Integrar Intune con PKI Trust Manager para emitir certificados

Esta guía resume cómo integrar Microsoft Intune con PKI Trust Manager para emitir certificados a usuarios y dispositivos. La integración SCEP de PKI Trust Manager está concebida para utilizarse en lugar de Microsoft Network Device Enrollment Service (NDES).

Importante: los nombres y permisos de Microsoft Entra ID pueden cambiar. Antes de conceder permisos de aplicación o consentimiento administrativo, confirme los requisitos actuales con la documentación de Microsoft y el equipo de seguridad de su tenant.

1. Preparar plantillas en la CA emisora

Comience con una CA emisora ya integrada mediante CA Proxy Gateway. Duplique las plantillas Enrollment Agent y CEP Encryption; en el ejemplo se llaman `SCEP-Sign` y `SCEP-ENC`. Conceda a la cuenta de servicio CA Proxy Gateway de PKI Trust Manager únicamente los permisos necesarios Read y Enroll.

En PKI Trust Manager Web Admin, abra Certification Authorities → Details → View Templates. Añada los dos templates y configure su nombre visible, el nombre correspondiente en la CA y la opción Agent Certificate.

2. Crear la integración SCEP4Intune

1. En PKI Trust Manager, abra Integrations y seleccione NEW.
2. Seleccione la organización correspondiente (por defecto, System Organization) y el tipo SCEP4Intune.
3. Verifique que la configuración de certificados se complete automáticamente. Si no, compruebe que la CA y sus plantillas estén asociadas a la organización seleccionada.

3. Registrar una aplicación en Azure

1. En Azure, abra App registrations, registre una aplicación y seleccione Accounts on this organizational directory only.
2. Copie el Application (client) ID y Directory (tenant) ID para configurarlos en SCEP4Intune.
3. En Certificates & secrets, cree un New client secret. Copie su valor en el campo Azure Intune App Key de PKI Trust Manager y guárdelo de forma segura.
4. En API permissions, agregue los permisos de aplicación de Intune indicados por el producto: SCEP Challenge Provider o SCEP Challenge Validation.
5. Agregue también el permiso de aplicación Microsoft Graph Application Read All, según la guía original.
6. Conceda consentimiento de administrador solo después de revisar y aprobar los permisos requeridos para su tenant.

4. Completar la configuración SCEP4Intune

Rellene los campos de SCEP4Intune con los valores de la aplicación de Azure:

• App-Name: nombre de la integración.
• Certificate Config: Signing Certificate y Encryption Certificate deberían completarse automáticamente.
• Azure App-ID: Application ID de la aplicación registrada.
• Azure App Secret Value: valor del secreto de cliente guardado.
• Azure Tenant ID: Directory Tenant ID.
• Version: la guía original indica `2.0`.
• Certificate Template: plantilla utilizada para emitir certificados mediante Intune.
• URL: endpoint del servicio PKI Trust CERT API.

Revise los valores antes de guardar la integración.

5. Configurar Intune: certificados de confianza y SCEP

En Intune, cree la configuración de certificados de confianza y cargue los certificados raíz e intermedio/emisor necesarios. Asigne los perfiles a los grupos de dispositivos o usuarios adecuados.

Cree un perfil de certificado SCEP y configure el tipo, nombre de sujeto y SAN de acuerdo con la política de certificados de su organización. Para el strong certificate mapping descrito en la guía, configure en SAN el URI del Security Identifier local. Configure la URL del servidor SCEP con HTTPS y el sufijo `/scep`, tal como indica la guía original. Complete las demás opciones según la política de certificados de su organización.

Finalización

Después de configurar las plantillas, la aplicación, SCEP4Intune y los perfiles de Intune, la integración queda preparada para emitir certificados a dispositivos. Compruebe primero el funcionamiento con un grupo de prueba y valide la emisión y asignación de certificados antes de ampliar el despliegue.

Para más información, consulte la documentación de PKI Trust Manager o contacte con soporte.