Integrar Intune con PKI Trust Manager
Configure la integración SCEP4Intune para emitir certificados a usuarios y dispositivos.
Integrar Intune con PKI Trust Manager para emitir certificados a usuarios, dispositivos y servidores
Haga clic aquí para ver el vídeo
Este tutorial explica cómo integrar completamente PKI Trust Manager con Intune para emitir certificados a usuarios o dispositivos. Utilice el servicio Intune Integration de PKI Trust Manager en lugar de Microsoft Network Device Enrollment Service. Aprenderá a navegar por la interfaz y configurar las plantillas necesarias.
1. Introducción#
Comience en la autoridad de certificación ISSUING, ya integrada con PKI Trust Manager mediante CA Proxy Gateway. Duplique las plantillas "Enrollment Agent" y "CEP" y conceda permisos Read y Enroll a la cuenta de servicio CA Proxy Gateway. En esta demostración, las plantillas duplicadas se llaman SCEP-Sign y SCEP-ENC.
2. Administrar plantillas#
Haga clic con el botón derecho en Certificate Templates y seleccione Manage.
3. Duplicar plantillas#
Duplique las plantillas CEP Encryption y Enrollment Agent y nómbrelas SCEP-ENC y SCEP-Sign, respectivamente.
4. Permisos de las plantillas#
Asegúrese de que ambas plantillas duplicadas concedan permisos Read y Enroll a la cuenta de servicio CA Proxy Gateway de PKI Trust Manager.
5. Añadir plantillas Enrollment y CEP a PKI Trust Manager#
En Web Admin de PKI Trust Manager, haga clic en Certification Authorities.
6. Detalles de Certification Authorities#
Haga clic en Details para abrir la autoridad que se usará con SCEP.
7. Acceder a las plantillas de certificados#
Haga clic en View Templates para ver las plantillas disponibles.
8. Plantillas SCEP#
Como se muestra, las plantillas SCEP-ENC y SCEP-Sign ya están publicadas en PKI Trust Manager. Haga clic en "NEW" arriba a la derecha para crear una plantilla y configurarla.
9. Configuración de la plantilla SCEP-ENC#
Configure tres datos para SCEP-ENC: el nombre visible en PKI Trust Manager, el nombre de plantilla de la autoridad de certificación (SCEP-ENC) y la opción Agent Certificate. Guarde la plantilla después de introducirlos.
10. Configuración de la plantilla SCEP-Sign#
Configure también para SCEP-Sign el nombre visible en PKI Trust Manager, el nombre de plantilla de la autoridad de certificación (SCEP-Sign) y la opción Agent Certificate.
11. Nuevo listener SCEP#
Cuando se hayan aprovisionado las plantillas Enrollment Agent y CEP, integre PKI Trust Manager con Intune. Vaya a Integrations y haga clic en "NEW".
12. Nueva integración "SCEP4Intune"#
En el formulario, seleccione la organización correspondiente. De forma predeterminada, se selecciona System Organization. En Type, seleccione SCEP4Intune.
13. Configuración de integración SCEP4Intune#
Después de seleccionar SCEP for Intune, Certificate Configuration debería completarse automáticamente. Si no ocurre, compruebe que la autoridad de certificación y sus plantillas estén asociadas a la organización seleccionada.
14. Registro de aplicación de Azure para SCEP4Intune#
Los cuatro campos siguientes requieren información de una aplicación registrada en Azure específicamente para PKI Trust Manager e Intune.
15. Azure: registro de aplicación#
En Azure, vaya a "App Registration" y registre una aplicación. Asígnele un nombre y seleccione "Accounts on this organization directory only".
16. Azure: App ID y Tenant ID#
Copie el Application Client ID y el Directory tenant ID en la configuración Scep4Intune de PKI Trust Manager.
17. Azure: certificados y secretos de la aplicación#
En la barra de navegación izquierda, haga clic en Certificates and secrets.
18. Azure: nuevo secreto de aplicación#
Haga clic en "New Client Secret" para crear un secreto. Después, copie el valor del secreto en el campo Azure Intune App Key de PKI Trust Manager.
19. Azure: permisos de API de la aplicación#
Asigne a la aplicación registrada los permisos necesarios. Vaya a API Permissions.
20. Azure: añadir un permiso de aplicación#
Haga clic en "Add a permission" para abrir las opciones disponibles.
21. Azure: solicitar permiso de API#
Seleccione el cuadro Intune en esta ventana.
22. Azure: permisos de aplicación de Intune#
Haga clic en "Application permissions" para continuar.
23. Azure: permisos de aplicación de Intune#
Seleccione SCEP Challenge Provider o SCEP Challenge Validation como se muestra y guarde los permisos.
24. Azure: nuevos permisos de Microsoft Graph#
Añada los permisos apropiados de Microsoft Graph a esta aplicación registrada. Haga clic en "Add a permission" y luego en "Microsoft Graph".
25. Azure: Microsoft Graph Read All#
Seleccione "Application permission". Se mostrará la lista de permisos. Expanda Application y seleccione "Application Read All".
26. Azure: conceder consentimiento de administrador#
Por último, haga clic en "Grant admin Consent". Es necesario para que los permisos funcionen correctamente.
27. Azure: nuevo secreto#
Una vez concedido el consentimiento de administrador, el estado debería aparecer en verde.
28. Azure: nuevo secreto#
Esto completa el registro de la aplicación Azure. A continuación, terminaremos la configuración en PKI Trust Manager.
29. Configuración de SCEP4Intune#
Complete los campos con los valores de la aplicación Azure para la integración de PKI Trust Manager e Intune y valide la configuración.
30. Nombre de la aplicación SCEP4Intune#
Indique un nombre para la aplicación.
31. Configuración de certificados SCEP4Intune#
Los certificados de firma y cifrado deberían completarse automáticamente.
32. Azure App-ID de SCEP4Intune#
El App ID de Azure corresponde al Application-ID de la aplicación registrada en Azure.
33. Valor del secreto de aplicación Azure#
Azure Intune App Key corresponde al valor del secreto de la aplicación Azure registrada.
34. Azure Tenant ID de SCEP4Intune#
Azure Intune Tenant ID corresponde al Azure Tenant ID.
35. Versión de SCEP4Intune#
Establezca Provisioning Name y Version de Azure Intune en 2.0.
36. Plantilla de certificados SCEP4Intune#
Seleccione la plantilla que se usará para emitir certificados mediante la integración con Intune.
37. URL de SCEP4Intune#
Introduzca la URL del contenedor PKI Trust CERT API.
38. Guardar SCEP4Intune#
Después de validar la configuración, guárdela para publicar y habilitar el servicio SCEP4Intune. El siguiente vídeo cubre la configuración del centro de administración de Intune para integrarlo con PKI Trust Manager.
39. Administración de Intune: configuración de SCEP y certificado de confianza#
Complete la configuración en Intune. Vaya al centro de administración de Intune.
40. Intune: configuración de dispositivos#
Haga clic en "Devices" en la barra izquierda y abra la configuración de dispositivos.
41. Intune: configuración de dispositivos — nueva política#
Cree una política nueva.
42. Intune: plataforma de configuración de dispositivos#
Elija la plataforma a la que se aplicará la configuración. Puede inscribir certificados en las plataformas compatibles con Intune, incluidas Windows, Android e iOS.
43. Intune: tipo de perfil de configuración#
Seleccione Templates entre los tipos de perfil disponibles.
44. Intune: certificado de confianza#
Seleccione el certificado de confianza en la lista de plantillas disponibles.
45. Intune: certificado de confianza — nombre de configuración#
Asigne un nombre al perfil de configuración.
46. Intune: certificado de confianza — cargar certificado ROOT#
Cargue el certificado Root. Se necesita para construir la cadena de la autoridad y permitir que los dispositivos confíen en los certificados emitidos.
47. Intune: almacén raíz de certificados del equipo#
Compruebe que el almacén de destino sea Computer Certificate Store - Root.
48. Intune: asignación del certificado de confianza#
Añada un grupo que contenga los dispositivos correspondientes o seleccione "Add all devices" para aplicar esta configuración a todos. Termine de crear la configuración.
49. Intune: certificado intermedio/de emisión#
Tras aprovisionar la configuración del certificado ROOT de confianza, repita los pasos para la autoridad de certificación intermedia que emitirá certificados. En este perfil, establezca el almacén de destino en Computer Certificate store - Intermediate.
50. Intune: plantilla de certificado SCEP#
Como último paso, aprovisione el perfil de certificado SCEP. Este perfil utilizará la URL PKI Trust Cert API configurada previamente para solicitar certificados e inscribir dispositivos.
51. Intune: nombre del perfil de certificado SCEP#
Indique un nombre para el perfil SCEP utilizado para aprovisionar certificados de usuario o dispositivo en los endpoints.
52. Intune: tipo de certificado del perfil SCEP#
Seleccione el tipo de certificado que se emitirá. Debe coincidir con el configurado en PKI Trust Manager.
53. Intune: nombre del sujeto del certificado SCEP#
Indique el nombre del sujeto del certificado que se emitirá. Puede utilizar los valores predeterminados.
54. Intune: SAN del certificado SCEP#
Configure Subject Alternative Name. Además del correo o nombre de host, establezca URI en On premises Security Identifier. Es necesario para Strong Certificate Mapping.
55. Intune: URL del servidor SCEP#
Al final de la configuración, establezca la URL del servidor SCEP como se muestra: debe comenzar con https y terminar con /SCEP.
56. Intune: configuración del certificado SCEP#
Complete el resto de la configuración según se muestra o según la política de certificados de su organización, incluida la adición del perfil del certificado ROOT aprovisionado previamente.
¡Enhorabuena! Ha habilitado SCEP4Intune en PKI Trust Manager, configurado los modelos de certificados y los ajustes necesarios, y completado la integración con Intune. Ahora puede emitir correctamente certificados a dispositivos. Para más información, consulte la documentación o contacte con soporte.