Intégrer Intune à PKI Trust Manager
Configurez l’intégration SCEP4Intune pour émettre des certificats aux utilisateurs et aux appareils.
Intégrer Intune à PKI Trust Manager pour émettre des certificats aux utilisateurs, appareils et serveurs
Ce tutoriel vous guide dans l’intégration complète de PKI Trust Manager avec Intune afin d’émettre des certificats aux utilisateurs ou aux appareils. Utilisez le service Intune Integration de PKI Trust Manager au lieu de Microsoft Network Device Enrollment Service. Vous apprendrez à parcourir l’interface et à configurer les modèles de certificats nécessaires.
1. Introduction#
Commencez par l’autorité de certification ISSUING déjà intégrée à PKI Trust Manager via CA Proxy Gateway. Dupliquez les modèles "Enrollment Agent" et "CEP", puis accordez les autorisations Read et Enroll au compte de service CA Proxy Gateway. Dans cette démonstration, les copies sont nommées SCEP-Sign et SCEP-ENC.
2. Gérer les modèles#
Faites un clic droit sur Certificate Templates, puis cliquez sur Manage.
3. Dupliquer les modèles#
Dupliquez les modèles CEP Encryption et Enrollment Agent, puis nommez-les SCEP-ENC et SCEP-Sign respectivement.
4. Autorisations des modèles de certificats#
Vérifiez que les deux modèles dupliqués accordent les autorisations Read et Enroll au compte de service CA Proxy Gateway de PKI Trust Manager.
5. Ajouter les modèles Enrollment et CEP à PKI Trust Manager#
Dans Web Admin de PKI Trust Manager, cliquez sur Certification Authorities.
6. Détails de Certification Authorities#
Cliquez sur Details pour accéder à l’autorité de certification utilisée par SCEP.
7. Accéder aux modèles de certificats#
Cliquez sur View Templates pour afficher les modèles disponibles.
8. Modèles SCEP#
Comme illustré, les modèles SCEP-ENC et SCEP-Sign sont déjà publiés dans PKI Trust Manager. Cliquez sur "NEW" en haut à droite pour créer et configurer un nouveau modèle.
9. Configuration du modèle SCEP-ENC#
Configurez trois éléments pour SCEP-ENC : le nom affiché dans PKI Trust Manager, le nom du modèle sur l’autorité de certification (SCEP-ENC) et l’option Agent Certificate. Enregistrez le modèle après la saisie.
10. Configuration du modèle SCEP-Sign#
Configurez également trois éléments pour SCEP-Sign : le nom affiché dans PKI Trust Manager, le nom du modèle sur l’autorité de certification (SCEP-Sign) et l’option Agent Certificate.
11. Nouveau listener SCEP#
Une fois les modèles Enrollment Agent et CEP provisionnés, l’intégration de PKI Trust Manager avec Intune peut commencer. Accédez à Integrations et cliquez sur "NEW".
12. Nouvelle intégration "SCEP4Intune"#
Dans le formulaire, sélectionnez l’organisation appropriée. La valeur par défaut est System Organization. Dans la liste Type, sélectionnez SCEP4Intune.
13. Configuration de l’intégration SCEP4Intune#
Après la sélection de SCEP for Intune, Certificate Configuration doit se remplir automatiquement. Sinon, vérifiez que l’autorité de certification et ses modèles sont associés à l’organisation sélectionnée.
14. Inscription d’application Azure pour SCEP4Intune#
Les quatre champs suivants requièrent des informations provenant d’une application enregistrée dans Azure pour PKI Trust Manager et Intune.
15. Azure : inscription d’application#
Dans Azure, ouvrez "App Registration" pour enregistrer une application. Donnez-lui un nom puis sélectionnez "Accounts on this organization directory only".
16. Azure : App ID et Tenant ID#
Copiez l’Application Client ID et le Directory tenant ID dans la configuration Scep4Intune de PKI Trust Manager.
17. Azure : certificats et secrets de l’application#
Dans la barre de navigation de gauche, cliquez sur Certificates and secrets.
18. Azure : nouveau secret d’application#
Cliquez sur "New Client Secret". Copiez ensuite la valeur du nouveau secret dans le champ Azure Intune App Key de PKI Trust Manager.
19. Azure : autorisations API de l’application#
Accordez les autorisations nécessaires à l’application enregistrée. Accédez à API Permissions.
20. Azure : ajouter une autorisation#
Cliquez sur "Add a permission" pour afficher les options disponibles.
21. Azure : demander une autorisation API#
Sélectionnez le bloc Intune dans cette fenêtre.
22. Azure : autorisations d’application Intune#
Cliquez sur "Application permissions" pour continuer.
23. Azure : autorisations d’application Intune#
Sélectionnez SCEP Challenge Provider ou SCEP Challenge Validation, puis enregistrez les autorisations.
24. Azure : nouvelles autorisations Microsoft Graph#
Ajoutez les autorisations Microsoft Graph appropriées à l’application. Cliquez sur "Add a permission", puis sur "Microsoft Graph".
25. Azure : Microsoft Graph Read All#
Sélectionnez "Application permission" pour afficher les autorisations disponibles. Développez Application et sélectionnez "Application Read All".
26. Azure : accorder le consentement administrateur#
Enfin, cliquez sur "Grant admin Consent". Cette étape est nécessaire au bon fonctionnement des autorisations.
27. Azure : nouveau secret#
Une fois le consentement administrateur accordé, le statut doit passer au vert.
28. Azure : nouveau secret#
L’inscription de l’application Azure est terminée. Nous allons maintenant finaliser la configuration dans PKI Trust Manager.
29. Configuration SCEP4Intune#
Renseignez les champs avec les valeurs de l’application Azure pour l’intégration entre PKI Trust Manager et Intune, puis validez.
30. Nom de l’application SCEP4Intune#
Indiquez un nom pour l’application.
31. Configuration des certificats SCEP4Intune#
Les certificats de signature et de chiffrement doivent se remplir automatiquement.
32. Azure App-ID SCEP4Intune#
L’Azure App ID correspond à l’Application-ID de l’application enregistrée dans Azure.
33. Valeur du secret d’application Azure#
Azure Intune App Key correspond à la valeur du secret de l’application Azure enregistrée.
34. Azure Tenant ID SCEP4Intune#
Azure Intune Tenant ID correspond à l’Azure Tenant ID.
35. Version SCEP4Intune#
Définissez Provisioning Name et Version Azure Intune sur 2.0.
36. Modèle de certificat SCEP4Intune#
Sélectionnez le modèle qui sera utilisé pour émettre des certificats via l’intégration Intune.
37. URL SCEP4Intune#
Saisissez l’URL du conteneur PKI Trust CERT API.
38. Enregistrer SCEP4Intune#
Après validation, enregistrez pour publier et activer le service SCEP4Intune. La vidéo suivante présentera la configuration du centre d’administration Intune pour l’intégration avec PKI Trust Manager.
39. Administration Intune — configuration SCEP et certificat approuvé#
Terminons la configuration côté Intune. Accédez au centre d’administration Intune.
40. Intune : configuration des appareils#
Cliquez sur "Devices" dans la navigation de gauche, puis ouvrez la configuration des appareils.
41. Intune : configuration des appareils — nouvelle stratégie#
Créez une nouvelle stratégie.
42. Intune : plateforme de configuration des appareils#
Choisissez la plateforme concernée. Les certificats peuvent être inscrits sur les plateformes prises en charge par Intune, notamment Windows, Android et iOS.
43. Intune : type de profil de configuration des appareils#
Sélectionnez Templates dans la liste des types de profil.
44. Intune : certificat approuvé#
Sélectionnez le certificat approuvé dans la liste des modèles disponibles.
45. Intune : certificat approuvé — nom de configuration#
Donnez un nom au profil de configuration.
46. Intune : certificat approuvé — chargement du certificat ROOT#
Chargez le certificat Root. Il sert à construire la chaîne de l’autorité et à faire approuver les certificats émis par les appareils.
47. Intune : magasin racine de certificats de l’ordinateur#
Vérifiez que le magasin de destination est Computer Certificate Store - Root.
48. Intune : attribution du certificat approuvé#
Ajoutez un groupe contenant les appareils concernés ou sélectionnez "Add all devices" pour appliquer cette configuration à tous les appareils. Terminez la création de la configuration.
49. Intune : certificat intermédiaire/émetteur#
Après avoir configuré le certificat ROOT approuvé, répétez les étapes pour l’autorité intermédiaire qui émettra les certificats. Pour ce profil, définissez le magasin de destination sur Computer Certificate store - Intermediate.
50. Intune : modèle de certificat SCEP#
Dernière étape : configurez le profil de certificat SCEP. Il utilisera l’URL PKI Trust Cert API définie précédemment pour demander des certificats et inscrire des appareils.
51. Intune : nom du profil de certificat SCEP#
Donnez un nom au profil SCEP utilisé pour provisionner des certificats utilisateur ou appareil sur les endpoints.
52. Intune : type de certificat du profil SCEP#
Sélectionnez le type de certificat à émettre. Il doit correspondre au type configuré dans PKI Trust Manager.
53. Intune : nom du sujet du certificat SCEP#
Indiquez le nom du sujet des certificats émis. Vous pouvez conserver les paramètres par défaut.
54. Intune : SAN du certificat SCEP#
Configurez Subject Alternative Name. En plus de l’e-mail ou du nom d’hôte, définissez URI sur On premises Security Identifier. Ce réglage est requis pour Strong Certificate Mapping.
55. Intune : URL du serveur SCEP#
Au bas du profil, indiquez l’URL du serveur SCEP comme illustré. Elle doit commencer par https et se terminer par /SCEP.
56. Intune : configuration du certificat SCEP#
Terminez la configuration comme indiqué ou selon la politique de certificats de votre organisation, notamment en ajoutant le profil de certificat ROOT provisionné précédemment.
Félicitations ! Vous avez activé SCEP4Intune dans PKI Trust Manager, configuré les modèles de certificats et les paramètres requis, et intégré Intune. La configuration permet désormais d’émettre des certificats aux appareils. Pour plus d’informations, consultez la documentation ou contactez l’assistance.