Konfigurieren von Microsoft Cloud PKI – Bring Your Own CA

In diesem Artikel wird beschrieben, wie Sie Microsoft Cloud PKI für Intune mit Ihrer eigenen Zertifizierungsstelle konfigurieren. Mit dem von Intune unterstützten BYOCA-Bereitstellungsmodell (Bring Your Own CA) können Sie eine private ausstellende Zertifizierungsstelle erstellen und in der Cloud in Ihrer lokalen oder privaten Zertifizierungsstelle verankern. Die private Zertifizierungsstelle kann aus N+1-Zertifizierungsstellenhierarchien bestehen.

Voraussetzungen

Weitere Informationen darüber, wie Sie Ihren Mandanten auf die Microsoft Cloud PKI vorbereiten, einschließlich der wichtigsten Konzepte und Anforderungen, finden Sie unter:

• Übersicht über Microsoft Cloud PKI für Intune: Überprüfen Sie die Architektur, die Mandantenanforderungen, eine Zusammenfassung der Features sowie bekannte Probleme und Einschränkungen.

• Bereitstellungsmodelle: Überprüfen Sie die Bereitstellungsoptionen für Microsoft Cloud PKI.

• Grundlagen: Überprüfen Sie die PKI-Grundlagen und -Konzepte, die Sie vor der Konfiguration und Bereitstellung kennen sollten.

Rollenbasierte Zugriffsteuerung

Das Konto, mit dem Sie sich beim Microsoft Intune Admin Center anmelden, muss über die Berechtigung zum Erstellen einer Zertifizierungsstelle verfügen. Das Konto Microsoft Entra Intune Administrators (auch als Dienstadministrator bezeichnet) verfügt über die entsprechenden integrierten Berechtigungen zum Erstellen Intune Zertifizierungsstellen. Alternativ können Sie einem Administratorbenutzer Berechtigungen für Cloud-PKI-Zertifizierungsstellen zuweisen. Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Microsoft Intune.

Schritt 1: Erstellen der ausstellenden Zertifizierungsstelle und der Zertifikatsignaturanforderung

Erstellen Sie eine ausstellende Zertifizierungsstelle im Microsoft Intune Admin Center.

1. Wechseln Sie zuCloud-PKIfür die Mandantenverwaltung>, und wählen Sie dann Erstellen aus.

   

2. Geben Sie unter "Grundlagen" die folgenden Eigenschaften ein:

   • Name: Geben Sie einen beschreibenden Namen für das CA-Objekt ein. Benennen Sie es, damit Sie es später leicht identifizieren können. Beispiel: Contoso BYOCA ausstellende Zertifizierungsstelle
   • Beschreibung: Geben Sie eine Beschreibung für das CA-Objekt ein. Diese Einstellung ist optional, wird jedoch empfohlen. Beispiel: Zertifizierungsstelle für die Cloud-PKI mit Bring-Your-Own-Root-CA, die mit einer lokalen ADCS-ausstellenden Zertifizierungsstelle verankert ist

3. Wählen Sie "Weiter " aus, um mit den Konfigurationseinstellungen fortzufahren.

4. Wählen Sie den Typ der Zertifizierungsstelle und die Quelle der Stammzertifizierungsstelle aus.

   

   Konfigurieren Sie die folgenden Einstellungen für die ausstellende Zertifizierungsstelle:

   • CA-Typ: Wählen Sie ausstellende CA aus.
   • Quelle der Stammzertifizierungsstelle: Wählen Sie "Bring your own root CA" aus. Diese Einstellung gibt die Quelle der Stammzertifizierungsstelle an, mit der die ausstellende Zertifizierungsstelle verankert ist.

5. Gültigkeitszeitraum überspringen. Diese Einstellung kann nicht konfiguriert werden. Die Zertifizierungsstelle, die Sie zum Signieren der BYOCA-Zertifikatsignaturanforderung verwenden, bestimmt den Gültigkeitszeitraum.

6. Wählen Sie unter "Erweiterte Schlüsselverwendungen" aus, wie Sie die Zertifizierungsstelle verwenden möchten.

   

   Um potenzielle Sicherheitsrisiken zu vermeiden, sind Zertifizierungsstellen auf die ausgewählte Verwendung beschränkt. Ihre Optionen:

   • Typ: Wählen Sie den Zweck der Zertifizierungsstelle aus. Die erweiterte Schlüsselverwendung für Any Purpose (2.5.29.37.0) ist nicht geeignet, da sie zu freizügig ist und ein potenzielles Sicherheitsrisiko darstellt. Weitere Informationen finden Sie unter Bearbeiten einer übermäßig freizügigen Zertifikatvorlage mit privilegierter EKU.
   • Geben Sie alternativ den Namen und den Objektbezeichner ein, um eine benutzerdefinierte erweiterte Schlüsselverwendung zu erstellen.

7. Geben Sie unter Betreffattribute einen allgemeinen Namen (CN) für die ausstellende Zertifizierungsstelle ein.

   

   Zu den optionalen Attributen gehören:

   • Organisation (O)
   • Organisationseinheit
   • Land (C)
   • Bundesland/Kanton (ST)
   • Ortschaft (L)

   Um PKI-Standards einzuhalten, erzwingt Intune eine Begrenzung von zwei Zeichen für Land/Region.

8. Geben Sie unter Verschlüsselung die Schlüsselgröße ein.

   

   Ihre Optionen:

   • RSA-2048

   • RSA-3072

   • RSA-4096

   Diese Einstellung erzwingt die obere Schlüsselgröße, die beim Konfigurieren eines SCEP-Zertifikatprofils für die Gerätekonfiguration in Intune verwendet werden kann. Sie können eine beliebige Schlüsselgröße auswählen, die der auf der Cloud PKI ausstellenden Zertifizierungsstelle entspricht. Beachten Sie, dass eine Schlüsselgröße von 1024 und SHA-1-Hash mit Cloud-PKI nicht unterstützt werden. Sie müssen jedoch den Hashalgorithmus nicht angeben. Die Zertifizierungsstelle, die Sie zum Signieren des CSR verwenden, bestimmt den Hashalgorithmus.

9. Klicken Sie auf "Weiter ", um mit dem Festlegen des Bereichs der Tags fortzufahren.

10. Optional können Sie Bereichstags hinzufügen, um die Sichtbarkeit und den Zugriff auf diese Zertifizierungsstelle zu steuern.

11. Wählen Sie "Weiter " aus, um mit " Überprüfen + erstellen" fortzufahren.

12. Überprüfen Sie die bereitgestellte Zusammenfassung. Wenn Sie bereit sind, alles abzuschließen, wählen Sie Erstellen aus.

    Wichtig

    Sie können diese Eigenschaften nicht mehr bearbeiten, nachdem Sie die Zertifizierungsstelle erstellt haben. Wählen Sie "Zurück " aus, um die Einstellungen zu bearbeiten und sicherzustellen, dass sie korrekt sind und Ihre PKI-Anforderungen erfüllen. Wenn Sie später eine EKU hinzufügen möchten, müssen Sie eine neue Zertifizierungsstelle erstellen.

13. Kehren Sie zur Liste der Microsoft Cloud PKI CA im Admin Center zurück. Wählen Sie "Aktualisieren " aus, um Ihre neue Zertifizierungsstelle anzuzeigen.

14. Wählen Sie die Zertifizierungsstelle aus. Unter "Grundlagen" sollte der Status "Signierung erforderlich" lauten.

15. Wechseln Sie zu Eigenschaften.

16. Wählen Sie CSR herunterladen aus. Warten Sie, während Intune eine REQ-formatierte Datei mit dem Namen der Zertifizierungsstelle herunterlädt. Beispiel: Contoso BYOCA Issuing CA.req

Schritt 2: Signieren Sie die Anforderung zum Signieren von Zertifikaten

Eine private Zertifizierungsstelle ist erforderlich, um die heruntergeladene CSR-Datei (Certificate Signing Request) zu signieren. Die unterzeichnende Zertifizierungsstelle kann eine Stamm- oder ausstellende Zertifizierungsstelle von einer beliebigen Ebene der privaten Zertifizierungsstelle sein. Es gibt zwei Möglichkeiten zum Signieren:

• Option 1: Verwenden Sie die Webregistrierung für Zertifizierungsstellen, ein Feature der Active Directory Certificate Services (ADCS). Diese Option stellt eine einfache Webschnittstelle bereit, mit der Sie administratorspezifische Aufgaben wie das Anfordern und Erneuern von Zertifikaten ausführen können.

• Option 2: Verwenden Sie die ausführbare Datei des Windows ADCS-Befehlszeilentools certreq.exe .

In der folgenden Tabelle sind die Objektbezeichner (OID) aufgeführt, die zum Signieren von Zertifikaten unterstützt werden, die in BYOCA-Bereitstellungen verwendet werden.

Weitere Informationen zum Signieren von Zertifikaten finden Sie in der Hilfedokumentation Ihrer Zertifizierungsstelle.

Option 1: Webregistrierung der Zertifizierungsstelle

Verwenden Sie zum Ausführen dieser Schritte notepad.exe auf einem Windows-Gerät oder ein entsprechendes Programm unter macOS.

1. Öffnen Sie die heruntergeladene REQ-Datei, nachdem Sie die ausstellende Zertifizierungsstelle erstellt haben. Kopieren Sie (STRG + C) den Inhalt der Datei.

2. Öffnen Sie einen Browser auf einem Gerät, das Zugriff auf den Webhost hat, auf dem die CA Web Enrollment ausgeführt wird. Beispiel: https://WebSrv_running_CAWebEnrollment/certsrv

3. Wählen Sie Zertifikat anfordern aus.

4. Wählen Sie "Erweiterte Zertifikatanforderung" aus.

5. Fügen Sie den zuvor kopierten Inhalt in den Bereich "Gespeicherte Anforderung" ein.

6. Wählen Sie unter Zertifikatvorlage die Option Untergeordnete Zertifizierungsstelle aus.

   Hinweis

   Die Vorlage der untergeordneten Zertifizierungsstelle muss veröffentlicht werden und in der Zertifizierungsstelle verfügbar sein, die das Zertifikat signiert. Öffnen Sie die Verwaltungskonsole "certsrv.msc" auf Ihrem Gerät, um die verfügbaren Zertifikatvorlagen anzuzeigen.

7. Wählen Sie Senden aus, um fortzufahren.

8. Wählen Sie unter Zertifikat ausgestellt die Option DER-codiert oder Base-4-codiert aus. Cloud-PKI unterstützt beide Dateiformate. Führen Sie dann die folgenden Schritte aus:

   1. Wählen Sie Zertifikat herunterladen aus. Die Zertifikatdatei wird heruntergeladen und als certnew.cer gespeichert.

   2. Wählen Sie Zertifikatkette herunterladen aus. Das signierte Zertifikat wird heruntergeladen, einschließlich der vollständigen Zertifikatkette, der Stammzertifizierungsstelle und aller Zwischen- oder ausstellenden CA-Zertifikate in der Hierarchie der privaten Zertifizierungsstelle. Die Datei wird unter certnew.p7b gespeichert.

   Für Intune sind beide Dateien erforderlich, um die ausstellende Zertifizierungsstelle für Cloud-PKI BYOCA zu aktivieren.

9. Fahren Sie in diesem Artikel mit dem Hochladen signierter Zertifikate fort, um die BYOCA-ausstellende Zertifizierungsstelle zu aktivieren .

Option 2: Windows ADCS-Befehlszeilentool

Verwenden Sie das Befehlszeilentool certreq.exe , um eine Zertifikatanforderung an eine Zertifizierungsstelle zu übermitteln, in der Sie die Zertifikatvorlage und die Signaturzertifizierungsstelle angeben können. Die zuvor heruntergeladene REQ-Datei muss sich auf dem Windows-Computer befinden, auf dem Sie das Befehlszeilentool ausführen.

Sie können die folgende Syntax in der Befehlszeile verwenden, um eine Zertifikatanforderung mit der ausgewählten Vorlagen- und Signaturzertifizierungsstelle zu übermitteln:

certreq -submit -attrib "CertificateTemplate:<template_name>" -config "<CA_server_name>\<CA_name>" <request_file> <response_file>

Ersetzen Sie die Variablen im Befehl wie folgt:

1. Ersetzen <Sie template_name> durch den Namen der Zertifikatvorlage, die Sie verwenden möchten.

2. Ersetzen <Sie CA_server_name><CA_name> durch den Namen des CA-Servers bzw. des Namens der CA, die Sie zum Signieren der Zertifikatsanforderung verwenden möchten.

Für <request_file> und <response_file> besteht kein Handlungsbedarf. Sie werden durch den Namen der Datei, die die Zertifikatanforderung enthält, bzw. den Namen der Datei, die die Antwort von der Zertifizierungsstelle enthält, ersetzt.

In den folgenden Beispielen wird beschrieben, wie Sie eine Zertifikatanforderung mithilfe der Vorlage der untergeordneten Zertifizierungsstelle übermitteln und signieren lassen.

• Beispiel 1: Die signierende Zertifizierungsstelle, ContosoCA, wird auf einem Server mit dem Namen CA-Server ausgeführt. Du kannst den folgenden Befehl verwenden:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "CA-Server\ContosoCA" certreq.req certnew.cer

• Beispiel 2: Die Signatur-CA heißt CaleroCorp SubCA (US) und läuft auf einem Server namens Win2k16-subCA. Du kannst den folgenden Befehl verwenden:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "Win2k16-subCA\CaleroCorp SubCA (US)" "c:\users\bill.CORP\Documents\CC BYORCA Issuing CA2.csr" c:\Users\bill.CORP\CC-BYOCA-IssuingCA-Signed.cer"

• Beispiel 3: Wenn Sie ohne Parameter ausführen certreq.exe , werden Sie alternativ von Windows aufgefordert, zuerst die REQ-Datei zu identifizieren. Bei diesem Ansatz werden Sie mithilfe der Windows-Benutzeroberfläche durch den Signaturprozess geführt.

Zusätzlich zum signierten Zertifikat benötigen Sie den vollständigen Schlüsselbund der privaten Zertifizierungsstelle. Die vollständige Schlüsselkette umfasst die Stammzertifizierungsstelle sowie alle zwischengeschalteten, ausstellenden oder untergeordneten Zertifizierungsstellen in der Kette. Verwenden Sie die folgende Syntax im Befehlszeilentool, um den vollständigen Schlüsselbund in eine P7B-Datei zu exportieren:

certutil [options] -ca.chain OutCACertChainFile [Index]

Führen Sie den Befehl auf einem in die Windows-Domäne eingebundenen Computer mit Netzwerkzugriff auf ADCS aus. Zum Beispiel:

certutil -ca.chain c:\temp\fullChain.p7b

So zeigen Sie die exportierte Kette an und stellen sicher, dass der Export im Windows-Datei-Explorer erfolgt ist:

1. Wechseln Sie zu dem Pfadspeicherort, in den die Datei exportiert wurde.
2. Doppelklicken Sie auf die Datei, um sie zu öffnen.

In der Datei sollte die vollständige Kette einschließlich Stamm- und Zwischenzertifizierungsstellen angezeigt werden.

Schritt 3: Hochladen eines signierten Zertifikats, um die BYOCA-ausstellende Zertifizierungsstelle zu aktivieren

Um den Prozess zur Signatur der BYOCA Cloud PKI Issuing CA abzuschließen und die Zertifizierungsstelle in der Cloud in die Lage zu versetzen, mit der Ausstellung von Zertifikaten für von Intune verwaltete Geräte zu beginnen, benötigen Sie Folgendes:

• Ein signiertes Zertifikat für die BYOCA-ausstellende Zertifizierungsstelle.
• Die vollständige Kette der privaten Zertifizierungsstelle, die zum Signieren der Zertifikatanforderung verwendet wird.

Informationen zum Ausführen dieser Aufgaben, die zum Fortfahren erforderlich sind, finden Sie unter Schritt 2: Signieren einer Zertifikatsignaturanforderung. Die Dateien müssen auf demselben Computer verfügbar sein, auf dem das Microsoft Intune Admin Center ausgeführt wird.

1. Kehren Sie zur Liste der Cloud-PKI-Zertifizierungsstellen im Admin Center zurück. Wählen Sie eine Zertifizierungsstelle aus. Der Status sollte Signatur erforderlich lauten.

2. Wechseln Sie zu Eigenschaften, und wählen Sie Signiertes Zertifikat hochladen aus.

3. Das Fenster "Signiertes Zertifikat hochladen" wird geöffnet. Wählen Sie unter Signierte Zertifikatdatei hochladen (.cer, .crt oder .pem) die Option Durchsuchen. Wählen Sie die signierte Zertifikatsdatei aus.

4. Ziehen Sie die Dateien unter Hochladen einer oder mehrerer Kette von Vertrauenszertifikaten (.cer, .crt, .pem oder .p7b) per Drag & Drop, oder wählen Sie Durchsuchen aus, um auf Ihrem Computer nach der Datei zu suchen.

5. Wählen Sie Speichern aus, und warten Sie, während Intune das Zertifikat hochlädt. Es kann einige Minuten dauern.

6. Aktualisieren Sie die CA-Liste. Die Spalte "Status" für Ihre Zertifizierungsstelle sollte jetzt als "Aktiv" angezeigt werden. Der gebräuchliche Stammname wird als externe Stammzertifizierungsstelle angezeigt.

   

   Sie können die Zertifizierungsstelle in der Liste auswählen, um verfügbare Eigenschaften anzuzeigen. Die Eigenschaften umfassen:

   • URI des Verteilungspunkts für Zertifikatsperrlisten (Certificate Revocation List, CRL).
   • Authority Information Access (AIA)-URI.
   • Die Cloud-PKI-ausstellende Zertifizierungsstelle zeigt den SCEP-URI an. Der SCEP-URI muss für jedes von der Plattform ausgestellte Zertifikat in das SCEP-Konfigurationsprofil kopiert werden.

   Wenn Sie bereit sind, den öffentlichen CA-Vertrauensschlüssel herunterzuladen, wählen Sie "Herunterladen" aus.

   Hinweis

   Die AIA-Eigenschaft für eine BYOCA-ausstellende Zertifizierungsstelle wird von der privaten Zertifizierungsstelle definiert und enthält die Eigenschaften, die durch die AIA-Konfiguration der privaten Zertifizierungsstelle definiert sind. ADCS verwendet einen standardmäßigen LDAP-AIA-Standort. Wenn die private Zertifizierungsstelle einen HTTP-AIA-Standort bereitstellt, zeigen die BYOCA-Eigenschaften den HTTP-AIA-Speicherort an.

Schritt 4: Erstellen von Zertifikatvertrauensprofilen

Ein Intune-Profil für vertrauenswürdige Zertifikate muss für jedes CA-Zertifikat in der Hierarchie der privaten CA erstellt werden, wenn Sie eine Cloud PKI BYOCA ausstellende CA verwenden, die mit einer privaten CA verankert ist. Dieser Schritt ist eine Anforderung für alle Plattformen (Windows, Android, iOS/iPad, macOS), die SCEP-Cloud-PKI-Zertifikate ausstellen. Es ist erforderlich, eine Vertrauensstellung mit der Cloud PKI-Zertifikatregistrierungsstelle herzustellen, die das SCEP-Protokoll unterstützt.

Weitere Informationen zum Erstellen des Profils finden Sie unter Profile mit vertrauenswürdigen Zertifikaten.

Exportieren von Zertifikaten

Die exportierten Zertifikate werden verwendet, um in Intune ein vertrauenswürdiges Zertifikatprofil für jede Zertifizierungsstelle in der Kette zu erstellen. Wenn Sie eine private Zertifizierungsstelle verwenden, müssen Sie deren Tools verwenden, um den Schlüsselbund der Zertifizierungsstelle in einen DER- oder Base 4-codierten Formatsatz von Dateien mit einer CER-Erweiterung zu exportieren. Wenn ADCS Ihre private Zertifizierungsstelle ist, können Sie das Windows certutil.exe Befehlszeilentool verwenden, um den vollständigen Schlüsselbund der Zertifizierungsstelle in eine .p7b-Datei zu exportieren.

Führen Sie den folgenden Befehl auf einem in die Windows-Domäne eingebundenen Computer mit Netzwerkzugriff auf ADCS aus.

certutil [options] -ca.chain OutCACertChainFile [Index]

Zum Beispiel:

certutil -ca.chain c:\temp\fullChain.p7b

Sie können den Windows-Datei-Explorer verwenden, um die exportierte Kette anzuzeigen.

1. Wechseln Sie zum Pfadspeicherort, in den die .p7b-Datei exportiert wurde, und doppelklicken Sie auf die Datei. Die vollständige Kette einschließlich der Stamm- und Zwischenzertifizierungsstellen in der Kette sollte angezeigt werden.

2. Klicken Sie mit der rechten Maustaste auf die einzelnen Zertifikate in der Liste.

3. Wählen Sie Alle Tasks>Exportieren aus. Exportieren Sie das vertrauenswürdige Zertifikat im DER-Format. Es wird empfohlen, die exportierte Zertifikatdatei mit demselben allgemeinen Namen der Zertifizierungsstelle zu benennen, der in der Spalte "Ausgestellt für " des Dienstprogramms "certmgr" angezeigt wird. Der Name erleichtert das Auffinden der Stammzertifizierungsstelle in der Liste, da der allgemeine Name unter "Ausgestellt für " und "Ausgestellt von " identisch ist.

Erstellen eines vertrauenswürdigen Zertifikatprofils für die private Stammzertifizierungsstelle

Erstellen Sie ein Profil für vertrauenswürdige Zertifikate mit der exportierten Stammzertifizierungsstelle, die Sie heruntergeladen haben. Erstellen Sie im Admin Center ein Profil für vertrauenswürdige Zertifikate für jede Betriebssystemplattform, auf die Sie abzielen und die das Stammzertifikat der privaten Zertifizierungsstelle verwenden.

Erstellen von Profilen für vertrauenswürdige Zertifikate für private untergeordnete Zertifizierungsstellen

Erstellen Sie ein Profil für vertrauenswürdige Zertifikate mit der exportierten Zwischen- oder Ausstellungs-CA-Datei, die Sie heruntergeladen haben. Erstellen Sie im Admin Center ein Profil für vertrauenswürdige Zertifikate für jede Betriebssystemplattform, auf die Sie abzielen und die das Root-Zertifikat der ausstellenden Zertifizierungsstelle verwenden.

Erstellen eines Profils für vertrauenswürdige Zertifikate für die ausstellende Zertifizierungsstelle

1. Wechseln Sie im Admin Center zur Mandantenadministration>Cloud-PKI.

2. Wählen Sie die Cloud PKI BYOCA-ausstellende Zertifizierungsstelle aus.

3. Wechseln Sie zu Eigenschaften.

4. Klicken Sie auf Herunterladen. Warten Sie, während der öffentliche Schlüssel für die ausstellende Zertifizierungsstelle heruntergeladen wird.

5. Erstellen Sie im Admin Center ein Profil für vertrauenswürdige Zertifikate für jede Betriebssystemplattform, auf die Sie abzielen. Anweisungen finden Sie unter Erstellen eines Profils für vertrauenswürdige Zertifikate. Wenn Sie dazu aufgefordert werden, geben Sie den öffentlichen Schlüssel ein, den Sie heruntergeladen haben.

Das ausstellende CA-Zertifikat, das Sie für Cloud PKI BYOCA heruntergeladen haben, muss auf allen vertrauenden Seiten installiert sein.

Der Dateiname für die heruntergeladenen öffentlichen Schlüssel basiert auf den in der Zertifizierungsstelle angegebenen allgemeinen Namen. Einige Browser, wie z. B. Microsoft Edge, zeigen eine Warnung an, wenn Sie eine Datei mit einer .cer oder einer anderen bekannten Zertifikaterweiterung herunterladen. Wenn diese Warnung angezeigt wird, wählen Sie "Behalten" aus.

Schritt 5: Erstellen eines SCEP-Zertifikatprofils

Erstellen Sie ein SCEP-Zertifikatprofil für jede Betriebssystemplattform, auf die Sie abzielen, wie Sie es für die vertrauenswürdigen Zertifikatprofile getan haben. Das SCEP-Zertifikatprofil wird verwendet, um ein Blattclient-Authentifizierungszertifikat von der ausstellenden Zertifizierungsstelle anzufordern. Dieser Zertifikattyp wird in zertifikatbasierten Authentifizierungsszenarien für Dinge wie Wi-Fi und VPN-Zugriff verwendet.

1. Zurück zur Mandantenverwaltung>Cloud-PKI.

2. Wählen Sie eine Zertifizierungsstelle mit einem Ausstellungstyp aus.

3. Wechseln Sie zu Eigenschaften.

4. Kopieren Sie den SCEP-URI in die Zwischenablage.

5. Erstellen Sie im Admin Center ein SCEP-Zertifikatprofil für jede Betriebssystemplattform, auf die Sie abzielen. Anweisungen finden Sie unter Erstellen eines SCEP-Zertifikatprofils.

6. Verknüpfen Sie im Profil unter Stammzertifikat das Profil für vertrauenswürdige Zertifikate. Das ausgewählte vertrauenswürdige Zertifikat muss das Zertifikat der Stammzertifizierungsstelle sein, mit dem die ausstellende Zertifizierungsstelle in der Zertifizierungsstellenhierarchie verankert ist.

   

7. Fügen Sie für SCEP-Server-URLs den SCEP-URI ein. Es ist wichtig, die Zeichenfolge {{CloudPKIFQDN}} so zu lassen, wie sie ist. Intune ersetzt diese Platzhalterzeichenfolge durch den entsprechenden FQDN, wenn das Profil an das Gerät übermittelt wird. Der FQDN wird im *.manage.microsoft.com-Namespace angezeigt, einem Kern-Intune Endpunkt. Weitere Informationen zu Intune-Endpunkten finden Sie unter Netzwerkendpunkte für Microsoft Intune.

8. Konfigurieren Sie die verbleibenden Einstellungen anhand der folgenden Best Practices:

   • Format für Antragstellername: Stellen Sie sicher, dass die angegebenen Variablen für das Benutzer- oder Geräteobjekt in Microsoft Entra ID verfügbar sind. Wenn beispielsweise der Zielbenutzer dieses Profils kein E-Mail-Adressattribut hat, die E-Mail-Adresse in diesem Profil jedoch ausgefüllt ist, wird das Zertifikat nicht ausgestellt. Ein Fehler wird auch im SCEP-Zertifikatprofilbericht angezeigt.

   • Erweiterte Schlüsselverwendung: Microsoft Cloud PKI unterstützt die Option "Any Purpose " nicht.

     Hinweis

     Stellen Sie sicher, dass die von Ihnen ausgewählten EKU(s) für die Cloud-PKI ausstellende Zertifizierungsstelle konfiguriert sind. Wenn Sie eine EKU auswählen, die nicht in der Cloud PKI ausstellenden Zertifizierungsstelle vorhanden ist, tritt ein Fehler mit dem SCEP-Profil auf. Außerdem wird kein Zertifikat für das Gerät ausgestellt.

   • SCEP-Server-URLs: Kombinieren Sie keine NDES/SCEP-URLs mit SCEP-URLs der Microsoft Cloud PKI, die CA ausstellen.

9. Zuweisen und Überprüfen des Profils. Wenn Sie bereit sind, alles abzuschließen, wählen Sie Erstellen aus.