Microsoft Cloud PKI configureren: uw eigen CA meenemen

In dit artikel wordt beschreven hoe u Microsoft Cloud PKI voor Intune configureert met uw eigen certificeringsinstantie (CA). Met het door Intune ondersteunde Bring Your Own CA-implementatiemodel (BYOCA) kunt u een persoonlijke uitgevende certificeringsinstantie in de cloud maken en verankeren aan uw on-premises of persoonlijke certificeringsinstantie. De private CA kan bestaan uit N+1 CA-hiërarchieën.

Vereisten

Voor meer informatie over hoe u uw tenant kunt voorbereiden op Microsoft Cloud PKI, inclusief belangrijke concepten en vereisten, raadpleegt u:

• Overzicht van Microsoft Cloud PKI voor Intune: Bekijk de architectuur, tenantvereisten, een functieoverzicht en bekende problemen en beperkingen.

• Implementatiemodellen: bekijk de opties voor Microsoft Cloud PKI-implementatie.

• Basisprincipes: bekijk de PKI-basisprincipes en concepten die belangrijk zijn om te weten voorafgaand aan configuratie en implementatie.

Toegangsbeheer op basis van rollen

Het account waarmee u zich aanmeldt bij het Microsoft Intune-beheercentrum, moet zijn gemachtigd om een certificeringsinstantie (CA) te maken. Het account Microsoft Entra Intune Administrator (ook wel Intune servicebeheerder genoemd) heeft de juiste ingebouwde machtigingen om CA's te maken. U kunt ook Cloud PKI CA-machtigingen toewijzen aan een beheerder. Zie Toegangsbeheer op basis van rollen met Microsoft Intune voor meer informatie.

Stap 1: een aanvraag voor het ondertekenen van een uitgevende certificeringsinstantie en een certificaat maken

Maak een uitgevende certificeringsinstantie in het Microsoft Intune-beheercentrum.

1. Ga naar Tenant administration>Cloud PKI en selecteer vervolgens Maken.

   

2. Voer voor de basisbeginselen de volgende eigenschappen in:

   • Naam: voer een beschrijvende naam in voor het CA-object. Geef deze een naam, zodat u deze later gemakkelijk kunt terugvinden. Voorbeeld: Contoso BYOCA geeft CA uit
   • Beschrijving: voer een beschrijving in voor het CA-object. Deze instelling is optioneel, maar wordt aanbevolen. Voorbeeld: Cloud PKI die CA uitgeeft met behulp van bring-your-own-root-CA verankerd aan een on-premises ADCS-uitgevende CA

3. Selecteer Volgende om door te gaan naar Configuratie-instellingen.

4. Selecteer het type CA en de hoofdbron van de certificeringsinstantie.

   

   Configureer de volgende instellingen voor de verlenende certificeringsinstantie:

   • CA-type: Selecteer Uitgevende certificeringsinstantie.
   • Bron hoofdcertificeringsinstantie: Selecteer Uw eigen hoofdcertificeringsinstantie meenemen. Met deze instelling wordt de hoofdbron van de certificeringsinstantie opgegeven die de uitgevende certificeringsinstantie verankert.

5. Geldigheidsperiode overslaan. Deze instelling is niet beschikbaar om te configureren. De CA die u gebruikt om de BYOCA-certificaat-ondertekeningsaanvraag te ondertekenen, bepaalt de geldigheidsperiode.

6. Selecteer voor Uitgebreid toetsgebruik hoe u de certificeringsinstantie wilt gebruiken.

   

   Om potentiële beveiligingsrisico's te voorkomen, mogen CA's alleen worden gebruikt. Uw opties:

   • Type: Selecteer het doel van de certificeringsinstantie. Het uitgebreide sleutelgebruik voor Any Purpose (2.5.29.37.0) is niet bedoeld voor gebruik, omdat het te tolerant is en een potentieel beveiligingsrisico vormt. Zie Sjabloon voor te tolerante certificaten bewerken met een erkende EKU voor meer informatie.
   • Als u een aangepaste uitgebreide sleutel wilt maken, voert u de naam en object-id in.

7. Voer onder Onderwerpkenmerkeneen algemene naam (CN) in voor de uitgevende certificeringsinstantie.

   

   Optionele kenmerken zijn:

   • Organisatie (O)
   • Organisatie-eenheid (OU)
   • Land (C)
   • Provincie (ST)
   • Plaats (L)

   Om te voldoen aan de PKI-standaarden hanteert Intune een limiet van twee tekens voor land/regio.

8. Voer onder Versleuteling de sleutelgrootte in.

   

   Uw opties:

   • RSA-2048

   • RSA-3072

   • RSA-4096

   Met deze instelling wordt de bovengrenssleutelgrootte afgedwongen die kan worden gebruikt bij het configureren van een SCEP-certificaatprofiel voor apparaatconfiguratie in Intune. Hiermee kunt u elke sleutelgrootte selecteren tot wat is ingesteld op de Cloud PKI-uitgevende CA. Houd er rekening mee dat een sleutelgrootte van 1024 en een SHA-1-hash niet wordt ondersteund met Cloud PKI. U hoeft het hashing-algoritme echter niet op te geven. De CA die u gebruikt om de CSR te ondertekenen, bepaalt het hashing-algoritme.

9. Selecteer Volgende om door te gaan naar Bereiktags.

10. U kunt desgewenst bereiktags toevoegen om de zichtbaarheid en toegang tot deze certificeringsinstantie te beheren.

11. Selecteer Volgende om door te gaan naar Controleren + maken.

12. Bekijk het overzicht. Wanneer u klaar bent om alles af te ronden, selecteert u Maken.

    Belangrijk

    Nadat u de certificeringsinstantie hebt gemaakt, kunt u deze eigenschappen niet meer bewerken. Selecteer Terug om de instellingen te bewerken en ervoor te zorgen dat ze correct zijn en voldoen aan uw PKI-vereisten. Als u later een EKU moet toevoegen, moet u een nieuwe certificeringsinstantie maken.

13. Ga terug naar de lijst met PKI-certificeringsinstanties voor de cloud in het beheercentrum. Selecteer Vernieuwen om de nieuwe certificeringsinstantie te zien.

14. Selecteer de certificeringsinstantie. Onder Basisbeginselen zou de status Ondertekening vereist moeten zijn.

15. Ga naar Eigenschappen.

16. Selecteer CSR downloaden. Wacht terwijl Intune een bestand met de naam van de certificeringsinstantie downloadt. Bijvoorbeeld: Contoso BYOCA die CA.req uitgeeft

Stap 2: Onderteken de aanvraag voor certificaatondertekening

Een persoonlijke CA is vereist om het CSR-bestand (Certificate Signing Request) dat u hebt gedownload te ondertekenen. De ondertekenende certificeringsinstantie kan een basiscertificeringsinstantie of een uitgevende certificeringsinstantie zijn van elke laag van de particuliere certificeringsinstantie. Er zijn twee manieren om te ondertekenen:

• Optie 1: Webinschrijving voor certificeringsinstantie gebruiken, een functie van Active Directory Certificate Services (ADCS). Deze optie biedt een eenvoudige webinterface waarmee u specifieke beheerderstaken kunt uitvoeren, zoals het aanvragen en verlengen van certificaten.

• Optie 2: Gebruik het uitvoerbare bestand van het Windows ADCS-opdrachtregelprogramma certreq.exe .

De volgende tabel bevat de object-id's (OID) die worden ondersteund voor het ondertekenen van certificaten die worden gebruikt in BYOCA-implementaties.

Zie de Help-documentatie van uw certificeringsinstantie voor meer informatie over het ondertekenen van certificaten.

Optie 1: inschrijving voor een certificeringsinstantie op het web

Gebruik notepad.exe op een Windows-apparaat of een vergelijkbaar programma op macOS om deze stappen te voltooien.

1. Open het REQ-bestand dat u hebt gedownload nadat u de uitgevende certificeringsinstantie hebt gemaakt. Kopieer (Ctrl + C) de inhoud van het bestand.

2. Open een browser op een apparaat dat toegang heeft tot de webhost waarop CA-webinschrijving wordt uitgevoerd. Bijvoorbeeld:https://WebSrv_running_CAWebEnrollment/certsrv

3. Selecteer Een certificaat aanvragen.

4. Selecteer geavanceerde certificaataanvraag.

5. Plak de eerder gekopieerde inhoud in het gebied Opgeslagen aanvraag .

6. Selecteer bij Certificaatsjabloonde optie Onderliggende certificeringsinstantie.

   Opmerking

   De onderliggende CA-sjabloon moet zijn gepubliceerd en beschikbaar zijn op de certificeringsinstantie die het certificaat ondertekent. Open certsrv.msc - Beheerconsole voor certificeringsinstanties op uw apparaat om de beschikbare certificaatsjablonen weer te geven.

7. Selecteer Verzenden om door te gaan.

8. Kies onder Certificaat uitgegeven de optie DER-gecodeerd of Grondtal 4. Cloud PKI ondersteunt beide bestandsindelingen. Voer daarna deze stappen uit:

   1. Selecteer Certificaat downloaden. Het certificaatbestand wordt gedownload en opgeslagen als certnew.cer.

   2. Selecteer Keten van downloadcertificaten. Het ondertekende certificaat wordt gedownload, inclusief de volledige certificaatketen, de basiscertificeringsinstantie en alle tussenliggende of uitgevende certificaten in de hiërarchie van de particuliere certificeringsinstantie. Het bestand wordt opgeslagen als certnew.p7b.

   Voor Intune zijn beide bestanden nodig om de uitgevende certificeringsinstantie voor Cloud PKI BYOCA in te schakelen.

9. Ga door naar Ondertekend certificaat uploaden om BYOCA die CA uitgeeft in dit artikel in te schakelen.

Optie 2: opdrachtregelprogramma Windows ADCS

Gebruik het opdrachtregelprogrammacertreq.exe om een certificaataanvraag in te dienen bij een certificeringsinstantie, waarin u de certificaatsjabloon en de certificeringsinstantie voor ondertekening kunt opgeven. Het REQ-bestand dat u eerder hebt gedownload, moet zich bevinden op de Windows-computer waarop u het opdrachtregelprogramma uitvoert.

U kunt de volgende syntaxis in de opdrachtregel gebruiken om een certificaataanvraag in te dienen met de geselecteerde sjabloon en handtekeningcertificeringsinstantie:

certreq -submit -attrib "CertificateTemplate:<template_name>" -config "<CA_server_name>\<CA_name>" <request_file> <response_file>

Vervang de variabelen in de opdracht als volgt:

1. Vervang <template_name> door de naam van de certificaatsjabloon die u wilt gebruiken.

2. Vervang <CA_server_name><CA_name> door de naam van de CA-server en de naam van de certificeringsinstantie die u wilt gebruiken voor het ondertekenen van de certificaataanvraag.

Er is geen actie nodig voor <request_file> en <response_file>. Deze worden vervangen door de naam van het bestand dat de certificaataanvraag bevat, en de naam van het bestand dat het antwoord van de certificeringsinstantie bevat.

In de volgende voorbeelden wordt beschreven hoe u een certificaataanvraag indient met behulp van de onderliggende CA-sjabloon en hoe u deze van een handtekening laat voorzien.

• Voorbeeld 1: De ondertekenende certificeringsinstantie, ContosoCA, wordt uitgevoerd op een server met de naam CA-Server. U kunt de volgende opdracht gebruiken:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "CA-Server\ContosoCA" certreq.req certnew.cer

• Voorbeeld 2: De ondertekenende certificeringsinstantie heeft de naam CaleroCorp SubCA (VS) en wordt uitgevoerd op een server met de naam Win2k16-subCA. U kunt de volgende opdracht gebruiken:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "Win2k16-subCA\CaleroCorp SubCA (US)" "c:\users\bill.CORP\Documents\CC BYORCA Issuing CA2.csr" c:\Users\bill.CORP\CC-BYOCA-IssuingCA-Signed.cer"

• Voorbeeld 3: Als u de versie zonder parameters uitvoert certreq.exe , vraagt Windows u om eerst het REQ-bestand te identificeren. Bij deze aanpak wordt de Windows-gebruikersinterface gebruikt om u te begeleiden bij het ondertekeningsproces.

Naast het ondertekende certificaat hebt u de volledige sleutelhanger van de persoonlijke certificeringsinstantie nodig. De volledige sleutelketen omvat de basiscertificeringsinstantie en alle tussenliggende, uitgevende of onderliggende certificeringsinstanties in de keten. Gebruik de volgende syntaxis in het opdrachtregelprogramma om de volledige sleutelhanger naar een P7B-bestand te exporteren:

certutil [options] -ca.chain OutCACertChainFile [Index]

Voer de opdracht uit vanaf een machine die lid is van een Windows-domein en netwerktoegang heeft tot ADCS. Bijvoorbeeld:

certutil -ca.chain c:\temp\fullChain.p7b

De geëxporteerde keten bekijken en controleren of de export heeft plaatsgevonden in Windows Verkenner:

1. Ga naar de padlocatie waarnaar het bestand is geëxporteerd.
2. Dubbelklik op het bestand om het te openen.

In het bestand ziet u de volledige keten, inclusief de hoofdcertificeringsinstanties en tussenliggende certificeringsinstanties.

Stap 3: Upload een ondertekend certificaat om BYOCA-uitgevende CA in te schakelen

Om het vereiste BYOCA Cloud PKI-proces voor het uitgeven van CA's te voltooien en de CA in de cloud in staat te stellen te beginnen met het uitgeven van certificaten voor Intune beheerde apparaten, moet u het volgende hebben:

• Een ondertekend certificaat voor de verlenende certificeringsinstantie van BYOCA.
• De volledige keten van de persoonlijke certificeringsinstantie die wordt gebruikt voor het ondertekenen van de certificaataanvraag.

Zie Stap 2 voor informatie over het voltooien van deze taken, die nodig zijn om door te gaan: Handtekeningaanvraag voor certificaatondertekening ondertekenen. De bestanden moeten beschikbaar zijn op dezelfde computer waarop het Microsoft Intune-beheercentrum wordt uitgevoerd.

1. Ga terug naar de lijst met Cloud PKI CA in het beheercentrum. Selecteer een certificeringsinstantie. De status moet Ondertekening vereist zijn.

2. Ga naar Eigenschappen en selecteer Ondertekend certificaat uploaden.

3. Het venster Ondertekend certificaat uploaden wordt geopend. Selecteer Bladeren onder Ondertekend certificaatbestand uploaden (.cer, .crt of .pem). Kies het ondertekende certificaatbestand.

4. Sleep de bestanden en zet ze neer onder Upload een of meer vertrouwenscertificaten (.cer, .crt .pem of .p7b) of selecteer Bladeren om het bestand op uw computer te zoeken.

5. Selecteer Opslaan en wacht terwijl het certificaat door Intune wordt geüpload. Dit kan een paar minuten duren.

6. Vernieuw de lijst met certificeringsinstanties. De statuskolom voor uw certificeringsinstantie wordt nu weergegeven als Actief. De algemene hoofdnaam wordt weergegeven als Externe hoofd-CA.

   

   U kunt de certificeringsinstantie in de lijst selecteren om de beschikbare eigenschappen weer te geven. Eigenschappen zijn onder meer:

   • URI-distributiepunt van de lijst met ingetrokken certificaten (CRL).
   • AIA-URI (Authority Information Access).
   • De Cloud PKI die CA uitgeeft, toont de SCEP-URI. De SCEP-URI moet worden gekopieerd naar het SCEP-configuratieprofiel voor elk certificaat dat door een platform is uitgegeven.

   Wanneer u klaar bent om de openbare sleutel voor de CA-vertrouwensrelatie te downloaden, selecteert u Downloaden.

   Opmerking

   De AIA-eigenschap voor een door BYOCA uitgevende CA wordt gedefinieerd door de private CA en bevat de eigenschappen die zijn gedefinieerd door de AIA-configuratie van de private CA. ADCS gebruikt een standaard LDAP AIA-locatie. Als de privé-CA een HTTP AIA-locatie biedt, wordt in de BYOCA-eigenschappen de HTTP AIA-locatie weergegeven.

Stap 4: Vertrouwensprofielen voor certificaten maken

Er moet een vertrouwd Intune-certificaatprofiel worden gemaakt voor elk CA-certificaat in de hiërarchie van de persoonlijke certificeringsinstantie als u een Cloud PKI BYOCA-uitgevende certificeringsinstantie gebruikt die is verankerd aan een particuliere certificeringsinstantie. Deze stap is vereist voor elk platform (Windows, Android, iOS/iPad, macOS) dat Cloud PKI SCEP-certificaten uitgeeft. Het is noodzakelijk om vertrouwen op te bouwen met de Cloud PKI-certificaatregistratie-instantie die het SCEP-protocol ondersteunt.

Zie Vertrouwde certificaatprofielen voor meer informatie over het maken van het profiel.

Certificaten exporteren

De geëxporteerde certificaten worden gebruikt om in Intune een vertrouwd certificaatprofiel te maken voor elke CA in de keten. Als u een persoonlijke CA gebruikt, moet u hun hulpprogramma's gebruiken om de CA-sleutelhanger te exporteren naar een DER- of Base 4-gecodeerde indelingsset met bestanden met een CER-extensie. Als ADCS uw persoonlijke certificeringsinstantie is, kunt u het opdrachtregelprogramma van Windows certutil.exe gebruiken om de volledige sleutelhanger van de certificeringsinstantie te exporteren naar een p7b-bestand.

Voer de volgende opdracht uit vanaf een apparaat dat lid is van een Windows-domein en netwerktoegang heeft tot ADCS.

certutil [options] -ca.chain OutCACertChainFile [Index]

Bijvoorbeeld:

certutil -ca.chain c:\temp\fullChain.p7b

U kunt Windows Verkenner gebruiken om de geëxporteerde keten te bekijken.

1. Ga naar de padlocatie waar het .p7b-bestand werd geëxporteerd en dubbelklik op het bestand. U ziet de volledige keten, inclusief de hoofdcertificeringsinstanties en tussenliggende certificeringsinstanties in de keten.

2. Klik met de rechtermuisknop op elk certificaat in de lijst.

3. Selecteer Alle taken>exporteren. Exporteer het vertrouwde certificaat in de DER-indeling. Het is raadzaam het geëxporteerde certificaatbestand dezelfde naam te geven als de CA die wordt weergegeven in de kolom Verleend aan van het hulpprogramma certmgr. De naam maakt het gemakkelijker om de basiscertificeringsinstantie in de lijst te vinden, omdat de algemene naam onder Verleend aan en Verleend door hetzelfde is.

Maak een vertrouwd certificaatprofiel voor een persoonlijke basiscertificeringsinstantie

Maak een vertrouwd certificaatprofiel met het geëxporteerde basiscertificeringsbestand dat u hebt gedownload. Maak in het beheercentrum een vertrouwd certificaatprofiel voor elk besturingssysteemplatform dat u wilt gebruiken en dat gebruikmaakt van het persoonlijke CA-basiscertificaat.

Vertrouwde certificaatprofielen maken voor particuliere onderliggende certificeringsinstanties

Maak een vertrouwd certificaatprofiel met het geëxporteerde, tussenliggende of uitgevende CA-bestand dat u hebt gedownload. Maak in het beheercentrum een vertrouwd certificaatprofiel aan voor elk besturingssysteem waarop u zich richt en dat gebruikmaakt van het uitgevende CA-basiscertificaat.

Een vertrouwd certificaatprofiel maken voor het verlenen van een certificeringsinstantie

1. Ga in het beheercentrum naar Tenant administration>Cloud PKI.

2. Selecteer de Cloud PKI BYOCA-uitgevende CA.

3. Ga naar Eigenschappen.

4. Selecteer Downloaden. Wacht terwijl de openbare sleutel voor de uitgevende certificeringsinstantie wordt gedownload.

5. Maak in het beheercentrum een vertrouwd certificaatprofiel voor elk besturingssysteemplatform dat u gebruikt. Zie Een vertrouwd certificaatprofiel maken voor instructies. Wanneer u hierom wordt gevraagd, voert u de openbare sleutel in die u hebt gedownload.

Het certificaat dat een uitgevende certificeringsinstantie hebt gedownload voor Cloud PKI BYOCA, moet op alle relying party's worden geïnstalleerd.

De bestandsnaam die wordt gegeven aan de gedownloade openbare sleutels is gebaseerd op de algemene namen die zijn opgegeven in de certificeringsinstantie. Sommige browsers, zoals Microsoft Edge, geven een waarschuwing weer als u een bestand downloadt met een .cer of andere bekende certificaatextensie. Als u deze waarschuwing ontvangt, selecteert u Behouden.

Stap 5: Een SCEP-certificaatprofiel maken

Maak een SCEP-certificaatprofiel voor elk besturingssysteemplatform dat u gebruikt, net zoals u hebt gedaan voor de vertrouwde certificaatprofielen. Het SCEP-certificaatprofiel wordt gebruikt om een leaf-clientverificatiecertificaat aan te vragen bij de verlenende certificeringsinstantie. Dit type certificaat wordt gebruikt in scenario's voor verificatie op basis van certificaten, voor zaken als Wi-Fi en VPN-toegang.

1. Ga terug naar Tenantbeheer>Cloud-PKI.

2. Selecteer een certificeringsinstantie met het type Uitgifte .

3. Ga naar Eigenschappen.

4. Kopieer de SCEP-URI naar het klembord.

5. Maak in het beheercentrum een SCEP-certificaatprofiel voor elk besturingssysteemplatform waarop u zich richt. Zie Een SCEP-certificaatprofiel maken voor instructies.

6. Koppel in het profiel onder Basiscertificaat het profiel van het vertrouwde certificaat. Het vertrouwde certificaat dat u selecteert, moet het basiscertificaat zijn waaraan de verlenende certificeringsinstantie in de hiërarchie van de certificeringsinstantie is verankerd.

   

7. Voor SCEP-server-URL's plakt u de SCEP-URI. Het is belangrijk dat u de tekenreeks {{CloudPKIFQDN}} zo laat. Intune vervangt deze tekenreeks van tijdelijke aanduidingen door de juiste FQDN wanneer het profiel wordt geleverd aan het apparaat. De FQDN wordt weergegeven in de *.manage.microsoft.com-naamruimte, een primaire Intune eindpunt. Zie Netwerkeindpunten voor Microsoft Intune voor meer informatie over Intune-eindpunten.

8. Configureer de overige instellingen volgens de volgende aanbevolen procedures:

   • Indeling van onderwerpnaam: zorg ervoor dat de opgegeven variabelen beschikbaar zijn op het gebruikers- of apparaatobject in Microsoft Entra ID. Als de doelgebruiker van dit profiel bijvoorbeeld geen e-mailkenmerk heeft, maar het e-mailadres in dit profiel wel is ingevuld, wordt het certificaat niet uitgegeven. Er wordt ook een fout weergegeven in het SCEP-certificaatprofielrapport.

   • Uitgebreid sleutelgebruik: Microsoft Cloud PKI biedt geen ondersteuning voor de optie Elk doel .

     Opmerking

     Zorg ervoor dat de EKU('s) die u selecteert, is geconfigureerd in de Cloud PKI-verlenende certificeringsinstantie (CA). Als u een EKU selecteert die niet aanwezig is op de Cloud PKI-uitgevende CA, treedt er een fout op met het SCEP-profiel. Er wordt ook geen certificaat verleend aan het apparaat.

   • SCEP-server-URL's: combineer geen NDES-/SCEP-URL's met Microsoft Cloud PKI die CA-SCEP-URL's uitgeeft.

9. Wijs het profiel toe en controleer het. Wanneer u klaar bent om alles af te ronden, selecteert u Maken.