Защищенная электронная почта необходима для обеспечения безопасности конфиденциальной деловой переписки. S/MIME Расширения для защищенной/многоцелевой интернет-почты (Secure/Multipurpose Internet Mail Extensions) позволяют пользователям подписывать сообщения цифровой подписью для подтверждения личности отправителя и шифровать электронные письма для предотвращения несанкционированного доступа.
Организации, использующие Microsoft Exchange Online и Microsoft Outlook для iOS или Android, могут развернуть SSL.com. S/MIME Сертификаты обеспечивают сквозную защиту электронной почты на мобильных устройствах. В зависимости от вашей среды, сертификаты могут распространяться вручную или автоматически с помощью Microsoft Intune.
В этом руководстве описаны необходимые предварительные условия, варианты развертывания и шаги по настройке для использования SSL.com. S/MIME Сертификаты для Microsoft Outlook для iOS и Android.
Прежде чем вы начнете
Перед развертыванием S/MIME Для сертификатов, предоставляемых мобильным устройствам, необходимо обеспечить выполнение следующих требований:
- SSL.com S/MIME Сертификат выдан каждому пользователю.
- Microsoft Exchange Online настроен для поддержки S/MIME.
- В Exchange Online используется виртуальная коллекция сертификатов.
- Списки аннулированных сертификатов (CRL) находятся в открытом доступе.
- Доверенные корневые и промежуточные сертификаты центров сертификации доступны в коллекции виртуальных сертификатов Exchange Online.
- При использовании автоматического развертывания мобильные устройства регистрируются в Microsoft Intune.
Требования к настройке Exchange Online см. в соответствующем разделе. Документация Microsoft для настройки S/MIME в Exchange Online.
Как Outlook выполняет проверку S/MIME Сертификаты
Прежде чем Outlook включит подписание или шифрование, Exchange Online проверяет цепочку сертификатов следующим образом:
- Проверка каждого сертификата в цепочке.
- Подтверждение наличия доверенного корневого сертификата
- Проверка статуса аннулирования сертификата
Кроме того, Outlook для iOS и Android сравнивает основной SMTP-адрес электронной почты пользователя с адресом электронной почты, указанным в поле Subject Name (SAN) или Subject Alternative Name (SAN) сертификата.
Если эти значения не совпадают в точности, Outlook не предоставит сертификат для подписи или шифрования электронной почты.
Выберите способ распространения сертификатов
Microsoft Outlook поддерживает два метода развертывания. S/MIME сертификаты.
Распространение сертификатов вручную
Ручная установка подходит для небольших организаций или индивидуальных пользователей.
Пользователь экспортирует свой личный сертификат в виде защищенного паролем файла PFX и отправляет его себе через Outlook. Открытие вложения в Outlook на устройствах iOS или Android автоматически запускает установку сертификата.
Инструкции по экспорту сертификата см. здесь. Руководство Майкрософт.
Несмотря на свою простоту, ручное распространение требует от каждого пользователя установки и управления собственным сертификатом.
Автоматизированное распространение сертификатов с помощью Microsoft Intune
Для крупных организаций Microsoft рекомендует автоматическое развертывание сертификатов с помощью Microsoft Intune.
Автоматизированное развертывание упрощает управление жизненным циклом сертификатов, снижает административные издержки и гарантирует, что пользователи всегда будут получать правильные сертификаты для подписи и шифрования.
Вопросы архитектуры iOS
На устройствах iOS сертификаты, используемые Outlook, должны находиться в связке ключей издателя Microsoft, а не в системной связке ключей.
Поскольку Apple ограничивает доступ сторонних приложений к сертификатам, хранящимся в системной связке ключей, Outlook для iOS может использовать только сертификаты, предоставленные через приложения, управляемые Microsoft, такие как Company Portal.
Android-архитектура
Outlook для Android поддерживает автоматическую доставку сертификатов через Microsoft Intune в рамках нескольких моделей регистрации, включая:
- Рабочий профиль Android Enterprise
- Полностью управляемая корпоративная версия Android
- Администратор устройства (при наличии поддержки)
Предварительные условия для автоматического развертывания
Перед развертыванием сертификатов через Intune выполните следующие действия.
Развертывание доверенных корневых сертификатов
Разверните все необходимые доверенные корневые и промежуточные сертификаты. Для получения более подробной информации обратитесь к этому руководству: Профили доверенных корневых сертификатов для Microsoft Intune
Это позволяет Outlook установить полную цепочку доверия при проверке пользовательских сертификатов.
Импорт сертификатов шифрования пользователей
Импортируйте сертификаты шифрования пользователей в Microsoft Intune, используя сертификаты, импортированные в формате PKCS. Для получения более подробной информации обратитесь к этому руководству: Настройка и использование импортированных сертификатов PKCS с Intune
Эти сертификаты будут автоматически распространены на зарегистрированные устройства.
Установите коннектор сертификатов Microsoft Intune PFX.
Установите и настройте коннектор сертификатов Microsoft Intune PFX. Для получения более подробной информации обратитесь к этому руководству: Загрузите, установите и настройте соединитель сертификатов PFX для Microsoft Intune.
Коннектор обеспечивает безопасную доставку пользовательских сертификатов от вашего устройства. PKI среда для управления устройствами.
Регистрация пользовательских устройств
Перед назначением профилей сертификатов или политик конфигурации Outlook убедитесь, что все целевые устройства iOS и Android зарегистрированы в Microsoft Intune.
Настройка Outlook для Android
Чтобы настроить Outlook на Android:
- Войдите в Центр администрирования Microsoft Intune.
- Создайте и назначьте профиль сертификата SCEP или PKCS.
- Перейдите в Приложения > Политики конфигурации приложений.
- Выбрать Добавить > Управляемые устройства.
- Выберите:
- Платформа: Android Enterprise
- Тип профиля: Все типы профилей
- Выбрать Microsoft Перспективы в качестве целевого приложения.
- Под Настройки конфигурации, выберите Использовать дизайнер конфигурации.
- Развернуть S/MIME .
- Настройка:
- Включите S/MIME
- Шифровать все электронные письма
- Подпишите все электронные письма
- Права пользователя на изменение
- Назначьте политику соответствующим группам пользователей Microsoft Entra ID.
После развертывания политики Intune автоматически предоставляет сертификаты зарегистрированным устройствам Android.
Настройка Outlook для iOS
Выполните следующие шаги, чтобы настроить Outlook для iOS на использование SSL.com. S/MIME сертификаты.
- Войдите в Центр администрирования Microsoft Intune.
- Перейдите в Приложения > Политики конфигурации приложений.
- Выбрать Добавить > Управляемые устройства.
- Введите название полиса и, при необходимости, его описание.
- Выбрать iOS / iPadOS как платформа.
- Выбирайте Microsoft Перспективы в качестве целевого приложения.
- Открыто Настройки конфигурации.
- Развернуть S/MIME .
Настройте следующие параметры по своему усмотрению:
- Включите S/MIME
- Шифровать все электронные письма
- Подпишите все электронные письма
- Разрешить или запретить пользователям изменять эти настройки.
- Настройте URL-адрес LDAP, если требуется поиск сертификата получателя.
- Включите Развертывание S/MIME сертификаты от Intune
Настройка сертификатов подписи
Выберите один из следующих типов профилей сертификатов:
СКЭП
Создает уникальный сертификат для каждого пользователя и устройства. Для получения более подробной информации обратитесь к этому руководству: Создавайте и назначайте профили сертификатов SCEP в Intune.
Импортированные сертификаты PKCS
Использует импортированные администратором пользовательские сертификаты, которые могут быть распространены на несколько зарегистрированных устройств. Для получения более подробной информации обратитесь к этому руководству: Настройка и использование сертификатов PKCS с Intune
Производные учетные данные
Использует существующие учетные данные, полученные в процессе создания производных учетных данных в Intune.
Настройка сертификатов шифрования
Выберите один из следующих вариантов:
Импортированные сертификаты PKCS
Автоматически распределяет импортированные сертификаты шифрования между зарегистрированными устройствами.
Производные учетные данные
Использует существующий сертификат устройства, полученный в процессе создания учетных данных с помощью Intune.
Настройка пользовательских уведомлений
Когда сертификаты становятся доступны, Intune может уведомить пользователей одним из двух способов.
Портал компании
Пользователи получают push-уведомление, направляющее их в приложение «Корпоративный портал», где начинается процесс получения сертификата.
Эл. адрес
Пользователи получают электронное письмо с инструкцией открыть корпоративный портал и получить свои данные. S/MIME сертификат.
На устройствах iOS пользователям необходимо получить сертификат через корпоративный портал, прежде чем Outlook сможет использовать его для подписи или шифрования.
Включите S/MIME в Outlook
После установки сертификатов пользователям необходимо включить их вручную. S/MIME в мобильном приложении Outlook.
Включить S/MIME:
- Откройте Microsoft Outlook.
- Открыто Настройки.
- Выберите соответствующий адрес электронной почты.
- Перейдите в Безопасность..
- включать S/MIME.
После включения этой функции пользователи смогут подписывать или шифровать электронные письма цифровой подписью непосредственно из Outlook.
Дополнительно: Настройте LDAP для поиска сертификатов.
Организации могут настроить LDAP (Lightweight Directory Access Protocol) для упрощения обнаружения сертификатов.
LDAP позволяет Outlook и другим приложениям автоматически находить сертификаты получателей, что дает пользователям возможность шифровать электронную почту без ручного импорта сертификатов получателей.
К преимуществам интеграции с LDAP относятся:
- Централизованное управление сертификатами
- Упрощенное обнаружение сертификата получателя
- Улучшена проверка сертификатов.
- Упрощенная организация работы в масштабах всего предприятия. S/MIME развертывание
Инструкции см. в руководстве SSL.com:
Интеграция LDAP с SSL.com S/MIME Сертификаты
Заключение
Развертывание SSL.com S/MIME Использование сертификатов Microsoft Outlook на iOS и Android помогает организациям защищать конфиденциальную переписку с помощью цифровых подписей и сквозного шифрования электронной почты.
Независимо от того, распространяются ли сертификаты вручную для небольших развертываний или автоматически через Microsoft Intune в корпоративных средах, правильная настройка гарантирует, что пользователи смогут безопасно отправлять аутентифицированные и зашифрованные электронные письма, соблюдая при этом политики безопасности организации. Автоматическое развертывание также сокращает административные затраты, упрощает управление жизненным циклом сертификатов и обеспечивает единообразный пользовательский опыт на управляемых мобильных устройствах.
