Использование производных учетных данных в Microsoft Intune

Производные учетные данные являются реализацией рекомендаций Национального института стандартов и технологий (NIST) по полученным учетным данным для проверки личности (PIV) в рамках специальной публикации (SP) 800-157(ссылка открывает .pdf файл на nvlpubs.nist.gov).

Организации, которым требуются смарт-карты для проверки подлинности или шифрования и подписывания, могут использовать Intune для предоставления мобильным устройствам сертификата, полученного из смарт-карта пользователя. Этот сертификат называется производными учетными данными. Intune поддерживает несколько производных издателей учетных данных, но использует только одного издателя на каждого клиента.

О внедрении Intune

Чтобы использовать учетные данные, производные от Intune, администратор Intune должен настроить клиент для работы с поддерживаемым производным поставщиком учетных данных. Вам не нужно настраивать параметры Intune в системе издателя производных учетных данных.

• Администратор Intune указывает Производные учетные данные в качестве метода проверки подлинности для следующих объектов:

  Для полностью управляемых устройств Android Enterprise:

  • Распространенные типы профилей, такие как Wi-Fi
  • Проверка подлинности приложения

  Для iOS и iPadOS:

  • общие типы профилей, такие как Wi-Fi, VPN и электронная почта, включая собственное почтовое приложение iOS/iPadOS.
  • Проверка подлинности приложения
  • Подписывание и шифрование S/MIME

  Для Windows:

  • общие типы профилей, такие как Wi-Fi и VPN.

  Примечание.

  В настоящее время извлеченные учетные данные в качестве метода проверки подлинности для профилей VPN не работают должным образом на устройствах Windows. Это поведение влияет только на профили VPN на устройствах Windows и будет исправлено в следующем выпуске (без ETA).

• Для Android и iOS/iPadOS пользователи получают производные учетные данные на основе смарт-карты на компьютере для проверки подлинности у издателя производных учетных данных. После этого издатель выдает для мобильного устройства сертификат, полученный со смарт-карты. В Windows пользователи устанавливают приложение от поставщика извлеченных учетных данных, которое устанавливает сертификат на устройство для последующего использования. a

• После получения устройством производных учетных данных они используются для проверки подлинности, а также для подписи и шифрования S/MIME, если приложения или профили доступа к ресурсам настроены на требование извлеченных учетных данных.

Предварительные требования

Прежде чем настраивать клиент для использования производных учетных данных, ознакомьтесь со следующими сведениями.

Поддерживаемые издатели

Важные сведения об использовании разных издателей см. в соответствующих руководствах. Дополнительные сведения см. в разделе Планирование производных учетных данных в этой статье.

Требуемые приложения

Планирование производных учетных данных

Прежде чем настраивать издатель производных учетных данных для Android и iOS/iPadOS, необходимо учесть следующие моменты.

Сведения об устройствах Windows см. в разделе Производные учетные данные для Windows.

1. Просмотрите документацию по выбранному производному издателю учетных данных.

Перед настройкой издателя ознакомьтесь с его документацией, чтобы понять, как система доставляет производные учетные данные на устройства.

В зависимости от выбранного издателя может потребоваться участие персонала во время регистрации, чтобы помочь пользователям завершить процесс. Кроме того, проверьте текущие конфигурации Intune, чтобы они не блокировали доступ, необходимый устройствам или пользователям для выполнения запроса учетных данных.

Например, вы можете использовать условный доступ, чтобы заблокировать доступ к электронной почте для устройств, не соответствующих требованиям. Если вы полагаетесь на уведомления по электронной почте, чтобы сообщить пользователю о необходимости запуска процесса регистрации учетных данных, пользователи могут не получить эти инструкции до тех пор, пока они не будут соответствовать политике.

Аналогичным образом некоторые рабочие процессы запроса учетных данных должны использовать камеру устройства для сканирования QR-кода на экране. Этот код связывает устройство с запросом проверки подлинности, который направлялся издателю производных учетных данных с учетными данными смарт-карты пользователя. Если политики конфигурации устройства блокируют использование камеры, пользователь не сможет выполнить запрос на регистрацию извлеченных учетных данных.

Общие сведения:

• Одновременно можно настроить только одного издателя для каждого клиента; такой издатель будет доступен всем пользователям и поддерживаемым устройствам в клиенте.

• Пользователи не уведомляются о том, что они должны зарегистрироваться для получения производных учетных данных до тех пор, пока не будет назначена политика, для которой требуются производные учетные данные.

• Уведомление можно направить через Корпоративный портал, по электронной почте или обоими способами. Если вы решите использовать уведомления по электронной почте и включите условный доступ, пользователи могут не получить уведомление по электронной почте, если их устройство не соответствует требованиям.

  Важно!

  Чтобы конечные пользователи получали уведомления, связанные с учетными данными устройств, следует включить уведомления приложений для Корпоративного портала, уведомлений по электронной почте или обоих способов.

2. Проверка рабочего процесса конечного пользователя для выбранного вами эмитента

Ниже приведены основные рекомендации по работе с каждым поддерживаемым партнером. Ознакомьтесь с данными сведениями и убедитесь, что ваши политики и конфигурации Intune не мешают пользователям и устройствам успешно регистрировать производные учетные данные от этого издателя.

DISA Purebred

Проверьте зависящий от платформы рабочий процесс пользователя для устройств, которые будут использоваться с производными учетными данными.

• iOS и iPadOS
• Android Enterprise - Корпоративный рабочий профиль или полностью управляемые устройства

Основные требования:

• Пользователям требуется доступ к компьютеру или киоску, где они могут использовать смарт-карты для проверки подлинности у издателя.

• Необходима установка приложения "Корпоративный портал Intune" на устройствах iOS и iPadOS, которые будут регистрироваться для получения производных учетных данных. Необходима установка и использование приложения Intune на полностью управляемых устройствах Android и устройствах с корпоративным рабочим профилем.

• Используйте Intune для развертывания приложения DISA Purebred на устройствах, которые будут регистрироваться для получения производных учетных данных. Это приложение необходимо развернуть с помощью Intune, чтобы оно было управляемым и могло работать с приложением "Корпоративный портал Intune" или приложением Intune, которое пользователи устройств применяют для выполнения запроса производных учетных данных.

• Чтобы получить производные учетные данные из приложения Purebred, у устройства должен быть доступ к локальной сети. Доступ может быть выполняться через корпоративные сети Wi-Fi или VPN.

• Пользователи устройств должны работать с интерактивным агентом во время процесса регистрации. В ходе процесса регистрации пользователю предоставляются ограниченные по времени одноразовые секретные коды.

• При внесении изменений в политику, использующую производные учетные данные, например при создании профиля Wi-Fi, пользователи iOS и iPadOS получают уведомления о необходимости открыть приложение "Корпоративный портал".

• Пользователи получают уведомление о необходимости открыть соответствующее приложение, когда им нужно обновить производные учетные данные.

  Процесс обновления происходит следующим образом.

  • Издателю производных учетных данных необходимо выпустить новые или обновленные сертификаты до того, как срок действия предыдущих сертификатов истечет более чем на 80%.
  • Устройство проверяется во время периода обновления (последние 20% срока действия).
  • Microsoft Intune уведомляет пользователя по электронной почте или в уведомлении приложения о необходимости запуска Корпоративного портала.
  • Пользователь запускает Корпоративный портал и нажимает уведомление о производных учетных данных, после чего производные сертификаты учетных данных копируются на устройство.

Сведения о получении и настройке приложения DISA Purebred см. в разделе Развертывание приложения DISA Purebred далее в этой статье.

Entrust

Проверьте зависящий от платформы рабочий процесс пользователя для устройств, которые будут использоваться с производными учетными данными.

• iOS и iPadOS
• Android Enterprise- Корпоративный рабочий профиль или полностью управляемые устройства

Основные требования:

• Пользователям требуется доступ к компьютеру или киоску, где они могут использовать смарт-карты для проверки подлинности у издателя.

• Необходима установка приложения "Корпоративный портал Intune" на устройствах iOS и iPadOS, которые будут регистрироваться для получения производных учетных данных. Необходима установка и использование приложения Intune на полностью управляемых устройствах Android и устройствах с корпоративным рабочим профилем.

• Использование камеры устройства для сканирования QR-кода, связывающего запрос проверки подлинности с запросом производных учетных данных от мобильного устройства.

• Пользователям предлагается зарегистрировать производные учетные данные в приложении "Корпоративный портал" или по электронной почте.

• При внесении изменений в политику, использующую производные учетные данные, например при создании профиля Wi-Fi, происходит следующее:

  • iOS и iPadOS — пользователи получают уведомление о необходимости открыть приложение "Корпоративный портал";
  • Корпоративный рабочий профильAndroid Enterprise или полностью управляемые устройства — приложение Корпоративный портал открывать не нужно.

• Пользователи получают уведомление о необходимости открыть соответствующее приложение, когда им нужно обновить производные учетные данные.

  Процесс обновления происходит следующим образом.

  • Издателю производных учетных данных необходимо выпустить новые или обновленные сертификаты до того, как срок действия предыдущих сертификатов истечет более чем на 80%.
  • Устройство проверяется во время периода обновления (последние 20% срока действия).
  • Microsoft Intune уведомляет пользователя по электронной почте или в уведомлении приложения о необходимости запуска Корпоративного портала.
  • Пользователь запускает это приложение и нажимает на уведомление о производных учетных данных, после чего сертификаты производных учетных данных копируются на устройство

Intercede

Проверьте зависящий от платформы рабочий процесс пользователя для устройств, которые будут использоваться с производными учетными данными.

• iOS и iPadOS
• Android Enterprise - Корпоративный рабочий профиль или полностью управляемые устройства

Основные требования:

• Пользователям требуется доступ к компьютеру или киоску, где они могут использовать смарт-карты для проверки подлинности у издателя.

• Необходима установка приложения "Корпоративный портал Intune" на устройствах iOS и iPadOS, которые будут регистрироваться для получения производных учетных данных. Необходима установка и использование приложения Intune на полностью управляемых устройствах Android и устройствах с корпоративным рабочим профилем.

• Использование камеры устройства для сканирования QR-кода, связывающего запрос проверки подлинности с запросом производных учетных данных от мобильного устройства.

• Пользователям предлагается зарегистрировать производные учетные данные в приложении "Корпоративный портал" или по электронной почте.

• При внесении изменений в политику, использующую производные учетные данные, например при создании профиля Wi-Fi, происходит следующее:

  • iOS и iPadOS — пользователи получают уведомление о необходимости открыть приложение "Корпоративный портал";
  • Корпоративный рабочий профильAndroid Enterprise или полностью управляемые устройства — приложение Корпоративный портал открывать не нужно.

• Пользователи получают уведомление о необходимости открыть соответствующее приложение, когда им нужно обновить производные учетные данные.

  Процесс обновления происходит следующим образом.

  • Издателю производных учетных данных необходимо выпустить новые или обновленные сертификаты до того, как срок действия предыдущих сертификатов истечет более чем на 80%.
  • Устройство проверяется во время периода обновления (последние 20% срока действия).
  • Microsoft Intune уведомляет пользователя по электронной почте или в уведомлении приложения о необходимости запуска Корпоративного портала.
  • Пользователь запускает это приложение и нажимает на уведомление о производных учетных данных, после чего сертификаты производных учетных данных копируются на устройство

3. Развертывание доверенного корневого сертификата на устройствах

Доверенный корневой сертификат используется с производными учетными данными, чтобы гарантировать, что цепочка сертификатов производных учетных данных действительна и является доверенной. Он нужен, даже если не указана прямая ссылка на политику. См. раздел Настройка профиля сертификата для устройств в Microsoft Intune.

4. Предоставьте конечным пользователям инструкции по получению извлеченных учетных данных.

Создайте и предоставьте пользователям рекомендации по запуску процесса регистрации производных учетных данных и перейдите к рабочему процессу регистрации производных учетных данных для выбранного издателя.

Рекомендуется предоставить URL-адрес для размещения вашего руководства. Этот URL-адрес указывается при настройке издателя производных учетных данных для клиента и предоставляется в приложении корпоративного портала. Если вы не укажете собственный URL-адрес, Intune предоставит ссылку на общие сведения. Эти сведения подходят не для всех сценариев и могут быть неверными для вашей среды.

5. Развертывание политик Intune, для которых требуются производные учетные данные.

Создайте новые или измените существующие политики для использования производных учетных данных. Производные учетные данные заменяют другие методы проверки подлинности для следующих объектов:

• Проверка подлинности приложения
• Wi-Fi
• VPN
• электронная почта (только iOS)
• подписывание и шифрование S/MIME, включая Outlook (только iOS).

Не требуйте использования производных учетных данных для доступа к процессу, который будет применяться для получения производных учетных данных, так как это может препятствовать выполнению запроса пользователями.

Настройка издателя производных учетных данных

Прежде чем создавать политики, требующие использования производных учетных данных, настройте издателя учетных данных в Центре администрирования Microsoft Intune. Издатель производных учетных данных настраивается на уровне клиента. Клиенты поддерживают только одного издателя одновременно.

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите Администрирование клиента>Соединители и токены>Производные учетные данные.

   

3. Укажите понятное отображаемое имя для политики издателя производных учетных данных. Это имя не отображается для пользователей устройства.

4. В качестве издателя производных учетных данных выберите издателя производных учетных данных, выбранного для вашего клиента:

   • DISA Purebred (только iOS)
   • Entrust
   • Intercede

5. Укажите URL-адрес справки по производным учетным данным для ссылки на инструкции, помогающие пользователям получить производные учетные данные для вашей организации. Инструкции должны быть специфичны для вашей организации и рабочего процесса, необходимого для получения учетных данных от выбранного издателя. Ссылка отображается в приложении "Корпоративный портал" и должна быть доступна с устройства.

   Если вы не укажете собственный URL-адрес, Intune предоставит ссылку на общие сведения, которые подходят не для всех сценариев. Это универсальное руководство может быть неверным для вашей среды.

6. Выберите параметры для типа уведомления. Типы уведомлений — это методы, которые используются для информирования пользователей о следующих сценариях:

   • Регистрация устройства у издателя для получения новых производных учетных данных.
   • Получение новых производных учетных данных, если текущие учетные данные близки к истечению срока действия.
   • Используйте производные учетные данные с поддерживаемым типом политики.

7. Когда все будет готово, выберите Сохранить, чтобы завершить настройку издателя производных учетных данных.

После сохранения конфигурации можно внести изменения во все поля, кроме издателя производных учетных данных. Сведения об изменении издателя см. в разделе Изменение издателя производных учетных данных.

Развертывание приложения DISA Purebred

Этот раздел применим только при использовании DISA Purebred.

Чтобы использовать DISA Purebred в качестве издателя производных учетных данных для Intune, необходимо получить приложение DISA Purebred, а затем использовать Intune для развертывания приложения на устройствах. Затем пользователи запрашивают производные учетные данные из DISA Purebred с помощью приложения "Корпоративный портал" на устройстве iOS/iPadOS или приложения Intune на устройствах с Android.

Помимо развертывания приложения DISA Purebred с помощью Intune устройство должно обладать доступом к локальной сети. Чтобы обеспечить этот доступ, рассмотрите возможность использования VPN или корпоративной сети Wi-Fi.

Выполните следующие задачи.

1. Загрузите приложение DISA Purebred: https://cyber.mil/pki-pke/purebred/.

2. Разверните приложение DISA Purebred в Intune.

   • См. раздел Добавление бизнес-приложения iOS в Microsoft Intune.
   • См. раздел Добавление бизнес-приложения Android в Microsoft Intune.

   Могут потребоваться дополнительные настройки для чистокровного приложения. Поговорите со своим чистокровным агентом, чтобы понять, какие ценности должны быть включены в ваши полисы, или, если у вас есть карта общего доступа (CAC), выданная Министерством обороны, вы можете получить доступ к документации по чистокровным породам в Интернете по адресу https://cyber.mil/pki-pke/purebred/.

3. Если вы решите использовать VPN для каждого приложения для приложения DISA Purebred, см. статью Создание VPN для каждого приложения.

Используйте производные учетные данные для проверки подлинности приложений, подписывания и шифрования S/MIME.

Можно указать Производные учетные данные для следующих типов профилей и целей.

• Приложения

• Электронная почта:

  • iOS и iPadOS
  • Android Enterprise

• VPN:

  • iOS и iPadOS

• Подписывание и шифрование S/MIME

• Wi-Fi:

  • iOS и iPadOS
  • Android Enterprise

  Для профилей Wi-Fi метод проверки подлинности доступен, только если в качестве типа EAP задано одно из следующих значений:

  • EAP-TLS
  • EAP-TTLS
  • PEAP

Использование производных учетных данных для проверки подлинности приложения

Используйте производные учетные данные для проверки подлинности на основе сертификатов на веб-сайтах и в приложениях. Чтобы доставить производные учетные данные для проверки подлинности приложений, выполните следующие действия:

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите "Устройства>" "Управление конфигурацией>устройств>" На вкладке "Политики" выберите "+ Создать".

3. Используйте указанные ниже параметры:

   Для iOS и iPadOS:

   • Для платформы. выберите iOS/iPadOS, а затем в поле "Тип профиля" выберите "Шаблоны > : производные учетные данные". Чтобы продолжить, нажмите "Создать ".
   • В поле Имя введите описательное имя профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Производные учетные данные для профилей устройств iOS.
   • В поле Описание введите описание, содержащее обзор параметра и другие важные сведения.

   Для Android Enterprise:

   • Для платформы. выберите Android Enterprise, а затем в разделе "Тип профиля" в разделах "Полностью управляемый", "Выделенный" и "Corporate-Owned Рабочий профиль" выберите "Производные учетные данные". Чтобы продолжить, нажмите "Создать ".
   • В поле Имя введите описательное имя профиля. Назначьте имена профилям, чтобы позже их можно было легко найти. Например, хорошее имя профиля — Производные учетные данные для профиля устройств Android Enterprise.
   • В поле Описание введите описание, содержащее обзор параметра и другие важные сведения.
   • На странице "Приложения " настройте доступ на основе сертификатов , чтобы управлять доступом на основе сертификатов для приложений. Варианты:
     • Требовать утверждения пользователя для приложений(по умолчанию) — пользователи должны одобрить использование сертификата всеми приложениями.
     • Предоставлять автоматически для определенных приложений (для других приложений требуется утверждение пользователя) — с помощью этого параметра выберите " Добавить приложения", а затем выберите одно или несколько приложений, которые будут автоматически использовать сертификат без вмешательства пользователя.

4. На странице "Назначения" выберите группы, которые должны получать политику.

5. По завершении нажмите "Создать", чтобы создать профиль Intune. По завершении профиль отображается в списке Устройства — профили конфигурации.

Пользователи получают уведомление в приложении или по электронной почте в зависимости от параметров, указанных при настройке издателя производных учетных данных. Уведомление информирует пользователя о том, что нужно открыть Корпоративный портал, чтобы обработать политики производных учетных данных.

Производные учетные данные для Windows

Вы можете использовать производные сертификаты в качестве метода проверки подлинности для профилей Wi-Fi и VPN на устройствах Windows. Те же поставщики, которые поддерживаются устройствами Android и iOS/iPadOS, поддерживаются и в качестве поставщиков для Windows.

• DISA Purebred
• Entrust
• Intercede

В Windows пользователи не проходят процесс регистрации смарт-карты, чтобы получить сертификат для использования в качестве производных учетных данных. Вместо этого они устанавливают приложение для Windows, полученное от поставщика производных учетных данных. Чтобы использовать производные учетные данные в Windows, настройте следующие конфигурации.

1. Установите приложение от поставщиков производных учетных данных на устройстве Windows.

   Когда вы устанавливаете приложение Windows из поставщика производных учетных данных на устройстве Windows, производный сертификат добавляется в хранилище сертификатов Windows для устройств. После добавления сертификата на устройство его можно использовать в методе проверки подлинности на основе производных учетных данных.

   Когда вы получите приложение от выбранного поставщика, приложение можно развернуть для пользователей или пользователь устройства может установить его самостоятельно.

2. Настройте профили Wi-Fi и VPN для использования производных учетных данных в качестве метода проверки подлинности.

   При настройке профиля Windows для Wi-Fi или VPN выберите Производные учетные данные для параметра Метод проверки подлинности. В этой конфигурации профиль использует сертификат, который устанавливается на устройстве при установке приложения поставщика.

Продление производных учетных данных

Производные учетные данные для устройств Android или iOS/iPadOS невозможно продлить. Вместо этого пользователям следует использовать рабочий процесс запроса новых производных учетных данных для своего устройства. Для устройств Windows обратитесь к документации по приложению от поставщика производных учетных данных.

Если вы настроили методы для типа уведомления, Intune автоматически оповещает пользователей о достижении текущими производными учетными данными 80 % жизненного цикла. Уведомление предлагает пользователям пройти запрос учетных данных для получения новых производных учетных данных.

После того как устройство получит новые производные учетные данные, политики, использующие производные учетные данные, повторно развертываются на этом устройстве.

Изменение издателя производных учетных данных

На уровне клиента можно изменить издателя учетных данных, хотя для клиента поддерживается только один издатель одновременно.

После изменения издателя пользователям будет предложено получить новые производные учетные данные от нового издателя. Это следует сделать, чтобы они могли использовать производные учетные данные для проверки подлинности.

Изменение издателя для клиента

1. Войдите в Центр администрирования Microsoft Intune.
2. Выберите Администрирование клиента>Соединители и токены>Производные учетные данные.
3. Выберите Удалить, чтобы удалить текущего издателя производных учетных данных.
4. Настройте нового издателя.

Обновление профилей, использующих производные учетные данные

После удаления издателя и добавления нового измените каждый профиль, использующий производные учетные данные. Это правило действует даже в том случае, если восстанавливается предыдущий издатель. Любое изменение профиля вызывает обновление, включая простое изменение описания профиля.

Обновление производных учетных данных на устройствах

После удаления издателя и добавления нового пользователям устройства следует запросить новые производные учетные данные. Это правило применяется даже при добавлении того же издателя, что был удален. Процесс запроса новых производных учетных данных аналогичен процессу регистрации нового устройства или продлению существующих учетных данных.

Дальнейшие действия

Создание профилей конфигурации устройств