Intune Certificate Deployment im Überblick
Einleitung
Die Authentifizierung mit Zertifikaten gilt als sehr sicher und für Benutzer reibungslos. Vereinfacht gesagt ist eine Certificate Authority (CA) der Hüter des Vertrauens.
Um ihre Identität als vertrauenswürdig nachzuweisen, können Geräte und Benutzer bei unserer CA ein signiertes Zertifikat anfordern. Dieses legen sie anderen Diensten zur Authentifizierung vor, zum Beispiel für die Verbindung ins Firmennetzwerk. Mehr dazu:
Mit Intune gibt es aktuell zwei native Ansätze, um Zertifikate für die Client-Authentifizierung auf unsere Geräte zu verteilen:
- PKCS
- SCEP/NDES
Beachte, dass es auch die Funktion Imported PKCS gibt, die häufig für andere Anwendungsfälle wie S/MIME genutzt wird.
Erwähnen möchte ich ausserdem die Lösung eines Drittanbieters, SCEPman: eine Cloud Certificate Authority und SCEP-Software-as-a-Service ohne On-Premises-Infrastruktur.
Kernpunkte
- Plattformübergreifende Unterstützung (OS) für die Verteilung von Zertifikaten
- Zertifikate nutzen, um sich reibungslos und automatisch an Diensten zu authentifizieren (Client-Authentifizierung, z. B. für WLAN, VPN)
- Integration mit deiner On-Premises Issuing CA bzw. Public Key Infrastructure (PKI)
- Kommunikation zwischen deiner CA und dem Intune-Dienst über den Intune Certificate Connector
- Benutzer- oder Gerätezertifikate mit konfigurierbaren Einstellungen für die Certificate-Anfrage
Vergleich
PKCS
- Ein Gerät fordert bei Intune ein Zertifikat an.
- Intune leitet die Anfrage an den Intune Certificate Connector weiter
- Der Connector-Server erstellt das Public- und Private-Key-Paar und sendet es an die CA.
- Der Certificate Connector sendet das signierte Zertifikat zurück an Intune.
- Intune leitet das Zertifikat an das Gerät weiter.
Komponenten
- Intune
- PKI
- Windows Server mit Intune Certificate Connector
SCEP/NDES
Ein Gerät erstellt eine Anfrage und erzeugt ein Public- und Private-Key-Paar. Der NDES-(Web-)Server ist extern veröffentlicht. Er empfängt die Anfrage und lässt das NDES Policy Module die Anfrage in Kombination mit dem Intune Certificate Connector prüfen. Wurde sie verifiziert, kontaktiert NDES die CA, um das öffentliche Zertifikat zu signieren und auszustellen.
Komponenten
- Intune
- PKI, meist die Issuing CA (auch Subordinate CA genannt)
- Windows Server mit den Rollen NDES und IIS + Intune Certificate Connector
- Reverse/Web Proxy (Entra Application Proxy)
Wenn du mehr über SCEP lernen willst: Ich habe dazu bereits einen ausführlichen Blog-Post geschrieben:
Empfehlung
Meine aktuelle Empfehlung ist, PKCS umzusetzen. Es ist deutlich einfacher in Umsetzung und Betrieb. Ausserdem bietet es weniger Angriffsfläche, weil die einzige On-Premises-Komponente, die mit dem Internet kommuniziert, der Intune Certificate Connector ist.
Der Unterschied zu SCEP/NDES: Der Private Key wird übertragen, dafür muss das Gerät nur mit Intune sprechen und nicht mit internen Servern.
PKCS
Für das PKCS-Setup brauchen wir vier Teile:
- Certificate Template auf der Issuing CA
- Einstellungen der Certificate Authority
- Intune Certificate Connector
- Intune-Profile
Certificate Template auf der Issuing CA
Zuerst erstellen wir auf der Issuing CA ein neues Certificate Template.
- Öffne cert.srv, erweitere die Issuing CA und wähle Certificate Templates
- Rechtsklick darauf und Manage wählen
- Das Template User duplizieren
- Das neue Template mit diesen Einstellungen konfigurieren:
- General: Name = IntunePKCS, Validity auf Standard, Publish certificate in Active Directory deaktivieren
- Compatibility: für Authority und Recipient auf die höchste Stufe setzen
- Request Handling: Standard, prüfen, dass Allow private key to be exported aktiviert ist
- Extensions: Application Policies nur auf Client Authentication setzen
- Security: Das Server-/Computerobjekt des Intune Certificate Servers mit den Berechtigungen Read und Enroll (Allow) hinzufügen und prüfen, dass keine weiteren unerwünschten Identitäten eingetragen sind (in der Regel nur Authenticated Users, Administrator, Domain Admins und Enterprise Admins)
- Subject Name: Supply in the request wählen
Microsoft-Anleitung
- Bei den Certificate Templates per Rechtsklick>New>Certificate Template to Issue das zuvor erstellte Template (IntunePKCS) auswählen
Einstellungen der Certificate Authority
- Öffne die Eigenschaften deiner CA
- Füge unter Security das Server-/Computerobjekt des Intune Certificate Servers mit Issue and Manage Certificates und Request Certificates hinzu (generell ist es sehr wichtig, dass diese Security-Liste mit den richtigen Identitäten konfiguriert ist)
- Unter Certificate Managers die Certificate Managers einschränken (Restrict certificate managers) und dem Intune-Connector-Server nur Zugriff auf das Template IntunePKCS geben
Intune Certificate Connector
- Installiere den Intune Certificate Connector auf einem dedizierten Tier-0-Server, der mit der Issuing CA kommunizieren kann. (Download im Intune Admin Center>Tenant administration>Connectors and tokens>Certificate connectors)
- Konfiguriere ihn mit:
- Zertifikaten mit Private-/Public-Key-Paar (PKCS)
- Certificate revocation
- SYSTEM als Service Account wählen (empfohlen)
- Melde dich mit einem Intune- oder Global Admin an, dem eine Intune-Lizenz zugewiesen ist
- Autoupdate für den Connector prüfen
Intune-Profile
Trusted Certificates
Device Configuration Profile, Template, Trusted certificate
Um das Trusted Root (oder Intermediate) Certificate deiner Certification Authority zu importieren und den Geräten zuzuweisen, die PKCS-Zertifikate zur Authentifizierung an den Ressourcen deiner Organisation nutzen.
Entscheidend ist, dass alle Zertifikate der Trust Chains auf dem Gerät importiert sind.
PKCS-Zertifikat
Device Configuration Profile, Template, PKCS certificate
Und konfiguriere es mit den folgenden Einstellungen. Wichtig:
- Certificate Authority und Name findest du heraus, wenn du auf der CA «Certutil -config - -ping» ausführst
- Den Template-Namen findest du im Certificate Template
- Formate für Subject Name und Alternative Name findest du hier
Troubleshooting
Bei Problemen prüfe die obige Konfiguration noch einmal und versuche, das Problem einzugrenzen. Ich prüfe in dieser Reihenfolge: Intune-Profil -> Intune Certificate Connector -> Certificate Authority -> Client.
Intune Certificate Connector
Die Event Logs findest du unter Application and Services Logs>Microsoft Intune Connector
Event-IDs und Beschreibungen nachschlagen
Prüfe ausserdem im Intune Admin Center, wo du die Connector-Installationsdatei heruntergeladen hast, ob der Connector gesund ist.
Certificate Authority
Prüfe in certsrv.msc unter Issued oder Failed Certificate Requests, ob das Zertifikat angefordert wird.
Wichtig ist, dass der Intune-Certificate-Connector-Server und die CA miteinander kommunizieren können. Verifiziere das. (Ping, Firewall)
Optional kannst du auf der CA das Advanced Auditing aktivieren.
Client
Prüfe, ob der Client persönliche Zertifikate hat, die von deiner CA ausgestellt wurden.
Wirf generell auch einen Blick in den Event Viewer unter: Applications and Services Logs>Microsoft>Windows>DeviceManagement-Enterprise-Diagnostics-Provider
Was heisst das für Schweizer Firmen?
- Aufwand: PKCS braucht nur einen Windows Server mit Intune Certificate Connector und deine bestehende PKI. Das ist für kleine IT-Teams und IT-Dienstleister einfacher zu betreiben als SCEP/NDES mit zusätzlichem Webserver und Proxy
- Keine eigene PKI: Wenn du keine interne CA betreibst, sind Cloud PKI aus der Intune Suite oder SCEPman Optionen ohne On-Premises-Infrastruktur. Prüfe vorab die Lizenz: Cloud PKI gehört zur Intune Suite oder ist als separates Add-on erhältlich
- Nachweis: Die Server der PKI gehören nach Tier 0. Mit sauberer Berechtigung auf Template und CA sowie aktivem Auditing lässt sich später nachvollziehen, wer Zertifikate ausstellen durfte. Das unterstützt die Datensicherheit nach Art. 8 revDSG (angemessene technische und organisatorische Massnahmen)
Verwandte Beiträge
