S/MIME Instalacja dla Outlooka na Androida i iOS

Wymagania dla S/MIME ustawienie

Aby zapewnić optymalne bezpieczeństwo w Exchange Online, kluczowa jest konfiguracja S/MIME zgodnie z wytycznymi zawartymi w „Konfigurowanie S/MIME w Exchange Online' podręcznik. Proces ten polega na utworzeniu wirtualnej kolekcji certyfikatów i udostępnieniu publicznie listy unieważnionych certyfikatów w Internecie. 

Zarówno w przypadku ręcznych, jak i automatycznych metod dystrybucji certyfikatów ważne jest, aby zaufane łańcuchy główne certyfikatów były dostępne w wirtualnej kolekcji Exchange Online w celu skutecznej weryfikacji zaufania. Exchange Online potwierdza ważność certyfikatu, weryfikując każde łącze w łańcuchu certyfikatów, koncentrując się na zlokalizowaniu zaufanego certyfikatu głównego i potwierdzeniu jego statusu na liście odwołań. W przypadku użytkowników Outlooka na iOS i Androida aplikacja porównuje główny adres SMTP w profilu konta użytkownika z tematem certyfikatu lub alternatywną nazwą, aby sprawdzić poprawność S/MIME certyfikat; niedopasowania powodują niedostępność opcji certyfikatów do podpisywania lub szyfrowania wiadomości.

Ręczna dystrybucja certyfikatów

Outlook dla systemów iOS i Android oferuje funkcję ręcznej instalacji certyfikatów, w ramach której użytkownicy otrzymują certyfikaty pocztą elektroniczną. Aby zainstalować, użytkownicy po prostu klikają załącznik w aplikacji, rozpoczynając proces instalacji.  Użytkownik ma możliwość wyeksportowania swojego osobistego certyfikatu i wysłania go na swój własny adres e-mail za pomocą programu Outlook.  Dodatkowe informacje można znaleźć w tym artykule: Eksportowanie certyfikatu cyfrowego.

Zautomatyzowana dystrybucja certyfikatów

Program Outlook dla systemów iOS i Android integruje automatyczne dostarczanie certyfikatów wyłącznie za pośrednictwem programu Microsoft Endpoint Manager jako dostawcy rejestracji.  Unikalna architektura pęku kluczy systemu iOS, która rozróżnia pęki kluczy systemowych i wydawcy oraz ogranicza dostęp aplikacji innych firm do pęku kluczy systemowych, wymaga przechowywania certyfikatów programu Outlook dla systemu iOS w pęku kluczy wydawcy Microsoft. Dzięki temu program Outlook dla systemu iOS może uzyskać dostęp do tych certyfikatów, a tylko aplikacje firmy Microsoft, takie jak Portal firmy, są upoważnione do umieszczania certyfikatów w tym pęku kluczy.  I odwrotnie, automatyczne dostarczanie i zatwierdzanie w programie Outlook dla systemu Android S/MIME Certyfikaty są obsługiwane przez Endpoint Manager w różnych platformach rejestracji systemu Android, w tym w przypadku administratora urządzenia, profilu służbowego Android Enterprise i w pełni zarządzanych scenariuszy Android Enterprise. Aby pomyślnie dostarczyć certyfikaty do programu Outlook dla systemów iOS i Android, muszą zostać spełnione pewne kluczowe wymagania:

• Zaufane certyfikaty główne należy wdrożyć przy użyciu programu Endpoint Manager. Wskazówki dotyczące tworzenia profili zaufanych certyfikatów można znaleźć w odpowiedniej dokumentacji: Twórz zaufane profile certyfikatów. 
• Konieczne jest zaimportowanie certyfikatów szyfrowania do Endpoint Managera; Instrukcje można znaleźć tutaj: Konfiguruj i używaj zaimportowanych certyfikatów PKCS w usłudze Intune.
• Należy zainstalować i skonfigurować łącznik PFX dla Microsoft Intune. Kroki można znaleźć tutaj: Pobierz, zainstaluj i skonfiguruj łącznik certyfikatów PFX dla usługi Microsoft Intune.
• Na koniec urządzenia muszą zostać zarejestrowane, aby automatycznie otrzymywać zaufane konta root i S/MIME certyfikaty z Endpoint Managera.

Automatyczna dystrybucja certyfikatów w programie Outlook iOS

1. Zaloguj się do Menedżer punktów końcowych firmy Microsoft.
2. Nawigować do Apps a następnie wybierz Zasady konfiguracji aplikacji.
3. Na Zasady konfiguracji aplikacjikliknij Dodaj i wybierz Urządzenia zarządzane aby rozpocząć tworzenie zasad konfiguracji aplikacji.
4. W 'Podstawy' sekcja, wpisz 'Imię' i, jeśli to pożądane, 'Opis' dla ustawień konfiguracyjnych aplikacji.
5. Wybierz 'iOS / iPadOS„pod”Platforma".
6. Do 'Ukierunkowana aplikacja', Kliknij 'Wybierz aplikację', następnie na 'Powiązana aplikacja'strona, wybierz'Microsoft Outlook' i potwierdź za pomocą 'OK".
7. Przystąpić do 'Ustawienia konfiguracji', aby wprowadzić szczegóły konfiguracji.
8. Kliknij 'S/MIME', aby uzyskać dostęp do określonych ustawień programu Outlook S/MIME.
9. Ustawić 'umożliwiać S/MIME' do 'Tak'. Możesz zezwolić użytkownikom na zmianę tego ustawienia, wybierając opcję „Tak (domyślna aplikacja)” lub ograniczyć zmiany, wybierając opcję „Nie".
10. Zdecyduj, czy 'Szyfruj wszystkie e-maile' wybierając 'Tak"lub"Nie' i podobnie zezwalaj lub ograniczaj zmianę tego ustawienia przez użytkownika.
11. Ustal, czy 'Podpisz wszystkie e-maile' Wybierając 'Tak"lub"Nie', z tymi samymi opcjami zezwalania lub zapobiegania dostosowaniom użytkownika.
12. Jeśli to konieczne, zaimplementuj adres URL LDAP na potrzeby wyszukiwania certyfikatów odbiorców.
13. Upewnij się, że ustawiłeś „Rozmieścić S/MIME certyfikaty z Intune' do 'Tak".
14. Pod  Podpisywanie certyfikatów obok Typ profilu certyfikaturozważ jedną z trzech opcji:
    • SCEP: Ta opcja generuje unikalny certyfikat zarówno dla urządzenia, jak i użytkownika, odpowiedni do celów podpisywania w programie Microsoft Outlook. Aby poznać wymagania wstępne dotyczące profili certyfikatów SCEP, zapoznaj się z sekcją poprowadzi dotyczące konfigurowania infrastruktury do obsługi protokołu SCEP w usłudze Intune.
    • Importowane certyfikaty PKCS: Wybranie tej opcji wykorzystuje certyfikat specyficzny dla użytkownika, który może być używany na wielu urządzeniach, po zaimportowaniu go do Endpoint Manager przez administratora użytkownika. Certyfikat ten jest automatycznie przypisywany do dowolnego urządzenia zarejestrowanego przez użytkownika, a Endpoint Manager wybiera odpowiedni certyfikat podpisywania dla każdego zarejestrowanego użytkownika. Aby uzyskać szczegółowe informacje na temat korzystania z importowanych certyfikatów PKCS, zobacz instrukcje dotyczące konfigurowania i używania certyfikatów PKCS w usłudze Intune.
    • Poświadczenia pochodne: Ten wybór wiąże się z użyciem istniejącego certyfikatu na urządzeniu przeznaczonym do podpisywania. Wymaga pobrania certyfikatu na urządzeniu za pomocą procesów wyprowadzanych poświadczeń usługi Intune.
15. Pod Certyfikaty szyfrowania obok Typ profilu certyfikatu, rozważ jedną z następujących opcji:
    • Importowane certyfikaty PKCS: ten wybór umożliwia dostarczanie certyfikatów szyfrowania, wcześniej zaimportowanych do Endpoint Manager przez administratora, na wszystkie urządzenia zarejestrowane przez użytkownika. Endpoint Manager samodzielnie wybierze odpowiedni zaimportowany certyfikat lub certyfikaty ułatwiające szyfrowanie, dystrybuując je do urządzeń zarejestrowanego użytkownika.
    • Poświadczenia pochodne: Ta opcja wykorzystuje istniejący certyfikat na urządzeniu do celów szyfrowania. Certyfikat powinien zostać zakupiony na urządzeniu za pośrednictwem przepływów pracy pochodnych poświadczeń w usłudze Intune.
16. W przypadku powiadomień użytkowników końcowych dotyczących pobierania certyfikatu administratorzy mają możliwość wyboru Portalu firmy lub poczty e-mail jako metody powiadamiania. W systemie iOS użytkownicy muszą używać aplikacji Portal firmy do pobierania plików S/MIME certyfikaty, o czym zostaną powiadomieni za pośrednictwem sekcji Powiadomienia aplikacji, powiadomienia push lub wiadomości e-mail. Powiadomienia te kierują użytkowników do określonej strony docelowej, która wyświetla postęp pobierania certyfikatu, po czym mogą z niego skorzystać S/MIME w programie Microsoft Outlook dla systemu iOS do podpisywania i szyfrowania wiadomości e-mail.
    
    Powiadomienia użytkownika końcowego dotyczące odzyskania certyfikatu są dostępne w dwóch różnych opcjach:
    • Portal firmowy: wybranie tej opcji spowoduje wysłanie powiadomienia wypychanego na urządzenie użytkownika, kierując go na stronę docelową Portalu firmy, gdzie będzie mógł uzyskać dostęp do swoich S/MIME certyfikaty.
    • E-mail: wybranie powiadomienia e-mail spowoduje wysłanie wiadomości do użytkownika końcowego z prośbą o otwarcie Portalu firmy w celu pobrania S/MIME certyfikaty. 

Outlook dla systemu Android automatyczna dystrybucja certyfikatów

1. Zaloguj się do Menedżer punktów końcowych firmy Microsoft.
2. Utwórz profil certyfikatu SCEP lub PKCS i przypisz go użytkownikom mobilnym.
3. Iść do 'Apps', a następnie wybierz 'Zasady konfiguracji aplikacji".
4. W 'Zasady konfiguracji aplikacji'sekcja, kliknij'Dodaj„i wybierz”Urządzenia zarządzane', aby rozpocząć konfigurację zasad konfiguracji aplikacji.
5. W 'Podstawy' obszar, podaj 'Imię' i opcjonalnie 'Opis' dla ustawień konfiguracyjnych aplikacji.
6. Wybierz 'Android Enterprise„jako”Platforma' i 'Wszystkie typy profili„jako”Typ profilu".
7. Pod "Ukierunkowana aplikacja„wybierz”Wybierz aplikację', następnie na 'Powiązana aplikacja' strona, wybierz 'Microsoft Outlook' i potwierdź za pomocą 'OK".
8. Kliknij 'Ustawienia konfiguracji', aby wprowadzić określone ustawienia. Wybrać 'Użyj projektanta konfiguracji' obok 'Format ustawień konfiguracyjnych', dostosowując ustawienia domyślne zgodnie z wymaganiami. 
9. Uzyskać dostęp do 'S/MIME', aby dostosować Outlooka S/MIME ustawienia.
10. Ustawić 'umożliwiać S/MIME' do 'Tak', z opcją dla administratorów zezwalającą użytkownikom na zmianę tego ustawienia lub ograniczającą ją.
11. Zdecyduj, czy chcesz 'Szyfruj wszystkie e-maile', dając administratorom możliwość zezwolenia użytkownikom na zmianę tego ustawienia.
12. Wybierz, czy 'Podpisz wszystkie e-maile', ponownie z możliwością kontrolowania przez administratorów dostępu użytkowników do tego ustawienia.
13. Na koniec użyj 'Zadania', aby przypisać politykę konfiguracji aplikacji do odpowiednich grup Microsoft Entra. 

Aktywacja S/MIME w kliencie

Aby użytkownicy mogli przeglądać lub tworzyć treści powiązane S/MIME w programie Outlook dla systemów iOS i Android jest to niezwykle istotne S/MIME jest aktywowany. Wymaga to od użytkowników końcowych ręcznego włączenia S/MIME funkcjonalności w ustawieniach konta, przechodząc do sekcji Bezpieczeństwo i przełączając opcję S/MIME sterowanie, które początkowo jest wyłączone.

Wsparcie LDAP

LDAP (Lightweight Directory Access Protocol) to standardowy protokół branżowy umożliwiający dostęp do usług informacji katalogowych i zarządzanie nimi. Jest powszechnie używany do przechowywania i wyszukiwania informacji o użytkownikach, grupach, strukturach organizacyjnych i innych zasobach w środowisku sieciowym. Integracja LDAP z S/MIME certyfikaty polega na wykorzystaniu protokołu LDAP jako usługi katalogowej do przechowywania certyfikatów użytkowników i zarządzania nimi. Integrując LDAP z S/MIME certyfikatów organizacje mogą scentralizować zarządzanie certyfikatami, zwiększyć bezpieczeństwo i usprawnić proces odzyskiwania certyfikatów i uwierzytelniania w różnych aplikacjach i usługach wykorzystujących LDAP jako usługę katalogową.

Aby zapoznać się z przewodnikiem na temat integracji LDAP z SSL.com S/MIME certyfikatów, prosimy zapoznać się z tym artykułem: Integracja z LDAP S/MIME certyfikaty.