Distribution de certificats Intune et MDM

Installez des certificats DuoKey sur les appareils gérés via Microsoft Intune, en SCEP ou en PKCS, pour tout usage.

S'applique à :

DuoKey Cockpit v2Microsoft Intune (Windows, iOS/iPadOS, macOS, Android)SCEP · certificats PKCS importés

Préversion

La validation du challenge SCEP par Intune et la distribution PKCS sont disponibles en préversion. Affectez d'abord les profils Intune à un groupe pilote et vérifiez la distribution sur chaque plateforme gérée avant de les affecter à tous les utilisateurs ou appareils.

Vue d'ensemble

Microsoft Intune peut installer des certificats sur les appareils gérés de deux façons. DuoKey prend en charge les deux, pour tout usage (VPN, Wi-Fi, authentification client, S/MIME) :

Modèle	Qui génère la clé	Composant DuoKey
SCEP	L'appareil	Un profil SCEP en mode challenge Intune : Intune valide chaque demande, DuoKey émet et rend compte du résultat à Intune
PKCS (PFX importé)	La CA	Un profil PKCS Intune : DuoKey émet le certificat et la clé, les scelle dans un PFX pour votre Certificate Connector for Microsoft Intune et l'importe pour l'utilisateur

SCEP avec validation du challenge par Intune

Fonctionnement

Avec une CA tierce, le mot de passe de challenge SCEP qu'Intune place dans chaque demande d'appareil est une valeur à usage unique que seul Intune peut vérifier. Pour un profil SCEP en mode challenge Intune :

1

Découverte du service

DuoKey découvre le service Intune de validation des demandes SCEP via Microsoft Graph, avec votre inscription d'application Entra.

2

Validation

Pour chaque demande SCEP, après les contrôles SCEP habituels (profil actif, taille du message, limite de débit, signature de la demande, rejeu), DuoKey transmet la demande et son identifiant de transaction à Intune. Seule une réponse Intune Success laisse passer la demande ; toute autre réponse donne un échec SCEP. Le challenge statique du profil n'est pas utilisé.

3

Notification

Après l'émission, DuoKey signale le succès à Intune (empreinte, numéro de série, expiration, émetteur) ; si l'émission échoue après une validation réussie, il signale l'échec.

4

Journal d'événements

Chaque échange avec Intune est listé dans PKI > Intune.

Un profil en mode Intune échoue de façon sûre : si la fonctionnalité Intune est désactivée, si la connexion Graph manque ou est désactivée, si Intune est injoignable ou si l'adresse de service découverte n'est pas un hôte de service Intune, chaque demande est refusée.

L'adresse découverte doit être en HTTPS sur un domaine de service Intune (*.manage.microsoft.com, *.manage.microsoft.us) et passer les contrôles d'adresses sortantes ; les redirections ne sont pas suivies. Le secret client Entra reste sur la connexion Graph (scellé, ou référence Secret Manager) ; jetons, challenges et demandes ne sont pas journalisés. Un secret client renouvelé est pris en compte en moins de dix minutes.

Mise en place

1

Inscription d'application Entra

Accordez les permissions d'application Intune > scep_challenge_provider et Microsoft Graph > Application.Read.All, avec consentement administrateur.

2

Connexion Cockpit

Activez la distribution Intune pour le tenant, puis créez la connexion PKI Graph (Paramètres > Connexions PKI) avec l'identifiant de tenant Entra, l'identifiant client et le secret client.

3

Profil SCEP

Créez le profil SCEP comme d'habitude (PKI > SCEP) sur une CA RSA dont la clé est détenue en logiciel (voir Limites), puis dans PKI > Intune passez son challenge en mode Intune avec cette connexion.

4

Profils Intune

Créez un profil Certificat approuvé avec la CA racine DuoKey, puis un profil Certificat SCEP (Windows, iOS/iPadOS, macOS ou Android) avec l'URL du serveur SCEP https://<cockpit>/scep/<endpoint-slug>/pkiclient.exe, les formats de sujet et de SAN, l'utilisation de clé et les EKU nécessaires, et affectez-le. DuoKey respecte le sujet, les SAN, les utilisations de clé et les EKU demandés, car Intune a validé leur conformité au profil Intune.

Les appareils Intune contactent directement l'URL SCEP : elle doit être accessible depuis Internet.

Distribution PKCS (PFX importé)

Fonctionnement

Un profil PKCS Intune désigne une connexion Graph, une CA émettrice, un profil de certificat DuoKey optionnel (utilisations de clé, EKU, validité maximale), un usage prévu (vpn, wifi, unassigned, smimeSigning, smimeEncryption), une taille de clé RSA et la clé publique de votre Certificate Connector.

Distribution à un utilisateur (par nom d'utilisateur principal) :

1

Émission

DuoKey émet un certificat avec une clé RSA générée par la CA (sujet CN=<UPN> ou un nom commun donné, l'UPN en SAN e-mail ; utilisations selon l'usage ou le profil de certificat).

2

Scellement

Certificat et clé sont scellés dans un PFX avec un mot de passe aléatoire (3DES/SHA-1 par défaut pour la compatibilité la plus large, ou PBES2 AES-256) ; le mot de passe est chiffré en RSA-OAEP pour la clé publique du connecteur.

3

Import

DuoKey importe le PFX pour l'utilisateur via Microsoft Graph. Intune le distribue ensuite avec un profil Certificat PKCS importé du même usage ; votre connecteur sur site déchiffre le mot de passe lorsqu'un appareil le demande.

DuoKey ne conserve pas la clé privée : la seule copie qui survit à l'appel est le PFX scellé détenu par Intune. Supprimer une distribution efface le PFX d'Intune et révoque le certificat (la révocation peut être évitée).

Mise en place

1

Certificate Connector

Installez le Certificate Connector for Microsoft Intune avec la fonctionnalité de certificats PKCS importés, puis exécutez Add-IntuneKspKey et Export-IntunePublicKey.

2

Permission Graph

L'application Entra a besoin de la permission Graph DeviceManagementConfiguration.ReadWrite.All.

3

Profil PKCS et distribution

Dans PKI > Intune, créez un profil PKCS avec la clé du connecteur, puis distribuez aux utilisateurs. Dans Intune, créez un profil Certificat PKCS importé avec le même usage et affectez-le à ces utilisateurs.

Permissions et activation

• La distribution Intune doit être activée dans l'édition du tenant (avec le module PKI).
• Operations.Pki.Intune.Read, .Create, .Update, .Delete et .Deliver (émettre et pousser un certificat et sa clé est distinct de la gestion des profils). Changer le mode de challenge d'un profil SCEP nécessite Operations.Pki.Scep.Update.
• Le passage à une édition sans distribution Intune est refusé tant qu'il existe des profils PKCS ou des profils SCEP en mode Intune.

Limites

• CA SCEP : SCEP nécessite une CA RSA dont la clé est détenue en logiciel par la plateforme ; il ne peut pas être servi depuis une CA dont la clé est dans un HSM, un KMS cloud ou un vault MPC (voir Protection des clés de CA).
• La distribution PKCS est poussée : un appel API ou une action console par utilisateur. La distribution automatique à tous les membres d'un groupe et le renouvellement automatique avant expiration existent pour le S/MIME géré mais pas encore pour les profils PKCS. Le modèle Intune où le connecteur demande les certificats à la CA à la demande n'est pas pris en charge.
• Les certificats PKCS portent l'UPN en SAN e-mail, pas en SAN otherName UPN.
• L'import PFX d'Intune est par utilisateur ; les certificats liés à l'appareil passent par SCEP.

Jamf Pro et Workspace ONE

Ces plateformes ne sont pas intégrées au-delà de SCEP ; les recommandations ci-dessous suivent leurs modèles d'intégration publiés.

• Jamf Pro (appareils Apple). Les profils de configuration Jamf contiennent une charge SCEP avec un challenge statique, ou un challenge dynamique fourni par un serveur Microsoft NDES. Les profils SCEP DuoKey fonctionnent avec le modèle statique : un challenge partagé par profil, donc limitez un profil à un groupe d'appareils, gardez sa limite de débit active et renouvelez le challenge. Jamf peut aussi servir de proxy SCEP, ce qui garde le challenge partagé hors des appareils. Le modèle dynamique (challenge à usage unique de type NDES) n'est pas pris en charge, et il n'y a pas de distribution PKCS#12 par utilisateur via Jamf.
• Workspace ONE UEM. Utilisez une autorité de certification SCEP générique pointant vers un profil SCEP DuoKey avec un challenge statique, éventuellement relayée par le cloud connector Workspace ONE pour que les appareils n'aient pas à joindre la CA. La même réserve sur le challenge partagé s'applique. Le mode challenge Intune ci-dessus ne s'applique pas à Workspace ONE.

API

Méthode et chemin	Rôle
GET / POST /api/pki/intune/pkcs-profiles	Lister / créer des profils PKCS
GET / PUT / DELETE /api/pki/intune/pkcs-profiles/{id}	Lire / modifier / supprimer un profil PKCS
GET / POST /api/pki/intune/pkcs-profiles/{id}/deliveries	Lister les distributions / distribuer à un utilisateur
DELETE /api/pki/intune/deliveries/{id}	Retirer une distribution d'Intune et révoquer le certificat (?revoke=false le garde valide)
GET /api/pki/intune/scep-profiles/{id}/events	Événements de validation et de notification Intune d'un profil SCEP
PUT /api/pki/scep/profiles/{id}	Définir challenge_mode: "intune" et intune_connection_id

Voir aussi

• Protocoles d'enrôlement
• Enrôlement automatique Windows
• Protection des clés de CA