagli, consultare questa guida: Configurare e utilizzare i certificati PKCS con Intune
Credenziali derivate
Utilizza una credenziale esistente recuperata tramite il flusso di lavoro di Intune per le credenziali derivate.
Configurare i certificati di crittografia
Scegli una delle seguenti opzioni:
Certificati importati PKCS
Distribuisce automaticamente i certificati di crittografia importati ai dispositivi registrati.
Credenziali derivate
Utilizza un certificato dispositivo esistente ottenuto tramite il flusso di lavoro delle credenziali derivate di Intune.
Configura le notifiche utente
Quando i certificati diventano disponibili, Intune può notificare gli utenti utilizzando uno dei due metodi seguenti.
Portale aziendale
Gli utenti ricevono una notifica push che li indirizza all'applicazione Portale aziendale, dove inizia la procedura di recupero del certificato.
Gli utenti ricevono un'e-mail che li istruisce ad aprire il Portale aziendale e a recuperare il loro S/MIME certificato.
Su iOS, gli utenti devono completare il recupero del certificato tramite il Portale aziendale prima che Outlook possa utilizzarlo per la firma o la crittografia.
Consentire a tutti S/MIME in Prospettiva
Dopo l'installazione dei certificati, gli utenti devono abilitare manualmente S/MIME all'interno dell'applicazione mobile Outlook.
Abilitare S/MIME:
- Apri Microsoft Outlook.
- Apri Impostazioni profilo.
- Seleziona l'account di posta elettronica appropriato.
- Accedere a Sicurezza .
- Accendi S/MIME.
Una volta abilitata questa opzione, gli utenti possono firmare digitalmente o crittografare i messaggi di posta elettronica direttamente da Outlook.
Opzionale: configurare LDAP per la ricerca dei certificati
Le organizzazioni possono configurare LDAP (Lightweight Directory Access Protocol) per semplificare il rilevamento dei certificati.
LDAP consente a Outlook e ad altre applicazioni di individuare automaticamente i certificati dei destinatari, permettendo agli utenti di crittografare le e-mail senza dover importare manualmente i certificati.
I vantaggi dell'integrazione LDAP includono:
- Gestione centralizzata dei certificati
- Ricerca semplificata del certificato del destinatario
- Validazione migliorata dei certificati
- Più semplice a livello aziendale S/MIME deployment
Per le istruzioni, consultare la guida di SSL.com:
Integrazione LDAP con SSL.com S/MIME Certificati
Conclusione
Implementazione di SSL.com S/MIME I certificati con Microsoft Outlook per iOS e Android aiutano le organizzazioni a proteggere le comunicazioni sensibili tramite firme digitali e crittografia end-to-end delle e-mail.
Sia che i certificati vengano distribuiti manualmente per implementazioni di piccole dimensioni, sia che vengano distribuiti automaticamente tramite Microsoft Intune per ambienti aziendali, una configurazione corretta garantisce che gli utenti possano inviare in modo sicuro e-mail autenticate e crittografate, nel rispetto delle policy di sicurezza aziendali. La distribuzione automatizzata riduce inoltre il carico amministrativo, semplifica la gestione del ciclo di vita dei certificati e offre un'esperienza utente coerente su tutti i dispositivi mobili gestiti.
