Configurare e usare i certificati PKCS importati con Intune

Microsoft Intune supporta l'uso di certificati PKCS (Public Key Pair) importati, comunemente usati per la crittografia S/MIME con i profili di Email. Alcuni profili di posta elettronica in Intune supportano un'opzione per abilitare S/MIME in cui è possibile definire un certificato di firma S/MIME e un certificato di crittografia S/MIME.

La crittografia S/MIME è complessa perché la posta elettronica viene crittografata con un certificato specifico:

• È necessario avere la chiave privata del certificato che ha crittografato il messaggio di posta elettronica nel dispositivo in cui si legge il messaggio in modo che possa essere decrittografato.
• Prima della scadenza di un certificato in un dispositivo, è consigliabile importare un nuovo certificato in modo che i dispositivi possano continuare a decrittografare i nuovi messaggi di posta elettronica. Il rinnovo di questi certificati non è supportato.
• I certificati di crittografia vengono rinnovati regolarmente, il che significa che è consigliabile mantenere i certificati passati nei dispositivi, per garantire che i messaggi di posta elettronica meno recenti possano continuare a essere decrittografati.

Poiché lo stesso certificato deve essere usato su più dispositivi, non è possibile usare i profili di certificato SCEP o PKCS a questo scopo, perché questi meccanismi di recapito dei certificati forniscono certificati univoci per ogni dispositivo.

Per altre informazioni sull'uso di S/MIME con Intune, usare S/MIME per crittografare la posta elettronica.

Piattaforme supportate

Intune supporta l'importazione di certificati PFX per le piattaforme seguenti:

• Amministratore del dispositivo Android
• Android Enterprise:
  • Completamente gestito
  • Corporate-Owned profilo di lavoro
  • Personally-Owned profilo di lavoro
• iOS/iPadOS
• macOS
• Windows

Requisiti

Per usare i certificati PKCS importati con Intune, è necessaria l'infrastruttura seguente:

• Connettore di certificato per Microsoft Intune:

  Il connettore di certificato gestisce le richieste di file PFX importati in Intune per la crittografia email S/MIME per un utente specifico. Verificare che ogni connettore installato abbia accesso alla chiave privata usata per crittografare le password dei file PFX caricati.

  Per informazioni sul connettore di certificato, vedere:

  • Panoramica del connettore di certificato per Microsoft Intune.
  • Prerequisiti.
  • Installazione e configurazione.

• Windows Server:

  Il connettore di certificato viene installato in un server Windows Server che soddisfa i prerequisiti del connettore.

• Visual Studio 2015 o superiore (facoltativo):

  Si utilizza Visual Studio per compilare il modulo helper PowerShell con cmdlet per l'importazione di certificati PFX in Microsoft Intune. Per ottenere i cmdlet di PowerShell dell'helper, vedere Progetto PowerShell PFXImport in GitHub.

Come funziona

Quando si usa Intune per distribuire un certificato PFX importato a un utente, oltre al dispositivo sono in gioco due componenti:

• Servizio Intune: archivia i certificati PFX in uno stato crittografato e gestisce la distribuzione del certificato al dispositivo dell'utente. Le password che proteggono le chiavi private dei certificati vengono crittografate prima che vengano caricate tramite un modulo di protezione hardware (HSM) o Windows Cryptography, assicurando che Intune non possa accedere alla chiave privata in qualsiasi momento.

• Connettore di certificato per Microsoft Intune: quando un dispositivo richiede un certificato PFX importato in Intune, la password crittografata, il certificato e la chiave pubblica del dispositivo vengono inviati al connettore. Il connettore decrittografa la password usando la chiave privata locale e quindi crittografa nuovamente la password (ed eventuali profili plist se si usa iOS) con la chiave del dispositivo prima di inviare nuovamente il certificato a Intune. Intune recapita quindi il certificato al dispositivo e il dispositivo lo decrittografa con la chiave privata del dispositivo e installa il certificato.

Importare certificati PFX in Intune

Si usa Microsoft Graph per importare i certificati PFX degli utenti in Intune. L'helper PFXImport PowerShell Project su GitHub fornisce i cmdlet per eseguire le operazioni con facilità.

Se si preferisce usare la propria soluzione personalizzata con Graph, usare il tipo di risorsa userPFXCertificate.

Compilare i cmdlet "Progetto PowerShell PFXImport"

Per usare i cmdlet di PowerShell, il progetto viene compilato manualmente usando Visual Studio. Il processo è semplice e, sebbene possa essere eseguito sul server, ti consigliamo di eseguirlo sulla tua workstation.

1. Passare alla radice del repository Intune-Resource-Access in GitHub e quindi scaricare o clonare il repository con Git nel computer.

   

2. Passare al .\Intune-Resource-Access-develop\src\PFXImportPowershell\ progetto e aprirlo con Visual Studio usando il PFXImportPS.sln file.

3. Nella parte superiore, passare da Debug a Rilascio.

4. Passare a Compila e selezionare Crea PFXImportPS. Tra pochi istanti verrà visualizzata la conferma di compilazione completata nella parte inferiore sinistra di Visual Studio.

   

5. Il processo di compilazione crea una nuova cartella con il modulo PowerShell in .\Intune-Resource-Access-develop\src\PFXImportPowershell\PFXImportPS\bin\Release.

   Si userà questa cartella Release per i passaggi successivi.

Creare la crittografia Chiave pubblica

I certificati PFX e le relative chiavi private vengono importati in Intune. La password che protegge la chiave privata è crittografata con una chiave pubblica archiviata in locale. È possibile usare la crittografia di Windows, un modulo di sicurezza hardware o un altro tipo di crittografia per generare e archiviare le coppie di chiavi pubblica/privata. A seconda del tipo di crittografia utilizzata, la coppia di chiavi pubblica/privata può essere esportata in un formato di file a scopo di backup.

Il modulo PowerShell fornisce metodi per creare una chiave usando la crittografia di Windows. È anche possibile usare altri strumenti per creare una chiave.

Per creare la chiave di crittografia usando la crittografia Windows

1. Copiare la cartella Release creata da Visual Studio nel server in cui è stato installato il Connettore di certificato per Microsoft Intune. Questa cartella contiene il modulo PowerShell.

2. Nel server aprire PowerShell come amministratore e quindi passare alla cartella Release che contiene il modulo PowerShell.

3. Per importare il modulo, eseguire Import-Module .\IntunePfxImport.psd1 per importare il modulo.

4. Quindi, esegui Add-IntuneKspKey -ProviderName "Microsoft Software Key Storage Provider" -KeyName "PFXEncryptionKey"

   Consiglio

   Il provider utilizzato deve essere selezionato di nuovo durante l'importazione dei certificati PFX. Puoi usare il provider di archiviazione di chiavi software Microsoft, anche se è supportato per l'uso di un provider diverso. Il nome della chiave viene fornito anche come esempio ed è possibile usare un nome di chiave diverso a scelta.

   Se si prevede di importare il certificato dalla workstation, è possibile esportare questa chiave in un file con il comando seguente: Export-IntunePublicKey -ProviderName "<ProviderName>" -KeyName "<KeyName>" -FilePath "<File path\Filename.PFX>"

   La chiave privata deve essere importata in ogni server che ospita il connettore di certificati per Microsoft Intune in modo che i certificati PFX importati possano essere elaborati correttamente.

Per usare un modulo di protezione hardware

È possibile usare un modulo di protezione hardware per generare e archiviare la coppia di chiavi pubblica/privata. Per altre informazioni, vedere la documentazione del provider del modulo di protezione hardware.

Importare certificati PFX

Il processo seguente usa i cmdlet di PowerShell come esempio di importazione dei certificati PFX. Puoi scegliere diverse opzioni a seconda delle tue esigenze.

Le opzioni disponibili sono:

• Scopo previsto (raggruppa i certificati in base a un tag):

  • non assegnato
  • smimeEncryption
  • smimeSigning

• Schema di riempimento:

  • oaepSha256
  • oaepSha384
  • oaepSha512

Selezionare il provider di archiviazione chiavi corrispondente al provider utilizzato per creare la chiave.

Per importare il certificato PFX

1. Esportare i certificati da qualsiasi Autorità di certificazione (CA) seguendo la documentazione del provider. Per Servizi certificati Microsoft Active Directory, è possibile usare lo script di esempio Export-CMPfxCertificates.

2. Nel server aprire PowerShell come amministratore e quindi passare alla cartella Release che contiene il modulo di PowerShell IntunePfxImport.psd1.

   Nota

   Le modifiche seguenti devono essere apportate per i tenant GCC High e DoD prima di eseguire IntunePfxImport.psd1.

   Usare un editor di testo o PowerShell ISE per modificare il file, che aggiorna gli endpoint del servizio per l'ambiente GCC High. Si noti che questi aggiornamenti modificano gli URI da .com a suffissi .us . Sono disponibili due aggiornamenti totali all'interno di IntunePfxImport.psd1. Uno per AuthURI e il secondo per GraphURI:

   PrivateData = @{
       AuthURI = "login.microsoftonline.us"
       GraphURI = "https://graph.microsoft.us"
       SchemaVersion = "beta"
   
       ClientId = "00000000-0000-0000-0000-000000000000" # Client Id from Azure app registration
   
       ClientSecret = ""  # client secret from app registration when using application permissions to authenticate
   
       TenantId = "00000000-0000-0000-0000-000000000000" # TenantId is required when using client secret
       }
   

   Dopo aver salvato le modifiche, riavviare PowerShell.

3. Per importare il modulo, eseguire Import-Module .\IntunePfxImport.psd1

4. Per eseguire l'autenticazione in Intune Graph, eseguireSet-IntuneAuthenticationToken -AdminUserName "<Admin-UPN>"

   Nota

   Poiché l'autenticazione viene eseguita su Graph, è necessario fornire le autorizzazioni all'AppID. Se è la prima volta che si usa questa utilità, è necessario un ruolo di amministratore di Intune. I cmdlet di PowerShell usano lo stesso AppID usato con gli esempi di Intune di PowerShell.

5. Convertire la password per ogni file PFX importato in una stringa sicura eseguendo .$SecureFilePassword = ConvertTo-SecureString -String "<PFXPassword>" -AsPlainText -Force

6. Per creare un oggetto UserPFXCertificate , eseguire $userPFXObject = New-IntuneUserPfxCertificate -PathToPfxFile "<FullPathPFXToCert>" $SecureFilePassword "<UserUPN>" "<ProviderName>" "<KeyName>" "<IntendedPurpose>"

   Ad esempio: $userPFXObject = New-IntuneUserPfxCertificate -PathToPfxFile "C:\temp\userA.pfx" $SecureFilePassword "userA@contoso.com" "Microsoft Software Key Storage Provider" "PFXEncryptionKey" "smimeEncryption"

   Nota

   Quando si importa il certificato da un sistema diverso dal server in cui è installato il connettore, è necessario utilizzare il comando seguente, che include il percorso del file della chiave: $userPFXObject = New-IntuneUserPfxCertificate -PathToPfxFile "<FullPathToPFX>" $SecureFilePassword "<UserUPN>" "<ProviderName>" "<KeyName>" "<IntendedPurpose>" "<PaddingScheme>" "<File path to public key file>"

   La VPN non è supportata come scopo previsto.

7. Importare l'oggetto UserPFXCertificate in Intune eseguendoImport-IntuneUserPfxCertificate -CertificateList $userPFXObject

8. Per verificare che il certificato sia stato importato, eseguire Get-IntuneUserPfxCertificate -UserList "<UserUPN>"

9. Come procedura consigliata per pulire la cache dei token di Microsoft Entra senza attendere che scada autonomamente, eseguireRemove-IntuneAuthenticationToken

Per altre informazioni su altri comandi disponibili, vedere il file Leggimi disponibile nel progetto PowerShell PFXImport in GitHub.

Creare un profilo di certificato importato PKCS

Dopo aver importato i certificati in Intune, creare un profilo di certificato importato PKCS e assegnarlo ai gruppi di Microsoft Entra.

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare e andare a Dispositivi>, Gestisci dispositivi>,Configurazione, Crea>.

3. Immettere le proprietà seguenti:

   • Piattaforma: scegliere la piattaforma per il proprio dispositivo.
   • Profilo: selezionare il certificato importato PKCS. In alternativa, selezionare Modelli>Certificato importato PKCS.

4. Selezionare Crea.

5. In Informazioni di base immettere le proprietà seguenti:

   • Nome: immettere un nome descrittivo per il profilo. Assegnare ai profili nomi che possano essere identificati facilmente in un secondo momento. Ad esempio, un nome di profilo valido è il profilo del certificato PKCS importato per l'intera società.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

6. Seleziona Avanti.

7. In Impostazioni di configurazione immettere le proprietà seguenti:

   • Scopo previsto: specificare lo scopo previsto dei certificati importati per questo profilo. Gli amministratori possono importare certificati con scopi diversi, ad esempio la firma S/MIME o la crittografia S/MIME. Lo scopo previsto selezionato nel profilo del certificato corrisponde al profilo del certificato con i certificati importati correttamente. Lo scopo previsto è un tag per raggruppare i certificati importati e non garantisce che i certificati importati con tale tag soddisfino lo scopo previsto. Quando vengono importati più certificati per un singolo utente, Intune seleziona il certificato importato con la data e l'ora di inizio del certificato più recenti, nel caso in cui siano presenti più certificati con lo stesso scopo previsto.

   • Provider di archiviazione chiavi (KSP): Per Windows, selezionare la posizione in cui archiviare le chiavi nel dispositivo.

8. Questo passaggio si applica solo ai profili dei dispositivi Android Enterprise per il profilo di lavoro completamente gestito, dedicato e Corporate-Owned.

   In App configurare l'accesso al certificato per gestire il modo in cui viene concesso l'accesso al certificato alle applicazioni. Scegliere una delle opzioni seguenti:

   • Richiedi l'approvazione dell'utente per le app(impostazione predefinita): gli utenti devono approvare l'uso di un certificato da parte di tutte le applicazioni.
   • Concedi automaticamente per app specifiche (richiedere l'approvazione dell'utente per altre app): con questa opzione selezionare Aggiungi app e quindi selezionare una o più app che useranno automaticamente il certificato senza interazione dell'utente.

9. Seleziona Avanti.

10. In Assegnazioni selezionare gli utenti o i gruppi che riceveranno il profilo. Per altre informazioni sull'assegnazione di profili, vedere Assegnare profili utente e dispositivo.

    Seleziona Avanti.

11. (Si applica solo a Windows) In Regole di applicabilità specificare le regole di applicabilità per perfezionare l'assegnazione del profilo. È possibile scegliere di assegnare o meno il profilo in base all'edizione del sistema operativo o alla versione di un dispositivo.

    Per ulteriori informazioni, vedere Regole di applicabilità in Creare un profilo dispositivo in Microsoft Intune.

    Seleziona Avanti.

12. In Rivedi e crea rivedere le impostazioni. Quando si seleziona Crea, le modifiche vengono salvate e il profilo viene assegnato. Il criterio viene visualizzato anche nell'elenco dei profili.

Supporto per i partner di terze parti

I partner seguenti forniscono metodi o strumenti supportati che è possibile usare per importare certificati PFX in Intune.

DigiCert

Se si utilizza il servizio Piattaforma PKI DigiCert, è possibile utilizzare lo strumento di importazione DigiCert per i certificati S/MIME di Intune per importare i certificati PFX in Intune. L'uso di questo strumento sostituisce la necessità di seguire le istruzioni nella sezione Importare certificati PFX in Intune descritta in precedenza in questo articolo.

Per ulteriori informazioni sullo strumento di importazione DigiCert, incluso come ottenere lo strumento, consulta https://knowledge.digicert.com/tutorials/microsoft-intune.html la Knowledge Base DigiCert.

EverTrust

Se si utilizza EverTrust come soluzione PKI, autonoma o combinata con un'infrastruttura PKI esistente, è possibile configurare EverTrust Horizon per importare i certificati PFX in Intune. Dopo aver completato l'integrazione, non sarà necessario seguire le istruzioni nella sezione Importare certificati PFX in Intune descritta in precedenza in questo articolo.

Per ulteriori informazioni sull'integrazione di EverTrust con Intune, vedere https://evertrust.fr/horizon-and-intune-integration/.

KeyTalk

Se si utilizza il servizio KeyTalk, è possibile configurare il relativo servizio per importare i certificati PFX in Intune. Dopo aver completato l'integrazione, non sarà necessario seguire le istruzioni nella sezione Importare certificati PFX in Intune in Intune descritta in precedenza in questo articolo.

Per ulteriori informazioni sull'integrazione di KeyTalk con Intune, consultare https://keytalk.com/support la Knowledge Base di KeyTalk.

Passaggi successivi

Usare SCEP per i certificati

Intune'interfaccia utente visualizza i dispositivi Windows Server come distinti dai client Windows per la gestione della sicurezza per Microsoft Defender per endpoint scenario

Per supportare lo scenario di gestione della sicurezza per Microsoft Defender per endpoint (configurazione della sicurezza MDE), Intune differenzierà presto i dispositivi Windows in Microsoft Entra ID come Windows Server o come Windows.

Con questa modifica sarà possibile migliorare la definizione del target dei criteri per la configurazione della sicurezza di Microsoft Defender per endpoint. Ad esempio, sarà possibile usare gruppi dinamici costituiti solo da dispositivi Windows Server o solo dispositivi client Windows.