Erweitertes HTTP

Gilt für: Configuration Manager (Current Branch)

Microsoft empfiehlt die Verwendung der HTTPS-Kommunikation für alle Configuration Manager-Kommunikationspfade, aber für einige Kunden stellt dies aufgrund des Mehraufwands für die Verwaltung von PKI-Zertifikaten eine Herausforderung dar. Mit erweitertem HTTP kann Configuration Manager eine sichere Kommunikation bereitstellen, indem selbstsignierte Zertifikate für bestimmte Standortsysteme ausgestellt werden.

Es gibt zwei primäre Ziele für diese Konfiguration:

  • Sie können vertrauliche Clientkommunikation sichern, ohne dass PKI-Serverauthentifizierungszertifikate erforderlich sind.

  • Clients können sicher auf Inhalte von Verteilungspunkten zugreifen, ohne ein Netzwerkzugriffskonto, ein Client-PKI-Zertifikat oder eine Windows-Authentifizierung zu benötigen.

Die gesamte übrige Clientkommunikation erfolgt über HTTP. Erweitertes HTTP ist nicht dasselbe wie das Aktivieren von HTTPS für die Clientkommunikation oder ein Standortsystem.

Hinweis

PKI-Zertifikate sind nach wie vor eine gültige Option für Kunden mit den folgenden Anforderungen:

  • Die gesamte Clientkommunikation erfolgt über HTTPS
  • Erweiterte Kontrolle der Signaturinfrastruktur

Wenn Sie bereits PKI verwenden, verwenden Standortsysteme das in IIS gebundene PKI-Zertifikat, auch wenn Sie das erweiterte HTTP aktivieren.

Szenarien

Die folgenden Szenarien profitieren von erweitertem HTTP:

Szenario 1: Client zu Verwaltungspunkt

In Microsoft Entra eingebundene Geräte und Geräte mit einem vom Configuration Manager ausgestellten Token können mit einem Verwaltungspunkt kommunizieren, der für HTTP konfiguriert ist, wenn Sie erweitertes HTTP für die Website aktivieren. Bei aktiviertem erweiterten HTTP generiert der Standortserver ein Zertifikat für den Verwaltungspunkt, sodass dieser über einen sicheren Kanal kommunizieren kann.

Hinweis

Dieses Szenario erfordert keinen HTTPS-fähigen Verwaltungspunkt, wird jedoch als Alternative zur Verwendung von erweitertem HTTP unterstützt. Weitere Informationen zur Verwendung eines HTTPS-fähigen Verwaltungspunkts finden Sie unter Aktivieren des Verwaltungspunkts für HTTPS.

Szenario 2: Client zu Verteilungspunkt

Eine Arbeitsgruppe oder ein in Microsoft Entra eingebundener Client kann Inhalte über einen sicheren Kanal von einem für HTTP konfigurierten Verteilungspunkt authentifizieren und herunterladen. Diese Gerätetypen können auch Inhalte von einem für HTTPS konfigurierten Verteilungspunkt authentifizieren und herunterladen, ohne dass ein PKI-Zertifikat auf dem Client erforderlich ist. Es ist schwierig, einem mit einer Arbeitsgruppe oder einem Microsoft Entra verbundenen Client ein Clientauthentifizierungszertifikat hinzuzufügen.

Dieses Verhalten umfasst Betriebssystembereitstellungsszenarien mit einer Tasksequenz, die über Startmedien, PXE oder das Softwarecenter ausgeführt wird. Weitere Informationen finden Sie unter Netzwerkzugriffskonto.

Szenario 3: Microsoft Entra-Geräteidentität

Ein mit Microsoft Entra verbundenes oder hybrides Microsoft Entra-Gerät ohne angemeldeten Microsoft Entra-Benutzer kann sicher mit dem zugewiesenen Standort kommunizieren. Die cloudbasierte Geräteidentität reicht nun aus, um sich bei der CMG und dem Verwaltungspunkt für gerätezentrierte Szenarien zu authentifizieren. (Für benutzerzentrierte Szenarien ist weiterhin ein Benutzertoken erforderlich.)

Features

Die folgenden Configuration Manager-Features unterstützen erweitertes HTTP oder erfordern es:

Hinweis

Der Softwareupdatepunkt und zugehörige Szenarien haben immer sicheren HTTP-Datenverkehr mit Clients sowie dem Cloudverwaltungsgateway unterstützt. Sie verwendet einen Mechanismus mit dem Verwaltungspunkt, der sich von der zertifikat- oder tokenbasierten Authentifizierung unterscheidet.

Nicht unterstützte Szenarien

Erweitertes HTTP sichert derzeit nicht die gesamte Kommunikation im Configuration Manager. Die folgende Liste fasst einige wichtige Funktionen zusammen, die immer noch HTTP sind.

  • Peer-to-Peer-Kommunikation des Kunden für Inhalte
  • Zustandsmigrationspunkt
  • Remotetools
  • Reporting Services-Punkt

Hinweis

Diese Liste ist nicht vollständig.

Voraussetzungen

  • Ein Verwaltungspunkt, der für HTTP-Clientverbindungen konfiguriert ist. Legen Sie diese Option auf der Registerkarte "Allgemein" der Eigenschaften der Verwaltungspunktrolle fest.

  • Ein Verteilungspunkt, der für HTTP-Clientverbindungen konfiguriert ist. Legen Sie diese Option auf der Registerkarte Kommunikation der Eigenschaften der Verteilungspunktrolle fest. Aktivieren Sie nicht die Option Clients erlauben, anonym eine Verbindung herzustellen.

  • Für Szenarien, die eine Microsoft Entra-Authentifizierung erfordern, integrieren Sie die Website für die Cloudverwaltung in Microsoft Entra ID. Wenn Sie die Website nicht in Microsoft Entra ID integrieren, können Sie dennoch erweitertes HTTP aktivieren.

  • Nur für Szenario 3: Ein Client, auf dem eine unterstützte Version von Windows 10 oder höher ausgeführt wird und der mit Microsoft Entra ID verbunden ist. Der Client benötigt diese Konfiguration für die Microsoft Entra-Geräteauthentifizierung.

Hinweis

Es gibt keine anderen Versionsanforderungen für das Betriebssystem, außer denen, die vom Configuration Manager-Client unterstützt werden.

Konfigurieren der Website

  1. Wechseln Sie in der Configuration Manager-Konsole zum Arbeitsbereich Verwaltung, erweitern Sie Standortkonfiguration, und wählen Sie den Knoten Standorte aus. Wählen Sie die Website aus, und wählen Sie im Menüband Eigenschaften aus.

  2. Wechseln Sie auf die Registerkarte Kommunikationssicherheit . Wählen Sie die Option für HTTPS oder HTTP aus. Aktivieren Sie dann die Option zum Verwenden von Configuration Manager-generierten Zertifikaten für HTTP-Standortsysteme.

Tipp

Warten Sie bis zu 30 Minuten, bis der Verwaltungspunkt das neue Zertifikat von der Website erhält und konfiguriert.

Sie können auch erweitertes HTTP für den Standort der Zentraladministration (Central Administration Site, CAS) aktivieren. Verwenden Sie denselben Prozess und öffnen Sie die Eigenschaften des Clientzugriffsservers. Diese Aktion aktiviert nur erweitertes HTTP für die SMS-Anbieterrolle auf dem CAS. Es handelt sich nicht um eine globale Einstellung, die für alle Websites in der Hierarchie gilt.

Weitere Informationen dazu, wie der Client mit dem Verwaltungspunkt und dem Verteilungspunkt mit dieser Konfiguration kommuniziert, finden Sie unter Kommunikation von Clients zu Standortsystemen und Diensten.

Überprüfen des Zertifikats

Sie können diese Zertifikate in der Configuration Manager-Konsole anzeigen. Wechseln Sie zum Arbeitsbereich "Verwaltung ", erweitern Sie "Sicherheit", und wählen Sie den Knoten "Zertifikate " aus. Suchen Sie nach dem Zertifikat für das SMS-Ausstellungsstammzertifikat und die Standortserverrollenzertifikate, die vom SMS-ausstellenden Stamm ausgestellt wurden.

Wenn Sie erweitertes HTTP aktivieren, generiert der Standortserver ein selbstsigniertes Zertifikat mit dem Namen SMS-Rollen-SSL-Zertifikat. Dieses Zertifikat wird vom Stammzertifikat für die SMS-Ausstellung ausgestellt. Der Verwaltungspunkt fügt dieses Zertifikat der IIS-Standardwebsite hinzu, die an Port 443 gebunden ist.

Die status der Konfiguration finden Sie unter mpcontrol.log.

Konzeptionelles Diagramm

Dieses Diagramm fasst einige der wichtigsten Aspekte der erweiterten HTTP-Funktionalität im Configuration Manager zusammen und visualisiert sie.

Konzeptdiagramm der erweiterten HTTP-Funktionalität.

  • Die Verbindung mit Microsoft Entra ID wird empfohlen, ist aber optional. Sie ermöglicht Szenarien, die eine Microsoft Entra-Authentifizierung erfordern.

  • Wenn Sie die Standortoption für erweitertes HTTP aktivieren, stellt die Website selbstsignierte Zertifikate für Standortsysteme wie die Verwaltungspunkt- und Verteilungspunktrollen aus.

  • Während die Standortsysteme weiterhin für HTTP-Verbindungen konfiguriert sind, kommunizieren Clients über HTTPS mit ihnen.

Häufig gestellte Fragen

Welche Vorteile bietet erweitertes HTTP?

Der Hauptvorteil besteht darin, dass die Verwendung von reinem HTTP, einem unsicheren Protokoll, reduziert wird. Configuration Manager versucht, standardmäßig sicher zu sein, und Microsoft möchte es Ihnen leicht machen, Ihre Geräte sicher zu halten. Die Aktivierung von PKI-basiertem HTTPS ist eine sicherere Konfiguration, aber sie kann für viele Kunden komplex sein. Wenn Sie HTTPS nicht können, aktivieren Sie erweitertes HTTP. Microsoft empfiehlt diese Konfiguration auch dann, wenn Ihre Umgebung derzeit keines der Features verwendet, die sie unterstützen.

Wichtig

Ab Configuration Manager Version 2103 sind Standorte, die HTTP-Clientkommunikation zulassen, veraltet. Konfigurieren Sie die Website für HTTPS oder erweitertes HTTP. Weitere Informationen finden Sie unter Aktivieren der Website für reines HTTPS oder erweitertes HTTP.

Muss ich Microsoft Entra ID verwenden, um erweitertes HTTP zu aktivieren?

Nein Viele der Szenarien und Features, die von erweitertem HTTP profitieren, basieren auf der Microsoft Entra-Authentifizierung. Sie können erweitertes HTTP aktivieren, ohne die Website in Microsoft Entra ID zu integrieren. Es unterstützt dann Funktionen wie den Verwaltungsdienst und den reduzierten Bedarf an Netzwerkzugriffskonto. Sie benötigen Microsoft Entra ID nur, wenn eines der unterstützenden Features dies erfordert.

Hinweis

Auch wenn Sie die Verwaltungsdienst-REST-API nicht direkt verwenden, wird sie von einigen Configuration Manager-Features nativ verwendet, einschließlich Teilen der Configuration Manager-Konsole.

Wie kommunizieren Clients mit Standortsystemen?

Wenn Sie erweitertes HTTP aktivieren, stellt die Website Zertifikate für Standortsysteme aus. Beispiele: der Verwaltungspunkt und der Verteilungspunkt. Dann können diese Standortsysteme die sichere Kommunikation in derzeit unterstützten Szenarien unterstützen.

Aus Kundensicht stellt der Verwaltungspunkt jedem Client ein Token aus. Der Client verwendet dieses Token, um die Kommunikation mit den Standortsystemen abzusichern. Dieses Verhalten ist betriebssystemversionsunabhängig, anders als das, was der Configuration Manager-Client unterstützt.

Kann ich erweitertes HTTP aktivieren, wenn einige Standortsysteme bereits HTTPS verwenden?

Ja. Standortsysteme bevorzugen immer ein PKI-Zertifikat. Beispielsweise verfügt ein Verwaltungspunkt bereits über ein PKI-Zertifikat, andere jedoch nicht. Wenn Sie erweitertes HTTP für die Website aktivieren, verwendet der HTTPS-Verwaltungspunkt weiterhin das PKI-Zertifikat. Die anderen Verwaltungspunkte verwenden das vom Standort ausgestellte Zertifikat für erweitertes HTTP.

Nächste Schritte

  • Last updated on