Microsoft Cloud PKI-Bereitstellung für Microsoft Intune

In diesem Artikel werden die Bereitstellungsmodelle beschrieben, die von Microsoft Intune und dem Microsoft Cloud PKI-Dienst unterstützt werden.

Sie haben zwei Bereitstellungsoptionen:

  • Microsoft Cloud PKI-Stammzertifizierungsstelle: Bereitstellen der Microsoft Cloud-PKI mithilfe von Stamm- und Ausstellenzertifizierungsstellen in der Cloud.

  • Bring Your Own Certification Authority (BYOCA): Stellen Sie Microsoft Cloud PKI mithilfe Ihrer eigenen privaten Zertifizierungsstelle bereit.

Mit dem Ansatz der Microsoft Cloud PKI Root CA können Sie eine oder mehrere PKIs innerhalb eines einzelnen Intune-Mandanten erstellen. Durch die Bereitstellung der Cloud-PKI auf diese Weise wird eine Hierarchie mit zwei Ebenen erstellt, sodass Sie mehrere ausstellende Zertifizierungsstellen der Stammzertifizierungsstelle unterordnen können. Diese Zertifizierungsstellen sind nicht öffentlich. Stattdessen erstellen Sie sowohl die Stammzertifizierungsstelle als auch die ausstellenden Zertifizierungsstellen in der Cloud, privat für den Intune-Mandanten. Die ausstellende Zertifizierungsstelle stellt Zertifikate für von Intune verwaltete Geräte mithilfe des SCEP-Zertifikatprofils für die Gerätekonfiguration aus.

Alternativ können Sie Ihre eigene Zertifizierungsstelle (BYOCA) mitbringen. Bei diesem Ansatz stellen Sie Microsoft Cloud PKI mithilfe Ihrer eigenen privaten Zertifizierungsstelle bereit. Für diese Option müssen Sie eine ausstellende Zertifizierungsstelle in der Cloud erstellen, die für den Intune-Mandanten privat ist. Die ausstellende Zertifizierungsstelle ist mit einer privaten Zertifizierungsstelle verankert, z. B. Active Directory Certificate Services (ADCS). Wenn Sie eine Cloud PKI BYOCA-ausstellende Zertifizierungsstelle erstellen, wird auch eine Zertifikatsignaturanforderung (Certificate Signing Request, CSR) in Intune erstellt. Ihre private Zertifizierungsstelle muss die CSR unterzeichnen.

Bevor Sie beginnen

Es ist wichtig, Zertifikatvertrauensketten zu überprüfen und zu verstehen, bevor Sie mit der Bereitstellung beginnen. Weitere PKI-Konzepte und -Grundlagen finden Sie unter Microsoft Cloud PKI-Grundlagen.

Identifizieren der vertrauenden Seiten

Identifizieren Sie die vertrauenden Parteien. Die vertrauende Seite ist ein Benutzer oder System, das die von einer PKI generierten Zertifikate verwendet. Beispiele für vertrauende Seiten sind:

  • Ein Wi-Fi Zugriffspunkt mit zertifikatbasierter Radius-Authentifizierung.
  • Ein VPN-Server, der einen Remotebenutzer authentifiziert.
  • Ein Benutzer, der in einem Webbrowser eine TLS/SSL-geschützte Website besucht.

Bestimmen des Standorts für den Vertrauensanker

Bestimmen Sie den Standort des Stammvertrauensankers. Ein Vertrauensanker ist ein CA-Zertifikat oder der öffentliche Schlüssel einer CA, der von einer vertrauenden Seite als Ausgangspunkt für die Zertifikatvertrauensstellung oder die Pfadüberprüfung verwendet wird. Eine vertrauende Seite kann über einen oder mehrere Vertrauensanker verfügen, die aus mehr als einer Quelle abgeleitet werden. Ein Vertrauensanker kann der öffentliche Schlüssel der Stammzertifizierungsstelle oder der öffentliche Schlüssel der Zertifizierungsstelle sein, die ein Endentitätszertifikat für die vertrauende Seite ausstellt.

Vertrauenskette sicherstellen

Wenn Sie Zertifikate zum Ausführen der zertifikatbasierten Authentifizierung verwenden, stellen Sie sicher, dass beide vertrauenden Parteien über die Zertifikatvertrauenskette der Zertifizierungsstelle verfügen (die die öffentlichen Schlüssel und die Stammzertifizierungsstelle umfasst) aller Zertifikate, die an einer TLS/SSL-basierten Konversation beteiligt sind. In diesem Zusammenhang sind die vertrauenden Parteien:

  • Die von Intune verwalteten Geräte.
  • Die von WLAN-, VPN- oder Webdiensten verwendeten Authentifizierungsdienste.

Wenn das ausstellende CA-Zertifikat fehlt, kann eine vertrauende Partei es über die Eigenschaft "Authority Information Access" (AIA) im Zertifikat anfordern, indem sie das native Verkettungsmodul der Betriebssystemplattform verwendet.

Hinweis

Wenn Sie eine Verbindung mit einer vertrauenden Seite herstellen, z. B. einem Wi-Fi Access Point oder VPN-Server, wird eine TLS/SSL-Verbindung zuerst vom verwalteten Intune Gerät hergestellt, wenn versucht wird, eine Verbindung herzustellen. Microsoft Cloud PKI stellt diese TLS/SSL-Zertifikate nicht zur Verfügung. Sie müssen diese Zertifikate über einen anderen PKI- oder Zertifizierungsstellendienst beziehen. Wenn Sie ein Wi-Fi- oder VPN-Profil erstellen, müssen Sie daher auch ein Profil für vertrauenswürdige Zertifikate erstellen und es verwalteten Geräten zuweisen, um der TLS/SSL-Verbindung zu vertrauen. Das Profil für vertrauenswürdige Zertifikate muss die öffentlichen Schlüssel für die Stammzertifizierungsstelle und die ausstellende Zertifizierungsstelle enthalten, die für die Ausstellung des TLS/SSL-Zertifikats zuständig sind.

Bereitstellungsoptionen

In diesem Abschnitt werden die von Microsoft Intune unterstützten Bereitstellungsoptionen für Microsoft Cloud PKI beschrieben.

Es gibt Methoden zum Bereitstellen von CA-Zertifikaten für vertrauende Seiten, die nicht von Intune verwaltet werden. Vertrauende Seiten wie Radius-Server, Wi-Fi Access Points, VPN-Server und Web-App-Server, die die zertifikatbasierte Authentifizierung unterstützen.

Wenn die vertrauende Seite Mitglied einer Active Directory-Domäne ist, verwenden Sie Gruppenrichtlinien, um CA-Zertifikate bereitzustellen. Weitere Informationen finden Sie unter:

Wenn die vertrauende Seite kein Mitglied der Active Directory-Domäne ist, stellen Sie sicher, dass die Zertifikatvertrauenskette für den Microsoft Cloud PKI-Stamm und die ausstellende Zertifizierungsstelle im Sicherheitsspeicher der vertrauenden Seite installiert ist. Der geeignete Sicherheitsspeicher hängt von der Betriebssystemplattform und der Hostinganwendung ab, die den Dienst bereitstellt.

Berücksichtigen Sie auch die Softwarekonfiguration der vertrauenden Seite, die zur Unterstützung anderer Zertifizierungsstellen erforderlich ist.

Option 1: Microsoft Cloud PKI root CA

Während der Bereitstellung einer Cloud-PKI-Stammzertifizierungsstelle muss das Cloud-PKI-Stammzertifikat für alle vertrauenden Parteien bereitgestellt werden. Wenn ein ausstellendes CA-Zertifikat nicht in einer vertrauenden Seite vorhanden ist, kann die vertrauende Seite es automatisch abrufen und installieren, indem sie die Zertifikatermittlung initiiert. Dieser Prozess, der als Zertifikatverkettungsmodul (Certificate Chaining Engine, CCE) bezeichnet wird, ist plattformspezifisch und wird verwendet, um fehlende übergeordnete Zertifikate abzurufen. Die URL des ausstellenden CA-Zertifikats befindet sich in der AIA-Eigenschaft eines untergeordneten Zertifikats (das Zertifikat, das für das Gerät mit einer Cloud-PKI-ausstellenden Zertifizierungsstelle ausgestellt wurde). Eine vertrauende Seite kann die AIA-Eigenschaft verwenden, um übergeordnete CA-Zertifikate abzurufen. Der Vorgang ähnelt dem Herunterladen von CRL.

Hinweis

Das Android-Betriebssystem erfordert, dass Server eine gesamte Zertifikatkette zurückgeben, und führt keine Zertifikatsermittlung gemäß AIA-Pfaden durch. Weitere Informationen zu den Anforderungen an die Zertifikatskette unter Android finden Sie in der Android-SSL-Sicherheitsdokumentation. Stellen Sie sicher, dass die vollständige Zertifikatkette auf von Android verwalteten Geräten und vertrauenden Seiten bereitgestellt wird.

Für von Intune verwaltete Geräte ist unabhängig von der Betriebssystemplattform die folgende Zertifikatvertrauenskette erforderlich.

Typ des CA-Zertifikats Vertrauenskette für CA-Zertifikate Bereitstellungsmethode
Cloud PKI CA-Zertifikat Zertifikat der Stammzertifizierungsstelle erforderlich, ausstellende Zertifizierungsstelle optional, aber empfohlen Konfigurationsprofil für vertrauenswürdige Intune-Zertifikate
Zertifikat der privaten Zertifizierungsstelle Zertifikat der Stammzertifizierungsstelle erforderlich, das Ausstellen eines Zertifikats der Zertifizierungsstelle ist optional, wird aber empfohlen Konfigurationsprofil für vertrauenswürdige Intune-Zertifikate

Vertrauende Seiten benötigen die folgende CA-Zertifikatvertrauenskette.

Typ des CA-Zertifikats Vertrauenskette für CA-Zertifikate Bereitstellungsmethode
Cloud PKI CA-Zertifikat Zertifikat der Stammzertifizierungsstelle erforderlich, ausstellende Zertifizierungsstelle optional, aber empfohlen Wenn der Server oder Dienst der vertrauenden Seite ein Mitgliedsserver in einer Active Directory (AD)-Domäne ist, verwenden Sie die Gruppenrichtlinie, um CA-Zertifikate bereitzustellen. Wenn sie sich nicht in der AD-Domäne befindet, ist möglicherweise eine manuelle Installationsmethode erforderlich.
Zertifikat der privaten Zertifizierungsstelle Zertifikat der Stammzertifizierungsstelle erforderlich, ausstellendes CA-Zertifikat optional, aber empfohlen Wenn der Server oder Dienst der vertrauenden Seite ein Mitgliedsserver in einer Active Directory (AD)-Domäne ist, verwenden Sie die Gruppenrichtlinie, um CA-Zertifikate bereitzustellen. Wenn sie sich nicht in der AD-Domäne befindet, ist möglicherweise eine manuelle Installationsmethode erforderlich.

Das folgende Diagramm zeigt Zertifikate in Aktion für Client- und vertrauende Parteien.

Flussdiagramm mit der Zertifikatsausstellung von der Cloud-PKI an Clientgeräte und der Zertifikatüberprüfung durch vertrauende Seiten.

Das folgende Diagramm zeigt die entsprechenden CA-Zertifikatvertrauensketten, die sowohl für verwaltete Geräte als auch für vertrauende Seiten bereitgestellt werden müssen. Die CA-Vertrauensketten stellen sicher, dass Cloud-PKI-Zertifikate, die für Intune-verwaltete Geräte ausgestellt wurden, vertrauenswürdig sind und zur Authentifizierung bei vertrauenden Parteien verwendet werden können.

Flussdiagramm mit der Bereitstellung der CA-Zertifikatvertrauenskette von der Cloud-PKI über Intune auf verwalteten Geräten.

Option 2: Bring Your Own CA (BYOCA)

Während einer Bring-Your-Own-CA-Bereitstellung benötigt das in Intune verwaltete Gerät die folgenden CA-Zertifikate:

  • Die private CA-Vertrauenskette, einschließlich der Root- und ausstellenden CA-Zertifikate, der CA, die für die Unterzeichnung der BYOCA CSR verantwortlich ist.
  • Das BYOCA-ausstellende CA-Zertifikat.

Alle vertrauenden Parteien sollten bereits über die private CA-Zertifikatskette verfügen.

Für von Intune verwaltete Geräte ist unabhängig von der Betriebssystemplattform die folgende Zertifikatvertrauenskette erforderlich.

Typ des CA-Zertifikats Vertrauenskette für CA-Zertifikate Bereitstellungsmethode
Cloud PKI CA-Zertifikat Ausstellende Zertifizierungsstelle optional, aber empfohlen Konfigurationsprofil für vertrauenswürdige Intune-Zertifikate
Zertifikat der privaten Zertifizierungsstelle Zertifikat der Stammzertifizierungsstelle erforderlich, ausstellende Zertifizierungsstelle optional, aber empfohlen Konfigurationsprofil für vertrauenswürdige Intune-Zertifikate

Die vertrauende Seite sollte bereits über die Zertifikatskette der privaten Zertifizierungsstelle verfügen. Das BYOCA-Zertifikat der ausstellenden Zertifizierungsstelle sollte jedoch auch für vertrauende Parteien bereitgestellt werden. Wenn es sich bei der vertrauenden Seite um einen Mitgliedsserver in der Active Directory-Domäne handelt, verwenden Sie Gruppenrichtlinienobjekt als Bereitstellungsmethode.

Hinweis

Wenn das Cloud-PKI-BYOCA-ausstellende CA-Zertifikat nicht auf der Plattform der vertrauenden Seite bereitgestellt wird, kann die AIA-Eigenschaft (URL) des von der Cloud-PKI ausgestellten SCEP-Zertifikats (End-Entity/Leaf-Zertifikat) von der CCE der vertrauenden Seite verwendet werden, um das Cloud PKI BYOCA-ausstellende CA-Zertifikat (öffentlicher Schlüssel) anzufordern und in ihrem Trust Store zu installieren. Dieses Verhalten ist jedoch nicht garantiert und hängt von jeder Betriebssystem-/Plattformimplementierung der CCE ab. Es ist eine bewährte Methode, das BYOCA-Zertifikat der ausstellenden Zertifizierungsstelle für das verwaltete Gerät und die vertrauende Seite bereitzustellen.

Vertrauende Parteien vertrauen dem von Cloud PKI BYOCA ausgestellten SCEP-Zertifikat für das verwaltete Gerät, da es mit der Vertrauenskette der privaten Zertifizierungsstelle verkettet ist, die bereits auf der vertrauenden Seite vorhanden ist.

Das folgende Diagramm veranschaulicht, wie die entsprechenden CA-Zertifikatvertrauensketten auf von Intune verwalteten Geräten bereitgestellt werden.

Diagramm der CA-Zertifikatvertrauensketten, die auf von Intune verwalteten Geräten bereitgestellt werden müssen. * In diesem Diagramm bezieht sich privat auf den Active Directory-Zertifikatdienst oder einen Nicht-Microsoft-Dienst.

Zusammenfassung

Cloud-PKI-Stamm- und ausstellende Zertifizierungsstellen sowie BYOCA-ausstellende Zertifizierungsstellen, die mit einer privaten Zertifizierungsstelle verankert sind, können im selben Mandanten vorhanden sein, da die Cloud-PKI beide Bereitstellungsmodelle gleichzeitig unterstützen kann.

Bevor Sie mit einer Bereitstellung beginnen und Zertifikate ausstellen, bestimmen Sie den Speicherort des Stammvertrauensankers. Sie kann sich im Cloud-PKI-Stammverzeichnis oder im privaten Stammzertifizierungsfeld befinden. Der Speicherort bestimmt die Zertifikatvertrauenskette, die sowohl von Intune-verwalteten Geräten als auch von vertrauenden Seiten benötigt wird.

  • Cloud-PKI-Stammzertifizierungsstelle: Sie müssen die Vertrauenskette des Cloud-PKI-Zertifikats, die aus der Stamm- & der öffentlichen Schlüssel der Zertifizierungsstelle besteht, für alle vertrauenden Parteien bereitstellen.
  • Cloud PKI BYOCA ausstellende Zertifizierungsstelle mit einer privaten Stammzertifizierungsstelle: Die vertrauenswürdige Kette des Zertifikats der privaten Zertifizierungsstelle, die aus der Stammzertifizierungsstelle und der ausstellenden Zertifizierungsstelle besteht, sollte bereits auf vertrauenden Seiten in Ihrer gesamten Infrastruktur bereitgestellt werden. Obwohl dies nicht erforderlich ist, wird empfohlen, ein Cloud PKI BYOCA ausstellendes CA-Zertifikat zu erstellen.
  • Last updated on