将 Intune 与 PKI Trust Manager 集成以签发证书

本指南概述如何将 Microsoft Intune 与 PKI Trust Manager 集成，为用户和设备签发证书。PKI Trust Manager 的 SCEP 集成旨在替代 Microsoft Network Device Enrollment Service (NDES)。

重要提示：Microsoft Entra ID 的权限名称和要求可能会变化。在授予应用程序权限或管理员同意之前，请根据 Microsoft 最新文档以及租户安全团队的要求进行核实。

1. 在签发 CA 上准备模板

首先使用已通过 CA Proxy Gateway 集成的签发 CA。复制 Enrollment Agent 和 CEP Encryption 模板；示例中副本命名为 `SCEP-Sign` 和 `SCEP-ENC`。仅向 PKI Trust Manager CA Proxy Gateway 服务帐户授予所需的 Read 和 Enroll 权限。

在 PKI Trust Manager Web Admin 中打开 Certification Authorities → Details → View Templates。添加两个模板，配置其显示名称、CA 上对应的模板名称，并启用 Agent Certificate。

2. 创建 SCEP4Intune 集成

1. 在 PKI Trust Manager 中打开 Integrations 并选择 NEW。
2. 选择适当的组织（默认是 System Organization），并在类型中选择 SCEP4Intune。
3. 证书配置应自动填充。如果没有，请确认所选组织已关联证书颁发机构及其模板。

3. 在 Azure 中注册应用程序

1. 在 Azure 中打开 App registrations，注册应用并选择 Accounts on this organizational directory only。
2. 复制 Application (client) ID 和 Directory (tenant) ID，以便填入 SCEP4Intune 配置。
3. 在 Certificates & secrets 中创建 New client secret。将其值复制到 PKI Trust Manager 的 Azure Intune App Key 字段，并安全保存。
4. 在 API permissions 中添加产品文档指定的 Intune 应用程序权限：SCEP Challenge Provider 或 SCEP Challenge Validation。
5. 根据原指南，还需添加 Microsoft Graph 应用程序权限 Application Read All。
6. 审查并批准租户所需权限后，才授予管理员同意。

4. 完成 SCEP4Intune 配置

使用 Azure 应用中的值填写 SCEP4Intune 配置项：

• App-Name：集成名称。
• Certificate Config：Signing Certificate 和 Encryption Certificate 应自动填充。
• Azure App-ID：已注册应用的 Application ID。
• Azure App Secret Value：已保存的客户端密钥值。
• Azure Tenant ID：Directory Tenant ID。
• Version：原指南注明为 `2.0`。
• Certificate Template：Intune 集成签发证书时使用的模板。
• URL：PKI Trust CERT API 服务端点。

保存前请核对所有值。

5. 配置 Intune：受信任证书与 SCEP

在 Intune 中创建受信任证书配置，并上传所需的根证书和中间/签发证书。将配置文件分配给适当的用户组或设备组。

创建 SCEP 证书配置文件，并根据组织的证书策略配置证书类型、主题名称和 SAN。对于指南中所述的 strong certificate mapping，请在 SAN 中配置本地 Security Identifier 的 URI。按照原指南，将 SCEP 服务器 URL 配置为 HTTPS，并以 `/scep` 结尾。其他设置应符合组织的证书策略。

完成

配置模板、Azure 应用、SCEP4Intune 和 Intune 配置文件后，即可准备向设备签发证书。先在试点组中验证证书签发和分配，再扩大部署范围。

如需更多信息，请参阅 PKI Trust Manager 文档或联系支持团队。