Vertrouwde basiscertificaatprofielen voor Microsoft Intune

Wanneer u Intune gebruikt om apparaten met certificaten in te richten voor toegang tot uw bedrijfsbronnen en netwerk, gebruik dan een vertrouwd certificaatprofiel om het vertrouwde basiscertificaat op die apparaten te implementeren. Vertrouwde basiscertificaten brengen een vertrouwensrelatie tot stand tussen het apparaat en uw basiscertificeringsinstantie of tussenliggende CA (uitgevende) van waaruit de andere certificaten worden uitgegeven.

U implementeert het vertrouwde certificaatprofiel op dezelfde apparaten en gebruikers die de certificaatprofielen ontvangen voor SCEP (Simple Certificate Enrollment Protocol), PKCS (Public Key Cryptography Standards) en geïmporteerde PKCS.

Het certificaat van de vertrouwde basiscertificeringsinstantie exporteren

Als u geïmporteerde PKCS-, SCEP- en PKCS-certificaten wilt gebruiken, moeten apparaten uw basiscertificeringsinstantie kunnen vertrouwen. Als u een vertrouwensrelatie tot stand wilt brengen, exporteert u het vertrouwde certificaat van de basiscertificeringsinstantie en eventuele tussenliggende certificaten of certificaten van een verlenende certificeringsinstantie als een openbaar certificaat (.cer). U kunt deze certificaten verkrijgen van de verlenende certificeringsinstantie of van elk apparaat dat de verlenende certificeringsinstantie vertrouwt.

Raadpleeg de documentatie bij uw certificeringsinstantie om het certificaat te exporteren. U moet het openbare certificaat exporteren als een DER-gecodeerd .cer bestand. Exporteer niet de persoonlijke sleutel, een .pfx bestand.

U gebruikt dit .cer bestand wanneer u vertrouwde certificaatprofielen maakt om dat certificaat op uw apparaten te implementeren.

Vertrouwde certificaatprofielen maken

Voordat u een geïmporteerd SCEP-, PKCS- of PKCS-certificaatprofiel maakt, maakt u een vertrouwd certificaatprofiel en implementeert u dit. Implementeer het vertrouwde certificaatprofiel naar dezelfde groepen die de andere certificaatprofieltypen ontvangen. Deze stap zorgt ervoor dat elk apparaat de legitimiteit van uw certificeringsinstantie kan herkennen, inclusief VPN-, Wi-Fi- en e-mailprofielen.

SCEP-certificaatprofielen verwijzen rechtstreeks naar een vertrouwd certificaatprofiel. PKCS-certificaatprofielen verwijzen niet rechtstreeks naar het vertrouwde certificaatprofiel, maar verwijzen wel rechtstreeks naar de server waarop uw certificeringsinstantie wordt gehost. Door PKCS geïmporteerde certificaatprofielen verwijzen niet rechtstreeks naar het vertrouwde certificaatprofiel, maar kunnen dit op het apparaat worden gebruikt. Door een vertrouwd certificaatprofiel op apparaten te implementeren, wordt dit vertrouwen tot stand gebracht. Wanneer een apparaat de basiscertificeringsinstantie niet vertrouwt, mislukt het SCEP- of PKCS-certificaatprofielbeleid.

Maak een afzonderlijk vertrouwd certificaatprofiel voor elk apparaatplatform dat u wilt ondersteunen, net zoals u dit doet voor SCEP-, PKCS- en PKCS-certificaatprofielen.

Vertrouwde certificaatprofielen voor Android-apparaatbeheerder

Deze functie is van toepassing op:

• Android 10 en eerder op niet-KNOX-apparaten
• Android 12 en eerder op Samsung KNOX-apparaten

Omdat SCEP-certificaatprofielen vereisen dat zowel het vertrouwde basiscertificaat op een apparaat is geïnstalleerd als moet verwijzen naar een vertrouwd certificaatprofiel dat op zijn beurt naar dat certificaat verwijst, gebruikt u de volgende stappen om deze beperking te omzeilen:

1. Richt het apparaat handmatig in met het vertrouwde basiscertificaat. Zie de volgende sectie voor richtlijnen als voorbeeld.

2. Implementeer op het apparaat een vertrouwd basiscertificaatprofiel dat verwijst naar het vertrouwde basiscertificaat dat u op het apparaat hebt geïnstalleerd.

3. Implementeer een SCEP-certificaatprofiel op het apparaat dat verwijst naar het vertrouwde basiscertificaatprofiel.

Dit probleem is niet beperkt tot SCEP-certificaatprofielen. Plan daarom om het vertrouwde basiscertificaat handmatig te installeren op toepasselijke apparaten als uw gebruik van PKCS-certificaatprofielen of PKCS-certificaatprofielen dit vereist.

Meer informatie over wijzigingen in de ondersteuning voor Android-apparaatbeheerder vanaf techcommunity.microsoft.com.

Een apparaat handmatig inrichten met het vertrouwde basiscertificaat

De volgende richtlijnen kunnen u helpen om apparaten handmatig in te richten met een vertrouwd basiscertificaat.

1. Download of breng het vertrouwde basiscertificaat over naar het Android-apparaat. U kunt bijvoorbeeld via e-mail het certificaat verspreiden onder gebruikers van het apparaat, of gebruikers het certificaat laten downloaden vanaf een veilige locatie. Nadat het certificaat op het apparaat is geplaatst, moet het worden geopend, benoemd en opgeslagen. Als u het certificaat opslaat, wordt dit toegevoegd aan het certificaatarchief van de gebruiker op het apparaat.

   1. Om het certificaat op het apparaat te openen, moet een gebruiker het certificaat zoeken en erop tikken. Een gebruiker van een apparaat kan bijvoorbeeld op de certificaatbijlage tikken of deze openen, nadat het certificaat per e-mail is verzonden.
   2. Wanneer het certificaat wordt geopend, moet de gebruiker zijn pincode opgeven of zich op een andere manier verifiëren bij het apparaat voordat hij het certificaat kan beheren.

2. Na verificatie wordt het certificaat geopend en moet het een naam krijgen voordat het kan worden opgeslagen in het certificaatarchief van gebruikers. De certificaatnaam moet overeenkomen met de certificaatnaam in het profiel van het vertrouwde basiscertificaat dat naar het apparaat wordt verzonden. Nadat u het certificaat een naam hebt gegeven, kan het worden opgeslagen.

3. Nadat het certificaat is opgeslagen, is het klaar voor gebruik. Een gebruiker kan bevestigen dat het certificaat zich op de juiste locatie op het apparaat bevindt:

   1. Open Instellingen>Beveiliging>Vertrouwde referenties. Het werkelijke pad naar vertrouwde referenties kan per apparaat verschillen.
   2. Open het tabblad Gebruiker en zoek het certificaat.
   3. Als het certificaat in de lijst met gebruikerscertificaten staat, is het correct geïnstalleerd.

4. Als een basiscertificaat is geïnstalleerd op een apparaat, moet u toch het volgende implementeren om de SCEP- of PKCS-certificaten in te richten:

   • Een vertrouwd certificaatprofiel dat naar dat certificaat verwijst
   • Het SCEP- of PKCS-profiel dat verwijst naar het certificaatprofiel om de SCEP- of PKCS-certificaten in te richten.

Een vertrouwd certificaatprofiel maken

1. Meld je aan bij het Microsoft Intune-beheercentrum.

2. Selecteer en ga naar Apparaten>, Apparaatconfiguratie beheren>,Maken>.

   

3. Geef de volgende eigenschappen op:

   • Platform: Kies het platform van de apparaten die dit profiel moeten ontvangen.
   • Profiel: Selecteer afhankelijk van het gekozen platform Vertrouwd certificaat of selecteer Sjablonen>Vertrouwd certificaat.

   Belangrijk

   Op 22 oktober 2022 Microsoft Intune de ondersteuning beëindigd voor apparaten met Windows 8.1. Technische ondersteuning en automatische updates op deze apparaten zijn niet beschikbaar.

4. Selecteer Maken.

5. Voer in Basisinformatie de volgende eigenschappen in:

   • Naam: een unieke beschrijvende naam voor het beleid. Geef uw profielen een naam zodat u ze later gemakkelijk kunt identificeren. Een goede profielnaam is bijvoorbeeld een vertrouwd certificaatprofiel voor het hele bedrijf.
   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

6. Selecteer Volgende.

7. Geef in Configuratie-instellingen het .cer bestand op voor het vertrouwde certificaat van de basiscertificeringsinstantie dat u eerder hebt geëxporteerd.

   Alleen voor Windows-apparaten selecteert u het doelarchief voor het vertrouwde certificaat van:

   • Computercertificaatarchief - Root
   • Computercertificaatarchief - Gemiddeld
   • Certificaatarchief voor gebruikers - Gemiddeld

   

8. Selecteer Volgende.

9. Selecteer in Opdrachten de gebruiker of groepen die uw profiel moeten ontvangen. Raadpleeg Gebruikers- en apparaatprofielen toewijzen voor meer informatie over het toewijzen van profielen.

   Selecteer Volgende.

10. (Alleen van toepassing op Windows) Geef in Toepassingsregels toepassingsregels op om de toewijzing van dit profiel te verfijnen. Je kunt ervoor kiezen om het profiel al dan niet toe te wijzen op basis van de versie of versie van het besturingssysteem van een apparaat.

    Zie Toepassingsregels in Een apparaatprofiel maken in Microsoft Intune maken voor meer informatie.

11. Controleer uw instellingen in Controleren en maken. Wanneer u Maken selecteert, worden uw wijzigingen opgeslagen en wordt het profiel toegewezen. Het beleid wordt ook weergegeven in de lijst met profielen.

Volgende stappen

Certificaatprofielen maken:

• Infrastructuur configureren voor het ondersteunen van SCEP-certificaten met Intune
• PKCS-certificaten configureren en beheren met Intune
• Een PKCS-certificaatprofiel importeren