S/MIME Cài đặt cho Outlook Android và iOS

Yêu cầu đối với S/MIME Thành lập

Để đảm bảo bảo mật tối ưu trong Exchange Online, điều quan trọng là phải định cấu hình S/MIME theo hướng dẫn quy định tại 'Thiết lập S/MIME trong Exchange trực tuyến' thủ công. Quá trình này bao gồm việc thiết lập bộ sưu tập chứng chỉ ảo và công khai danh sách thu hồi chứng chỉ trên internet. 

Trong cả phương pháp phân phối chứng chỉ thủ công và tự động, điều quan trọng là chuỗi gốc đáng tin cậy của chứng chỉ có thể truy cập được trong bộ sưu tập ảo của Exchange Online để xác minh độ tin cậy hiệu quả. Exchange Online xác nhận tính hợp lệ của chứng chỉ bằng cách xác minh từng liên kết trong chuỗi chứng chỉ, tập trung vào việc định vị chứng chỉ gốc đáng tin cậy và xác nhận trạng thái của chứng chỉ đó đối với danh sách thu hồi. Đối với người dùng Outlook trên iOS và Android, ứng dụng sẽ tham chiếu chéo địa chỉ SMTP chính trong hồ sơ tài khoản của người dùng với chủ đề hoặc tên thay thế của chứng chỉ để xác thực S/MIME giấy chứng nhận; sự không khớp dẫn đến việc không có sẵn các tùy chọn chứng chỉ để ký hoặc mã hóa tin nhắn.

Phân phối chứng chỉ thủ công

Outlook cho iOS và Android cung cấp tính năng cài đặt chứng chỉ thủ công trong đó người dùng nhận chứng chỉ của họ qua email. Để cài đặt, người dùng chỉ cần nhấn vào tệp đính kèm trong ứng dụng, bắt đầu quá trình thiết lập.  Người dùng có khả năng xuất chứng chỉ cá nhân của họ và gửi nó tới email của chính họ bằng Outlook.  Để biết thêm chi tiết, hãy tham khảo bài viết này: Xuất chứng chỉ số.

Phân phối chứng chỉ tự động

Outlook cho iOS và Android tích hợp việc phân phối chứng chỉ tự động độc quyền thông qua Microsoft Endpoint Manager với tư cách là nhà cung cấp đăng ký.  Kiến trúc độc đáo của chuỗi khóa iOS, giúp phân biệt giữa chuỗi khóa của hệ thống và nhà xuất bản, đồng thời hạn chế quyền truy cập của ứng dụng bên thứ ba vào chuỗi khóa hệ thống, bắt buộc phải lưu trữ chứng chỉ cho Outlook cho iOS trong chuỗi khóa của nhà xuất bản Microsoft. Điều này cho phép Outlook dành cho iOS truy cập vào các chứng chỉ này, chỉ với các ứng dụng của chính Microsoft, chẳng hạn như Cổng thông tin công ty, mới được phép đặt chứng chỉ trong chuỗi khóa này.  Ngược lại, việc phân phối và phê duyệt tự động của Outlook dành cho Android S/MIME chứng chỉ được Trình quản lý điểm cuối hỗ trợ trên nhiều khung đăng ký Android khác nhau, bao gồm quản trị viên thiết bị, hồ sơ công việc Android Enterprise và các kịch bản Android Enterprise được quản lý hoàn toàn. Để phân phối thành công chứng chỉ tới Outlook cho iOS và Android, phải đáp ứng một số yêu cầu chính sau:

• Chứng chỉ gốc đáng tin cậy cần được triển khai bằng Trình quản lý điểm cuối. Bạn có thể tìm thấy hướng dẫn về cách tạo hồ sơ chứng chỉ tin cậy trong tài liệu liên quan này: Tạo hồ sơ chứng chỉ đáng tin cậy. 
• Cần phải nhập chứng chỉ mã hóa vào Trình quản lý điểm cuối; Hướng dẫn có thể được tìm thấy ở đây: Đặt cấu hình và sử dụng chứng chỉ PKCS đã nhập với Intune.
• Trình kết nối PFX dành cho Microsoft Intune phải được cài đặt và cấu hình. Các bước có thể được tìm thấy ở đây: Tải xuống, cài đặt và đặt cấu hình Trình kết nối chứng chỉ PFX cho Microsoft Intune.
• Cuối cùng, các thiết bị phải được đăng ký để tự động nhận được quyền root đáng tin cậy và S/MIME chứng chỉ từ Trình quản lý điểm cuối.

Outlook iOS tự động phân phối chứng chỉ

1. Đăng nhập vào Trình quản lý điểm cuối của Microsoft.
2. Hướng đến Ứng Dụng và sau đó chọn Chính sách cấu hình ứng dụng.
3. trên Chính sách cấu hình ứng dụng, Click Thêm Và chọn Thiết bị được quản lý để bắt đầu tạo chính sách cấu hình ứng dụng.
4. Bên trong 'Khái niệm cơ bản' phần, nhập a 'Họ tên' và, nếu muốn, một 'Mô tả' cho cài đặt cấu hình ứng dụng của bạn.
5. Lựa chọn 'iOS / iPadOS' Dưới 'Nền tảng'.
6. Đối với 'Ứng dụng được nhắm mục tiêu', bấm vào 'Chọn ứng dụng', sau đó trên 'Ứng dụng được liên kết' trang, chọn 'Microsoft Outlook' và xác nhận bằng 'OK'.
7. Tiến hành 'Thiết lập cấu hình' để nhập chi tiết cấu hình của bạn.
8. Bấm vào 'S/MIME' để truy cập các cài đặt cụ thể cho Outlook S/MIME.
9. Bộ 'Kích hoạt tính năng S/MIME' đến 'Có'. Bạn có tùy chọn cho phép người dùng thay đổi cài đặt này bằng cách chọn 'Có (mặc định của ứng dụng)' hoặc để hạn chế các thay đổi bằng cách chọn 'Không'.
10. Quyết định xem có nên 'Mã hóa tất cả email' băng cach chọn 'Có' hoặc là 'Không', và tương tự, cho phép hoặc hạn chế người dùng thay đổi cài đặt này.
11. Xác định xem có nên 'Ký tất cả email' bằng việc lựa chọn 'Có' hoặc là 'Không', với các tùy chọn tương tự để cho phép hoặc ngăn người dùng điều chỉnh.
12. Nếu cần, hãy triển khai URL LDAP để tra cứu chứng chỉ người nhận.
13. Đảm bảo bạn đặt 'Triển khai S/MIME chứng chỉ từ Intune' đến 'Có'.
14. Theo  Ký giấy chứng nhận bên cạnh Loại hồ sơ chứng chỉ, hãy xem xét một trong ba tùy chọn sau:
    • SCEP: Tùy chọn này tạo chứng chỉ duy nhất cho cả thiết bị và người dùng, phù hợp với mục đích ký của Microsoft Outlook. Để hiểu các điều kiện tiên quyết cho hồ sơ chứng chỉ SCEP, hãy tham khảo tài liệu hướng dẫn về cách đặt cấu hình cơ sở hạ tầng để hỗ trợ SCEP với Intune.
    • Chứng chỉ nhập khẩu PKCS: Việc chọn tham gia này sẽ sử dụng chứng chỉ dành riêng cho người dùng có thể được sử dụng trên nhiều thiết bị, đã được quản trị viên nhập vào Trình quản lý điểm cuối cho người dùng. Chứng chỉ này được tự động gán cho bất kỳ thiết bị nào được người dùng đăng ký, với Trình quản lý điểm cuối chọn chứng chỉ ký phù hợp cho từng người dùng đã đăng ký. Để biết chi tiết về cách sử dụng chứng chỉ đã nhập PKCS, hãy xem hướng dẫn về cách định cấu hình và sử dụng chứng chỉ PKCS với Intune.
    • Thông tin xác thực có nguồn gốc: Lựa chọn này liên quan đến việc sử dụng chứng chỉ có sẵn trên thiết bị được chỉ định để ký. Nó yêu cầu truy xuất chứng chỉ trên thiết bị thông qua các quy trình xác thực bắt nguồn từ Intune.
15. Theo Chứng chỉ mã hóa bên cạnh Loại hồ sơ chứng chỉ, hãy xem xét một trong các tùy chọn sau:
    • Chứng chỉ nhập khẩu PKCS: Lựa chọn này cho phép phân phối chứng chỉ mã hóa, trước đó đã được quản trị viên nhập vào Trình quản lý điểm cuối, trên tất cả các thiết bị được người dùng đăng ký. Trình quản lý điểm cuối sẽ tự động chọn chứng chỉ được nhập phù hợp hoặc các chứng chỉ hỗ trợ mã hóa, phân phối chúng đến thiết bị của người dùng đã đăng ký.
    • Thông tin xác thực có nguồn gốc: Tùy chọn này sử dụng chứng chỉ hiện có trên thiết bị cho mục đích mã hóa. Chứng chỉ phải được mua trên thiết bị thông qua quy trình công việc xác thực nguồn gốc trong Intune.
16. Đối với các thông báo của người dùng cuối về việc truy xuất chứng chỉ, quản trị viên có tùy chọn chọn Cổng thông tin công ty hoặc Email làm phương thức thông báo. Trên iOS, người dùng được yêu cầu sử dụng ứng dụng Cổng thông tin công ty để truy xuất thông tin của họ. S/MIME chứng chỉ, nơi họ sẽ được thông báo qua phần Thông báo của ứng dụng, thông báo đẩy hoặc email. Những thông báo này hướng người dùng đến một trang đích cụ thể hiển thị tiến trình truy xuất chứng chỉ, sau đó họ có thể sử dụng S/MIME trong Microsoft Outlook dành cho iOS để ký và mã hóa email.
    
    Thông báo cho người dùng cuối về việc truy xuất chứng chỉ có sẵn ở hai tùy chọn riêng biệt:
    • Cổng thông tin công ty: Việc chọn tùy chọn này sẽ gửi thông báo đẩy tới thiết bị của người dùng, hướng họ đến trang đích Cổng thông tin công ty nơi họ có thể truy cập S/MIME giấy chứng nhận.
    • E-mail: Việc chọn thông báo qua email sẽ gửi một tin nhắn đến người dùng cuối, nhắc họ mở Cổng thông tin công ty để truy xuất thông tin của họ. S/MIME giấy chứng nhận. 

Outlook-Android tự động phân phối chứng chỉ

1. Đăng nhập vào " Trình quản lý điểm cuối của Microsoft.
2. Tạo hồ sơ chứng chỉ SCEP hoặc PKCS và gán nó cho người dùng di động của bạn.
3. Đi đến 'Ứng Dụng', sau đó chọn'Chính sách cấu hình ứng dụng'.
4. Bên trong 'Chính sách cấu hình ứng dụng' phần, nhấp vào 'Thêm' và lựa chọn 'Thiết bị được quản lý' để bắt đầu thiết lập chính sách cấu hình ứng dụng.
5. Bên trong 'Khái niệm cơ bản' khu vực, cung cấp một 'Họ tên' và một tùy chọn 'Mô tả' cho cài đặt cấu hình ứng dụng của bạn.
6. Lựa chọn 'Doanh nghiệp Android' như 'Nền tảng'Và'Tất cả các loại hồ sơ' như 'Loại hồ sơ'.
7. Dưới 'Ứng dụng được nhắm mục tiêu', chọn 'Chọn ứng dụng', sau đó trên 'Ứng dụng được liên kết' trang, chọn 'Microsoft Outlook' và xác nhận bằng 'OK'.
8. Bấm vào 'Thiết lập cấu hình' để nhập cài đặt cụ thể. Lựa chọn 'Sử dụng trình thiết kế cấu hình' ở cạnh 'Định dạng cài đặt cấu hình', điều chỉnh cài đặt mặc định theo yêu cầu. 
9. Truy cập 'S/MIME' phần để điều chỉnh Outlook S/MIME cài đặt.
10. Bộ 'Kích hoạt tính năng S/MIME' đến 'Có', với tùy chọn để quản trị viên cho phép hoặc hạn chế người dùng thay đổi cài đặt này.
11. Quyết định xem bạn có muốn 'Mã hóa tất cả email', cung cấp cho quản trị viên lựa chọn cho phép người dùng thay đổi cài đặt này.
12. Chọn có nên 'Ký tất cả email', Một lần nữa với khả năng quản trị viên kiểm soát quyền truy cập của người dùng vào cài đặt này.
13. Cuối cùng, sử dụng 'bài tập' để phân bổ chính sách cấu hình ứng dụng cho các nhóm Microsoft Entra thích hợp. 

Kích hoạt S/MIME trong khách hàng

Để người dùng xem hoặc tạo nội dung liên quan đến S/MIME trong Outlook cho iOS và Android, điều cần thiết là S/MIME được kích hoạt. Điều này yêu cầu người dùng cuối phải bật thủ công S/MIME chức năng trong cài đặt tài khoản của họ bằng cách điều hướng đến phần Bảo mật và chuyển đổi S/MIME điều khiển, ban đầu được đặt ở chế độ tắt.

Hỗ trợ LDAP

LDAP (Giao thức truy cập thư mục nhẹ) là giao thức tiêu chuẩn công nghiệp để truy cập và quản lý các dịch vụ thông tin thư mục. Nó thường được sử dụng để lưu trữ và truy xuất thông tin về người dùng, nhóm, cơ cấu tổ chức và các tài nguyên khác trong môi trường mạng. Tích hợp LDAP với S/MIME chứng chỉ liên quan đến việc sử dụng LDAP làm dịch vụ thư mục để lưu trữ và quản lý chứng chỉ người dùng. Bằng cách tích hợp LDAP với S/MIME chứng chỉ, các tổ chức có thể tập trung quản lý chứng chỉ, tăng cường bảo mật và hợp lý hóa quy trình truy xuất và xác thực chứng chỉ trong các ứng dụng và dịch vụ khác nhau tận dụng LDAP làm dịch vụ thư mục.

Để biết hướng dẫn về tích hợp LDAP với SSL.com S/MIME chứng chỉ, vui lòng tham khảo bài viết này: Tích hợp LDAP với S/MIME Giấy chứng nhận.