Konfigurowanie infrastruktury Microsoft Cloud PKI — przynieś własny urząd certyfikacji

W tym artykule opisano sposób konfigurowania infrastruktury Microsoft Cloud PKI dla usługi Intune z własnym urzędem certyfikacji (CA). Obsługiwany przez usługę Intune model wdrożenia BYOCA (Bring Your Own CA) pozwala na utworzenie i zakotwiczenie prywatnego wystawiającego urzędu certyfikacji w chmurze w lokalnym lub prywatnym urzędzie certyfikacji. Prywatny urząd certyfikacji może składać się z hierarchii urzędów certyfikacji N+1.

Wymagania wstępne

Aby uzyskać więcej informacji o przygotowywaniu dzierżawy do korzystania z infrastruktury kluczy publicznych Microsoft Cloud, w tym o najważniejszych pojęciach i wymaganiach, zobacz:

• Omówienie infrastruktury Microsoft Cloud PKI dla usługi Intune: przegląd architektury, wymagań dzierżawy, podsumowania funkcji oraz znanych problemów i ograniczeń.

• Modele wdrażania: zapoznaj się z opcjami wdrożenia infrastruktury kluczy publicznych firmy Microsoft.

• Podstawy: zapoznaj się z podstawami infrastruktury PKI i pojęciami, które należy znać przed przystąpieniem do konfiguracji i wdrożenia.

Kontrola dostępu oparta na rolach

Konto, którego używasz do logowania się do centrum administracyjnego usługi Microsoft Intune, musi mieć uprawnienia do tworzenia urzędu certyfikacji (CA). Konto administratora Microsoft Entra Intune (nazywane również administratorem usługi Intune) ma odpowiednie wbudowane uprawnienia do tworzenia urzędów certyfikacji. Możesz też przypisać uprawnienia urzędu certyfikacji PKI w chmurze użytkownikowi-administratorowi. Aby uzyskać więcej informacji, zobacz Kontrola dostępu oparta na rolach (RBAC) w usłudze Microsoft Intune.

Krok 1. Tworzenie żądania wystawienia urzędu certyfikacji i podpisania certyfikatu

Utwórz wystawiający urząd certyfikacji w centrum administracyjnym usługi Microsoft Intune.

1. Przejdź do pozycji Administracja> dzierżawąChmura PKI, a następnie wybierz pozycję Utwórz.

   

2. W polu Podstawowe wprowadź następujące właściwości:

   • Nazwa: wprowadź opisową nazwę obiektu CA. Nadaj mu nazwę, aby można go było później łatwo zidentyfikować. Przykład: firma Contoso BYOCA wystawiająca urząd certyfikacji
   • Opis: wprowadź opis obiektu CA. To ustawienie jest opcjonalne, ale zalecane. Przykład: Urząd certyfikacji wystawiający klucze publiczne w chmurze przy użyciu głównego urzędu certyfikacji bring-your-own-root zakotwiczony w lokalnym urzędzie certyfikacji wystawiającym usługi ADCS

3. Wybierz przycisk Dalej , aby przejść do ustawień konfiguracji.

4. Wybierz typ urzędu certyfikacji i źródło głównego urzędu certyfikacji.

   

   Skonfiguruj następujące ustawienia wystawiającego urzędu certyfikacji:

   • Typ urzędu certyfikacji: wybierz pozycję Wystawiający urząd certyfikacji.
   • Źródło głównego urzędu certyfikacji: wybierz pozycję Przynieś własny główny urząd certyfikacji. To ustawienie określa źródło głównego urzędu certyfikacji, dla którego jest zakotwiczony wystawiający urząd certyfikacji.

5. Pomiń okres ważności. Tego ustawienia nie można konfigurować. Urząd certyfikacji używany do podpisywania żądania podpisania certyfikatu BYOCA określa okres ważności.

6. W przypadku rozszerzonego użycia klucza wybierz sposób, w jaki zamierzasz korzystać z urzędu certyfikacji.

   

   Aby zapobiec potencjalnym zagrożeniom bezpieczeństwa, urzędy certyfikacji są ograniczone do wyboru zastosowań. Dostępne opcje:

   • Typ: wybierz przeznaczenie urzędu certyfikacji. Rozszerzone użycie klucza Any Purpose (2.5.29.37.0) nie jest zalecane, ponieważ jest zbyt pobłażliwe i stanowi potencjalne zagrożenie bezpieczeństwa. Aby uzyskać więcej informacji, zobacz Edytowanie szablonu zbyt liberalnych certyfikatów z uprzywilejowaną jednostką EKU.
   • Alternatywnie, aby utworzyć niestandardowe użycie klucza rozszerzonego, wprowadź nazwę i identyfikator obiektu.

7. W obszarze Atrybuty podmiotu wprowadź nazwę pospolitą (CN) dla wystawiającego urzędu certyfikacji.

   

   Opcjonalnie dostępne są następujące atrybuty:

   • Organizacja (O)
   • Jednostka organizacyjna (OU)
   • Kraj (C)
   • Stan/prowincja (ST)
   • Miejscowość (L)

   Aby zachować zgodność ze standardami PKI, usługa Intune wymusza limit dwóch znaków dla kraju/regionu.

8. W obszarze Szyfrowanie wprowadź rozmiar klucza.

   

   Dostępne opcje:

   • RSA-2048

   • RSA-3072

   • RSA-4096

   To ustawienie wymusza górny limit rozmiaru klucza, który może być używany podczas konfigurowania profilu certyfikatu SCEP konfiguracji urządzenia w usłudze Intune. Pozwala wybrać dowolny rozmiar klucza, aż do tego, który jest ustawiony w urzędzie certyfikacji wystawiającym klucze PKI w chmurze. Pamiętaj, że klucz o rozmiarze 1024 i skrót SHA-1 nie są obsługiwane w przypadku infrastruktury kluczy publicznych w chmurze. Nie musisz jednak udostępniać algorytmu wyznaczania wartości skrótu. Urząd certyfikacji używany do podpisywania CSR określa algorytm wyznaczania wartości skrótu.

9. Wybierz przycisk Dalej , aby przejść do tagów zakresu.

10. Opcjonalnie możesz dodać tagi zakresu, aby kontrolować widoczność i dostęp do tego urzędu certyfikacji.

11. Wybierz przycisk Dalej , aby kontynuować przeglądanie + tworzenie.

12. Przejrzyj podane podsumowanie. Gdy wszystko będzie gotowe do sfinalizowania, wybierz pozycję Utwórz.

    Ważna

    Po utworzeniu urzędu certyfikacji nie będzie można edytować tych właściwości. Wybierz pozycję Wstecz , aby edytować ustawienia i upewnić się, że są poprawne oraz spełniają wymagania infrastruktury kluczy publicznych. Jeśli później będzie konieczne dodanie jednostki EKU, należy utworzyć nowy urząd certyfikacji.

13. Wróć do listy urzędu certyfikacji infrastruktury PKI platformy Microsoft Cloud w centrum administracyjnym. Wybierz pozycję Odśwież , aby wyświetlić nowy urząd certyfikacji.

14. Wybierz urząd certyfikacji. W obszarze Podstawowe stan powinien mieć wartość Wymagane podpisanie.

15. Przejdź do okna Właściwości.

16. Wybierz pozycję Pobierz CSR. Poczekaj, aż usługa Intune pobierze plik w formacie REQ z nazwą urzędu certyfikacji. Na przykład: Contoso BYOCA wystawia urząd certyfikacji.req

Krok 2. Podpisywanie żądania podpisania certyfikatu

Do podpisania pobranego pliku żądania podpisania certyfikatu (CSR) wymagany jest prywatny urząd certyfikacji. Podpisujący urząd certyfikacji może być głównym lub wystawiającym urząd certyfikacji z dowolnej warstwy prywatnego urzędu certyfikacji. Istnieją dwa sposoby podpisywania:

• Opcja 1: Użyj rejestracji w sieci Web urzędu certyfikacji, funkcji Usług certyfikatów w usłudze Active Directory (ADCS, Active Directory Certificate Services). Ta opcja udostępnia prosty interfejs sieci Web umożliwiający wykonywanie zadań administratora, takich jak żądanie i odnawianie certyfikatów.

• Opcja 2: użycie pliku wykonywalnego narzędzia certreq.exe wiersza polecenia systemu Windows.

W poniższej tabeli wymieniono identyfikatory obiektów (OID) obsługiwane na potrzeby podpisywania certyfikatów używanych we wdrożeniach BYOCA.

Aby uzyskać więcej informacji na temat podpisywania certyfikatów, zapoznaj się z dokumentacją pomocy udostępnioną przez urząd certyfikacji.

Opcja 1: Rejestracja urzędu certyfikacji w sieci Web

Aby wykonać te czynności, użyj notepad.exe na urządzeniu z systemem Windows lub równoważnego programu w systemie macOS.

1. Otwórz plik REQ pobrany po utworzeniu wystawiającego urzędu certyfikacji. Skopiuj (CTRL + C) zawartość pliku.

2. Otwórz przeglądarkę na urządzeniu, które ma dostęp do hosta sieci Web z uruchomioną rejestracją internetową urzędu certyfikacji. Przykład: https://WebSrv_running_CAWebEnrollment/certsrv

3. Wybierz pozycję Zażądaj certyfikatu.

4. Wybierz zaawansowane żądanie certyfikatu.

5. Wklej skopiowaną wcześniej zawartość w obszarze zapisanego żądania .

6. W polu Szablon certyfikatu wybierz pozycję Podrzędny urząd certyfikacji.

   Uwaga

   Szablon podrzędnego urzędu certyfikacji musi być opublikowany i dostępny w urzędzie certyfikacji, który podpisuje certyfikat. Otwórz certsrv.msc — konsolę zarządzania urzędem certyfikacji na urządzeniu, aby wyświetlić dostępne szablony certyfikatów.

7. Wybierz pozycję Prześlij , aby kontynuować.

8. W obszarze Wystawiony certyfikat wybierz kodowanie DER lub kodowanie w formacie Base 4. Infrastruktura PKI w chmurze obsługuje oba formaty plików. Następnie wykonaj poniższe czynności:

   1. Wybierz pozycję Pobierz certyfikat. Plik certyfikatu zostanie pobrany i zapisany jako certnew.cer.

   2. Wybierz pozycję Pobierz łańcuch certyfikatów. Zostanie pobrany podpisany certyfikat zawierający pełny łańcuch certyfikatów, główny urząd certyfikacji i wszystkie pośrednie lub wystawiające certyfikaty urzędów certyfikacji w hierarchii prywatnych urzędów certyfikacji. Plik zostanie zapisany jako certnew.p7b.

   Usługa Intune wymaga obu tych plików, aby włączyć wystawiający urząd certyfikacji dla infrastruktury PKI BYOCA w chmurze.

9. Przejdź do sekcji Przekazywanie podpisanego certyfikatu w celu włączenia urzędu certyfikacji wystawiającego certyfikat BYOCA w tym artykule.

Opcja 2: narzędzie wiersza polecenia systemu Windows ADCS

Za pomocą narzędzia wiersza polecenia certreq.exe prześlij żądanie certyfikatu do urzędu certyfikacji, w którym można określić szablon certyfikatu i podpisujący urząd certyfikacji. Pobrany wcześniej plik REQ musi znajdować się na komputerze z systemem Windows, na którym jest uruchomione narzędzie wiersza polecenia.

W wierszu polecenia możesz użyć następującej składni w celu przesłania żądania certyfikatu z wybranym szablonem i podpisującym urzędem certyfikacji:

certreq -submit -attrib "CertificateTemplate:<template_name>" -config "<CA_server_name>\<CA_name>" <request_file> <response_file>

Zastąp zmienne w poleceniu w następujący sposób:

1. Zastąp <template_name> nazwą szablonu certyfikatu, którego chcesz użyć.

2. Zastąp <CA_server_name><CA_name> odpowiednio nazwą serwera urzędu certyfikacji i nazwą urzędu certyfikacji, które mają być używane do podpisywania żądania certyfikatu.

W przypadku <request_file> i <response_file> nie jest wymagane wykonywanie żadnych czynności. Zostaną one zastąpione odpowiednio nazwą pliku zawierającego żądanie certyfikatu i nazwą pliku zawierającego odpowiedź z urzędu certyfikacji.

W poniższych przykładach pokazano, jak przesłać żądanie certyfikatu przy użyciu szablonu podrzędnego urzędu certyfikacji oraz jak je podpisać.

• Przykład 1. Podpisujący urząd certyfikacji, ContosoCA, jest uruchomiony na serwerze o nazwie CA-Server. Możesz użyć następującego polecenia:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "CA-Server\ContosoCA" certreq.req certnew.cer

• Przykład 2: Podpisujący urząd certyfikacji nosi nazwę CaleroCorp SubCA (US) uruchomiony na serwerze o nazwie Win2k16-subCA. Możesz użyć następującego polecenia:

  certreq -submit -attrib "CertificateTemplate:SubCA" -config "Win2k16-subCA\CaleroCorp SubCA (US)" "c:\users\bill.CORP\Documents\CC BYORCA Issuing CA2.csr" c:\Users\bill.CORP\CC-BYOCA-IssuingCA-Signed.cer"

• Przykład 3: Alternatywnie, jeśli nie certreq.exe masz parametrów, system Windows monituje o zidentyfikowanie najpierw pliku REQ. To podejście wykorzystuje interfejs użytkownika systemu Windows do przeprowadzenia użytkownika przez proces podpisywania.

Oprócz podpisanego certyfikatu wymagany jest pełny pęk kluczy prywatnego urzędu certyfikacji. Pełny łańcuch kluczy obejmuje główny urząd certyfikacji i wszystkie pośrednie, wystawiające i podrzędne urzędy certyfikacji w łańcuchu. Użyj następującej składni w narzędziu wiersza polecenia, aby wyeksportować pełny łańcuch kluczy do pliku P7B:

certutil [options] -ca.chain OutCACertChainFile [Index]

Uruchom polecenie z komputera przyłączonego do domeny systemu Windows z dostępem sieciowym do ADCS. Przykład:

certutil -ca.chain c:\temp\fullChain.p7b

Aby wyświetlić wyeksportowany łańcuch i sprawdzić, czy eksport odbył się w eksploratorze plików systemu Windows:

1. Przejdź do lokalizacji ścieżki, do której plik został wyeksportowany.
2. Kliknij dwukrotnie plik, aby go otworzyć.

W pliku powinien być widoczny pełny łańcuch, w tym główny i pośredni urząd certyfikacji.

Krok 3: Przekazanie podpisanego certyfikatu w celu włączenia urzędu certyfikacji wystawiającego BYOCA

Aby ukończyć proces podpisywania wymaganego podpisu urzędu certyfikacji BYOCA Cloud PKI i włączyć urząd certyfikacji w chmurze w celu rozpoczęcia wystawiania certyfikatów dla urządzeń zarządzanych przez usługę Intune, musisz mieć:

• Podpisany certyfikat urzędu certyfikacji wystawiającego BYOCA.
• Pełny łańcuch prywatnego urzędu certyfikacji użytego do podpisania żądania certyfikatu.

Aby uzyskać informacje dotyczące wykonywania tych zadań, które są wymagane do kontynuowania, zobacz Krok 2: Podpisanie żądania podpisania certyfikatu. Pliki muszą być dostępne na tym samym komputerze, na którym jest uruchomione centrum administracyjne usługi Microsoft Intune.

1. Wróć do listy urzędu certyfikacji infrastruktury PKI w chmurze w centrum administracyjnym. Wybierz urząd certyfikacji. Jego stan powinien mieć wartość Wymagane podpisanie.

2. Przejdź do pozycji Właściwości, a następnie wybierz pozycję Przekaż podpisany certyfikat.

3. Zostanie otwarte okno Przekazywanie podpisanego certyfikatu . W obszarze Przekaż podpisany plik certyfikatu (.cer, crt lub pem) wybierz pozycję Przeglądaj. Wybierz plik podpisanego certyfikatu.

4. W obszarze Przekaż jeden lub więcej certyfikatów łańcucha zaufania (.cer, crt, pem lub p7b) przeciągnij i upuść pliki lub wybierz pozycję Przeglądaj , aby wyszukać plik na komputerze.

5. Wybierz pozycję Zapisz i poczekaj, aż usługa Intune przekaże certyfikat. Może to potrwać kilka minut.

6. Odświeżanie listy urzędów certyfikacji. Kolumna stanu urzędu certyfikacji powinna być teraz wyświetlana jako aktywna. Główna nazwa pospolita jest wyświetlana jako Zewnętrzny główny urząd certyfikacji.

   

   Możesz wybrać urząd certyfikacji na liście, aby wyświetlić dostępne właściwości. Właściwości obejmują:

   • Identyfikator URI punktu dystrybucji listy odwołania certyfikatów (CRL).
   • Identyfikator URI dostępu do informacji o urzędach certyfikacji (AIA).
   • Urząd certyfikacji wystawiający klucze PKI w chmurze pokazuje identyfikator URI protokołu SCEP. Identyfikator URI protokołu SCEP musi zostać skopiowany do profilu konfiguracji protokołu SCEP dla każdego certyfikatu wystawionego przez platformę.

   Gdy wszystko będzie gotowe do pobrania klucza publicznego zaufania urzędu certyfikacji, wybierz pozycję Pobierz.

   Uwaga

   Właściwość AIA dla urzędu certyfikacji wystawiającego certyfikat BYOCA jest definiowana przez prywatny urząd certyfikacji i zawiera właściwości zdefiniowane przez konfigurację AIA prywatnego urzędu certyfikacji. Systemy ADCS używają domyślnej lokalizacji LDAP AIA. Jeśli prywatny urząd certyfikacji udostępnia lokalizację AIA HTTP, we właściwościach BYOCA będzie wyświetlana lokalizacja AIA HTTP.

Krok 4. Tworzenie profilów zaufania certyfikatów

Profil zaufanego certyfikatu usługi Intune musi zostać utworzony dla każdego certyfikatu urzędu certyfikacji w hierarchii prywatnego urzędu certyfikacji, jeśli używasz urzędu certyfikacji BYOCA wystawiającego klucze publiczne w chmurze, który jest zakotwiczony w prywatnym urzędzie certyfikacji. Ten krok jest wymagany dla każdej platformy (Windows, Android, iOS/iPad, macOS), która wystawia certyfikaty protokołu SCEP infrastruktury PKI w chmurze. Konieczne jest ustanowienie zaufania z urzędem rejestracji certyfikatów infrastruktury kluczy publicznych w chmurze obsługującym protokół SCEP.

Aby uzyskać więcej informacji na temat tworzenia profilu, zobacz Profile zaufanych certyfikatów.

Certyfikaty eksportowe

Wyeksportowane certyfikaty są używane do utworzenia profilu zaufanego certyfikatu w usłudze Intune dla każdego urzędu certyfikacji w łańcuchu. Jeśli korzystasz z prywatnego urzędu certyfikacji, musisz użyć jego narzędzi, aby wyeksportować pęk kluczy urzędu certyfikacji do zestawu plików w formacie DER lub Base 4 z rozszerzeniem CER. Jeśli system ADCS jest prywatnym urzędem certyfikacji, możesz za pomocą narzędzia wiersza polecenia systemu Windows certutil.exe wyeksportować pełny pęk kluczy urzędu certyfikacji do pliku p7b.

Uruchom następujące polecenie z komputera przyłączonego do domeny systemu Windows z dostępem sieciowym do ADCS.

certutil [options] -ca.chain OutCACertChainFile [Index]

Przykład:

certutil -ca.chain c:\temp\fullChain.p7b

Możesz użyć eksploratora plików systemu Windows, aby wyświetlić wyeksportowany łańcuch.

1. Przejdź do lokalizacji ścieżki, do której wyeksportowano plik p7b, i kliknij dwukrotnie ten plik. Powinien zostać wyświetlony pełny łańcuch, w tym główne i pośrednie urzędy certyfikacji w łańcuchu.

2. Kliknij prawym przyciskiem myszy każdy certyfikat na liście.

3. Wybierz eksport wszystkich zadań>. Wyeksportuj zaufany certyfikat w formacie DER. Zalecamy nadanie wyeksportowanemu plikowi certyfikatu nazwy zwyczajowej urzędu certyfikacji przedstawionej w kolumnie Wystawiono do narzędzia certmgr. Nazwa ułatwia znalezienie głównego urzędu certyfikacji na liście, ponieważ nazwa pospolita w obszarach Wystawiony dla i Wystawiony przez będzie taka sama.

Tworzenie profilu zaufanego certyfikatu dla prywatnego głównego urzędu certyfikacji

Utwórz profil zaufanego certyfikatu z wyeksportowanym plikiem głównego urzędu certyfikacji. W centrum administracyjnym utwórz profil zaufanego certyfikatu dla każdej docelowej platformy systemu operacyjnego, która korzysta z certyfikatu głównego prywatnego urzędu certyfikacji.

Tworzenie profilów zaufanych certyfikatów dla prywatnych podrzędnych urzędów certyfikacji

Utwórz profil zaufanego certyfikatu z wyeksportowanym plikiem pośredniego lub wystawiającego urzędu certyfikacji. W centrum administracyjnym utwórz profil zaufanego certyfikatu dla każdej docelowej platformy systemu operacyjnego, która korzysta z certyfikatu głównego wystawiającego urząd certyfikacji.

Tworzenie profilu zaufanego certyfikatu na potrzeby wystawiania urzędu certyfikacji

1. In the admin center, go to Tenant administration>Cloud PKI.

2. Wybierz certyfikat certyfikacji BYOCA wystawiający klucz PKI w chmurze.

3. Przejdź do okna Właściwości.

4. Wybierz opcję Pobierz. Poczekaj na pobranie klucza publicznego wystawiającego urzędu certyfikacji.

5. W centrum administracyjnym utwórz profil zaufanego certyfikatu dla każdej docelowej platformy systemu operacyjnego. Aby uzyskać instrukcje, zobacz Tworzenie profilu zaufanego certyfikatu. Po wyświetleniu monitu wprowadź pobrany klucz publiczny.

Certyfikat wystawiający urząd certyfikacji pobrany dla chmury PKI BYOCA musi być zainstalowany na wszystkich jednostkach uzależnionych.

Nazwa pliku nadana pobranym kluczom publicznym jest oparta na nazwach pospolitych określonych w urzędzie certyfikacji. Niektóre przeglądarki, takie jak Microsoft Edge, wyświetlają ostrzeżenie po pobraniu pliku z .cer lub innym dobrze znanym rozszerzeniem certyfikatu. Jeśli to ostrzeżenie zostanie wyświetlone, wybierz pozycję Zachowaj.

Krok 5. Tworzenie profilu certyfikatu SCEP

Utwórz profil certyfikatu SCEP dla każdej docelowej platformy systemu operacyjnego, tak jak w przypadku profilów zaufanych certyfikatów. Profil certyfikatu SCEP służy do żądania certyfikatu uwierzytelniania klienta liścia od wystawiającego urzędu certyfikacji. Ten typ certyfikatu jest używany w scenariuszach uwierzytelniania opartego na certyfikatach, takich jak dostęp do Wi-Fi i VPN.

1. Powrót do administracji dzierżawy Infrastruktura>PKI chmury.

2. Wybierz urząd certyfikacji, który ma typ wystawiania .

3. Przejdź do okna Właściwości.

4. Skopiuj identyfikator URI protokołu SCEP do schowka.

5. W centrum administracyjnym utwórz profil certyfikatu SCEP dla każdej docelowej platformy systemu operacyjnego. Aby uzyskać instrukcje, zobacz Tworzenie profilu certyfikatu SCEP.

6. W obszarze Certyfikat główny połącz profil zaufanego certyfikatu. Wybrany zaufany certyfikat musi być certyfikatem głównym urzędu certyfikacji, do którego jest zakotwiczony wystawiający urząd certyfikacji w hierarchii urzędów certyfikacji.

   

7. W przypadku adresów URL serwera SCEP wklej identyfikator URI protokołu SCEP. Ważne jest, aby pozostawić ciąg {{CloudPKIFQDN}} bez zmian. Po dostarczeniu profilu do urządzenia usługa Intune zastępuje ten ciąg zastępczy odpowiednią nazwą FQDN. Nazwa FQDN zostanie wyświetlona w przestrzeni nazw *.manage.microsoft.com, w podstawowym punkcie końcowym Intune. Aby uzyskać więcej informacji na temat punktów końcowych usługi Intune, zobacz Network Endpoints for Microsoft Intune.

8. Skonfiguruj pozostałe ustawienia, korzystając z następujących najważniejszych wskazówek:

   • Format nazwy podmiotu: Upewnij się, że określone zmienne są dostępne w obiekcie użytkownika lub urządzenia w usłudze Microsoft Entra ID. Jeśli na przykład użytkownik docelowy tego profilu nie ma atrybutu adresu e-mail, ale adres e-mail w tym profilu jest wypełniony, certyfikat nie zostanie wystawiony. Błąd pojawia się również w raporcie profilu certyfikatu protokołu SCEP.

   • Rozszerzone użycie klucza: Infrastruktura PKI usługi Microsoft Cloud nie obsługuje opcji Dowolny cel .

     Uwaga

     Upewnij się, że wybrane jednostki EKU są skonfigurowane w urzędzie certyfikacji wystawiającym klucz certyfikacji (CA) infrastruktury PKI w chmurze. Jeśli wybierzesz jednostkę EKU, która nie znajduje się w urzędzie certyfikacji wystawiającym infrastrukturę PKI chmury, wystąpi błąd profilu SCEP. Certyfikat nie jest wystawiony dla urządzenia.

   • Adresy URL serwera SCEP: nie łącz adresów URL usługi NDES/SCEP z adresami URL protokołu SCEP usługi Microsoft Cloud PKI wystawiających urząd certyfikacji.

9. Przypisz i przejrzyj profil. Gdy wszystko będzie gotowe do sfinalizowania, wybierz pozycję Utwórz.