Använda härledda autentiseringsuppgifter med Microsoft Intune

Härledda autentiseringsuppgifter är en implementering av NIST:s (National Institute of Standards and Technology) riktlinjer för härledd personlig identitetsverifiering (PIV) som en del av specialpublikationen (SP) 800-157(Länken öppnar en .pdf fil på nvlpubs.nist.gov).

Organisationer som kräver användning av smartkort för autentisering eller kryptering och signering kan använda Intune för att etablera mobila enheter med ett certifikat som härleds från en användares smartkort. Certifikatet kallas härledd autentiseringsuppgift. Intune stöder flera utfärdare av härledda autentiseringsuppgifter, men endast en utfärdare per klientorganisation används.

Om implementeringen av Intune

Om du vill använda härledda autentiseringsuppgifter från Intune måste en Intune-administratör konfigurera klientorganisationen så att den fungerar med en utfärdare av härledda autentiseringsuppgifter som stöds. Du behöver inte konfigurera några Intune specifika inställningar i utfärdaren av härledda autentiseringsuppgifters system.

• Intune -administratören anger härledd autentiseringsuppgift som autentiseringsmetod för följande objekt:

  För fullständigt hanterade Android Enterprise-enheter:

  • Vanliga profiltyper som Wi-Fi
  • Appautentisering

  För iOS/iPadOS:

  • Vanliga profiltyper som Wi-Fi, VPN och Email, som inkluderar den inbyggda e-postappen för iOS/iPadOS
  • Appautentisering
  • S/MIME-signering och -kryptering

  För Windows:

  • Vanliga profiltyper som Wi-Fi och VPN

  Obs!

  För närvarande fungerar inte härledda autentiseringsuppgifter som autentiseringsmetod för VPN-profiler som förväntat på Windows-enheter. Det här beteendet påverkar bara VPN-profiler på Windows-enheter och kommer att åtgärdas i en framtida version (ingen beräknad ankomsttid).

• För Android och iOS/iPadOS får användarna en härledd autentiseringsuppgift med hjälp av sitt smartkort på en dator för att autentisera till utfärdaren av härledda autentiseringsuppgifter. Utfärdaren utfärdar sedan ett certifikat till den mobila enheten som härleds från deras smartkort. För Windows installerar användarna en app från providern för härledda autentiseringsuppgifter som installerar certifikatet på enheten för senare användning. a

• När en enhet har tagit emot den härledda autentiseringsuppgiften används autentiseringsuppgifterna för autentisering och för S/MIME-signering och kryptering när appar eller resursåtkomstprofiler har konfigurerats för att kräva den härledda autentiseringsuppgiften.

Förhandskrav

Granska följande information innan du konfigurerar din klientorganisation för att använda härledda autentiseringsuppgifter.

Utgivare som stöds

Viktig information om hur du använder de olika utfärdarna finns i vägledningen för den emittenten. Mer information finns i Planera för härledda autentiseringsuppgifter i den här artikeln.

Obligatoriska appar

Planera för härledda autentiseringsuppgifter

Förstå följande överväganden innan du konfigurerar en utfärdare av härledda autentiseringsuppgifter för Android och iOS/iPadOS.

Information om Windows-enheter finns i Härledda autentiseringsuppgifter för Windows senare i den här artikeln.

1 – Granska dokumentationen för din valda utfärdare av härledda autentiseringsuppgifter

Innan du konfigurerar en utfärdare bör du läsa utfärdarens dokumentation för att förstå hur systemet levererar härledda autentiseringsuppgifter till enheter.

Beroende på vilken utfärdare du väljer kan du behöva personal som är tillgänglig vid tidpunkten för registreringen för att hjälpa användarna att slutföra processen. Granska även dina aktuella Intune konfigurationer för att säkerställa att de inte blockerar åtkomst som är nödvändig för enheter eller användare för att slutföra begäran om autentiseringsuppgifter.

Du kan till exempel använda villkorsstyrd åtkomst för att blockera åtkomst till e-post för inkompatibla enheter. Om du förlitar dig på e-postaviseringar för att informera användaren om att starta registreringsprocessen för härledda autentiseringsuppgifter kanske användarna inte får dessa instruktioner förrän de följer principen.

På samma sätt kräver vissa arbetsflöden för begäran om härledda autentiseringsuppgifter att enhetskameran används för att skanna en QR-kod på skärmen. Den här koden länkar enheten till autentiseringsbegäran som inträffade mot utfärdaren av härledda autentiseringsuppgifter med användarens autentiseringsuppgifter för smartkort. Om enhetskonfigurationsprinciper blockerar kameraanvändning kan användaren inte slutföra begäran om registrering av härledda autentiseringsuppgifter.

Allmän information:

• Du kan bara konfigurera en enda utfärdare per klientorganisation i taget, och den utfärdaren är tillgänglig för alla användare och enheter som stöds i klientorganisationen.

• Användarna meddelas inte att de måste registrera sig för härledda autentiseringsuppgifter förrän du riktar dem mot en princip som kräver härledda autentiseringsuppgifter.

• Avisering kan ske via appavisering för företagsportalen, via e-post eller båda. Om du väljer att använda e-postaviseringar och du använder aktiverad villkorlig åtkomst kanske användarna inte får e-postmeddelandet om deras enhet inte är kompatibel.

  Viktigt

  För att säkerställa att meddelanden relaterade till enhetsautentiseringsuppgifter tas emot av slutanvändarna bör du aktivera appmeddelanden för företagsportalen, e-postaviseringar eller båda.

2 – Granska slutanvändararbetsflödet för den valda utfärdaren

Följande är viktiga överväganden för alla partner som stöds. Bekanta dig med den här informationen så att du kan se till att principer och konfigurationer för Intune inte blockerar användare och enheter från att slutföra registreringen för härledda autentiseringsuppgifter från utfärdaren.

DISA Renrasig

Granska det plattformsspecifika användararbetsflödet för de enheter som du ska använda med härledda autentiseringsuppgifter.

• iOS och iPadOS
• Android Enterprise - Företagsägd arbetsprofil eller fullständigt hanterade enheter

Viktiga krav är:

• Användarna behöver åtkomst till en dator eller kiosk där de kan använda sitt smartkort för att autentisera sig hos utfärdaren.

• iOS- och iPadOS-enheter som ska registreras för en härledd autentiseringsuppgift måste installera appen Intune-företagsportal. Fullständigt hanterade Android-enheter och enheter med Corporate-Owned arbetsprofil måste installera och använda Intune-appen.

• Använd Intune för att distribuera DISA Purebred-appen till enheter som registrerar sig för en härledd autentiseringsuppgift. Den här appen måste distribueras via Intune så att den hanteras och sedan kan fungera med appen Intune-företagsportal eller Intune App, som enhetsanvändare använder för att slutföra begäran om härledda autentiseringsuppgifter.

• För att hämta en härledd autentiseringsuppgift från Purebred-appen måste enheten ha åtkomst till det lokala nätverket. Åtkomst kan ske via företagets Wi-Fi eller VPN.

• Enhetsanvändare måste arbeta med en liveagent under registreringsprocessen. Under registreringen får användaren tidsbegränsade engångskoder när de fortsätter genom registreringsprocessen.

• När ändringar görs i en princip som använder härledda autentiseringsuppgifter, till exempel att skapa en ny Wi-Fi profil, meddelas iOS- och iPadOS-användare om att öppna Företagsportal-appen.

• Användare meddelas om att öppna tillämplig app när de behöver förnya sina härledda autentiseringsuppgifter.

  Förnyelseprocessen går till så här:

  • Utfärdaren av härledda autentiseringsuppgifter måste utfärda nya eller uppdaterade certifikat innan de tidigare certifikaten har gått igenom giltighetsperioden till 80 %.
  • Enheten checkar in under förnyelseperioden (de sista 20 procenten av giltighetsperioden).
  • Microsoft Intune meddelar användaren via e-post eller ett appmeddelande om att starta företagsportalen.
  • Användaren startar företagsportalen och trycker på meddelandet om härledda autentiseringsuppgifter och sedan kopieras certifikaten för härledda autentiseringsuppgifter till enheten.

Information om hur du hämtar och konfigurerar DISA Purebreda-appen finns i Distribuera DISA Purebred-appen senare i den här artikeln.

Anförtro

Granska det plattformsspecifika användararbetsflödet för de enheter som du ska använda med härledda autentiseringsuppgifter.

• iOS och iPadOS
• Android Enterprise- Företagsägd arbetsprofil eller fullständigt hanterade enheter

Viktiga krav är:

• Användarna behöver åtkomst till en dator eller kiosk där de kan använda sitt smartkort för att autentisera sig hos utfärdaren.

• iOS- och iPadOS-enheter som ska registreras för en härledd autentiseringsuppgift måste installera appen Intune-företagsportal. Fullständigt hanterade Android-enheter och enheter med Corporate-Owned arbetsprofil måste installera och använda Intune-appen.

• Användning av en enhetskamera för att skanna en QR-kod som länkar autentiseringsbegäran till begäran om härledda autentiseringsuppgifter från den mobila enheten.

• Användare uppmanas av företagsportalen eller via e-post att registrera sig för härledda autentiseringsuppgifter.

• När ändringar görs i en princip som använder härledda autentiseringsuppgifter, till exempel att skapa en ny Wi-Fi profil:

  • iOS och iPadOS – Användare uppmanas att öppna appen Företagsportal.
  • Företagsägd Android Enterprise-arbetsprofil eller fullständigt hanterade enheter – Företagsportalen behöver inte öppnas.

• Användare meddelas om att öppna tillämplig app när de behöver förnya sina härledda autentiseringsuppgifter.

  Förnyelseprocessen går till så här:

  • Utfärdaren av härledda autentiseringsuppgifter måste utfärda nya eller uppdaterade certifikat innan de tidigare certifikaten har gått igenom giltighetsperioden till 80 %.
  • Enheten checkar in under förnyelseperioden (de sista 20 procenten av giltighetsperioden).
  • Microsoft Intune meddelar användaren via e-post eller ett appmeddelande om att starta företagsportalen.
  • Användaren startar företagsportalen och trycker på meddelandet om härledda autentiseringsuppgifter och sedan kopieras certifikaten för härledda autentiseringsuppgifter till enheten

Ingripa

Granska det plattformsspecifika användararbetsflödet för de enheter som du ska använda med härledda autentiseringsuppgifter.

• iOS och iPadOS
• Android Enterprise - Företagsägd arbetsprofil eller fullständigt hanterade enheter

Viktiga krav är:

• Användarna behöver åtkomst till en dator eller kiosk där de kan använda sitt smartkort för att autentisera sig hos utfärdaren.

• iOS- och iPadOS-enheter som ska registreras för en härledd autentiseringsuppgift måste installera appen Intune-företagsportal. Fullständigt hanterade Android-enheter och enheter med Corporate-Owned arbetsprofil måste installera och använda Intune-appen.

• Användning av en enhetskamera för att skanna en QR-kod som länkar autentiseringsbegäran till begäran om härledda autentiseringsuppgifter från den mobila enheten.

• Användare uppmanas av företagsportalen eller via e-post att registrera sig för härledda autentiseringsuppgifter.

• När ändringar görs i en princip som använder härledda autentiseringsuppgifter, till exempel att skapa en ny Wi-Fi profil:

  • iOS och iPadOS – Användare uppmanas att öppna appen Företagsportal.
  • Företagsägd Android Enterprise-arbetsprofil eller fullständigt hanterade enheter – Företagsportalen behöver inte öppnas.

• Användare meddelas om att öppna tillämplig app när de behöver förnya sina härledda autentiseringsuppgifter.

  Förnyelseprocessen går till så här:

  • Utfärdaren av härledda autentiseringsuppgifter måste utfärda nya eller uppdaterade certifikat innan de tidigare certifikaten har gått igenom giltighetsperioden till 80 %.
  • Enheten checkar in under förnyelseperioden (de sista 20 procenten av giltighetsperioden).
  • Microsoft Intune meddelar användaren via e-post eller ett appmeddelande om att starta företagsportalen.
  • Användaren startar företagsportalen och trycker på meddelandet om härledda autentiseringsuppgifter och sedan kopieras certifikaten för härledda autentiseringsuppgifter till enheten

3 – Distribuera ett betrott rotcertifikat till enheter

Ett betrott rotcertifikat används med härledda autentiseringsuppgifter för att verifiera att certifikatkedjan för härledda autentiseringsuppgifter är giltig och betrodd. Även om det inte refereras direkt av principen krävs ett betrott rotcertifikat. Se Konfigurera en certifikatprofil för dina enheter i Microsoft Intune.

4 – Ange slutanvändarinstruktioner för hur du hämtar den härledda autentiseringsuppgiften

Skapa och ge vägledning till användarna om hur de startar processen för registrering av härledda autentiseringsuppgifter och om hur du navigerar i arbetsflödet för registrering av härledda autentiseringsuppgifter för den utfärdare som valts.

Vi rekommenderar att du anger en URL som är värd för din vägledning. Du anger den här URL: en när du konfigurerar utfärdaren av härledda autentiseringsuppgifter för din klient, och den URL: en görs tillgänglig från företagsportalen. Om du inte anger din egen URL tillhandahåller Intune en länk till allmän information. Den här informationen kan inte täcka alla scenarier och kanske inte är rätt för din miljö.

5 – Distribuera Intune principer som kräver härledda autentiseringsuppgifter

Skapa nya principer eller redigera befintliga principer för att använda härledda autentiseringsuppgifter. Härledda autentiseringsuppgifter ersätter andra autentiseringsmetoder för följande objekt:

• Appautentisering
• Wi-Fi
• VPN
• Email (endast iOS)
• S/MIME-signering och -kryptering, inklusive Outlook (endast iOS)

Undvik att kräva användning av härledda autentiseringsuppgifter för att få åtkomst till en process som du kommer att använda som en del av processen för att hämta de härledda autentiseringsuppgifterna, eftersom det kan hindra användare från att slutföra begäran.

Konfigurera en utfärdare av härledda autentiseringsuppgifter

Innan du skapar principer som kräver användning av härledda autentiseringsuppgifter konfigurerar du en utfärdare av autentiseringsuppgifter i Microsoft Intune administrationscenter. En utfärdare av härledda autentiseringsuppgifter är en inställning för hela klientorganisationen. Klientorganisationer har bara stöd för en enda utfärdare i taget.

1. Logga in på Microsoft Intune administrationscenter.

2. Välj Anslutningsappar för klientadministration>och token>Härledda autentiseringsuppgifter.

   

3. Ange ett eget visningsnamn för principen för härledd utfärdare av autentiseringsuppgifter. Det här namnet visas inte för enhetens användare.

4. För Utfärdare av härledda autentiseringsuppgifter väljer du den utfärdare av härledda autentiseringsuppgifter som du har valt för din klientorganisation:

   • DISA Purebred (endast iOS)
   • Anförtro
   • Ingripa

5. Ange en hjälp-URL för härledda autentiseringsuppgifter för att tillhandahålla en länk till en plats som innehåller anpassade instruktioner som hjälper användare att hämta härledda autentiseringsuppgifter för din organisation. Anvisningarna bör vara specifika för din organisation och för det arbetsflöde som krävs för att få autentiseringsuppgifter från din valda utfärdare. Länken visas i företagsportalen och ska vara tillgänglig från enheten.

   Om du inte anger din egen URL tillhandahåller Intune en länk till allmän information som inte kan täcka alla scenarier. Den här allmänna vägledningen kanske inte är rätt för din miljö.

6. Välj ett eller flera alternativ för Meddelandetyp. Meddelandetyper är de metoder du använder för att informera användare om följande scenarier:

   • Registrera en enhet med en utfärdare för att få en ny härledd autentiseringsuppgift.
   • Hämta en ny härledd autentiseringsuppgift när den aktuella autentiseringsuppgiften är nära att upphöra.
   • Använd en härledd autentiseringsuppgift med en principtyp som stöds.

7. När du är klar väljer du Spara för att slutföra konfigurationen av utfärdaren av härledda autentiseringsuppgifter.

När du har sparat konfigurationen kan du göra ändringar i alla fält utom utfärdaren av härledda autentiseringsuppgifter. Information om hur du ändrar utfärdaren finns i Ändra utfärdaren av härledda autentiseringsuppgifter.

Distribuera DISA Purebred-appen

Detta avsnitt gäller endast när du använder DISA Purebred.

Om du vill använda DISA Purebred som utfärdare av härledda autentiseringsuppgifter för Intune måste du hämta DISA Purebred-appen och sedan använda Intune för att distribuera appen till enheter. Sedan begär användarna de härledda autentiseringsuppgifterna från DISA Purebred med hjälp av företagsportalen på sin iOS/iPadOS-enhet eller Intune -appen på sina Android-enheter.

Förutom att distribuera DISA Purebred-appen med Intune måste enheten ha åtkomst till det lokala nätverket. Om du vill ge den här åtkomsten bör du överväga att använda ett VPN eller företags-Wi-Fi.

Utför följande uppgifter:

1. Ladda ner DISA Purebred-applikationen: https://cyber.mil/pki-pke/purebred/.

2. Distribuera DISA Purebred-programmet i Intune.

   • Se Lägga till en verksamhetsspecifik iOS-app i Microsoft Intune.
   • Se Lägga till en verksamhetsspecifik Android-app i Microsoft Intune

   Extra inställningar för Purebred-appen kan krävas. Prata med din Purebred-agent för att förstå vilka värden som ska ingå i dina policyer, eller om du har ett DoD-utfärdat Common Access Card (CAC) kan du komma åt Purebred-dokumentationen online på https://cyber.mil/pki-pke/purebred/.

3. Om du väljer att använda ett VPN per app för DISA Purebred-programmet kan du läsa Skapa ett VPN per app.

Använd härledda autentiseringsuppgifter för autentisering och S/MIME-signering och -kryptering

Du kan ange härledda autentiseringsuppgifter för följande profiltyper och syften:

• Program

• Email:

  • iOS och iPadOS
  • Android Enterprise

• VPN:

  • iOS och iPadOS

• S/MIME-signering och -kryptering

• Wi-Fi:

  • iOS och iPadOS
  • Android Enterprise

  För Wi-Fi profiler är autentiseringsmetoden endast tillgänglig när EAP-typen är inställd på något av följande värden:

  • EAP – TLS
  • EAP-TTLS
  • PEAP

Använd härledda autentiseringsuppgifter för appautentisering

Använd härledda autentiseringsuppgifter för certifikatbaserad autentisering till webbplatser och program. Så här levererar du en härledd autentiseringsuppgift för appautentisering:

1. Logga in på Microsoft Intune administrationscenter.

2. Välj Enheter>Hantera enhetskonfiguration>> På fliken Principer väljer du + Skapa.

3. Använd följande inställningar:

   För iOS och iPadOS:

   • för plattform. väljer du iOS/iPadOS och sedan Mall härledd autentiseringsuppgift för Profiltyp>. Välj Skapa för att fortsätta.
   • Ange ett beskrivande namn på profilen i rutan Namn. Namnge dina profiler så att du enkelt kan identifiera dem senare. Ett bra profilnamn är till exempel Profil för härledda autentiseringsuppgifter för iOS-enheter.
   • Under Beskrivning anger du en beskrivning som ger en översikt över inställningen och annan viktig information.

   För Android Enterprise:

   • för plattform. väljer du Android Enterprise och sedan under Fullständigt hanterad, dedikerad och Corporate-Owned arbetsprofil för Profiltyp väljer du Härledd autentiseringsuppgift. Välj Skapa för att fortsätta.
   • Ange ett beskrivande namn på profilen i rutan Namn. Namnge dina profiler så att du enkelt kan identifiera dem senare. Ett bra profilnamn är till exempel Härledd autentiseringsuppgift för Android Enterprise-enheter.
   • Under Beskrivning anger du en beskrivning som ger en översikt över inställningen och annan viktig information.
   • På sidan Appar konfigurerar du certifikatåtkomst för att hantera hur certifikatåtkomst beviljas till program. Välj mellan:
     • Kräv användargodkännande för appar(standard) – Användare måste godkänna användning av ett certifikat av alla program.
     • Bevilja tyst för specifika appar (kräv användargodkännande för andra appar) – Med det här alternativet väljer du Lägg till appar och väljer sedan en eller flera appar som tyst kommer att använda certifikatet utan användarinteraktion.

4. På sidan Tilldelningar väljer du de grupper som ska ta emot principen.

5. När du är klar väljer du Skapa för att skapa Intune -profilen. När du är klar visas din profil i listan Enheter – Konfigurationsprofiler .

Användarna får appen eller e-postmeddelandet beroende på de inställningar som du angav när du konfigurerade utfärdaren av härledda autentiseringsuppgifter. Meddelandet informerar användaren om att starta företagsportalen så att de härledda principerna för autentiseringsuppgifter kan bearbetas.

Härledda autentiseringsuppgifter för Windows

Du kan använda härledda certifikat som autentiseringsmetod för Wi-Fi- och VPN-profiler på Windows-enheter. Samma leverantörer som stöds av Android- och iOS/iPadOS-enheter stöds som leverantörer för Windows:

• DISA Renrasig
• Anförtro
• Ingripa

I Windows behöver användarna inte gå igenom en smartkortsregistreringsprocess för att hämta ett certifikat för användning som härledd autentiseringsuppgift. I stället måste användaren installera appen för Windows, som hämtas från providern för härledda autentiseringsuppgifter. Om du vill använda härledda autentiseringsuppgifter med Windows slutför du följande konfigurationer:

1. Installera appen från providers för härledda autentiseringsuppgifter på Windows-enheten.

   När du installerar Windows-appen från en provider för härledda autentiseringsuppgifter på en Windows-enhet läggs det härledda certifikatet till i enhetens Windows-certifikatarkiv. När certifikatet har lagts till på enheten blir det tillgängligt för användning av en autentiseringsmetod för härledda autentiseringsuppgifter.

   När du har fått appen från din valda leverantör kan appen distribueras till användare eller installeras direkt av enhetens användare.

2. Konfigurera Wi-Fi- och VPN-profiler så att de använder härledda autentiseringsuppgifter som autentiseringsmetod.

   När du konfigurerar en Windows-profil för Wi-Fi eller VPN väljer du Härledd autentiseringsuppgift som autentiseringsmetod. Med den här konfigurationen använder profilen det certifikat som installeras på enheten när providerns app installerades.

Förnya en härledd autentiseringsuppgift

Härledda autentiseringsuppgifter för Android- eller iOS/iPadOS-enheter kan inte utökas eller förnyas. I stället måste användarna använda arbetsflödet för begäran om autentiseringsuppgifter för att begära en ny härledd autentiseringsuppgift för sin enhet. För Windows-enheter läser du dokumentationen för appen från providern för härledda autentiseringsuppgifter.

Om du konfigurerar en eller flera metoder för meddelandetyp meddelar Intune automatiskt användarna när de aktuella härledda autentiseringsuppgifterna når 80% av livslängden. Meddelandet instruerar användarna att gå igenom processen för begäran av autentiseringsuppgifter för att hämta en ny härledd autentiseringsuppgift.

När en enhet har tagit emot en ny härledd autentiseringsuppgift distribueras principer som använder härledda autentiseringsuppgifter om till den enheten.

Ändra utfärdaren av härledda autentiseringsuppgifter

På klientorganisationsnivå kan du ändra utfärdaren av autentiseringsuppgifter, även om endast en utfärdare stöds av en klientorganisation i taget.

När du har ändrat utfärdaren uppmanas användarna att hämta en ny härledd autentiseringsuppgift från den nya utfärdaren. De måste göra det innan de kan använda härledda autentiseringsuppgifter för autentisering.

Ändra utfärdaren för din klient

1. Logga in på Microsoft Intune administrationscenter.
2. Välj Anslutningsappar för klientadministration>och token>Härledda autentiseringsuppgifter.
3. Välj Ta bort för att ta bort den aktuella utfärdaren av härledda autentiseringsuppgifter.
4. Konfigurera en ny utfärdare.

Uppdatera profiler som använder härledda autentiseringsuppgifter

När du har tagit bort en utfärdare och sedan lagt till en ny redigerar du varje profil som använder härledda autentiseringsuppgifter. Den här regeln gäller även om du återställer den tidigare utfärdaren. Varje redigering av profilen utlöser en uppdatering, inklusive en enkel redigering av profilbeskrivningen.

Uppdatera härledda autentiseringsuppgifter på enheter

När du har tagit bort en utfärdare och sedan lagt till en ny måste enhetsanvändare begära en ny härledd autentiseringsuppgift. Den här regeln gäller även om du lägger till samma utfärdare som du tog bort. Processen för att begära den nya härledda autentiseringsuppgiften är densamma som för att registrera en ny enhet eller förnya en befintlig autentiseringsuppgift.

Nästa steg

Skapa enhetskonfigurationsprofiler