Konfigurieren und Verwenden Ihrer PKCS-Zertifikate mit Intune

Gilt fürL

• Android
• iOS/iPadOS
• macOS
• Windows

Microsoft Intune unterstützt die Verwendung von (PKCS-)Zertifikaten für private und öffentliche Schlüssel. In diesem Artikel werden die Anforderungen für PKCS-Zertifikate mit Intune erläutert, einschließlich des Exports eines PKCS-Zertifikats und des anschließenden Hinzufügens zu einem Intune-Gerätekonfigurationsprofil.

Microsoft Intune enthält integrierte Einstellungen zur Verwendung von PKCS-Zertifikaten für den Zugriff auf und die Authentifizierung für die Ressourcen Ihres Unternehmens. Mit Zertifikaten wird der Zugriff auf Unternehmensressourcen (z. B. ein VPN- oder ein WLAN-Netzwerk) authentifiziert und gesichert. Stellen Sie diese Einstellungen in Intune über Gerätekonfigurationsprofile bereit.

Informationen zur Verwendung importierter PKCS-Zertifikate finden Sie unter Importierte PFX-Zertifikate.

Anforderungen

Zur Verwendung von PKCS-Zertifikaten mit Intune benötigen Sie die folgende Infrastruktur:

• Active Directory-Domäne: Alle in diesem Abschnitt aufgeführten Server müssen mit Ihrer Active Directory-Domäne verknüpft sein.

  Informationen zum Installieren und Konfigurieren von Active Directory Domain Services (AD DS) finden Sie unter AD DS Design and Planning (AD DS-Entwurf und -Planung).

• Zertifizierungsstelle: Eine Unternehmenszertifizierungsstelle (CA).

  Informationen zum Installieren und Konfigurieren von Active Directory-Zertifikatdiensten finden Sie unter Active Directory Certificate Services Step-by-Step Guide (Ausführliche Anleitung zu den Active Directory-Zertifikatdiensten).

  Warnung

  Intune erfordert, dass Sie AD-Zertifikatdienste mit einer Unternehmenszertifizierungsstelle (ZS) und nicht mit einer eigenständigen Zertifizierungsstelle ausführen.

• Ein Client: Zum Herstellen einer Verbindung mit der Enterprise-Zertifizierungsstelle.

• Stammzertifikat: Eine exportierte Kopie Ihres Stammzertifikats aus Ihrer Unternehmenszertifizierungsstelle.

• Zertifikatconnector für Microsoft Intune: Informationen zum Zertifikatconnector finden Sie unter:

  • Übersicht über den Zertifikatconnector für Microsoft Intune
  • Voraussetzungen
  • Installation und Konfiguration

Connector für Updatezertifikate: Strenge Zuordnungsanforderungen für KB5014754

Das Schlüsselverteilungscenter (Key Distribution Center, KDC) erfordert ein starkes Zuordnungsformat in PKCS-Zertifikaten, die von Microsoft Intune bereitgestellt und für die zertifikatbasierte Authentifizierung verwendet werden. Die Zuordnung muss über eine Sicherheits-ID (SID)-Erweiterung verfügen, die der Benutzer- oder Geräte-SID zugeordnet ist. Wenn ein Zertifikat die neuen strengen Zuordnungskriterien nicht erfüllt, die bis zum Datum des vollständigen Erzwingungsmodus festgelegt wurden, wird die Authentifizierung verweigert. Weitere Informationen zu den Anforderungen finden Sie unter KB5014754: Zertifikatbasierte Authentifizierungsänderungen auf Windows-Domänencontrollern .

Im Microsoft Intune Certificate Connector, Version 6.2406.0.1001, haben wir ein Update veröffentlicht, das dem Zertifikat das Objektbezeichnerattribut mit der Benutzer- oder Geräte-SID hinzufügt und damit die strengen Zuordnungsanforderungen effektiv erfüllt. Dieses Update betrifft Benutzer und Geräte, die von einem lokalen Active Directory mit Microsoft Entra ID synchronisiert werden, und ist mit einigen Unterschieden auf allen Plattformen verfügbar:

• Starke Zuordnungsänderungen gelten für Benutzerzertifikate für alle Betriebssystemplattformen.

• Starke Zuordnungsänderungen gelten für Gerätezertifikate für Windows Geräte, die mit Microsoft Entra Hybrid verbunden sind.

Um sicherzustellen, dass die zertifikatsbasierte Authentifizierung weiterhin funktioniert, müssen Sie die folgenden Aktionen ausführen:

• Aktualisieren Sie den Microsoft Intune Certificate Connector auf Version 6.2406.0.1001. Informationen zur neuesten Version und zum Aktualisieren des Zertifikatconnectors finden Sie unter Zertifikatconnector für Microsoft Intune.

• Nehmen Sie Änderungen an Registrierungsschlüsselinformationen auf dem Windows-Server vor, der den Zertifikatconnector hostet.

Führen Sie das folgende Verfahren aus, um die Registrierungsschlüssel zu ändern und die starken Zuordnungsänderungen auf Zertifikate anzuwenden. Diese Änderungen gelten für neue PKCS-Zertifikate und PKCS-Zertifikate, die erneuert werden.

1. Ändern Sie in der Windows-Registrierung den Wert für [HKLM\Software\Microsoft\MicrosoftIntune\PFXCertificateConnector](DWORD)EnableSidSecurityExtension auf 1.

2. Starten Sie den Zertifikatconnectordienst neu.

   1. Wechseln Sie zu"Ausführung starten>".
   2. Öffnen Sie services.msc.
   3. Starten Sie diese Dienste neu:

      • PFX Create Legacy-Connector für Microsoft Intune

      • PFX Create Certificate Connector für Microsoft Intune

3. Änderungen gelten für alle neuen Zertifikate und für Zertifikate, die erneuert werden. Um zu überprüfen, ob die Authentifizierung funktioniert, empfehlen wir, alle Stellen zu testen, an denen die zertifikatbasierte Authentifizierung verwendet werden kann, einschließlich:

   • Apps
   • Intune-integrierte Zertifizierungsstellen
   • NAC-Lösungen
   • Netzwerkinfrastruktur

   So setzen Sie Änderungen zurück:

   1. Stellen Sie die ursprünglichen Registrierungseinstellungen wieder her.

   2. Starten Sie diese Dienste neu:

      • PFX Create Legacy-Connector für Microsoft Intune

      • PFX Create Certificate Connector für Microsoft Intune

   3. Erstellen Sie ein neues PKCS-Zertifikatprofil für betroffene Geräte, um Zertifikate ohne das SID-Attribut erneut auszustellen.

      Tipp

      Wenn Sie eine Digicert-Zertifizierungsstelle verwenden, müssen Sie eine Zertifikatvorlage für Benutzer mit einer SID und eine weitere Vorlage für Benutzer ohne SID erstellen. Weitere Informationen finden Sie in den Versionshinweisen zu DigiCert PKI Platform 8.24.1.

Exportieren des Stammzertifikats aus der Unternehmenszertifizierungsstelle

Jedes Gerät benötigt ein Zertifikat einer Stamm- oder Zwischenzertifizierungsstelle für die Geräteauthentifizierung über VPN, WLAN oder andere Ressourcen. Die folgenden Schritte erläutern, wie Sie das erforderliche Zertifikat von Ihrer Unternehmenszertifizierungsstelle erhalten.

Verwenden Sie zum Ausführen der folgenden Schritte eine Befehlszeile:

1. Melden Sie sich mit einem Administratorkonto beim Stammzertifizierungsstellenserver an.

2. Wechseln Sie zu ">Startausführung", und geben Sie dann "Cmd" ein, um eine Eingabeaufforderung zu öffnen.

3. Geben Sie certutil -ca.cert ca_name.cer ein, um das Stammzertifikat als Datei mit dem Namen ca_name.cer zu exportieren.

Konfigurieren von Zertifikatvorlagen in der Zertifizierungsstelle

1. Melden Sie sich bei Ihrer Unternehmenszertifizierungsstelle mit einem Konto an, das über Administratorrechte verfügt.

2. Öffnen Sie die Konsole Zertifizierungsstelle, klicken Sie mit der rechten Maustaste auf Zertifikatvorlagen, und klicken Sie dann auf Verwalten.

3. Suchen Sie die Zertifikatvorlage Benutzer, klicken Sie mit der rechten Maustaste darauf, und wählen Sie Vorlage duplizieren aus, um Eigenschaften der neuen Vorlage zu öffnen.

   Hinweis

   Zur Signierung und Verschlüsselung von E-Mails mit S/MIME nutzen viele Administratoren für die jeweiligen Schritte unterschiedliche Zertifikate. Wenn Sie Microsoft Active Directory-Zertifikatdienste verwenden, können Sie die Vorlage Nur Exchange-Signatur für Zertifikate zum Signieren von E-Mails mit S/MIME verwenden, und die Vorlage Exchange-Benutzer können Sie für Zertifikate zur Verschlüsselung mit S/MIME nutzen. Wenn Sie eine Nicht-Microsoft-Zertifizierungsstelle verwenden, empfehlen wir, deren Anleitung zum Einrichten von Signatur- und Verschlüsselungsvorlagen zu lesen.

4. Gehen Sie auf der Registerkarte Kompatibilität wie folgt vor:

   • Legen Sie die Zertifizierungsstelle auf Windows Server 2008 R2 fest
   • Legen Sie den Zertifizierungsempfänger auf Windows 7 / Server 2008 R2 fest

5. Auf der Registerkarte Allgemein:

   • Legen Sie den Anzeigenamen der Vorlage auf etwas fest, das für Sie von Bedeutung ist.
   • Deaktivieren Sie "Zertifikat in Active Directory veröffentlichen".

   Warnung

   Vorlagenname entspricht standardmäßig dem Vorlagenanzeigenamenohne Leerzeichen. Notieren Sie sich den Vorlagennamen, da Sie ihn später benötigen.

6. Klicken Sie unter Anforderungsverarbeitung auf Exportieren von privatem Schlüssel zulassen.

   Hinweis

   Anders als beim SCEP wird bei PKCS der private Schlüssel des Zertifikats auf dem Server generiert, auf dem der Certificate Connector installiert ist, und nicht auf dem Gerät. Die Zertifikatvorlage muss den Export des privaten Schlüssels zulassen, damit der Connector das PFX-Zertifikat exportieren und an das Gerät senden kann.

   Nachdem die Zertifikate auf dem Gerät installiert wurden, wird der private Schlüssel als nicht exportierbar markiert.

7. Bestätigen Sie unter Kryptografie, dass die Minimale Schlüsselgröße auf 2048 festgelegt wird.

   Windows- und Android-Geräte unterstützen die Verwendung der 4096-Bit-Schlüsselgröße mit einem PKCS-Zertifikatprofil. Um diese Schlüsselgröße zu verwenden, passen Sie den Wert auf 4096 an.

   Hinweis

   Auf Windows-Geräten wird der 4096-Bit-Schlüsselspeicher nur im Softwareschlüsselspeicheranbieter (Software Key Storage Provider, KSP) unterstützt. Die folgenden Features unterstützen keinen Speicher für Schlüssel dieser Größe:

   • Das Hardware-TPM (Trusted Platform Module): Als Problemumgehung können Sie den Software-KSP zur Schlüsselspeicherung verwenden.
   • Windows Hello for Business: Für Windows Hello for Business gibt es derzeit keine Problemumgehung.

8. Klicken Sie unter Antragstellername auf Supply in the request (Informationen werden in der Anforderung angegeben).

9. Vergewissern Sie sich unter "Erweiterungen" unter "Anwendungsrichtlinien", dass "Dateisystem verschlüsseln","Sichere E-Mail" und "Clientauthentifizierung" angezeigt wird.

   Wichtig

   Wechseln Sie für iOS/iPadOS-Zertifikatvorlagen zur Registerkarte "Erweiterungen ", aktualisieren Sie " Schlüsselverwendung", und deaktivieren Sie dann "Signatur ist Ursprungsnachweis".

10. In Sicherheit:

    1. Fügen Sie das Computerkonto für den Server hinzu, auf dem Sie den Certificate Connector für Microsoft Intune installieren. Erteilen Sie für diesem Konto die Berechtigungen Lesen und Registrieren.
    2. Entfernen Sie die Gruppe "Domänenbenutzer" aus der Liste der Gruppen oder Benutzernamen, die Berechtigungen für diese Vorlage zulassen. So entfernen Sie die Gruppe:
       1. Wählen Sie die Gruppe Domänenbenutzer aus.
       2. Wählen Sie Entfernen aus.
       3. Überprüfen Sie die anderen Einträge unter Gruppen oder Benutzernamen , um die Berechtigungen und die Anwendbarkeit auf Ihre Umgebung zu bestätigen.

11. Wählen Sie Anwenden>OK aus, um die Zertifikatvorlage zu speichern. Schließen Sie die Zertifikatvorlagenkonsole.

12. Klicken Sie in der Zertifizierungsstellenkonsole mit der rechten Maustaste auf Zertifikatvorlagen.

13. Wählen Sie die auszustellende>neue Zertifikatvorlage aus.

14. Wählen Sie die Vorlage aus, die Sie in den vorherigen Schritten erstellt haben. Wählen Sie OK aus.

15. Erlauben Sie dem Server die Verwaltung von Zertifikaten für registrierte Geräte und Benutzer:

    1. Klicken Sie mit der rechten Maustaste auf die Zertifizierungsstelle, und wählen Sie Eigenschaften aus.
    2. Fügen Sie auf der Registerkarte "Sicherheit" das Computerkonto des Servers hinzu, auf dem Sie den Connector ausführen.
    3. Erteilen, Ausstellen und Verwalten von Zertifikaten sowie Anfordern von Zertifikatberechtigungen für das Computerkonto.

16. Melden Sie sich von der Unternehmenszertifizierungsstelle ab.

Herunterladen, Installieren und Konfigurieren des Microsoft Intune Certificate Connector

Eine Anleitung finden Sie unter Installieren und Konfigurieren des Microsoft Intune Certificate Connector.

Erstellen eines vertrauenswürdigen Zertifikatprofils

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie Geräteverwalten> und wechseln Sie zu Konfiguration>>.

3. Geben Sie die folgenden Eigenschaften ein:

   • Plattform: Wählen Sie die Plattform der Geräte aus, die dieses Profil erhalten.
     • Android-Geräteadministrator
     • Android Enterprise:
       • Vollständig verwaltet
       • Dediziert
       • Unternehmenseigenes Arbeitsprofil
       • Persönliches Arbeitsprofil
     • iOS/iPadOS
     • macOS
     • Windows
   • Profil: Wählen Sie Vertrauenswürdiges Zertifikat aus. Oder wählen Sie Vorlagen>Vertrauenswürdiges Zertifikat aus.

4. Wählen Sie Erstellen aus.

5. Geben Sie in Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Ihre Profile, damit Sie diese später leicht wiedererkennen können. Ein geeigneter Profilname ist beispielsweise Vertrauenswürdige Zertifikatsvorlage für das gesamte Unternehmen.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

6. Wählen Sie Weiter aus.

7. Geben Sie in den Konfigurationseinstellungen die CER-Datei für das Zertifikat der Stammzertifizierungsstelle an, das Sie zuvor exportiert haben.

   Hinweis

   Abhängig von der in Schritt 3 ausgewählten Plattform haben Sie möglicherweise die Option zum Auswählen des Zielspeichers für das Zertifikat.

   

8. Wählen Sie Weiter aus.

9. Wählen Sie unter "Aufgaben" die Benutzer- oder Gerätegruppen aus, die Sie in die Aufgabe einbeziehen möchten. Diese Gruppen erhalten das Profil, nachdem Sie es bereitgestellt haben. Für mehr Granularität lesen Sie Erstellen von Filtern in Microsoft Intune, und wenden Sie diese an, indem Sie Filter bearbeiten auswählen.

   Planen Sie die Bereitstellung dieses Zertifikatprofils für dieselben Gruppen, die Folgendes erhalten:

   • Das PKCS-Zertifikatprofil und

   • Ein Konfigurationsprofil, z. B. ein Wi-Fi Profil, das das Zertifikat verwendet.

   Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

   Wählen Sie Weiter aus.

10. (Gilt nur für Windows) Geben Sie unter Anwendbarkeitsregeln Anwendbarkeitsregeln an, um die Zuweisung dieses Profils zu verfeinern. Sie können auswählen, dass das Profil basierend auf der Betriebssystemedition oder der Version eines Geräts zugewiesen oder nicht zugewiesen wird.

    Weitere Informationen finden Sie im Artikel Erstellen eines Geräteprofils in Microsoft Intune im Abschnitt Anwendbarkeitsregeln.

11. Überprüfen Sie die Einstellungen unter Überprüfen + erstellen. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Profilliste angezeigt.

Erstellen eines PKCS-Zertifikatprofils

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie Geräteverwalten> und wechseln Sie zu Konfiguration>>.

3. Geben Sie die folgenden Eigenschaften ein:

   • Plattform: Wählen Sie die Plattform Ihrer Geräte aus. Ihre Optionen:
     • Android-Geräteadministrator
     • Android Enterprise:
       • Vollständig verwaltet
       • Dediziert
       • Unternehmenseigenes Arbeitsprofil
       • Persönliches Arbeitsprofil
     • iOS/iPadOS
     • macOS
     • Windows
   • Profil: Wählen Sie PKCS-Zertifikat aus. Oder wählen Sie Vorlagen>PKCS-Zertifikat aus.

   Hinweis

   Auf Geräten mit einem Android Enterprise-Profil sind Zertifikate, die mit einem PKCS-Zertifikatprofil installiert wurden, auf dem Gerät nicht sichtbar. Überprüfen Sie den Status des Profils im Intune Admin Center, um die erfolgreiche Zertifikatbereitstellung zu bestätigen.

4. Wählen Sie Erstellen aus.

5. Geben Sie in Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Ihre Profile, damit Sie diese später leicht wiedererkennen können. Ein geeigneter Profilname ist beispielsweise PKCS-Profil für das gesamte Unternehmen.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

6. Wählen Sie Weiter aus.

7. Die verfügbaren Konfigurationseinstellungen variieren je nach ausgewählter Plattform. Wählen Sie Ihre Plattform aus, um detaillierte Einstellungen anzuzeigen:

   • Android-Geräteadministrator
   • Android für Unternehmen
   • iOS/iPadOS
   • Windows

   Setting	Plattform	Details
   Bereitstellungskanal	macOS	Wählen Sie aus, wie Sie das Profil bereitstellen möchten. Diese Einstellung bestimmt auch den Schlüsselbund, in dem die verknüpften Zertifikate gespeichert werden. Deshalb ist es wichtig, den richtigen Kanal auszuwählen. Wählen Sie in Profilen mit Benutzerzertifikaten immer den Benutzerbereitstellungskanal aus. Der Benutzerkanal speichert Zertifikate im Benutzerschlüsselbund. Wählen Sie den Gerätebereitstellungskanal immer in Profilen mit Gerätezertifikaten aus. Der Gerätekanal speichert Zertifikate im Systemschlüsselbund. Es ist nicht möglich, den Bereitstellungskanal zu bearbeiten, nachdem Sie das Profil bereitgestellt haben. Sie müssen ein neues Profil erstellen, um einen anderen Kanal auswählen zu können.
   Verlängerungsschwellenwert (%)	Alle	Empfohlen sind 20 %.
   Gültigkeitsdauer des Zertifikats	Alle	Wenn Sie die Zertifikatvorlage nicht geändert haben, ist diese Option möglicherweise auf ein Jahr festgelegt. Wählen Sie eine Gültigkeitsdauer von fünf Tagen bis zu 24 Monaten. Wenn der Gültigkeitszeitraum weniger als fünf Tage beträgt, ist die Wahrscheinlichkeit hoch, dass das Zertifikat kurz vor dem Ablaufen oder Abgelaufen steht, was dazu führen kann, dass der MDM-Agent auf Geräten das Zertifikat ablehnt, bevor es installiert wird.
   Schlüsselspeicheranbieter (KSP)	Windows	Wählen Sie für Windows aus, wo die Schlüssel auf dem Gerät gespeichert werden sollen.
   Zertifizierungsstelle	Alle	Zeigt den internen vollqualifizierten Domänennamen (FQDN) Ihrer Unternehmenszertifizierungsstelle an.
   Name der Zertifizierungsstelle	Alle	Hier wird der Name Ihrer Unternehmenszertifizierungsstelle aufgeführt, z. B. "Contoso-Zertifizierungsstelle".
   Name der Zertifikatvorlage	Alle	Führt den Namen Ihrer Zertifikatsvorlage auf
   Zertifikattyp	Android Enterprise (Unternehmenseigenes und persönliches Arbeitsprofil) iOS macOS Windows	Wählen Sie einen Typ aus: Benutzerzertifikate können sowohl Benutzer- als auch Geräteattribute im Antragstellernamen und im alternativen Antragstellernamen des Zertifikats enthalten. Geräte-Zertifikate können im Antragsteller und SAN des Zertifikats nur Geräteattribute enthalten. Verwenden Sie „Gerät“ für Szenarios mit Geräten ohne Benutzer (wie Kioske) oder anderen freigegebenen Geräten. Diese Auswahl wirkt sich auf das Format des Antragstellernamens aus. Wenn dieses Profil für macOS für die Verwendung des Gerätebereitstellungskanals konfiguriert ist, können Sie "Benutzer " oder "Gerät" auswählen. Wenn das Profil für die Verwendung des Benutzerbereitstellungskanals konfiguriert ist, können Sie nur Benutzer auswählen.
   Format des Antragstellernamens	Alle	Details zum Konfigurieren des Formats des Antragstellernamens finden Sie unter Format des Antragstellernamens weiter unten in diesem Artikel. Für die folgenden Plattformen wird das Format des Antragstellernamens durch den Zertifikattyp bestimmt: Android Enterprise (Arbeitsprofil) iOS macOS Windows
   Alternativer Antragstellername	Alle	Wählen Sie für Attribut die Option Benutzerprinzipalname (UPN) aus, falls keine andere Option erforderlich ist. Konfigurieren Sie einen entsprechenden Wert, und klicken Sie dann auf Hinzufügen. Sie können Variablen oder statischen Text für den alternativen Antragstellernamen beider Zertifikattypen verwenden. Die Verwendung einer Variable ist nicht erforderlich. Weitere Informationen finden Sie unter Format des Antragstellernamens weiter unten in diesem Artikel.
   Erweiterte Schlüsselverwendung	Android-Geräteadministrator Android Enterprise (Gerätebesitzer, unternehmenseigenes und persönliches Arbeitsprofil) Windows	Zertifikate erfordern in der Regel Clientauthentifizierung, damit der Benutzer bzw. das Gerät auf einem Server authentifiziert werden kann.
   Allen Apps Zugriff auf den privaten Schlüssel gewähren	macOS	Legen Sie Aktiviert fest, um Apps, die für das zugeordnete Mac-Gerät konfiguriert sind, den Zugriff auf den privaten Schlüssel des PKCS-Zertifikats zu gewähren. Weitere Informationen zu dieser Einstellung finden Sie unter AllowAllAppsAccess im Abschnitt zur Zertifikatnutzlast der Referenz zum Konfigurationsprofil in der Apple-Entwicklerdokumentation.
   Stammzertifikat	Android-Geräteadministrator Android Enterprise (Gerätebesitzer, unternehmenseigenes und persönliches Arbeitsprofil)	Wählen Sie ein Profil für die Stammzertifizierungsstelle aus, das zuvor zugewiesen wurde.

8. Dieser Schritt gilt nur für Profile für Android Enterprise-Geräte für vollständig verwaltete, dedizierte und Corporate-Owned Arbeitsprofil.

   Konfigurieren Sie in Appsden Zertifikatzugriff , um zu verwalten, wie der Zertifikatzugriff auf Anwendungen gewährt wird. Wählen Sie zwischen:

   • Benutzergenehmigung für Apps erforderlich(Standard): Benutzer müssen die Verwendung eines Zertifikats durch alle Anwendungen genehmigen.
   • Für bestimmte Apps automatisch gewähren (Benutzergenehmigung für andere Apps erforderlich): Wählen Sie bei dieser Option Apps hinzufügen aus. Wählen Sie dann alle Apps aus, die das Zertifikat im Hintergrund ohne Benutzerinteraktion verwenden sollen.

9. Wählen Sie Weiter aus.

10. Wählen Sie unter "Aufgaben" die Benutzer und Gruppen aus, die in die Aufgabe einbezogen werden sollen. Benutzer und Gruppen erhalten das Profil, nachdem Sie es bereitgestellt haben. Planen Sie die Bereitstellung dieses Zertifikatprofils für dieselben Gruppen, die Folgendes erhalten:

• Das Profil für vertrauenswürdige Zertifikate und

• Ein Konfigurationsprofil, z. B. ein Wi-Fi Profil, das das Zertifikat verwendet.

Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

11. Wählen Sie Weiter aus.

12. Überprüfen Sie die Einstellungen unter Überprüfen + erstellen. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Profilliste angezeigt.

Format des Antragstellernamens

Wenn Sie ein PKCS-Zertifikatsprofil für die folgenden Plattformen erstellen, sind die Optionen für das Format des Antragstellernamens abhängig vom ausgewählten Zertifikattyp und lauten entweder Benutzer oder Gerät.

Plattformen:

• Android Enterprise (Unternehmenseigenes und persönliches Arbeitsprofil)
• iOS
• macOS
• Windows

• Benutzerzertifikattyp
  Formatoptionen für das Format des Antragstellernamens enthalten zwei Variablen: Allgemeiner Name (Common Name, CN) und E-Mail (E). E-Mail (E) wird normalerweise mit der Variablen {{EmailAddress}} festgelegt. Zum Beispiel: E={{EmailAddress}}

  Allgemeiner Name (CN) kann auf eine der folgenden Variablen festgelegt werden:

  • CN={{UserName}}: Dies ist der Benutzername des Benutzers, z. B. Jane Doe.

  • CN={{UserPrincipalName}}: Der Benutzerprinzipalname des Benutzers, z. B janedoe@contoso.com.

  • CN={{AAD_Device_ID}}: Eine ID, die beim Registrieren eines Geräts in Microsoft Entra ID zugewiesen wird. Diese ID wird normalerweise für die Authentifizierung bei Microsoft Entra ID verwendet.

  • CN={{DeviceId}}: Dies ist eine ID, die bei der Registrierung eines Geräts bei Intune zugewiesen wird.

  • CN={{SERIALNUMBER}}: Die eindeutige Seriennummer (SN) wird in der Regel vom Hersteller verwendet, um ein Gerät zu identifizieren.

  • CN={{IMEINumber}}: Die eindeutige IMEI-Nummer (International Mobile Equipment Identity), die verwendet wird, um ein Mobiltelefon zu identifizieren.

  • CN={{OnPrem_Distinguished_Name}}: Dies ist eine Sequenz relativer definierter Namen, die durch Kommas getrennt sind, z. B. CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

    Um die Variable {{OnPrem_Distinguished_Name}} zu verwenden, müssen Sie das Benutzerattribut onpremisesdistinguishedname mit Microsoft Entra Connect mit Ihrem Microsoft Entra ID synchronisieren.

  • CN={{onPremisesSamAccountName}}: Administratoren können das samAccountName-Attribut von Active Directory mit Microsoft Entra ID synchronisieren, indem sie Microsoft Entra Connect in ein Attribut namens onPremisesSamAccountName verwenden. Intune kann diese Variable als Teil einer Zertifikatsausstellungsanforderung im Antragsteller eines Zertifikats ersetzen. Das Attribut „samAccountName“ ist der zur Unterstützung von Clients und Servern aus einer früheren Version von Windows (vor Windows 2000) verwendete Benutzeranmeldename. Das Format des Benutzeranmeldenamens lautet: DomainName\testUser oder nur testUser.

    Um die Variable {{onPremisesSamAccountName}} zu verwenden, müssen Sie das onPremisesSamAccountName-Benutzerattribut mit Microsoft Entra Connect mit Ihrer Microsoft Entra ID synchronisieren.

  Alle im folgenden Abschnitt Gerätezertifikattyp aufgeführten Gerätevariablen können auch in Antragstellernamen für Benutzerzertifikate verwendet werden.

  Mithilfe einer Kombination von mindestens einer dieser Variablen und statischen Textzeichenfolgen können Sie ein benutzerdefiniertes Format des Antragstellernamens erstellen, z. B.: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

  Dieses Beispiel enthält ein Format für den Betreffnamen, das die Variablen CN und E sowie Zeichenfolgen für Werte für Organisationseinheit, organization, Standort, Bundesland und Land/Region verwendet. Die Funktion CertStrToName beschreibt diese Funktion und die unterstützten Zeichenfolgen.

  Benutzerattribute werden für Geräte ohne Benutzerzuordnungen nicht unterstützt, z. B. Geräte, die als Android Enterprise dediziert registriert sind. Beispielsweise kann ein Profil, das CN={{UserPrincipalName}} im Betreff oder SAN verwendet, den Benutzerprinzipalnamen nicht abrufen, wenn kein Benutzer auf dem Gerät vorhanden ist.

• Gerätzertifikattyp
  Formatoptionen für das Format des Antragstellernamens umfassen die folgenden Variablen:

  • {{AAD_Device_ID}}
  • {{DeviceId}} – Die Intune-Geräteidentität
  • {{Device_Serial}}
  • {{Device_IMEI}}
  • {{SerialNumber}}
  • {{IMEINumber}}
  • {{AzureADDeviceId}}
  • {{WiFiMacAddress}}
  • {{IMEI}}
  • {{DeviceName}}
  • {{FullyQualifiedDomainName}}(gilt nur für Windows- und Domain-verbundene Geräte)
  • {{MEID}}

  Sie können diese Variablen, gefolgt vom Text für die Variablen, im Textfeld angeben. Beispielsweise kann der allgemeine Name für ein Gerät namens Device1 als CN={{DeviceName}}Device1 hinzugefügt werden.

  Wichtig

  • Schließen Sie den Variablennamen beim Angeben einer Variable wie im Beispiel veranschaulicht in geschweifte Klammern („{ }“) ein, um einen Fehler zu vermeiden.
  • Geräteeigenschaften, die im Betreff oder alternativen Antragstellernamen eines Gerätezertifikats wie IMEI, SerialNumber oder FullyQualifiedDomainName verwendet werden, sind Eigenschaften, die von einer Person mit Zugriff auf das Gerät gespooft sein könnten.
  • Ein Gerät muss alle in einem Zertifikatprofil für dieses Profil angegebenen Variablen unterstützen, um auf diesem Gerät installiert werden zu können. Wenn {{IMEI}} beispielsweise im Antragstellernamen eines SCEP-Profils verwendet wird und einem Gerät ohne IMEI-Nummer zugewiesen ist, schlägt die Profilinstallation fehl.

Nächste Schritte

• Verwenden von SCEP für Zertifikate
• Einrichten des Intune Certificate Connectors für die DigiCert-PKI-Plattform
• Problembehandlung für PKCS-Zertifikatprofile