Integrieren der Netzwerkzugriffssteuerung (NAC) mit Intune

Intune arbeitet mit Partnern für die Netzwerkzugriffssteuerung (Network Access Control, NAC) zusammen, um Organisationen beim Schützen von Unternehmensdaten zu helfen, wenn Geräte versuchen, auf lokale Ressourcen zuzugreifen.

Wie tragen Intune- und NAC-Lösungen zum Schutz der Ressourcen Ihrer Organisation bei?

Lösungen für die Netzwerkzugriffsteuerung überprüfen den Registrierungs- und Kompatibilitätsstatus des Geräts mit Intune, um Entscheidungen bezüglich der Zugriffssteuerung zu treffen. Wenn das Gerät nicht registriert ist oder registriert ist, aber nicht den Intune-Gerätekonformitätsrichtlinien entspricht, sollte es für die Registrierung oder eine Gerätekonformitätsprüfung an Intune umgeleitet werden.

Beispiel

Wenn das Gerät registriert und mit Intune kompatibel ist, sollte die NAC-Lösung dem Gerät den Zugriff auf Unternehmensressourcen erlauben. Benutzern kann beispielsweise der Zugriff auf das Unternehmens-WLAN oder VPN-Ressourcen gewährt oder verweigert werden.

Featureverhalten

Geräte, die aktiv mit Intune synchronisiert werden, können nicht vom Zustand Konform / Nicht konform in Nicht synchronisiert (oder Unbekannt) wechseln. Der Zustand Unbekannt ist für neu registrierte Geräte reserviert, die noch nicht im Hinblick auf ihre Konformität ausgewertet wurden.

Bei Geräten, für die der Zugriff auf Ressourcen blockiert ist, sollte der blockierende Dienst alle Benutzer auf das Verwaltungsportal umleiten, um festzustellen, warum das Gerät blockiert ist. Wenn die Benutzer diese Seite besuchen, werden ihre Geräte erneut synchron im Hinblick auf Konformität ausgewertet.

Netzwerkzugriffssteuerung und bedingter Zugriff

Die Netzwerkzugriffssteuerung nutzt bei Entscheidungen bezüglich der Zugriffssteuerung den bedingten Zugriff. Weitere Informationen finden Sie unter Gängige Möglichkeiten für die Verwendung des bedingten Zugriffs in Intune.

Funktionsweise der NAC-Integration

Im Folgenden erhalten Sie einen Überblick darüber, wie die Integration der Netzwerkzugriffssteuerung funktioniert, wenn sie in Intune integriert ist. In den Schritten 1-3 wird der Onboardingprozess erklärt. Nachdem die Lösung für die Zugriffssteuerung in Intune integriert wurde, wird in den Schritten 4-9 der laufende Betrieb beschrieben.

1. Registrieren Sie die NAC-Partnerlösung bei Microsoft Entra ID, und erteilen Sie delegierte Berechtigungen für die Intune NAC-API.
2. Konfigurieren Sie die Lösung des NAC-Partners mit den geeigneten Einstellungen, darunter die URL für die Intune-Ermittlung.
3. Konfigurieren Sie die Lösung des NAC-Partners für die Zertifikatauthentifizierung.
4. Der Benutzer stellt eine Verbindung zum WLAN-Zugriffspunkt her oder fordert eine VPN-Verbindung an.
5. Die Lösung des NAC-Partners leitet die Geräteinformationen an Intune weiter und fragt Intune nach dem Registrierungs- und Kompatibilitätsstatus des Geräts.
6. Wenn das Gerät nicht konform oder nicht registriert ist, weist die Lösung des NAC-Partners den Benutzer an, das Gerät zu registrieren oder die Konformitätsprobleme zu beheben.
7. Das Gerät versucht bei Bedarf, seinen Konformitäts- und Registrierungszustand erneut zu überprüfen.
8. Wenn das Gerät registriert wurde und kompatibel ist, erhält die Lösung des NAC-Partners von Intune eine entsprechende Statusmeldung.
9. Die Verbindung wird erfolgreich hergestellt, und das Gerät erhält Zugriff auf Unternehmensressourcen.

Aktivieren von NAC

Um die Verwendung von NAC und des Compliance-Abrufdiensts zu aktivieren, lesen Sie die neueste Dokumentation Ihres NAC-Produkts zum Aktivieren der NAC-Integration mit Intune. Diese Integration erfordert möglicherweise Änderungen, nachdem Sie ein Upgrade auf ein neues NAC-Produkt oder eine neue NAC-Version durchgeführt haben.

Der Complianceabrufdienst erfordert eine zertifikatbasierte Authentifizierung und die Verwendung der Intune-Geräte-ID als alternativen Antragstellernamen der Zertifikate. Für SCEP-Zertifikate (Simple Certificate Enrollment-Protokoll) und PKCS-Zertifikate (Private and Public Key Pair) können Sie ein Attribut des Typs URI mit einem von Ihrem NAC-Anbieter definierten Wert hinzufügen. In den Anweisungen Ihres NAC-Anbieters könnte beispielsweise stehen, dass als Betreff ein alternativer Name verwendet IntuneDeviceId://{{DeviceID}}werden soll.

Bei anderen NAC-Produkten müssen Sie möglicherweise eine Geräte-ID angeben, wenn Sie NAC mit iOS-VPN-Profilen verwenden.

Weitere Informationen zu Zertifikatsprofilen finden Sie unter Verwenden von SCEP-Zertifikatprofilen mit Microsoft Intune und Verwenden eines PKCS-Zertifikatprofils zur Bereitstellung von Geräten mit Zertifikaten in Microsoft Intune.

Daten, die mit NAC-Partnern geteilt werden

Die spezifischen Geräteeigenschaften, die für NAC-Partner freigegeben werden, hängen von der Version der NAC-API ab, die das NAC-Produkt verwendet. Wenden Sie sich an Ihren NAC-Partner, um weitere Informationen darüber zu erhalten, welche Version der NAC- oder Compliance-Retrieval-API Ihr NAC-Produkt verwendet.

Außerdem sind die zurückgegebenen Daten beschränkt, wenn:

• Das Gerät ist nicht bei Intune registriert. In diesem Fall werden keine anderen Informationen als die Tatsache, dass das Gerät nicht von Intune verwaltet wird, für das NAC-Produkt freigegeben.
• Das Betriebssystem verhindert, dass die spezifische Geräteeigenschaft mit Microsoft geteilt wird. Intune gibt leere Werte für Dateneigenschaften, die nicht vom Betriebssystem für Intune freigegeben wurden, wieder an das NAC-Produkt weiter.

Nächste Schritte

• Integrieren Sie Extreme Networks ExtremeCloud Universal ZTNA
• Integrieren Sie Extreme Networks ExtremeCloud mit Intune
• Integrieren von Cisco ISE in Intune
• Integrieren von Citrix Gateway in Intune
• Integrieren von F5 BIG-IP Access Policy Manager in Intune
• Forescout in Intune integrieren
• Integrieren von HPE Aruba ClearPass in Intune
• Integrieren von Squadra Security Removable Media Manager (secRMM) in Intune
• Integrieren von FortiNAC in Intune