Erstellen und Zuweisen eines SCEP-Zertifikatprofils in Intune

Nachdem Sie Ihre Infrastruktur für die Unterstützung von SCEP-Zertifikaten (Simple Certificate Enrollment Protocol) konfiguriert haben, können Sie SCEP-Zertifikatprofile erstellen und Benutzern und Geräten in Intune zuweisen.

Damit Geräte ein SCEP-Zertifikatprofil verwenden können, müssen sie Ihrer vertrauenswürdigen Stammzertifizierungsstelle vertrauen. Die Vertrauensstellung der Stammzertifizierungsstelle wird am besten durch Bereitstellen eines vertrauenswürdigen Zertifikatprofils erreicht, und zwar in derselben Gruppe, die das SCEP-Zertifikatprofil empfängt. Vertrauenswürdige Zertifikatprofile stellen das Zertifikat der vertrauenswürdigen Stammzertifizierungsstelle bereit.

Geräte, auf denen Android Enterprise ausgeführt wird, benötigen möglicherweise eine PIN, bevor SCEP sie mit einem Zertifikat bereitstellen kann. Weitere Informationen finden Sie im Artikel zu den PIN-Anforderungen für Android Enterprise.

Connector für Updatezertifikate: Strenge Zuordnungsanforderungen für KB5014754

Gilt für:

• Windows
• Android
• iOS
• macOS

Das Schlüsselverteilungscenter (Key Distribution Center, KDC) erfordert, dass Benutzer- oder Geräteobjekte Active Directory für die zertifikatbasierte Authentifizierung fest zugeordnet werden. Das bedeutet, dass der alternative Antragstellername (SAN) des Zertifikats eine SID-Erweiterung (Security Identifier) enthalten muss, die der Benutzer- oder Geräte-SID in Active Directory zugeordnet ist. Wenn sich ein Benutzer oder ein Gerät mit einem Zertifikat in Active Directory authentifiziert, überprüft das KDC, ob die SID vorhanden ist, um zu überprüfen, ob das Zertifikat dem richtigen Benutzer oder Gerät zugeordnet und an diesen ausgestellt wurde. Die Zuordnungsanforderung schützt vor Zertifikatspoofing und stellt sicher, dass die zertifikatbasierte Authentifizierung gegenüber dem KDC weiterhin funktioniert.

Eine strenge Zuordnung ist für alle Zertifikate erforderlich, die von Microsoft Intune bereitgestellt und für die zertifikatbasierte Authentifizierung gegenüber KDC verwendet werden. Die starke Zuordnungslösung ist auf Benutzerzertifikate auf allen Plattformen anwendbar. Für Gerätezertifikate gilt sie nur für Windows-Geräte, die mit Microsoft Entra Hybrid verbunden sind. Wenn Zertifikate in diesen Szenarien die strengen Zuordnungsanforderungen nicht bis zum vollständigen Erzwingungsmodusdatum erfüllen, wird die Authentifizierung verweigert.

Um die starke Zuordnungslösung für SCEP-Zertifikate zu implementieren, die über Intune bereitgestellt werden, müssen Sie die OnpremisesSecurityIdentifier Variable dem SAN im SCEP-Profil hinzufügen.

Diese Variable muss Teil des URI-Attributs sein. Sie können ein neues SCEP-Profil erstellen oder ein vorhandenes bearbeiten, um das URI-Attribut hinzuzufügen.

Nachdem Sie das URI-Attribut und den Wert zum Zertifikatprofil hinzugefügt haben, fügt Microsoft Intune das SAN-Attribut an das Tag und die aufgelöste SID an. Beispielformatierung: tag:microsoft.com,2022-09-14:sid:<value> An diesem Punkt erfüllt das Zertifikatprofil die strengen Zuordnungsanforderungen.

Um sicherzustellen, dass Ihr SCEP-Profil strenge Zuordnungsanforderungen erfüllt, erstellen Sie ein SCEP-Zertifikatprofil im Microsoft Intune Admin Center, oder ändern Sie ein vorhandenes Profil mit dem neuen SAN-Attribut und -Wert. Als Voraussetzung müssen Benutzer und Geräte von Active Directory mit Microsoft Entra ID synchronisiert werden. Weitere Informationen finden Sie unter Synchronisierung von Objekten und Anmeldeinformationen in einer verwalteten Domäne von Microsoft Entra Domain Services.

Weitere Informationen zu den Anforderungen des KDC und zum Erzwingungsdatum für starke Zuordnungen finden Sie unter KB5014754: Zertifikatbasierte Authentifizierungsänderungen auf Windows-Domänencontrollern .

Anforderungen an S/MIME-Zertifikate für öffentliche Zertifizierungsstellen von Drittanbietern

Der Name des Zertifikatantragstellers (SN) in allen S/MIME-Zertifikaten muss die folgenden Informationen enthalten:

• Vorname-Attribut
• Nachnamenattribut

Im Hinblick auf Microsoft Intune sind diese Attribute für Sie erforderlich, wenn Sie Intune SCEP-Zertifikatprofile mit öffentlichen CA-Drittanbietern verwenden, um S/MIME-Zertifikate für sichere E-Mails auszustellen. Eine Liste dieser Zertifizierungsstellenpartner finden Sie unter Drittanbieterpartner für Zertifizierungsstellen.

Öffentliche Zertifizierungsstellen lehnen Zertifikatanforderungen von Intune-registrierten Geräten ab, bei denen die Attribute "Vorname" und "Nachname" im Antragstellernamen fehlen. Diese Anforderung gilt für neue Zertifikate und Verlängerungen.

Wenn Sie ein vorhandenes Zertifikatprofil bearbeiten, um diese Attribute einzubeziehen, wird eine Neuausstellung aller Zertifikate ausgelöst, für die je nach CA-Vereinbarung zusätzliche Kosten anfallen können.

Führen Sie die folgenden Schritte im Microsoft Intune Admin Center aus, um Dienstunterbrechungen zu vermeiden:

1. Überprüfen Sie Ihre Intune SCEP-Zertifikatsprofile, die für S/MIME-Szenarien verwendet werden.

2. Aktualisieren Sie das Format des Antragstellernamens, um diese Variablen einzubeziehen:

   • G={{GivenName}}
   • SN={{Nachname}}

   Sie können Variablen im SCEP-Profil unter Konfigurationseinstellungen>Subject Name Format eingeben.

   

3. Änderungen testen. Erstellen Sie vor der allgemeinen Bereitstellung ein neues Profil, und weisen Sie eine kleine Benutzergruppe zu.

4. Verlassen Sie sich nicht auf automatische Updates. Intune ändert keine Profile in Ihrem Namen, da das Risiko doppelter Attribute und unbeabsichtigter Zertifikatsneuausstellung besteht.

Erstellen eines SCEP-Zertifikatprofils

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie Geräteverwalten> und wechseln Sie zu Konfiguration>>.

3. Geben Sie die folgenden Eigenschaften ein:

   • Plattform: Wählen Sie die Plattform Ihrer Geräte aus.

   • Profil: Wählen Sie SCEP-Zertifikat aus. Oder wählen Sie Vorlagen>SCEP-Zertifikat aus.

     Für Android Enterprise ist Profiltyp in zwei Kategorien unterteilt: Vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil und Persönliches Arbeitsprofil. Stellen Sie sicher, dass Sie das richtige SCEP-Zertifikatprofil für die von Ihnen verwalteten Geräte auswählen.

     SCEP-Zertifikatprofile für das Profil Fully Managed, Dedicated, and Corporate-Owned Work Profile (Vollständig verwaltet, dediziert und unternehmenseigen mit einem Arbeitsprofil) weisen die folgenden Einschränkungen auf:

     1. Unter Überwachung ist die Zertifikatberichterstattung für SCEP-Zertifikatprofile für Gerätebesitzer nicht verfügbar.
     2. Sie können Intune nicht verwenden, um Zertifikate zurückzurufen, die von SCEP-Zertifikatprofilen für Gerätebesitzer bereitgestellt wurden. Sie können den Widerruf über einen externen Prozess oder direkt mit der Zertifizierungsstelle verwalten.
     3. Für dedizierte Android Enterprise-Geräte werden SCEP-Zertifikatprofile nur für die WLAN-Netzwerkkonfiguration, VPNs und die Authentifizierung unterstützt. SCEP-Zertifikatprofile auf dedizierten Android Enterprise-Geräten werden nicht für die App-Authentifizierung unterstützt.

     Für Android (AOSP) gelten die folgenden Einschränkungen:

     1. Unter Überwachung ist die Zertifikatberichterstattung für SCEP-Zertifikatprofile für Gerätebesitzer nicht verfügbar.
     2. Sie können Intune nicht verwenden, um Zertifikate zurückzurufen, die von SCEP-Zertifikatprofilen für Gerätebesitzer bereitgestellt wurden. Sie können den Widerruf über einen externen Prozess oder direkt mit der Zertifizierungsstelle verwalten.
     3. SCEP-Zertifikatprofile werden für Wi-Fi Netzwerkkonfiguration unterstützt. Die Unterstützung von VPN-Konfigurationsprofilen ist nicht verfügbar. Ein zukünftiges Update kann Unterstützung für VPN-Konfigurationsprofile enthalten.
     4. Die folgenden Variablen können nicht für die Verwendung in Android (AOSP) SCEP-Zertifikatprofilen verwendet werden. Unterstützung für diese Variablen wird in einem zukünftigen Update bereitgestellt.
        • onPremisesSamAccountName
        • OnPrem_Distinguished_Name
        • Department

     Hinweis

     Der Gerätebesitzer entspricht unternehmenseigenen Geräten. Als Gerätebesitzer gelten:

     • Android Enterprise - Vollständig verwaltetes, dediziertes und Corporate-Owned Arbeitsprofil
     • Android AOSP
       • Benutzeraffinität
       • Benutzerlos

4. Wählen Sie Erstellen aus.

5. Geben Sie in Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Ihre Profile, damit Sie diese später leicht wiedererkennen. Ein geeigneter Profilname ist beispielsweise SCEP-Profil für das gesamte Unternehmen.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

6. Wählen Sie Weiter aus.

7. Nehmen Sie in den Konfigurationseinstellungen die folgenden Konfigurationen vor:

   • Bereitstellungskanal: Wählen Sie aus, wie Sie das Profil bereitstellen möchten. Diese Einstellung bestimmt auch den Schlüsselbund, in dem die verknüpften Zertifikate gespeichert werden. Deshalb ist es wichtig, den richtigen Kanal auszuwählen.

     Wählen Sie in Profilen mit Benutzerzertifikaten immer den Benutzerbereitstellungskanal aus. Der Benutzerkanal speichert Zertifikate im Benutzerschlüsselbund. Wählen Sie den Gerätebereitstellungskanal immer in Profilen mit Gerätezertifikaten aus. Der Gerätekanal speichert Zertifikate im Systemschlüsselbund.

     Es ist nicht möglich, den Bereitstellungskanal zu bearbeiten, nachdem Sie das Profil bereitgestellt haben. Sie müssen ein neues Profil erstellen, um einen anderen Kanal auswählen zu können.

   • Zertifikattyp:

     (Gilt für: Android, Android Enterprise, Android (AOSP), iOS/iPadOS, macOS und Windows)

     Wählen Sie einen Typ aus, je nachdem, wie Sie das Zertifikatprofil verwenden möchten:

     • Benutzer: Bei Benutzerzertifikate können sowohl Benutzer- als auch Geräteattribute im Antragstellernamen und im alternativen Antragstellernamen des Zertifikats enthalten sein.

     • Gerät: Gerätezertifikate können nur Geräteattribute im Antragsteller und SAN des Zertifikats enthalten.

       Benutzen Sie Gerät für Szenarios mit benutzerlosen Geräten (wie Kioske) oder Windows-Geräten. Auf Windows-Geräten wird das Zertifikat in den Zertifikatspeicher des lokalen Computers eingefügt.

       Wenn dieses Profil für macOS für die Verwendung des Gerätebereitstellungskanals konfiguriert ist, können Sie "Benutzer " oder "Gerät" auswählen. Wenn das Profil für die Verwendung des Benutzerbereitstellungskanals konfiguriert ist, können Sie nur Benutzer auswählen.

     Hinweis

     Speicherung von Zertifikaten, die von SCEP bereitgestellt werden:

     • macOS – Zertifikate, die Sie mit SCEP bereitstellen, werden immer im Systemschlüsselbund (auch Systemspeicher oder Geräteschlüsselbund genannt) des Geräts platziert, es sei denn, Sie wählen den Benutzerbereitstellungskanal aus.

     • Android: Geräte verfügen über einen VPN- und Apps-Zertifikatspeicher und einen WLAN-Zertifikatspeicher. Intune speichert SCEP-Zertifikate auf einem Gerät immer im VPN- und Apps-Speicher. Durch die Verwendung des VPN- und Apps-Speichers ist das Zertifikat zur Verwendung durch eine beliebige andere App verfügbar.

       Wenn ein SCEP-Zertifikat jedoch auch einem WLAN-Profil zugeordnet ist, wird das Zertifikat auch von Intune im WLAN-Speicher installiert.

       Wenn VPN-Apps konfiguriert sind, wird der Benutzer aufgefordert, das richtige Zertifikat auszuwählen. Die automatische Zertifikatgenehmigung für Fully Managed (oder BYOD-Szenarien) wird nicht unterstützt. Wenn alles korrekt eingerichtet ist, sollte das richtige Zertifikat bereits im Dialogfeld vorausgewählt sein.

   • Format des Antragstellernamens:

     Geben Sie Text ein, um Intune mitzuteilen, wie der Antragstellername in der Zertifikatanforderung automatisch erstellt werden soll. Die Optionen für das Format des Antragstellernamens sind abhängig vom ausgewählten Zertifikattyp (Benutzer oder Gerät).

     Tipp

     Wenn die Länge Ihres Antragstellernamens 64 Zeichen überschreitet, müssen Sie möglicherweise die Erzwingung der Namenslänge für Ihre interne Zertifizierungsstelle deaktivieren. Weitere Informationen finden Sie unter Deaktivieren des Erzwingens der DN-Länge.

     Hinweis

     Es gibt ein bekanntes Problem mit maskierten Sonderzeichen in CSRs bei der Verwendung von SCEP zum Abrufen von Zertifikaten, wenn der Antragstellername in der resultierenden CSR (Certificate Signing Request) eines der folgenden Zeichen als Escapezeichen enthält (gefolgt von einem umgekehrten Schrägstrich \):

     • +
     • ;
     • ,
     • =

     Hinweis

     Ab Android 12 unterstützt Android nicht mehr die Verwendung der folgenden Hardware-IDs für persönliche Geräte mit Arbeitsprofil:

     • Seriennummer
     • IMEI
     • MEID

     Intune-Zertifikatprofile für persönliche Arbeitsprofilgeräte, die auf diese Variablen im Antragstellernamen oder SAN angewiesen sind, können kein Zertifikat auf Geräten bereitstellen, auf denen Android 12 oder höher ausgeführt wird, wenn das Gerät bei Intune registriert ist. Geräte, die vor dem Upgrade auf Android 12 registriert wurden, können weiterhin Zertifikate erhalten, solange Intune zuvor die Bezeichner für Gerätehardware erhalten hat.

     Weitere Informationen zu dieser und anderen Änderungen, die mit Android 12 eingeführt wurden, finden Sie im Blogbeitrag Android Day Zero Support für Microsoft Endpoint Manager.

     • Benutzerzertifikattyp

       In dieses Textfeld können Sie ein benutzerdefiniertes Format für den Antragstellernamen eingeben, einschließlich statischem Text und Variablen. Es werden zwei Variablenoptionen unterstützt: Common Name (CN) und E-Mail (E).

       E-Mail (E) wird in der Regel mit der Variable {{EmailAddress}} festgelegt. Beispiel: E={{EmailAddress}}

       Allgemeiner Name (CN) kann auf eine der folgenden Variablen festgelegt werden:

       • CN={{UserName}}: Dies ist der Benutzername des Benutzers, z. B. janedoe.
       • CN={{UserPrincipalName}}: Der Benutzerprinzipalname des Benutzers, z. B janedoe@contoso.com.
       • CN={{AAD_Device_ID}}: Eine ID, die beim Registrieren eines Geräts in Microsoft Entra ID zugewiesen wird. Diese ID wird normalerweise für die Authentifizierung bei Microsoft Entra ID verwendet.
       • CN={{DeviceId}}: Dies ist eine ID, die bei der Registrierung eines Geräts bei Intune zugewiesen wird.

       Hinweis

       Vermeiden Sie die Verwendung von {{DeviceId}} für den Betreffnamen auf Windows-Geräten. In bestimmten Fällen führt das mit diesem Antragstellernamen generierte Zertifikat dazu, dass die Synchronisierung mit Intune fehlschlägt.

       • CN={{SERIALNUMBER}}: Die eindeutige Seriennummer (SN) wird in der Regel vom Hersteller verwendet, um ein Gerät zu identifizieren.

       • CN={{IMEINumber}}: Die eindeutige IMEI-Nummer (International Mobile Equipment Identity), die verwendet wird, um ein Mobiltelefon zu identifizieren.

       • CN={{OnPrem_Distinguished_Name}}: Dies ist eine Sequenz relativer definierter Namen, die durch Kommas getrennt sind, z. B. CN=Jane Doe,OU=UserAccounts,DC=corp,DC=contoso,DC=com.

         So verwenden Sie die {{OnPrem_Distinguished_Name}}-Variable:

         • Stellen Sie sicher, dass Sie das Benutzerattribut "onpremisesdistinguishedname" mithilfe von Microsoft Entra Connect mit Ihrer Microsoft Entra ID synchronisieren.
         • Wenn der CN-Wert ein Komma enthält, muss das Format des Antragstellernamens in Anführungszeichen stehen. Beispiel: CN="{{OnPrem_Distinguished_Name}}"

       • CN={{OnPremisesSamAccountName}}: Administratoren können das samAccountName-Attribut von Active Directory mit Microsoft Entra ID synchronisieren, indem sie Microsoft Entra Connect in ein Attribut namens onPremisesSamAccountName verwenden. Intune kann diese Variable als Teil einer Zertifikatsausstellungsanforderung im Antragsteller eines Zertifikats ersetzen. Das Attribut „samAccountName“ ist der zur Unterstützung von Clients und Servern aus einer früheren Version von Windows (vor Windows 2000) verwendete Benutzeranmeldename. Das Format des Benutzeranmeldenamens lautet: DomainName\testUser oder nur testUser.

         Um die Variable {{OnPremisesSamAccountName}} zu verwenden, müssen Sie das OnPremisesSamAccountName-Benutzerattribut mit Microsoft Entra Connect mit Ihrer Microsoft Entra ID synchronisieren.

       Alle im folgenden Abschnitt Gerätezertifikattyp aufgeführten Gerätevariablen können auch in Antragstellernamen für Benutzerzertifikate verwendet werden.

       Mithilfe einer Kombination von mindestens einer dieser Variablen und statischen Textzeichenfolgen können Sie ein benutzerdefiniertes Format des Antragstellernamens erstellen, z. B.: CN={{UserName}},E={{EmailAddress}},OU=Mobile,O=Finance Group,L=Redmond,ST=Washington,C=US

       Dieses Beispiel enthält das Format des Antragstellernamens, das die Variablen „CN“ und „E“ und Zeichenfolgen für die Werte „Organisationseinheit“, „Organisation“, „Standort“, „Bundesland/Kanton“ und „Land/Region“ verwendet. Die Funktion CertStrToName beschreibt diese Funktion und die unterstützten Zeichenfolgen.

       Benutzerattribute werden für Geräte ohne Benutzerzuordnungen nicht unterstützt, z. B. Geräte, die als Android Enterprise dediziert registriert sind. Beispielsweise kann ein Profil, das CN={{UserPrincipalName}} im Antragsteller oder SAN verwendet, den Benutzerprinzipalnamen nicht abrufen, wenn kein Benutzer auf dem Gerät vorhanden ist.

     • Gerätzertifikattyp

       Formatoptionen für das Format des Antragstellernamens umfassen die folgenden Variablen:

       • {{AAD_Device_ID}} oder {{AzureADDeviceId}} – Jede Variable kann verwendet werden, um ein Gerät anhand seiner Microsoft Entra ID zu identifizieren.
       • {{DeviceId}} – Die Intune-Geräteidentität
       • {{Device_Serial}}
       • {{Device_IMEI}}
       • {{SerialNumber}}
       • {{IMEINumber}}
       • {{WiFiMacAddress}}
       • {{IMEI}}
       • {{DeviceName}}
       • {{FullyQualifiedDomainName}}(gilt nur für Windows- und Domain-verbundene Geräte)
       • {{MEID}}

       Sie können diese Variablen sowie statischen Text im Textfeld angeben. Beispielsweise kann der allgemeine Name für ein Gerät namens Device1 als CN={{DeviceName}}Device1 hinzugefügt werden.

       Wichtig

       • Wenn Sie eine Variable angeben, schließen Sie den Variablennamen wie im Beispiel veranschaulicht in doppelte geschweifte Klammern („{{ }}“) ein, um einen Fehler zu vermeiden.
       • Geräteeigenschaften, die im Betreff oder alternativen Antragstellernamen eines Gerätezertifikats wie IMEI, SerialNumber oder FullyQualifiedDomainName verwendet werden, sind Eigenschaften, die von einer Person mit Zugriff auf das Gerät gespooft sein könnten.
       • Ein Gerät muss alle in einem Zertifikatprofil für dieses Profil angegebenen Variablen unterstützen, um auf diesem Gerät installiert werden zu können. Wenn {{IMEI}} beispielsweise im Antragstellernamen eines SCEP-Profils verwendet wird und einem Gerät ohne IMEI-Nummer zugewiesen ist, schlägt die Profilinstallation fehl.

   • Alternativer Antragstellername: Konfigurieren Sie den alternativen Antragstellernamen (SAN) in der Zertifikatsanforderung. Sie können mehr als einen alternativen Antragstellernamen eingeben. Der Textwert kann Variablen und statischen Text für das Attribut enthalten.

     Hinweis

      Die folgenden Android Enterprise-Profile unterstützen die Verwendung der Variablen {{UserName}} für das SAN nicht:

     • Vollständig verwaltetes, dediziertes und Corporate-Owned Arbeitsprofil

     Wählen Sie aus den verfügbaren SAN-Attributen aus:

     • E-Mail-Adresse
     • Benutzerprinzipalname (UPN)
     • DNS
     • Uniform Resource Identifier (URI)

     Der Typ des ausgewählten Zertifikats bestimmt die SAN-Variable.

     Hinweis

     Ab Android 12 unterstützt Android nicht mehr die Verwendung der folgenden Hardware-IDs für persönliche Geräte mit Arbeitsprofil:

     • Seriennummer
     • IMEI
     • MEID

     Intune-Zertifikatprofile für persönliche Arbeitsprofilgeräte, die auf diese Variablen im Antragstellernamen oder SAN angewiesen sind, können kein Zertifikat auf Geräten bereitstellen, auf denen Android 12 oder höher ausgeführt wird, wenn das Gerät bei Intune registriert ist. Geräte, die vor dem Upgrade auf Android 12 registriert wurden, können weiterhin Zertifikate erhalten, solange Intune zuvor die Bezeichner für Gerätehardware erhalten hat.

     Weitere Informationen zu dieser und anderen Änderungen, die mit Android 12 eingeführt wurden, finden Sie im Blogbeitrag Android Day Zero Support für Microsoft Endpoint Manager.

     • Benutzerzertifikattyp

       Mit dem Benutzerzertifikattyp können Sie eine der Benutzer- oder Gerätezertifikatvariablen verwenden, die oben im Abschnitt "Antragstellername" beschrieben werden.

       Benutzerzertifikattypen können beispielsweise den Benutzerprinzipalnamen (User Principal Name, UPN) in den alternativen Antragstellernamen aufnehmen. Wenn ein Clientzertifikat für die Authentifizierung bei einem Netzwerkrichtlinienserver verwendet wird, legen Sie den alternativen Antragstellernamen auf den Benutzerprinzipalnamen fest.

       Microsoft Intune unterstützt auch OnPremisesSecurityIdentifier, eine Variable, die mit den strengen Zuordnungsanforderungen des Key Distribution Center (KDC) für die zertifikatbasierte Authentifizierung konform ist. Sie sollten die Variable zu Benutzerzertifikaten hinzufügen, die sich beim KDC authentifizieren. Sie können die Variable, formatiert als {{OnPremisesSecurityIdentifier}}, zu neuen und vorhandenen Profilen im Microsoft Intune Admin Center hinzufügen. Diese Variable wird in Benutzerzertifikaten für macOS, iOS und Windows unterstützt und funktioniert nur mit dem URI-Attribut.

     • Gerätzertifikattyp

       Mit dem Gerätezertifikattyp können Sie eine der Variablen verwenden, die im Abschnitt Gerätezertifikattyp für den Antragstellernamen beschrieben sind.

       Schließen Sie den Variablennamen in geschweifte Klammern ein („{ }“), und fügen Sie den Text für diese Variable hinzu, um einen Wert für ein Attribut anzugeben. Beispielsweise kann mit {{AzureADDeviceId}}.domain.com ein Wert für das DNS-Attribut hinzugefügt werden, wobei .domain.com der Text ist. Für einen Benutzer namens User1 kann eine E-Mail-Adresse als {{FullyQualifiedDomainName}}User1@Contoso.com angezeigt werden.

       Durch die Verwendung einer Kombination aus einer oder mehreren dieser Variablen und statischen Textzeichenfolgen können Sie ein benutzerdefiniertes alternatives Antragstellernamenformat erstellen, z. B. {{UserName}}-Home.

       Microsoft Intune unterstützt auch OnPremisesSecurityIdentifier, eine Variable, die mit den strengen Zuordnungsanforderungen des Key Distribution Center (KDC) für die zertifikatbasierte Authentifizierung konform ist. Sie sollten die Variable zu den Gerätezertifikaten hinzufügen, die sich beim KDC authentifizieren. Sie können die Variable, formatiert als {{OnPremisesSecurityIdentifier}}, zu neuen und vorhandenen Profilen im Microsoft Intune Admin Center hinzufügen. Diese Variable wird in Gerätezertifikaten für Microsoft Entra Hybrid verbundene Geräte unterstützt und funktioniert nur mit dem URI-Attribut.

       Wichtig

       • Wenn Sie eine Gerätezertifikatvariable verwenden, schließen Sie den Variablennamen in doppelte geschweifte Klammern ein („{{ }}“).
       • Verwenden Sie für den Text nach der Variable keine geschweiften Klammern { }, senkrechten Striche | und Semikolons ;.
       • Geräteeigenschaften, die im Betreff oder alternativen Antragstellernamen eines Gerätezertifikats wie IMEI, SerialNumber oder FullyQualifiedDomainName verwendet werden, sind Eigenschaften, die von einer Person mit Zugriff auf das Gerät gespooft sein könnten.
       • Ein Gerät muss alle in einem Zertifikatprofil für dieses Profil angegebenen Variablen unterstützen, um auf diesem Gerät installiert werden zu können. Wenn {{IMEI}} beispielsweise im alternativen Antragstellernamen eines SCEP-Profils verwendet wird und einem Gerät ohne IMEI-Nummer zugewiesen ist, tritt bei der Profilinstallation ein Fehler auf.

   • Gültigkeitsdauer des Zertifikats:

     Sie können einen niedrigeren Wert als den für die Gültigkeitsdauer in der Zertifikatvorlage eingeben, aber keinen höheren. Wenn Sie die Zertifikatvorlage zum Konfigurieren benutzerdefinierter Gültigkeitsdauer von Zertifikaten konfiguriert haben, verwenden Sie diese Einstellung, um die verbleibende Zeit anzugeben, bevor das Zertifikat abläuft.

     Intune unterstützt einen Gültigkeitszeitraum von bis zu 24 Monaten.

     Wenn die Gültigkeitsdauer des Zertifikats in der Zertifikatvorlage beispielsweise zwei Jahre beträgt, können Sie als Wert „ein Jahr“ eingeben, aber nicht „fünf Jahre“. Zudem muss der Wert niedriger als die verbleibende Gültigkeitsdauer des Zertifikats der ausstellenden Zertifizierungsstelle sein.

     Planen Sie die Verwendung einer Gültigkeitsdauer von fünf Tagen oder höher. Wenn der Gültigkeitszeitraum weniger als fünf Tage beträgt, ist die Wahrscheinlichkeit hoch, dass das Zertifikat kurz vor dem Ablaufen oder Abgelaufen steht, was dazu führen kann, dass der MDM-Agent auf Geräten das Zertifikat ablehnt, bevor es installiert wird.

   • Schlüsselspeicheranbieter (KSP):

     (Gilt für: Windows)

     Geben Sie an, wo der Schlüssel für das Zertifikat gespeichert wird. Wählen Sie aus den folgenden Werten aus:

     • Bei TPM-KSP (Trusted Platform Module) registrieren, falls vorhanden, andernfalls Software-KSP
     • Bei TPM-KSP (Trusted Platform Module) registrieren, andernfalls Fehler
     • Bei Windows Hello for Business registrieren, andernfalls fehlschlagen
     • Bei Software-KSP registrieren

   • Schlüsselverwendung:

     Wählen Sie Schlüsselverwendungsoptionen für das Zertifikat aus:

     • Digitale Signatur: Lässt den Schlüsselaustausch nur zu, wenn der Schlüssel durch eine digitale Signatur geschützt ist.
     • Schlüsselverschlüsselung: Lässt den Schlüsselaustausch nur zu, wenn der Schlüssel verschlüsselt ist.

   • Schlüsselgröße (Bits):

     Wählen Sie die Anzahl der Bits aus, die im Schlüssel enthalten sein sollen:

     • Nicht konfiguriert

     • 1024

     • 2048

     • 4096 - A Key size of 4096 is supported for the following platforms:

       • Android (alle)
       • iOS/iPadOS 14 und höher
       • macOS 11 und höher
       • Windows (alle)

       Hinweis

       Auf Windows-Geräten wird der 4096-Bit-Schlüsselspeicher nur im Softwareschlüsselspeicheranbieter (Software Key Storage Provider , KSP) unterstützt. Die folgenden Richtlinien unterstützen das Speichern von Schlüsseln dieser Größe nicht:

       • Das Hardware-TPM (Trusted Platform Module). Als Problemumgehung können Sie die Software KSP zur Schlüsselspeicherung verwenden.
       • Windows Hello for Business. Für Windows Hello for Business gibt es zurzeit keine Problemumgehung.

   • Hashalgorithmus:

     (Gilt für Android, Android (AOSP), Android Enterprise und Windows)

     Wählen Sie einen der verfügbaren Hashalgorithmustypen, der für dieses Zertifikat verwendet werden soll. Wählen Sie die höchste Sicherheitsebene aus, die die verbundenen Geräten unterstützen.

     HINWEIS: Android AOSP- und Android Enterprise-Geräte wählen den stärksten unterstützten Algorithmus aus – SHA-1 wird ignoriert, und stattdessen wird SHA-2 verwendet.

   • Stammzertifikat:

     Wählen Sie das vertrauenswürdige Zertifikatprofil aus, das Sie zuvor konfiguriert und den entsprechenden Benutzern und Geräten für dieses SCEP-Zertifikatprofil zugewiesen haben. Das vertrauenswürdige Zertifikatprofil wird zum Bereitstellen von Benutzern und Geräten mit dem Zertifikat der vertrauenswürdigen Stammzertifizierungsstelle verwendet. Weitere Informationen zum vertrauenswürdigen Zertifikatprofil finden Sie unter Exportieren des Zertifikats der vertrauenswürdigen Stammzertifizierungsstelle und Erstellen vertrauenswürdiger Zertifikatprofile in Verwenden von Zertifikaten für die Authentifizierung in Intune.

     Hinweis

     Wenn Sie über eine PKI-Infrastruktur mit mehreren Ebenen verfügen, beispielsweise eine Stammzertifizierungsstelle und eine ausstellende Zertifizierungsstelle, wählen Sie das vertrauenswürdige Stammzertifikatprofil aus, das die ausstellende Zertifizierungsstelle überprüft.

   • Erweiterte Schlüsselverwendung:

     Fügen Sie Werte für den beabsichtigten Zweck des Zertifikats hinzu. In den meisten Fällen erfordert das Zertifikat Clientauthentifizierung, damit der Benutzer bzw. das Gerät auf einem Server authentifiziert werden kann. Sie können ggf. weitere Schlüsselverwendungen hinzufügen.

   • Verlängerungsschwellenwert (%):

     Geben Sie den Prozentsatz der Zertifikatgültigkeitsdauer an, die verbleibt, bevor das Gerät eine Verlängerung des Zertifikats anfordert. Wenn Sie beispielsweise „20“ eingeben, wird versucht, das Zertifikat zu erneuern, wenn das Zertifikat bereits zu 80 % abgelaufen ist. Die Erneuerungsversuche werden fortgesetzt, bis die Erneuerung erfolgreich ist. Bei der Erneuerung wird ein neues Zertifikat generiert, das zu einem neuen öffentlichen/privaten Schlüsselpaar führt.

     Hinweis

     Verlängerungsverhalten unter iOS/iPadOS und macOS: Zertifikate können nur während der Erneuerungsschwellenwertphase erneuert werden. Darüber hinaus muss das Gerät während der Synchronisierung mit Intune entsperrt werden. Wenn die Erneuerung nicht erfolgreich war, verbleibt das abgelaufene Zertifikat auf dem Gerät, und Intune löst keine Erneuerung mehr aus. Außerdem bietet Intune keine Option zum erneuten Bereitstellen abgelaufener Zertifikate. Betroffene Geräte müssen vorübergehend aus dem SCEP-Profil ausgeschlossen werden, um das abgelaufene Zertifikat zu entfernen und ein neues anzufordern.

   • SCEP-Server-URLs:

     Geben Sie mindestens eine URL für die NDES-Server ein, die Zertifikate über SCEP ausstellen. Geben Sie zum Beispiel https://ndes.contoso.com/certsrv/mscep/mscep.dll ein.

     Damit Geräte im Internet Zertifikate abrufen können, müssen Sie die NDES-URL außerhalb Ihres Unternehmensnetzwerks angeben. Es kann sich um eine HTTP- oder HTTPS-URL handeln. Allerdings muss in der SCEP-Server-URL zur Unterstützung der folgenden Geräte „HTTPS“ verwendet werden:

     • Android-Geräteadministrator
     • Android Enterprise-Gerätebesitzer
     • Unternehmenseigenes Android Enterprise-Arbeitsprofil
     • Persönliches Android Enterprise-Arbeitsprofil

     Sie können bei Bedarf zusätzliche SCEP-URLs für Lastenausgleiche hinzufügen. Geräte senden drei separate Aufrufe an den NDES-Server. Mit dem ersten Aufruf werden die Serverfunktionen abgerufen, mit dem zweiten Aufruf erfolgt der Abruf eines öffentlichen Schlüssels, und mit dem dritten Aufruf wird eine Anforderung zur Signierung übermittelt. Wenn Sie mehrere URLs verwenden, kann es sein, dass der Lastenausgleich dazu führt, dass für nachfolgende Aufrufe eines NDES-Servers eine andere URL verwendet wird. Wenn innerhalb derselben Anforderung ein anderer Server für einen nachfolgenden Aufruf kontaktiert wird, ist die Anforderung nicht erfolgreich.

     Das Verhalten zur Verwaltung der NDES-Server-URL ist für jede Geräteplattform spezifisch:

     • Android: Das Gerät randomisiert die Liste der URLs, die in der SCEP-Richtlinie empfangen werden, und durchläuft dann die Liste, bis ein zugänglicher NDES-Server ermittelt wird. Das Gerät verwendet dann weiterhin dieselbe URL und denselben Server für den gesamten Prozess. Wenn das Gerät auf keinen der NDES-Server zugreifen kann, schlägt der Vorgang fehl.
     • iOS/iPadOS: Intune randomisiert die URLs und stellt eine einzelne URL für ein Gerät bereit. Wenn das Gerät nicht auf den NDES-Server zugreifen kann, schlägt die SCEP-Anforderung fehl.
     • Windows: Die Liste der NDES-URLs wird randomisiert und an das Windows-Gerät übergeben, das diese dann in der empfangenen Reihenfolge testet, bis eine verfügbare URL gefunden wird. Wenn das Gerät auf keinen der NDES-Server zugreifen kann, schlägt der Vorgang fehl.

     Wenn ein Gerät den NDES-Server in diesen drei Aufrufen nicht erreicht, wird die SCEP-Anforderung nicht erfolgreich ausgeführt. Dies könnte beispielsweise der Fall sein, wenn eine Lastenausgleichslösung eine andere URL für den zweiten oder dritten Aufruf des NDES-Servers bereitstellt oder einen anderen tatsächlichen NDES-Server basierend auf einer virtualisierten URL für NDES zurückgibt. Nach einer nicht erfolgreichen Anforderung versucht ein Gerät, den Prozess im nächsten Richtlinienzyklus beginnend mit der randomisierten Liste der NDES-URLs (oder mit einer einzelnen URL für iOS/iPadOS) noch mal auszuführen.

8. Dieser Schritt gilt nur für Profile für Android Enterprise-Geräte für vollständig verwaltete, dedizierte und Corporate-Owned Arbeitsprofil.

   Konfigurieren Sie in Appsden Zertifikatzugriff , um zu verwalten, wie der Zertifikatzugriff auf Anwendungen gewährt wird. Wählen Sie zwischen:

   • Benutzergenehmigung für Apps erforderlich(Standard): Benutzer müssen die Verwendung eines Zertifikats durch alle Anwendungen genehmigen.
   • Für bestimmte Apps automatisch gewähren (Benutzergenehmigung für andere Apps erforderlich): Wählen Sie bei dieser Option Apps hinzufügen aus, und wählen Sie dann eine oder mehrere Apps aus, die das Zertifikat im Hintergrund ohne Benutzerinteraktion verwenden.

9. Wählen Sie Weiter aus.

10. Wählen Sie unter Zuweisungen die Benutzer oder Gruppen aus, denen das Profil zugewiesen werden soll. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

    Wählen Sie Weiter aus.

11. (Gilt nur für Windows) Geben Sie unter Anwendbarkeitsregeln Anwendbarkeitsregeln an, um die Zuweisung dieses Profils zu verfeinern. Sie können auswählen, dass das Profil basierend auf der Betriebssystemedition oder der Version eines Geräts zugewiesen oder nicht zugewiesen wird.

    Weitere Informationen finden Sie im Artikel Erstellen eines Geräteprofils in Microsoft Intune im Abschnitt Anwendbarkeitsregeln.

12. Überprüfen Sie die Einstellungen unter Überprüfen + erstellen. Wenn Sie auf „Erstellen“ klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Profilliste angezeigt.

Vermeiden von Zertifikatsignieranforderungen mit Sonderzeichen als Escapezeichen

Es gibt ein bekanntes Problem bei SCEP- und PKCS-Zertifikatanforderungen, die einen Antragstellernamen (CN) mit einem oder mehreren der folgenden Sonderzeichen als Escapezeichen enthalten. Antragstellernamen, die eines der Sonderzeichen als Escapezeichen enthalten, führen zu einer CSR mit einem falschen Antragstellernamen. Ein falscher Antragstellername führt dazu, dass die SCEP-Challenge-Validierung fehlschlägt und kein Zertifikat ausgestellt wird.

Die Sonderzeichen sind:

• +
• ,
• ;
• =

Wenn Ihr Antragstellername eines der Sonderzeichen enthält, verwenden Sie eine der folgenden Optionen, um diese Einschränkung zu umgehen:

• Kapseln Sie den CN-Wert, der das Sonderzeichen enthält, mit Anführungszeichen.
• Entfernen Sie das Sonderzeichen aus dem CN-Wert.

Beispielsweise haben Sie einen Antragstellernamen, der als Test user (TestCompany, LLC) angezeigt wird. Eine CSR, die einen CN mit dem Komma zwischen TestCompany und LLC umfasst, stellt ein Problem dar. Das Problem kann vermieden werden, indem Sie den gesamten CN in Anführungszeichen setzen oder das Komma zwischen TestCompany und LLC entfernen:

• Anführungszeichen hinzufügen: CN="Test User (TestCompany, LLC)",OU=UserAccounts,DC=corp,DC=contoso,DC=com
• Das Komma entfernen: CN=Test User (TestCompany LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

Allerdings tritt bei Versuchen, das Komma mithilfe eines umgekehrten Schrägstrichs mit einem Escapezeichen zu versehen, ein Fehler in den CRP-Protokollen auf:

• Maskiertes Komma: CN=Test User (TestCompany\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com

Der Fehler ähnelt dem folgenden:

Subject Name in CSR CN="Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com" and challenge CN=Test User (TESTCOMPANY\, LLC),OU=UserAccounts,DC=corp,DC=contoso,DC=com do not match

  Exception: System.ArgumentException: Subject Name in CSR and challenge do not match

   at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

Exception:    at Microsoft.ConfigurationManager.CertRegPoint.ChallengeValidation.ValidationPhase3(PKCSDecodedObject pkcsObj, CertEnrollChallenge challenge, String templateName, Int32 skipSANCheck)

   at Microsoft.ConfigurationManager.CertRegPoint.Controllers.CertificateController.VerifyRequest(VerifyChallengeParams value

Zuweisen des Zertifikatprofils

Weisen Sie SCEP-Zertifikatprofile auf die gleiche Weise zu, wie Sie Geräteprofile für andere Zwecke bereitstellen.

Beachten Sie jedoch Folgendes, bevor Sie fortfahren:

• Wenn Sie Gruppen SCEP-Zertifikatprofile zuweisen, wird die vertrauenswürdige Zertifikatsdatei der Stammzertifizierungsstelle (wie im vertrauenswürdigen Zertifikatprofil angegeben) auf dem Gerät installiert. Das Gerät verwendet das SCEP-Zertifikatprofil, um eine Zertifikatanforderung für das vertrauenswürdige Zertifikat der Stammzertifizierungsstelle zu erstellen.

• Das SCEP-Zertifikatprofil wird nur auf Geräten installiert, auf denen die Plattform ausgeführt wird, die Sie beim Erstellen des Zertifikatprofils angegeben haben.

• Sie können Zertifikatprofile zu Benutzer- oder Gerätesammlungen zuweisen.

• Damit Zertifikate möglichst schnell nach der Geräteregistrierung auf Geräten veröffentlicht werden können, weisen Sie das Zertifikatprofil besser einer Benutzergruppe zu (nicht einer Gerätegruppe). Wenn Sie es einer Gerätegruppe zuweisen, muss eine vollständige Geräteregistrierung stattfinden, bevor das Gerät Richtlinien empfängt.

• Wenn Sie die Co-Verwaltung für Intune und Konfigurations-Manager verwenden, bewegen Sie in Konfigurations-Manager den Schieberegler für Workloads für die Ressourcenzugriffsrichtlinie auf Intune oder Intune-Pilot. Mit dieser Einstellung können Windows-Clients das Anfordern des Zertifikats starten.

Nächste Schritte

Zuweisen von Profilen

Problembehandlung bei der Bereitstellung von SCEP-Zertifikatprofilen