Intégrer Intune à PKI Trust Manager pour émettre des certificats

Ce guide résume l’intégration de Microsoft Intune à PKI Trust Manager afin d’émettre des certificats pour les utilisateurs et les appareils. L’intégration SCEP de PKI Trust Manager est conçue pour remplacer Microsoft Network Device Enrollment Service (NDES).

Important : les noms et autorisations de Microsoft Entra ID peuvent évoluer. Avant d’accorder des autorisations d’application ou un consentement administrateur, vérifiez les exigences actuelles dans la documentation Microsoft et auprès de l’équipe de sécurité de votre tenant.

1. Préparer les modèles sur la CA émettrice

Commencez par une CA émettrice déjà intégrée via CA Proxy Gateway. Dupliquez les modèles Enrollment Agent et CEP Encryption ; dans l’exemple, ils sont nommés `SCEP-Sign` et `SCEP-ENC`. Accordez au compte de service CA Proxy Gateway de PKI Trust Manager uniquement les autorisations nécessaires Read et Enroll.

Dans PKI Trust Manager Web Admin, ouvrez Certification Authorities → Details → View Templates. Ajoutez les deux modèles et configurez leur nom affiché, le nom correspondant sur la CA et l’option Agent Certificate.

2. Créer l’intégration SCEP4Intune

1. Dans PKI Trust Manager, ouvrez Integrations et sélectionnez NEW.
2. Sélectionnez l’organisation concernée (System Organization par défaut), puis le type SCEP4Intune.
3. Vérifiez que la configuration des certificats se remplit automatiquement. Sinon, assurez-vous que la CA et ses modèles sont associés à l’organisation choisie.

3. Inscrire une application dans Azure

1. Dans Azure, ouvrez App registrations, inscrivez une application et sélectionnez Accounts on this organizational directory only.
2. Copiez l’Application (client) ID et le Directory (tenant) ID pour les renseigner dans SCEP4Intune.
3. Dans Certificates & secrets, créez un New client secret. Copiez sa valeur dans le champ Azure Intune App Key de PKI Trust Manager et stockez-la de manière sécurisée.
4. Dans API permissions, ajoutez les autorisations d’application Intune indiquées par le produit : SCEP Challenge Provider ou SCEP Challenge Validation.
5. Ajoutez également l’autorisation d’application Microsoft Graph Application Read All, selon le guide d’origine.
6. N’accordez le consentement administrateur qu’après avoir examiné et approuvé les autorisations nécessaires pour votre tenant.

4. Compléter la configuration SCEP4Intune

Renseignez les champs SCEP4Intune avec les valeurs de l’application Azure :

• App-Name : nom de l’intégration.
• Certificate Config : Signing Certificate et Encryption Certificate devraient être renseignés automatiquement.
• Azure App-ID : Application ID de l’application inscrite.
• Azure App Secret Value : valeur du secret client conservée.
• Azure Tenant ID : Directory Tenant ID.
• Version : le guide d’origine indique `2.0`.
• Certificate Template : modèle utilisé pour émettre les certificats via Intune.
• URL : point de terminaison du service PKI Trust CERT API.

Vérifiez les valeurs avant d’enregistrer l’intégration.

5. Configurer Intune : certificats approuvés et SCEP

Dans Intune, créez la configuration des certificats approuvés et téléversez les certificats racine et intermédiaire/émetteur requis. Attribuez les profils aux groupes d’utilisateurs ou d’appareils appropriés.

Créez un profil de certificat SCEP et configurez son type, son nom de sujet et son SAN conformément à la politique de certificats de votre organisation. Pour le strong certificate mapping décrit dans le guide, configurez dans le SAN l’URI du Security Identifier local. Configurez l’URL du serveur SCEP en HTTPS avec le suffixe `/scep`, comme indiqué dans le guide d’origine. Réglez les autres options selon la politique de certificats de votre organisation.

Finalisation

Après la configuration des modèles, de l’application, de SCEP4Intune et des profils Intune, l’intégration est prête à émettre des certificats aux appareils. Testez d’abord avec un groupe pilote et vérifiez l’émission et l’affectation des certificats avant d’élargir le déploiement.

Pour plus d’informations, consultez la documentation PKI Trust Manager ou contactez l’assistance.