วิธีการตั้งค่า Cloud PKI ใน Microsoft Intune ทีละขั้นตอน
Microsoft Cloud PKI เป็นแนวทางสมัยใหม่ในการจัดการใบรับรอง ซึ่งดำเนินการโดยตรงจากพอร์ทัลผู้ดูแลระบบ Microsoft Intune (หรือทางโปรแกรมด้วย Graph API) โดยไม่ต้องใช้โครงสร้างพื้นฐานภายในองค์กรที่ซับซ้อน ช่วยให้คุณสร้างทั้งรูทและการออกใบรับรองจากระบบคลาวด์ซึ่งเป็นส่วนตัวของคุณ โปรไฟล์การกำหนดค่าอุปกรณ์จะปรับใช้ใบรับรองกับอุปกรณ์ผู้ใช้ปลายทางได้โดยอัตโนมัติสำหรับสถานการณ์การตรวจสอบสิทธิ์ เช่น WiFi, VPN, การลงนามโค้ด และอื่นๆ อีกมากมาย
ในบล็อกโพสต์นี้ ฉันจะแสดงวิธีการปรับใช้โครงสร้างพื้นฐาน Microsoft Cloud PKI ใน Microsoft Intune โดยใช้ทั้งเว็บพอร์ทัลและ Microsoft Graph PowerShell เพื่อออกใบรับรองให้กับอุปกรณ์ปลายทาง
ข้อกำหนดเบื้องต้น
ก่อนที่คุณจะเริ่มต้น ตรวจสอบให้แน่ใจว่าคุณมีคุณสมบัติตรงตามข้อกำหนดเบื้องต้นทั้งหมดในการปรับใช้ Cloud PKI ในสภาพแวดล้อมของคุณโดยใช้ Microsoft Intune
การให้ใบอนุญาต
Cloud PKI มาเป็นส่วนหนึ่งของแพ็คเกจสิทธิ์การใช้งาน Intune Suite ด้วยเหตุนี้ คุณต้องตรวจสอบให้แน่ใจว่าผู้ใช้ที่ได้รับประโยชน์จาก Microsoft Cloud PKI ได้รับสิทธิ์การใช้งาน Intune Suite
สิทธิ์
หากต้องการเข้าถึงฟังก์ชันที่จำเป็นทั้งหมดเพื่อปรับใช้โครงสร้างพื้นฐาน PKI กับ Microsoft Intune คุณต้องมีบทบาท Intune Administrator เป็นอย่างน้อยหากคุณไม่ได้ใช้บทบาทที่กำหนดเอง
หากคุณใช้ Microsoft Graph PowerShell แอปพลิเคชันของคุณต้องได้รับอนุญาตต่อไปนี้: DeviceManagementConfiguration.ReadWrite.All ซึ่งจะทำให้คุณสามารถสร้างโปรไฟล์การกำหนดค่าได้ สำหรับการอนุญาตในการสร้าง CA นั้น ปัจจุบัน Graph API มีข้อบกพร่อง และจะอนุญาตให้คุณสร้าง CA โดยไม่ต้องให้สิทธิ์ใดๆ
ประโยชน์ของ Cloud PKI
- ขจัดความซับซ้อนของการปรับใช้ PKI โดยทั่วไปอย่างมาก
- ขจัดความจำเป็นในการปรับใช้ NDES ที่ซับซ้อน
- ย้ายจากรายจ่ายฝ่ายทุนไปเป็นรูปแบบรายจ่ายการดำเนินงาน
- เส้นทางการอัพเกรดตามธรรมชาติสู่คลาวด์
- รองรับโปรไฟล์ใบรับรอง Intune SCEP ซึ่งรวมถึง Windows, IOS, iPadOS, Android และ MacOS แต่ไม่ใช่ Linux
- สามารถรับได้ผ่าน Intune Suite สำหรับฟังก์ชันเพิ่มเติมหรือสิทธิ์การใช้งานเสริม PKI แต่เพียงผู้เดียว
- สามารถส่งออกใบรับรอง Root และ CA ระดับกลางสำหรับบริการของบุคคลที่สามได้
- คีย์ CA ได้รับการสนับสนุน HSM
- Cloud PKI ตั้งอยู่ร่วมกันในภูมิภาคทางภูมิศาสตร์เดียวกันกับผู้เช่า Intune ที่มีความซ้ำซ้อนในตัว
- ใบรับรองที่ออกจะถูกแทนที่โดยอัตโนมัติ (ไม่ได้ต่ออายุโดยตรง) ผ่านโปรไฟล์ใบรับรอง SCEP
- ใบรับรองที่ออกสามารถเพิกถอนได้ด้วยตนเองผ่านพอร์ทัล
การวิเคราะห์ต้นทุน คุ้มไหม
ปัญหาหลักประการหนึ่งในการนำ Intune Suite มาใช้ก็คือราคา ที่ 8.20 ปอนด์สำหรับข้อผูกพันรายปีหรือ 9.84 ปอนด์สำหรับสัญญาแบบต่อเนื่องรายเดือน โซลูชันของบุคคลที่สาม แม้จะไม่ได้มอบความง่ายในการใช้งานและฟังก์ชันการทำงานแบบเดียวกัน แต่ก็มีแนวโน้มที่จะชนะในราคาเพียงอย่างเดียว
โดยพิจารณาแยกโซลูชันภายในองค์กรออกสักครู่ (เนื่องจากการประหยัดต่อขนาดอย่างเห็นได้ชัด รวมถึงต้นทุนฮาร์ดแวร์และแรงงานที่คิดไว้) คู่แข่งที่ดีที่สุดคือ SCEPman โดยเสนอราคาผลิตภัณฑ์คงที่ 1 ยูโรต่อผู้ใช้ต่อเดือน สำหรับผู้ใช้สูงสุด 200 รายสำหรับบริการ Cloud CA จากนั้น มีการประหยัดต่อขนาดอย่างเห็นได้ชัดหลังจากนั้น โดยมีผู้ใช้ 3625 รายที่มีค่าใช้จ่ายลดลงทั้งหมด 1,000 ยูโรต่อเดือน
เมื่อเปรียบเทียบกับ Cloud PKI ซึ่งขยายขนาดอย่างไม่มีกำหนดในอัตราเดียวกัน ราคาก็ไม่มีใครเทียบได้ ขณะนี้ ผลิตภัณฑ์มาพร้อมกับสิทธิ์การใช้งาน Intune Suite ซึ่งมีประโยชน์อื่นๆ มากมายและจะน่าสนใจยิ่งขึ้นหากใช้คุณสมบัติทั้งหมด สมมติว่าราคาของ Cloud PKI แบบสแตนด์อโลน (ซึ่งยังไม่เปิดตัว) คือ 2 ดอลลาร์ต่อผู้ใช้ต่อเดือน โดยทันที นี่คือ 400 ดอลลาร์ต่อเดือนสำหรับผู้ใช้ 200 ราย และ 7,250 ดอลลาร์ต่อเดือนสำหรับผู้ใช้ 3,625 ราย (ประมาณ 6,680 ยูโร)
วิธีเดียวที่แม่นยำในการประเมินมูลค่าทางการเงินของ Cloud PKI คือการดำเนินการต้นทุนรวมในการเป็นเจ้าของกับผลิตภัณฑ์ที่มีอยู่ของคุณและ Intune Suite อย่างไรก็ตาม นี่เป็นการขายยากสำหรับลูกค้าใหม่ที่ลงทุนในชุดผลิตภัณฑ์ Microsoft อย่างเต็มที่ เครื่องมืออย่าง https://transform.microsoft.com/ สามารถช่วยคุณในการเดินทางครั้งนี้ได้
การสร้าง Root CA ใหม่
1. เข้าสู่ระบบ https://intune.microsoft.com
2. ไปที่หน้า การดูแลระบบผู้เช่า จากนั้นคลิก Cloud PKI > สร้าง
3. กำหนดชื่อสำหรับ Root CA ของคุณ ฉันจะเลือก OurCloudNetworkRootCA จากนั้นคลิก ถัดไป
4. กำหนดค่าประเภท CA เป็น Root CA จากนั้นกำหนดระยะเวลาที่ใช้งานได้ตามต้องการ ฉันแนะนำให้เลือก 10 ปี อย่างไรก็ตาม ผู้ให้บริการแต่ละรายแนะนำระยะเวลาที่ใช้งานได้ต่างกัน
นอกจากนี้ ในส่วน การใช้คีย์แบบขยาย ให้กำหนดการใช้งานทั้งหมดที่คุณอาจต้องการในการออก CA เนื่องจากคุณไม่สามารถกลับไปแก้ไขคุณสมบัติเหล่านี้ได้
5. สำหรับ แอตทริบิวต์หัวเรื่อง แนวทางปฏิบัติที่ดีในการกรอกข้อมูลให้ถูกต้อง
6. สุดท้าย เลือกตัวเลือกการเข้ารหัสสูงสุดเพื่อการป้องกันที่ดีที่สุดภายใต้การตั้งค่าการเข้ารหัส แม้ว่าจะเป็นการใช้งานแบบเดิม แต่การตั้งค่าอัลกอริธึมที่สูงขึ้นอาจมีผลกระทบด้านความปลอดภัยและความสามารถอย่างมาก แต่ Cloud PKI ก็ไม่ต้องกังวลมากนัก คลิกถัดไป ผ่านหน้าสุดท้าย จากนั้นคลิกสร้าง
การสร้าง Root CA ใหม่ด้วย PowerShell
คุณสามารถปรับใช้ Cloud PKI Root CA ได้โดยใช้ Microsoft Graph PowerShell โค้ดด้านล่างจะปรับใช้ Root CA โดยใช้การตั้งค่าที่ฉันกำหนดไว้ด้านบน ก่อนที่จะปรับใช้กับ PowerShell คุณต้องแก้ไขชื่อ อัลกอริธึม และการใช้คีย์เพิ่มเติมที่เกี่ยวข้องเพื่อให้ตรงตามความต้องการของคุณ
Connect-MgGraph -scope DeviceManagementConfiguration.ReadWrite.All
$body = @{
commonName = "Our Cloud Network RootCA"
displayName = "OurCloudNetworkRootCA"
cloudCertificationAuthorityType = "rootCertificationAuthority"
certificationAuthorityIssuerId = $null
validityPeriodInYears = 10
certificateKeySize = "rsa4096"
cloudCertificationAuthorityHashingAlgorithm = "sha512"
organizationName = "Our Cloud Network"
organizationUnit = "IT"
countryName = "UK"
stateName = "Kent"
localityName = "GB"
roleScopeTagIds = @(
"0"
)
extendedKeyUsages = @(
@{
name = "Server auth"
objectIdentifier = "1.3.6.1.5.5.7.3.1"
}
@{
name = "Client auth"
objectIdentifier = "1.3.6.1.5.5.7.3.2"
}
@{
name = "Code signing"
objectIdentifier = "1.3.6.1.5.5.7.3.3"
}
)
}
Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/cloudCertificationAuthority" `
-Body $body `
-ContentType "application/json"ด้านล่างนี้คือรายการตัวระบุออบเจ็กต์สำหรับการใช้คีย์เพิ่มเติมที่รองรับใน Cloud PKI
การสร้าง CA ที่ออกใหม่
ตอนนี้คุณได้ปรับใช้ Root CA ของคุณแล้ว คุณสามารถสร้างการออก CA ใหม่ได้ ทำตามขั้นตอนด้านล่างเพื่อสร้างผู้ออก CA ของคุณ
1. เปิดใช้งานวิซาร์ด CA ใหม่อีกครั้งโดยไปที่หน้า การดูแลระบบผู้เช่า จากนั้นคลิก Cloud PKI > สร้าง
2. กำหนดชื่อของ CA ที่ออก ฉันเลือก OurCloudNetworkIssuingCA แล้วคลิก ถัดไป
3. สำหรับ ประเภท CA ให้เลือก การออก CA จากนั้นคุณจะต้องเลือก Root CA ขั้นแรกให้เลือก Intune สำหรับแหล่งที่มาของ Root CA และเลือก Root CA ของคุณจากรายการ เลือก ระยะเวลาที่ใช้ได้ ด้วย เพื่อเป็นแนวทางปฏิบัติที่ดี ฉันเลือก 2 ปี
4. เลือกประเภทใบรับรองที่คุณต้องการออกภายใต้การใช้คีย์แบบขยาย ฉันได้จับคู่สิ่งนี้กับ Root CA ของฉันแล้ว
5. กรอกแอตทริบิวต์หัวเรื่องทั้งหมดให้ครบถ้วนเหมือนกับที่คุณทำกับ Root CA ตรวจสอบให้แน่ใจว่าคุณได้แก้ไข ชื่อทั่วไป
6. สุดท้ายนี้ คุณจะเห็นว่าการตั้งค่าการเข้ารหัสสำหรับ CA ที่ออกได้รับการสืบทอดมาจาก Root CA คลิก ถัดไป ผ่านหน้าสุดท้าย จากนั้นคลิก สร้าง
การสร้าง CA ที่ออกใหม่ด้วย PowerShell
เช่นเดียวกับ Root CA ของเรา คุณสามารถสร้างการออก CA ของคุณโดยใช้ Microsoft Graph PowerShell ด้วยโค้ดต่อไปนี้ ขอย้ำอีกครั้งว่าคุณได้ปรับเปลี่ยนการตั้งค่าให้ตรงกับความต้องการของคุณ
$body = @{
commonName = "Our Cloud Network Issuing CA"
displayName = "OurCloudNetworkIssuingCA"
cloudCertificationAuthorityType = "issuingCertificationAuthority"
certificationAuthorityIssuerId = "e95d737f-ab0d-401f-9b4b-aaf76bed80e5"
validityPeriodInYears = 2
certificateKeySize = "rsa4096"
cloudCertificationAuthorityHashingAlgorithm = "sha512"
organizationName = "Our Cloud Network"
organizationUnit = "IT"
countryName = "UK"
stateName = "Kent"
localityName = "GB"
roleScopeTagIds = @(
"0"
)
extendedKeyUsages = @(
@{
name = "Server auth"
objectIdentifier = "1.3.6.1.5.5.7.3.1"
}
@{
name = "Client auth"
objectIdentifier = "1.3.6.1.5.5.7.3.2"
}
@{
name = "Code signing"
objectIdentifier = "1.3.6.1.5.5.7.3.3"
}
)
}
Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/cloudCertificationAuthority" `
-Body $body `
-ContentType "application/json"
ดาวน์โหลดและปรับใช้ใบรับรอง CA
ก่อนที่เราจะเริ่มออกใบรับรองให้กับอุปกรณ์ เราต้องดาวน์โหลดใบรับรอง Root และการออกใบรับรอง CA จากนั้นสร้างโปรไฟล์การกำหนดค่าอุปกรณ์เพื่อปรับใช้กับอุปกรณ์ของเรา ทำตามหัวข้อด้านล่างเพื่อกำหนดค่าให้เสร็จสมบูรณ์
ขั้นตอนแรกคือการดาวน์โหลดใบรับรอง CA ซึ่งจะต้องอัปโหลดไปยังอุปกรณ์ไคลเอ็นต์ Trusted Root และที่เก็บใบรับรองระดับกลาง ในการดำเนินการนี้ ให้ไปที่ CA ของคุณในพอร์ทัลผู้ดูแลระบบ Intune จากนั้นบนแท็บ คุณสมบัติ คลิกปุ่ม ดาวน์โหลด และให้แน่ใจว่าคุณได้บันทึกใบรับรองไว้ในที่ที่ปลอดภัย
ตอนนี้ทำตามขั้นตอนด้านล่างเพื่อสร้างโปรไฟล์การกำหนดค่าเพื่อปรับใช้ใบรับรอง:
1. ใน Intune Admin Center ให้ไปที่ อุปกรณ์ > การกำหนดค่า > สร้าง > นโยบายใหม่
2. เลือก Windows 10 และใหม่กว่า > เทมเพลต จากนั้นเลือกเทมเพลต ใบรับรองที่เชื่อถือได้ จากรายการ และคลิก สร้าง .
3. กำหนดชื่อสำหรับนโยบายแล้วคลิก ถัดไป (ฉันได้เลือก 'ปรับใช้การออก CA')
4. เลือกใบรับรอง ระดับกลาง ที่คุณดาวน์โหลด และตั้งค่า ที่จัดเก็บปลายทาง เป็น ที่เก็บใบรับรองคอมพิวเตอร์ - ระดับกลาง จากนั้นคลิก ถัดไป .
5. บนแท็บ การมอบหมาย ให้เลือกกลุ่มเป้าหมายสำหรับการปรับใช้ ฉันแนะนำให้สร้างกลุ่มนำร่องสำหรับการทดสอบ ฉันได้สร้างกลุ่มใหม่ชื่อ อุปกรณ์ Cloud PKI ซึ่งรวมถึงอุปกรณ์ที่ได้รับการจัดการจำนวนหนึ่ง
6. กรอกข้อมูลหน้าสุดท้ายของวิซาร์ดให้สมบูรณ์แล้วคลิก สร้าง
7. ทำตามขั้นตอนเหล่านี้อีกครั้งสำหรับใบรับรอง Root CA แต่คราวนี้สำหรับ ที่จัดเก็บปลายทาง ให้เลือก ที่เก็บใบรับรองคอมพิวเตอร์ - ราก
ดาวน์โหลดและปรับใช้ใบรับรอง CA ด้วย PowerShell
ขั้นตอนทั้งหมดนี้สามารถทำให้เป็นแบบอัตโนมัติได้ด้วยฟังก์ชัน PowerShell ต่อไปนี้ เพียงแก้ไขชื่อของ CA, ID กลุ่ม และ PolicyName เมื่อเรียกใช้ฟังก์ชัน จากนั้นฟังก์ชันจะดึงใบรับรอง base64 ที่เข้ารหัสไว้โดยอัตโนมัติ สร้างโปรไฟล์การกำหนดค่าอุปกรณ์ใหม่และกำหนดให้กับกลุ่มของคุณ
Function DeployCloudPKICA (){
<#
.Author
Name: Daniel Bradley
LinkedIn: https://www.linkedin.com/in/danielbradley2/
Blog: https://ourcloudnetwork.com
.Example
DeployCloudPKICA -CA "OurCloudNetworkIssuingCA" -Groupid "5d91d8ee-a40c-45f0-be1d-d5684e636ce6" -PolicyName "Deploy Issuing CA"
#>
param(
$CA,
$Groupid,
$PolicyName
)
#Obtain CA information
$uri = "https://graph.microsoft.com/beta/deviceManagement/cloudCertificationAuthority?`$filter=displayname eq '$CA'"
$CAInfo = Invoke-MgGraphRequest -Method GET -Uri $uri
#Extract Base64 cert
[regex]$regex = '(?<=data:application/x-x509-ca-cert;base64,).*$'
$Cert = $regex.Matches($CAInfo.value.certificateDownloadUrl) | foreach-object {$_.Value}
#Create policy
Write-Output "creating policy for $($CAInfo.value.commonname)"
$body = @{
id = "00000000-0000-0000-0000-000000000000"
displayName = "$PolicyName"
roleScopeTagIds = @(
"0"
)
"@odata.type" = "#microsoft.graph.windows81TrustedRootCertificate"
destinationStore = "computerCertStoreIntermediate"
certFileName = "$($CAInfo.value.commonname).cer"
trustedRootCertificate = $Cert
}
$RootCAProfile = Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/deviceConfigurations" `
-Body $body `
-ContentType "application/json"
#Assign policy to group ID
Write-Output "Assigning $($CAInfo.value.commonname) to $($groupid)"
$AssignBody = @{
assignments = @(
@{
target = @{
"@odata.type" = "#microsoft.graph.groupAssignmentTarget"
groupId = "$groupid"
}
}
)
}
Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/deviceConfigurations/$($RootCAProfile.id)/assign" `
-Body $AssignBody `
-ContentType "application/json"
}
DeployCloudPKICA -CA "OurCloudNetworkRootCA" -Groupid "5d91d8ee-a40c-45f0-be1d-d5684e636ce6" -PolicyName "Deploy Root CA"
DeployCloudPKICA -CA "OurCloudNetworkIssuingCA" -Groupid "5d91d8ee-a40c-45f0-be1d-d5684e636ce6" -PolicyName "Deploy Issuing CA"การออกใบรับรองให้กับอุปกรณ์
ตอนนี้คุณพร้อมที่จะออกใบรับรองให้กับผู้ใช้ปลายทางของเราแล้ว ซึ่งทำได้โดยใช้โปรไฟล์การกำหนดค่าอุปกรณ์โดยใช้เทมเพลตใบรับรอง SCEP ทำตามขั้นตอนด้านล่างเพื่อปรับใช้ใบรับรองกับผู้ใช้ใน Intune
1. ใน Intune Admin Center ให้ไปที่ อุปกรณ์ > การกำหนดค่า > สร้าง > นโยบายใหม่
2. เลือก Windows 10 และใหม่กว่า > เทมเพลต จากนั้นเลือกเทมเพลต ใบรับรอง SCEP จากรายการแล้วคลิก สร้าง .
3. กำหนดชื่อสำหรับนโยบายแล้วคลิกถัดไป ฉันเลือก 'ใบรับรอง SCEP - การตรวจสอบสิทธิ์ไคลเอ็นต์'
4. ในหน้าการตั้งค่าการกำหนดค่า ฉันจะใช้การตั้งค่าต่อไปนี้:
- ประเภทใบรับรอง: ผู้ใช้
- รูปแบบชื่อเรื่อง: ปล่อยให้เป็นค่าเริ่มต้น
- ชื่อทางเลือกของหัวเรื่อง: ปล่อยให้เป็นค่าเริ่มต้น
- ระยะเวลาความถูกต้องของใบรับรอง: 1 ปี (ค่าเริ่มต้น)
- ผู้ให้บริการพื้นที่จัดเก็บคีย์: ซอฟต์แวร์ KSP (สามารถเลือกได้เฉพาะตัวเลือกนี้หากคุณตั้งค่าขนาดคีย์เป็น 4096)
- การใช้คีย์: ลายเซ็นดิจิทัลและการเข้ารหัสคีย์
- ขนาดคีย์ (บิต): 4096
- อัลกอริทึมแฮช: SHA-2
5. คลิก + ใบรับรองหลักe และเลือก ผู้ออก CA ของคุณจากรายการ หมายเหตุ: รายการนี้จะแสดงรายการของ CA ที่ใช้งานผ่านโปรไฟล์การกำหนดค่า ไม่ใช่จากรายการ Cloud PKI ภายใต้การดูแลระบบของผู้เช่า
6. เลือก การตรวจสอบสิทธิ์ไคลเอ็นต์ จากช่องแบบเลื่อนลง ค่าที่กำหนดไว้ล่วงหน้า ใต้ การใช้คีย์แบบขยาย
7. ใต้ การตั้งค่าการลงทะเบียน ให้ปล่อยให้เกณฑ์การต่ออายุเป็นค่าเริ่มต้น (20%) จากนั้นคัดลอกและวาง URL เซิร์ฟเวอร์ SCEP จาก CA ที่ออกของคุณ แล้วคลิก ถัดไป
รับ SCEP URL จาก การดูแลระบบผู้เช่า > Cloud PKI > เลือก CA ที่ออก > คุณสมบัติ > SCEP ยูอาร์ไอ.
8. ในแท็บ การมอบหมาย ให้กำหนดนโยบายนี้ให้กับกลุ่มอุปกรณ์เป้าหมายของคุณ (อาจเป็นกลุ่มเดียวกับเมื่อก่อน) จากนั้นจึงสร้างนโยบายให้เสร็จสิ้น
ปรับใช้โปรไฟล์ SCEP โดยอัตโนมัติด้วย PowerShell
แม้ว่าจะใช้กลอุบายเล็กน้อย แต่โปรไฟล์ SCEP ก็สามารถปรับใช้ได้โดยอัตโนมัติโดยใช้ Microsoft Graph PowerShell ตรวจสอบให้แน่ใจว่าคุณกำหนดตัวแปรที่จุดเริ่มต้นของสคริปต์ด้านล่าง จากนั้นปล่อยให้มันทำงานที่เหลือให้คุณ!
#Define these variables
$CA = "OurCloudNetworkIssuingCA"
$Groupid = "5d91d8ee-a40c-45f0-be1d-d5684e636ce6"
$TrustedCertificateRootProfileName = "Deploy Root CA"
#Get CA Info and Trust Root Certificate deployment profile info
$CAuri = "https://graph.microsoft.com/beta/deviceManagement/cloudCertificationAuthority?`$filter=displayname eq '$CA'"
$CAInfo = Invoke-MgGraphRequest -Method GET -Uri $CAuri
$ProfileUri = "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations?`$filter=displayName eq '$TrustedCertificateRootProfileName'"
$ProfileInfo = Invoke-MgGraphRequest -Method GET -Uri $ProfileUri
$body = @{
id = "00000000-0000-0000-0000-000000000000"
displayName = "Deploy SCEP Certificate"
roleScopeTagIds = @(
"0"
)
"@odata.type" = "#microsoft.graph.windows81SCEPCertificateProfile"
renewalThresholdPercentage = 20
certificateStore = "user"
certificateValidityPeriodScale = "years"
certificateValidityPeriodValue = 1
subjectNameFormat = "custom"
subjectNameFormatString = "CN={{UserName}},E={{EmailAddress}}"
keyStorageProvider = "useSoftwareKsp"
keyUsage = "digitalSignature,keyEncipherment"
keySize = "size4096"
hashAlgorithm = "sha2"
extendedKeyUsages = @(
@{
name = "Client Authentication"
objectIdentifier = "1.3.6.1.5.5.7.3.2"
}
)
scepServerUrls = @(
"$($CAInfo.Value.ScepServerUrl)"
)
"[email " = "https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations('$($ProfileInfo.value.id)')"
}
#Create Profile
$SCEPProfile = Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/deviceConfigurations/" `
-Body $Body `
-ContentType "application/json"
#Assign Profile
$AssignBody = @{
assignments = @(
@{
target = @{
"@odata.type" = "#microsoft.graph.groupAssignmentTarget"
groupId = "$groupid"
}
}
)
}
Invoke-MgGraphRequest -Method POST `
-Uri "/beta/deviceManagement/deviceConfigurations/$($SCEPProfile.id)/assign" `
-Body $AssignBody `
-ContentType "application/json"การตรวจสอบการปรับใช้ที่ประสบความสำเร็จ
แม้ว่าเป้าหมายของโพสต์นี้ไม่ใช่เพื่อปรับใช้ใบรับรองในสถานการณ์เฉพาะใดๆ แต่เรายังคงสามารถมั่นใจได้ว่าใบรับรองที่เราพุชนั้นถูกปรับใช้กับอุปกรณ์ผู้ใช้ปลายทางของเราได้สำเร็จ รวมถึงรับประกันว่าสถานะใบรับรองนั้นใช้ได้
เข้าสู่ระบบไคลเอ็นต์และเปิดเครื่องมือแผงควบคุม จัดการใบรับรองผู้ใช้ จากการค้นหาของ Windows
ขยาย ผู้ออกใบรับรองระดับกลาง จากนั้นจึงขยาย ใบรับรอง คุณควรเห็นการออกใบรับรองของคุณอยู่ในรายการ
จากนั้นขยาย ผู้ออกใบรับรองหลักที่เชื่อถือได้ จากนั้นขยาย ใบรับรอง คุณควรเห็นใบรับรองหลักของคุณอยู่ในรายการด้วย
สุดท้าย ให้คลิกที่โฟลเดอร์ ส่วนบุคคล และเลือก ใบรับรอง ที่นี่ คุณจะเห็นใบรับรองของคุณที่ออกโดย Cloud PKI ดับเบิลคลิกและดูแท็บ เส้นทางการรับรอง คุณควรเห็นเส้นทางแบบเต็มแสดงอยู่และสถานะใบรับรองเป็น ตกลง ที่นี่
คำถามที่พบบ่อย
Cloud PKI จะพร้อมใช้งานเต็มรูปแบบเมื่อใด
Cloud PKI จะเข้าถึงได้อย่างสมบูรณ์ภายใน 1 มีนาคม
คุณสามารถแทนที่ PKI ภายในองค์กรด้วย Cloud PKI ได้หรือไม่
คุณสามารถลดความซับซ้อนและลดภาระงานที่เกี่ยวข้องกับ PKI ส่วนตัว (ในองค์กร) ของคุณได้อย่างมาก แต่ยังไม่สามารถแทนที่ PKI ได้ทั้งหมด
คุณสามารถใช้ Cloud PKI ข้ามผู้เช่าได้หรือไม่
เมื่อคุณสร้าง Root CA ใน Cloud PKI สิ่งนี้จะเป็นแบบส่วนตัวสำหรับผู้เช่าของคุณ คุณไม่สามารถลงนามใบรับรอง CA ที่ออกจาก Root CA ในผู้เช่ารายอื่นได้ แต่คุณสามารถลงนามได้จาก CA ภายในองค์กรของคุณ
ฉันสามารถใช้สิ่งนี้เพื่อแทนที่ RADIUS ภายในองค์กรที่มีอยู่สำหรับการตรวจสอบสิทธิ์ WiFi ได้หรือไม่
ไม่ Cloud PKI ไม่ใช่บริการ RADIUS ไม่มีข้อมูลที่ทราบแน่ชัดว่า Microsoft กำลังใช้บริการ RADIUS บนคลาวด์