Создание и назначение профилей сертификатов SCEP в Intune

После настройки инфраструктуры для поддержки сертификатов SCEP можно создать и затем назначить профили сертификатов SCEP пользователям и устройствам в Intune.

Чтобы устройства использовали профиль сертификата SCEP, они должны доверять доверенному корневому центру сертификации (ЦС). Доверие корневого ЦС лучше всего установить, развернув профиль доверенного сертификата в той же группе, которая получает профиль сертификата SCEP. Профили доверенных сертификатов подготавливают доверенный корневой сертификат ЦС.

Устройства под управлением Android Enterprise могут требовать ПИН-код, прежде чем SCEP сможет подготавливать их с помощью сертификата. Дополнительные сведения см. в разделе Требование ПИН-кода для Android Enterprise.

Соединитель сертификата обновления: строгие требования к сопоставлению для KB5014754

Применяется к:

• Windows
• Android
• iOS
• macOS

Центр распространения ключей (KDC) требует, чтобы объекты пользователей или устройств были строго сопоставлены с Active Directory для проверки подлинности на основе сертификатов. Это означает, что альтернативное имя субъекта сертификата (SAN) должно содержать расширение идентификатора безопасности (SID), сопоставленное с SID пользователя или устройства в Active Directory. Когда пользователь или устройство проходит проверку подлинности с помощью сертификата в Active Directory, KDC проверяет наличие SID, чтобы убедиться, что сертификат сопоставлен и выдан правильному пользователю или устройству. Требование сопоставления защищает от подделки сертификата и гарантирует, что проверка подлинности на основе сертификатов в KDC продолжает работать.

Строгое сопоставление требуется для всех сертификатов, развернутых Microsoft Intune и используемых для проверки подлинности на основе сертификатов в KDC. Решение для строгого сопоставления применимо к сертификатам пользователей на всех платформах. Для сертификатов устройств это относится только к устройствам Windows, присоединенным к гибридному развертыванию Microsoft Entra. Если сертификаты в этих сценариях не будут соответствовать строгим требованиям сопоставления к дате полного режима принудительного применения, в проверке подлинности будет отказано.

Чтобы реализовать решение строгого сопоставления для сертификатов SCEP, предоставляемых через Intune, необходимо добавить переменную OnpremisesSecurityIdentifier в SAN в профиле SCEP.

Эта переменная должна быть частью атрибута URI. Можно создать новый профиль SCEP или изменить существующий, чтобы добавить атрибут URI.

После того как вы добавите атрибут и значение URI в профиль сертификата, Microsoft Intune добавит атрибут SAN с тегом и разрешенным идентификатором безопасности. Пример форматирования: tag:microsoft.com,2022-09-14:sid:<value> На этом этапе профиль сертификата соответствует требованиям строгого сопоставления.

Чтобы убедиться, что ваш профиль SCEP соответствует строгим требованиям сопоставления, создайте профиль сертификата SCEP в Центре администрирования Microsoft Intune или измените существующий профиль, указав новый атрибут и значение SAN. В качестве предварительного условия необходимо синхронизировать пользователей и устройства из Active Directory с Microsoft Entra ID. Дополнительные сведения см. в разделе Как объекты и учетные данные синхронизируются в управляемом домене доменных служб Microsoft Entra.

Дополнительные сведения о требованиях KDC и дате вступления в силу строгого сопоставления см. в разделе KB5014754. Изменения проверки подлинности на основе сертификатов на контроллерах домена Windows .

Требования к сертификату S/MIME для стороннего общедоступного центра сертификации

Имя субъекта сертификата (SN) во всех сертификатах S/MIME должно содержать следующие сведения.

• Атрибут Given name
• Атрибут фамилии

Применительно к Microsoft Intune, эти атрибуты необходимы вам при использовании профилей сертификатов SCEP Intune со сторонними партнерами из общедоступного центра сертификации для выдачи сертификатов S/MIME для защищенной электронной почты. Список этих партнеров центров сертификации см. в разделе Сторонние партнеры по сертификации.

Общедоступные центры сертификации будут отклонять запросы сертификатов от устройств, зарегистрированных в Intune, которые не содержат атрибуты имени и фамилии из имени субъекта. Это требование относится к новым сертификатам и обновлениям.

При изменении существующего профиля сертификата для включения этих атрибутов инициируется повторная выдача всех сертификатов, что может повлечь за собой дополнительные расходы в зависимости от соглашения с центром сертификации.

Чтобы избежать перебоев в обслуживании, выполните следующие действия в Центре администрирования Microsoft Intune:

1. Просмотрите профили сертификатов SCEP Intune, используемые для сценариев S/MIME.

2. Обновите формат имени субъекта, чтобы включить следующие переменные:

   • G={{GivenName}}
   • SN={{SurName}}

   Переменные можно ввести в профиле SCEP в разделе Параметры> конфигурацииФормат имени субъекта.

   

3. Тестирование изменений. Перед широким развертыванием создайте новый профиль и назначьте небольшую группу пользователей.

4. Не полагайтесь на автоматические обновления. Intune не изменяет профили от вашего имени из-за риска дублирования атрибутов и непреднамеренного повторного выпуска сертификата.

Создание профиля сертификата SCEP

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите и перейдите в раздел Управление> устройствамиКонфигурация>устройств>Создать.

3. Укажите следующие свойства:

   • Платформа. Выберите платформу устройств.

   • Профиль. Выберите элемент Сертификат SCEP. Либо выберите элементы Шаблоны>Сертификат SCEP.

     Для Android Enterpriseтип профиля делится на две категории: Полностью управляемый, выделенный и корпоративный рабочий профиль и Личный рабочий профиль. Не забудьте выбрать правильный профиль сертификата SCEP для управляемых вами устройств.

     Профили сертификатов SCEP для профиля Полностью управляемый, выделенный и корпоративный рабочий профиль имеют следующие ограничения.

     1. В разделе "Мониторинг" отчеты о сертификатах недоступны для профилей сертификатов SCEP владельца устройства .
     2. С помощью Intune невозможно отозвать сертификаты, которые были подготовлены профилями сертификатов SCEP для владельца устройства. Вы можете управлять отзывом с помощью внешнего процесса или непосредственно с помощью центра сертификации.
     3. На выделенных устройствах Android Enterprise профили сертификатов SCEP поддерживаются для конфигурации сети Wi-Fi, VPN и проверки подлинности. Эти профили на выделенных устройствах Android Enterprise не поддерживаются для проверки подлинности приложения.

     Для Android (AOSP) применяются следующие ограничения:

     1. В разделе "Мониторинг" отчеты о сертификатах недоступны для профилей сертификатов SCEP владельца устройства .
     2. С помощью Intune невозможно отозвать сертификаты, которые были подготовлены профилями сертификатов SCEP для владельцев устройств. Вы можете управлять отзывом с помощью внешнего процесса или непосредственно с помощью центра сертификации.
     3. Для Wi-Fi конфигурации сети поддерживаются профили сертификатов SCEP. Поддержка профиля конфигурации VPN недоступна. Будущее обновление может включать поддержку профилей конфигурации VPN.
     4. Следующие переменные недоступны для использования в профилях сертификатов SCEP Android (AOSP). Поддержка этих переменных появится в будущем обновлении.
        • onPremisesSamAccountName
        • OnPrem_Distinguished_Name
        • Отдел

     Примечание.

     Владелец устройства эквивалентен корпоративным устройствам. Владельцем устройства считается:

     • Android Enterprise — полностью управляемый, выделенный и Corporate-Owned рабочий профиль
     • Android AOSP
       • Сходство пользователей
       • Без пользователя

4. Нажмите Создать.

5. В разделе Основные укажите следующие свойства.

   • Имя. Введите описательное имя для профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Профиль SCEP для всей компании.
   • Описание. Введите описание профиля. Этот необязательный параметр, но мы рекомендуем его использовать.

6. Нажмите кнопку Далее.

7. В разделе Параметры конфигурации выполните следующие настройки:

   • Канал развертывания: выберите способ развертывания профиля. Этот параметр также определяет цепочку ключей, в которой хранятся связанные сертификаты, поэтому важно выбрать правильный канал.

     Всегда выбирайте канал развертывания пользователя в профилях с сертификатами пользователей. В пользовательском канале хранятся сертификаты в цепочке ключей пользователя. Всегда выбирайте канал развертывания устройства в профилях с сертификатами устройств. В канале устройства хранятся сертификаты в цепочке ключей системы.

     Изменить канал развертывания после развертывания профиля невозможно. Чтобы выбрать другой канал, необходимо создать новый профиль.

   • Тип сертификата.

     (Применимо к: Android, Android Enterprise, Android (AOSP), iOS/iPadOS, macOS и Windows)

     Выберите тип в зависимости от того, как вы планируете использовать профиль сертификата:

     • Пользователь. Тип сертификата Пользователь может содержать в субъекте или SAN атрибуты как пользователя, так и устройства.

     • Устройство: сертификаты устройств могут содержать только атрибуты устройства в теме и SAN сертификата.

       Используйте Устройство для таких сценариев, как устройства без пользователей, например киоски, или для устройств с Windows. На устройствах с Windows сертификат помещается в хранилище сертификатов локального компьютера.

       В macOS, если этот профиль настроен для использования канала развертывания устройства, можно выбрать "Пользователь " или "Устройство". Если профиль настроен на использование канала развертывания пользователя, можно выбрать только пользователя.

     Примечание.

     Хранилище сертификатов, подготавливаемое в соответствии с SCEP:

     • macOS — сертификаты, предоставляемые с помощью SCEP, всегда помещаются в цепочку ключей системы (также называемую системным хранилищем или цепочкой ключей устройства) устройства, если вы не выбрали канал развертывания пользователя.

     • Android — на устройствах есть хранилище сертификатов VPN и приложений и хранилище сертификатов Wi-Fi. Intune всегда хранит сертификаты SCEP в хранилище VPN и приложений на устройстве. Использование хранилища VPN и приложений делает сертификат доступным для любого другого приложения.

       Но если сертификат SCEP также связан с профилем Wi-Fi, Intune установит сертификат и в хранилище Wi-Fi.

       При настройке для приложений VPN пользователю будет предложено выбрать правильный сертификат. Автоматическое утверждение сертификата для сценариев с полным управлением (или BYOD) не поддерживается. Если все настроено правильно, правильный сертификат должен быть выбран в диалоговом окне уже в предварительном выборе.

   • Формат имени субъекта.

     Введите текст, чтобы сообщить Intune способ автоматического создания имени субъекта в запросе на сертификат. Параметры для формата имени субъекта зависят от выбранного типа сертификата: Пользователь или Устройство.

     Совет

     Если длина имени субъекта превышает 64 символа, может потребоваться отключить принудительное ограничение длины имени во внутреннем центре сертификации. Дополнительные сведения см. в разделе Отключение принудительного ограничения длины DN

     Примечание.

     Существует известная проблема с escape-специальными символами в CSR для использования SCEP для получения сертификатов, когда имя субъекта в полученном запросе на подпись сертификата (CSR) включает один из следующих символов в качестве escape-символа (за которым следует обратная косая черта \):

     • +
     • ;
     • ,
     • =

     Примечание.

     Начиная с Android 12, Android больше не поддерживает использование следующих аппаратных идентификаторов для личных устройств рабочего профиля :

     • Серийный номер
     • IMEI
     • MEID

     Профили сертификатов Intune для личных устройств рабочего профиля, которые полагаются на эти переменные в имени субъекта или SAN, не смогут предоставить сертификат на устройствах под управлением Android 12 или более поздней версии на момент регистрации устройства в Intune. Устройства, зарегистрированные до перехода на Android 12, по-прежнему могут получать сертификаты, если в Intune ранее получены идентификаторы оборудования устройств.

     Дополнительные сведения об этом и других изменениях, вносимых в Android 12, см. в записи блога Начало поддержки Microsoft Endpoint Manager в Android.

     • Тип пользовательского сертификата

       В этом текстовом поле можно ввести настраиваемый формат имени субъекта со статическим текстом и переменными. Поддерживаются два варианта переменных: Общее имя (CN) и Адрес электронной почты (E).

       Адрес электронной почты (E) обычно задается с переменной {{EmailAddress}}. Например: E={{EmailAddress}}

       В качестве общего имени (CN) можно задать любую из следующих переменных.

       • CN={{UserName}}. Имя пользователя, например janedoe.
       • CN={{UserPrincipalName}}: имя участника-пользователя пользователя, например janedoe@contoso.com.
       • CN={{AAD_Device_ID}}: идентификатор, назначаемый при регистрации устройства в Microsoft Entra ID. Этот идентификатор обычно используется для проверки подлинности с помощью Microsoft Entra ID.
       • CN={{DeviceId}}. Идентификатор, назначаемый при регистрации устройства в Intune.

       Примечание.

       Избегайте использования {{DeviceId}} в качестве имени субъекта на устройствах с Windows. В некоторых случаях сертификат, созданный с этим именем субъекта, вызывает сбой синхронизации с Intune.

       • CN={{SERIALNUMBER}}. Уникальный серийный номер (SN), обычно используемый изготовителем для идентификации устройства.

       • CN={{IMEINumber}}. Уникальный номер международного идентификатора мобильного оборудования (IMEI), используемый для идентификации мобильного телефона.

       • CN={{OnPrem_Distinguished_Name}}. Последовательность относительных различающихся имен, разделенных запятой, например CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

         Чтобы использовать переменную {{OnPrem_Distinguished_Name}}, сделайте следующее:

         • Обязательно синхронизируйте атрибут пользователя onpremisesdistinctedname с помощью Microsoft Entra Connect с вашим Microsoft Entra ID.
         • Если значение CN содержит запятую, то формат имени субъекта должен быть заключен в кавычки. Например: CN="{{OnPrem_Distinguished_Name}}"

       • CN={{OnPremisesSamAccountName}}: администраторы могут синхронизировать атрибут samAccountName из Active Directory с Microsoft Entra ID с помощью Microsoft Entra Connect в атрибут с именем onPremisesSamAccountName. Intune может заменить эту переменную как часть запроса на выдачу сертификата в субъекте сертификата. Атрибут samAccountName — это имя пользователя для входа, используемое для поддержки клиентов и серверов предыдущей версии Windows (до Windows 2000). Формат имени входа пользователя: домен\пользователь или просто пользователь.

         Чтобы использовать переменную {{OnPremisesSamAccountName}}, обязательно синхронизируйте атрибут пользователя OnPremisesSamAccountName с помощью Microsoft Entra Connect с вашим Microsoft Entra ID.

       Все переменные устройств, перечисленные в следующем разделе Тип сертификата устройства, также можно использовать в именах субъектов сертификатов пользователей.

       Используя сочетание одной или нескольких таких переменных и статических текстовых строк, можно создать настраиваемый формат имени субъекта, например: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

       В этом примере приведен формат имени субъекта, который, кроме переменных CN и E, использует строки для определения подразделения, организации, расположения, штата и страны. Эта функция и поддерживаемые ею строки отписываются в статье Функция CertStrToName.

       Атрибуты пользователей не поддерживаются для устройств без сопоставлений с пользователями, например устройств, зарегистрированных в системе Android Enterprise Dedicated. Например, профиль, использующий CN={{UserPrincipalName}} в теме или SAN, не сможет получить имя участника-пользователя, если на устройстве нет пользователя.

     • Тип сертификата устройства

       Параметры формата для формата имени субъекта включают переменные:

       • {{AAD_Device_ID}} или {{AzureADDeviceId}} — любую переменную можно использовать для идентификации устройства по его Microsoft Entra ID.
       • {{DeviceId}} — идентификатор устройства в Intune
       • {{Device_Serial}}
       • {{Device_IMEI}}
       • {{SerialNumber}}
       • {{IMEINumber}}
       • {{WiFiMacAddress}}
       • {{IMEI}}
       • {{DeviceName}}
       • {{FullyQualifiedDomainName}}(применимо только для устройств с Windows и устройств, присоединенных к домену)
       • {{MEID}}

       В текстовом поле можно указать эти переменные и статический текст. Например, общее имя устройства с именем Device1 можно добавить как CN={{DeviceName}}Device1.

       Важно!

       • При указании переменной заключите имя переменной в двойные фигурные скобки {{ }}, как показано в примере, чтобы избежать ошибки.
       • Свойства устройства, используемые в субъекте или SAN сертификата устройства, например IMEI, SerialNumber и FullyQualifiedDomainName, — это свойства, которые могут быть подменены пользователем с доступом к устройству.
       • Устройство должно поддерживать все переменные, указанные в профиле сертификата, для установки этого профиля на данном устройстве. Например, если {{IMEI}} используется в качестве имени субъекта профиля SCEP для устройства, не имеющего номера IMEI, установка профиля завершится ошибкой.

   • Альтернативное имя субъекта: настройка альтернативного имени субъекта (SAN) в запросе сертификата. Можно ввести несколько альтернативных имен субъекта. Текстовое значение может содержать переменные и статический текст для атрибута.

     Примечание.

      Следующие профили Android Enterprise не поддерживают использование переменной {{ИмяПользователя}} для SAN:

     • Полностью управляемый, выделенный и Corporate-Owned рабочий профиль

     Выберите один из доступных атрибутов SAN:

     • Адрес электронной почты
     • Имя участника-пользователя (UPN).
     • DNS
     • универсальный код ресурса (URI)

     Тип выбранного сертификата определяет переменную SAN.

     Примечание.

     Начиная с Android 12, Android больше не поддерживает использование следующих аппаратных идентификаторов для личных устройств рабочего профиля :

     • Серийный номер
     • IMEI
     • MEID

     Профили сертификатов Intune для личных устройств рабочего профиля, которые полагаются на эти переменные в имени субъекта или SAN, не смогут предоставить сертификат на устройствах под управлением Android 12 или более поздней версии на момент регистрации устройства в Intune. Устройства, зарегистрированные до перехода на Android 12, по-прежнему могут получать сертификаты, если в Intune ранее получены идентификаторы оборудования устройств.

     Дополнительные сведения об этом и других изменениях, вносимых в Android 12, см. в записи блога Начало поддержки Microsoft Endpoint Manager в Android.

     • Тип пользовательского сертификата

       Для типа сертификата пользователя можно использовать любую из переменных сертификата пользователя или устройства, описанных выше в разделе "Имя субъекта".

       Например, если вы выбираете тип сертификата пользователя, в альтернативное имя субъекта можно включить имя субъекта-пользователя. Если сертификат клиента будет использоваться для проверки подлинности сервера политики сети, в качестве альтернативного имени субъекта необходимо задать имя участника-пользователя.

       Microsoft Intune также поддерживает OnPremisesSecurityIdentifier — переменную, соответствующую строгим требованиям сопоставления центра распространения ключей (KDC) для проверки подлинности на основе сертификатов. Переменную следует добавить к сертификатам пользователей, которые проходят проверку подлинности с помощью KDC. Вы можете добавить переменную в формате {{OnPremisesSecurityIdentifier}} в новый и существующий профили в Центре администрирования Microsoft Intune. Эта переменная поддерживается в сертификатах пользователей для macOS, iOS и Windows и работает только с атрибутом URI.

     • Тип сертификата устройства

       Для типа сертификата устройства можно использовать любую из переменных, описанных в разделе "Тип сертификата устройства " для имени субъекта.

       Чтобы указать значение для атрибута, включите имя переменной в фигурные скобки, а затем добавьте текст для этой переменной. Например, можно добавить значение для атрибута DNS: {{AzureADDeviceId}}.domain.com, где .domain.com — это текст. Для пользователя с именем User1 адрес Email может отображаться как {{FullyQualifiedDomainName}}User1@Contoso.com.

       Используя комбинацию одной или нескольких из этих переменных и статических текстовых строк, можно создать пользовательский формат альтернативного имени субъекта, например {{ИмяПользователя}}-Home.

       Microsoft Intune также поддерживает OnPremisesSecurityIdentifier — переменную, соответствующую строгим требованиям сопоставления центра распространения ключей (KDC) для проверки подлинности на основе сертификатов. Эту переменную следует добавить в сертификаты устройств, которые проходят проверку подлинности в KDC. Вы можете добавить переменную в формате {{OnPremisesSecurityIdentifier}} в новый и существующий профили в Центре администрирования Microsoft Intune. Эта переменная поддерживается в сертификатах устройств для устройств, присоединенных к гибридной среде Microsoft Entra, и работает только с атрибутом URI.

       Важно!

       • Используемую переменную сертификата устройства необходимо заключать в двойные фигурные скобки {{ }}.
       • Не используйте фигурные скобки { }, символы вертикальной черты | и точки с запятой ; в тексте, который следует за переменной.
       • Свойства устройства, используемые в субъекте или SAN сертификата устройства, например IMEI, SerialNumber и FullyQualifiedDomainName, — это свойства, которые могут быть подменены пользователем с доступом к устройству.
       • Устройство должно поддерживать все переменные, указанные в профиле сертификата, для установки этого профиля на данном устройстве. Например, если {{IMEI}} используется в SAN профиля SCEP для устройства, не имеющего номера IMEI, установка профиля завершится ошибкой.

   • Срок действия сертификата.

     Можно указать значение ниже, но не выше периода действия в шаблоне сертификата. Если в шаблоне сертификата настроена настройка пользовательских сроков действия сертификата, используйте этот параметр, чтобы указать количество времени, оставшееся до истечения срока действия сертификата.

     Максимальный срок действия, поддерживаемый в Intune, для сертификата — 24 месяца.

     Например, если в шаблоне сертификата указан срок действия сертификата в два года, можно ввести значение в один год, но не в пять лет. Кроме того, значение не должно превышать значение оставшегося периода действия сертификата, выдаваемого центром сертификации.

     Запланируйте использование срока действия пять дней или больше. Если срок действия составляет менее пяти дней, существует высокая вероятность того, что срок действия сертификата скоро истечет, что может привести к тому, что агент MDM на устройствах отклонит сертификат до его установки.

   • Поставщик хранилища ключей (KSP).

     (Применимо к: Windows)

     Укажите место, где хранится ключ для сертификата. Выберите один из следующих вариантов:

     • Зарегистрировать в KSP доверенного платформенного модуля (TPM) при его наличии, в противном случае зарегистрировать в KSP программного обеспечения
     • Зарегистрировать в KSP доверенного платформенного модуля (TPM), в противном случае создать сбой
     • Зарегистрируйтесь в Windows Hello для бизнеса, иначе не удастся
     • Зарегистрировать в KSP программного обеспечения

   • Использование ключа.

     Выберите параметры использования ключа для сертификата.

     • Цифровая подпись: обмен ключами разрешается, только если они защищены с помощью цифровой подписи.
     • Шифрование ключей: обмен ключами разрешается, только если они зашифрованы.

   • Размер ключа (разрядов).

     Выберите количество битов, которое содержится в ключе.

     • Не настроено

     • 1024

     • 2048

     • 4096 — размер ключа 4096 поддерживается для следующих платформ:

       • Android (все версии)
       • iOS/iPadOS 14 и более поздних версий
       • macOS 11 и более поздние версии
       • Windows (все)

       Примечание.

       Для устройств с Windows 4096-битное хранилище ключей поддерживается только в поставщике программного обеспечения Key Storage Provider (KSP). Следующие правила не поддерживают хранение ключей такого размера:

       • Аппаратный доверенный платформенный модуль (TPM). В качестве обходного решения можно использовать программный KSP для хранения ключей.
       • Windows Hello для бизнеса. В настоящее время отсутствует временное решение для Windows Hello для бизнеса.

   • Хэш-алгоритм.

     (Применимо к Android, Android (AOSP), Android Enterprise и Windows)

     Используйте с этим сертификатом один из доступных типов хэш-алгоритмов. Выберите максимальный уровень безопасности, который поддерживают подключающиеся устройства.

     ПРИМЕЧАНИЕ. Устройства Android AOSP и Android Enterprise выбирают самый строгий поддерживаемый алгоритм: SHA-1 будет игнорироваться, а вместо него будет использоваться SHA-2.

   • Корневой сертификат.

     Выберите профиль доверенного сертификата, который вы ранее настроили и назначили подходящим пользователям и устройствам для этого профиля сертификата SCEP. Используйте профиль доверенного сертификата для предоставления доверенного корневого сертификата ЦС пользователям и устройствам. Сведения о профиле доверенного сертификата см. в статье Экспорт доверенного корневого сертификата ЦС и Создание профилей доверенных сертификатов в разделе Использование сертификатов для проверки подлинности в Intune.

     Примечание.

     Если у вас есть многоуровневая инфраструктура PKI, например корневой и выдающий центр сертификации, выберите профиль доверенного корневого сертификата верхнего уровня, который проверяет выдающий центр сертификации.

   • Расширенное использование ключа.

     Добавьте значения для назначения сертификата. В большинстве случаев для сертификата требуется проверка подлинности клиента, чтобы пользователь или устройство могли пройти проверку подлинности на сервере. При необходимости можно добавить дополнительные сведения об использовании ключа.

   • Порог обновления (%).

     Введите процент времени существования сертификата, который остается, прежде чем устройство запросит его возобновление. Например, если ввести значение 20, будет предпринята попытка продления сертификата, когда срок действия сертификата истечет на 80 %. Попытки продления продолжаются до тех пор, пока обновление не будет успешным. При обновлении создается новый сертификат, что приводит к созданию новой пары из открытого и закрытого ключей.

     Примечание.

     Поведение при обновлении в iOS/iPadOS и macOS: сертификаты можно продлевать только на этапе достижения порогового значения обновления. Кроме того, необходимо разблокировать устройство во время синхронизации с Intune. Если обновление не было успешным, сертификат с истекшим сроком действия останется на устройстве, и Intune больше не будет инициировать обновление. Кроме того, в Intune не предусмотрена возможность повторного развертывания сертификатов с истекшим сроком действия. Затронутые устройства необходимо временно исключить из профиля SCEP, чтобы удалить сертификат с истекшим сроком действия и запросить новый.

   • URL-адреса серверов SCEP.

     Введите один или несколько URL-адресов для серверов NDES, которые выдают сертификаты через SCEP. Например, можно ввести https://ndes.contoso.com/certsrv/mscep/mscep.dll.

     Чтобы разрешить устройствам в Интернете получать сертификаты, необходимо указать URL-адрес NDES, внешний по отношению к корпоративной сети. URL-адрес может содержать HTTP или HTTPS. Однако для включения поддержки следующих устройств URL-адрес сервера SCEP должен содержать протокол HTTPS:

     • Администратор устройств Android
     • владельцы устройств Android Enterprise
     • Корпоративный рабочий профиль Android Enterprise
     • Личные устройства Android Enterprise с рабочим профилем

     При необходимости можно добавить дополнительные URL-адреса SCEP для балансировки нагрузки. Устройства выполняют три отдельных вызова к серверу NDES: чтобы получить возможности серверов, получить открытый ключ, а затем отправить запрос на подпись. При использовании нескольких URL-адресов балансировка нагрузки может привести к тому, что для последующих вызовов к серверу NDES будет использоваться другой URL-адрес. Если для последующего вызова в рамках того же запроса будет выполнено обращение к другому серверу, запрос завершится ошибкой.

     Поведение при управлении URL-адресом сервера NDES зависит от платформы устройства.

     • Android. Устройство случайным образом распределяет список URL-адресов, полученных в политике SCEP, а затем последовательно обрабатывает этот список, пока не будет найден доступный сервер NDES. После этого устройство продолжает использовать тот же URL-адрес и сервер в рамках всего процесса. Если устройство не может получить доступ ни к одному из серверов NDES, процесс завершается сбоем.
     • iOS/iPadOS. Intune случайным образом распределяет URL-адреса и предоставляет устройству один URL-адрес. Если устройство не может получить доступ к серверу NDES, запрос SCEP завершается сбоем.
     • Windows. Список URL-адресов NDES распределяется случайным образом и передается на устройство Windows, которое затем попытается использовать эти адреса в порядке получения, пока не найдет доступный. Если устройство не может получить доступ ни к одному из серверов NDES, процесс завершается сбоем.

     Если устройству не удается связаться с тем же сервером NDES во время любого из трех вызовов сервера NDES, запрос SCEP завершается сбоем. Например, это может произойти, когда решение о балансировке нагрузки предоставляет другой URL-адрес для второго или третьего вызова к серверу NDES или предоставляет другой фактический сервер NDES на основе виртуализированного URL-адреса для NDES. После неудачного запроса устройство снова пытается выполнить процесс в следующем цикле политики, начиная с рандомизированного списка URL-адресов NDES (или одного URL-адреса для iOS/iPadOS).

8. Этот шаг применяется только к профилям устройств Android Enterprise для полностью управляемых, выделенных и Corporate-Owned рабочих профилей.

   В разделе "Приложения" настройте доступ на основе сертификатов , чтобы управлять предоставлением доступа на основе сертификатов приложениям. Варианты:

   • Требовать утверждения пользователя для приложений(по умолчанию) — пользователи должны одобрить использование сертификата всеми приложениями.
   • Предоставлять автоматически для определенных приложений (для других приложений требуется утверждение пользователя) — с помощью этого параметра выберите " Добавить приложения", а затем выберите одно или несколько приложений, которые будут автоматически использовать сертификат без вмешательства пользователя.

9. Нажмите кнопку Далее.

10. В разделе Назначения выберите пользователей или группы, которые будут принимать ваш профиль. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

    Нажмите кнопку Далее.

11. (Применимо только к Windows) В разделе Правила применимости укажите правила применимости, чтобы уточнить назначение этого профиля. Вы можете как назначить, так и не назначать профиль на основе выпуска ОС или версии устройства.

    Сведения о правилах применимости см. в руководстве по созданию профиля устройства в Microsoft Intune.

12. В окне Проверка и создание проверьте параметры. При выборе "Создать" внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

Избегайте использования запросов на подпись сертификата со специальными экранируемыми символами

Существует известная ошибка, связанная с запросами на сертификаты SCEP и PKCS, когда имя субъекта содержит экранируемые символы. Имена субъектов, которые содержат один из специальных символов в виде экранированного символа, формируют запрос CSR с неправильным именем субъекта. Неправильное имя субъекта приводит к сбою проверки запроса SCEP Intune и отказу в выдаче сертификата.

Специальные символы:

• +
• ,
• ;
• =

Если имя субъекта содержит один из этих символов, вы можете выполнить одно из следующих действий:

• заключить значение имени субъекта, содержащее специальный символ, в кавычки;
• удалить специальный символ из значения имени субъекта.

Например, у вас есть имя субъекта, которое отображается как Test user (TestCompany, LLC). CSR с именем субъекта, которое содержит запятую между TestCompany и LLC, представляет собой проблему. Проблему можно решить, заключив в кавычки все имя субъекта или удалив запятую между TestCompany и LLC:

• Добавление кавычек: CN="Test User (TestCompany, LLC)",OU=UserAccounts,DC=corp,DC=contoso,DC=com
• Удаление запятой: CN=Test User (TestCompany LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

При этом попытки экранировать запятую с помощью символа обратной косой черты будут приводить к ошибке в журналах CRP:

• Escape-запятая: CN=Test User (TestCompany\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

Эта ошибка похожа на следующую ошибку:

Subject Name in CSR CN="Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com" and challenge CN=Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com do not match

  Exception: System.ArgumentException: Subject Name in CSR and challenge do not match

   at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

Exception:    at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

   at Microsoft.ConfigurationManager.CertRegPoint.Controllers.CertificateController.VerifyRequest(VerifyChallengeParams value

Назначение профиля сертификата

Назначение профилей сертификатов SCEP аналогично развертыванию профилей устройств для других целей.

Перед продолжением примите во внимание следующее.

• При назначении профилей сертификатов группам на устройстве устанавливается файл доверенного корневого сертификата ЦС (указанный в профиле доверенного сертификата). Устройство использует профиль сертификата SCEP для создания запроса на сертификат для этого доверенного корневого сертификата ЦС.

• Профиль сертификата SCEP устанавливается только на устройствах с платформой, указанной при создании профиля сертификата.

• Можно назначать профили сертификатов и для коллекции пользователей, и для устройств.

• Чтобы опубликовать сертификат на устройстве сразу после регистрации, назначьте профиль сертификата в группе пользователей, а не в группе устройств. Если вы назначаете профиль группе устройств, требуется полная регистрация устройства для получения политик.

• Если вы используете совместное управление для Intune и Configuration Manager, в Configuration Manager установите ползунок рабочей нагрузки для параметра "Политики доступа к ресурсам" напротив значения Intune или Пилотная версия Intune. Этот параметр позволяет клиентам Windows запускать процесс запроса сертификата.

Дальнейшие действия

Назначение профилей

Overview for troubleshooting SCEP certificate profiles with Microsoft Intune (Устранение неполадок при развертывании профилей сертификатов SCEP с помощью Microsoft Intune)