Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Integración incorporada de AC y SCEP para dispositivos administrados por Microsoft Intune

La configuración de AC incorporada en Juniper Mist Access Assurance proporciona un servicio SCEP nativo de nube que se integra directamente con Intune para la distribución automatizada de certificados de cliente. Esto elimina la necesidad de una PKI externa y simplifica la incorporación segura de Wi-Fi con autenticación EAP-TLS.

Juniper Mist Access Assurance ofrece una configuración de autoridad de certificación (AC) integrada, que ofrece una infraestructura de protocolo simple de inscripción de certificados (SCEP) completamente administrada. Cuando la AC de Onboard está habilitada, Access Assurance aprovisiona automáticamente la dirección URL de Intune SCEP. Con esta URL, los usuarios pueden integrar Intune con Mist Access Assurance sin implementar ni mantener ninguna PKI externa o servicio SCEP local. A continuación, el certificado Onboard AC proporcionado por Access Assurance se usa para configurar un perfil SCEP en Intune, lo que permite la emisión segura de certificados de cliente a los dispositivos inscritos.

Mediante el aprovechamiento de la infraestructura SCEP de Access Assurance, puede automatizar la distribución de certificados de cliente a puntos de conexión administrados por Intune y enlazarlos a perfiles de Wi-Fi para la autenticación EAP-TLS. Esta función garantiza que cada dispositivo que se conecte a la red esté autenticado a través de una confianza sólida y basada en certificados, mientras se administra completamente desde la nube de Juniper Mist Access Assurance.

Nota: Cuando un dispositivo está marcado como inactivo o eliminado en Intune, debe revocar el certificado de cliente manualmente a través del portal de Juniper Mist.

Para permitir que Intune aproveche Juniper Mist Access Assurance como su infraestructura SCEP para la distribución de certificados de cliente, siga estos pasos:

Habilitar la configuración de la AC incorporada

Para habilitar la configuración de AC incorporada:

  1. En el menú de la izquierda del portal de Mist de Juniper, seleccione Organización > acceder > certificados.

    Aparecerá la página Autoridades de certificado.

  2. Haga clic en el icono de configuración en la esquina superior derecha de la página y seleccione Configuración de AC incorporada.

    Juniper Mist dashboard showing Certificate Authorities section with empty table for Common Name and Issuer, buttons for Add Certificate Authority, View Mist Certificate, and Import Custom RADIUS Server Certificate, gear icon dropdown with Onboard CA Configuration highlighted, navigation menu on left, and Certificates highlighted under Access in Organization menu.

  3. Seleccione Activo y haga clic en Aceptar.

    Onboard CA Configuration pop-up with Active selected in Onboard Certificate Authority dropdown, OK and Cancel buttons, and background message There are no Certificates in the Certificate Authorities section.

    El servicio de autoridad de certificación incorporada está habilitado y se generan los puntos de conexión SCEP respectivos para cada MDM.

    Cuando se active la configuración de Incorporar AC, verá las siguientes pestañas:

    • Externa: muestra los detalles de las entidades de certificación externas.

    • Interna: muestra los detalles de los certificados de cliente emitidos por la AC integrada a través del portal de NAC o MDM.

  4. Haz clic de nuevo en el icono de configuración en la esquina superior derecha de la página y selecciona Información de integración de MDM.

    Certificate Authorities section of Juniper Mist interface displaying options to add certificates, view Mist certificates, and import custom RADIUS server certificates, with no certificates listed. Navigation sidebar includes Monitor, Marvis, Clients, Access Points, Switches, WAN Edges, Mist Edges, Location, Analytics, Site, A/B Testing, and Organization.

  5. Copie la dirección URL de SCEP de Intune que aparece para Intune. Deberá usar esta dirección URL en el perfil SCEP de Intune.

    Certificate Authorities section in Juniper Mist platform with tabs for External and Internal certificates. MDM Integration Information pop-up open, showing Jamf and Intune options. Intune section expanded with Intune SCEP URL highlighted, and buttons to copy URL or cancel. Navigation menu on the left and certificate management options at the top.

Descargue los certificados de AC incorporada y AC de la organización de Mist

El certificado de AC de la organización de Mist es necesario para configurar los clientes administrados de Intune para que confíen en el certificado de servidor RADIUS del servicio Mist Access Assurance. El certificado Onboard AC es necesario para configurar el perfil SCEP en Intune.

  1. Haga clic en el icono de configuración en la esquina superior derecha de la página Certificados y seleccione Descargar certificado AC integrado. Este certificado se usará como certificado SCEP en Intune.

    Juniper Mist dashboard showing Certificate Authorities section with no certificates listed and settings menu open on the right.

  2. Vaya a Certificados >acceso a la organización>. Haga clic en Ver certificado de Mist y haga clic en Descargar. Este certificado se usará como certificado raíz en Intune.

    View Certificate interface showing PEM format certificate details, including common name, validity period, issuer, and serial number. Left panel has navigation options, and an orange Download button is visible.

    Nota: Si está utilizando un certificado de servidor RADIUS personalizado, no es necesario el certificado de AC de Mist Org. Deberá tener el certificado Root AC del emisor del certificado de Custom RADIUS Server.

Vincular Intune al portal de Mist

Vincule su cuenta de Intune con Juniper Mist. Consulte Agregar Intune al portal de Mist.

Nota:

Las capturas de pantalla de las aplicaciones de terceros son correctas en el momento de la publicación. No tenemos forma de saber cuándo o si las capturas de pantalla serán precisas en el futuro. Consulte el sitio web de terceros para obtener orientación sobre los cambios en estas pantallas o los flujos de trabajo involucrados.
Nota: Si la cuenta de Intune ya está vinculada a la organización, debe volver a vincular la cuenta de MDM. Esto garantiza que Mist Access Assurance reciba el conjunto actualizado de permisos necesarios para las operaciones de la AC integrada.

Microsoft login screen requesting permissions for Mist Access Assurance by Juniper Networks Inc to read applications, Intune devices, user profile, and validate SCEP challenge. Options: Cancel or Accept.

Crear perfiles de configuración

Cree perfiles de configuración específicos del sistema operativo en Intune.

Crear perfil de certificado de confianza

Para cada tipo de sistema operativo que planee inscribir, cree dos perfiles de certificados de confianza: uno para el certificado de AC de Mist Org y otro para el certificado de AC de Mist Onboard.

  1. Vaya a Configuración > dispositivos y haga clic en Crear> nueva política.

  2. Seleccione una plataforma. Hemos usado Windows 10 y versiones posteriores en este ejemplo.

  3. Seleccione Plantillas como tipo de perfil.

  4. Seleccione confianza en la lista de plantillas y haga clic en Crear.

    Create a profile interface showing fields for Platform set to Windows 10 and later, Profile type set to Templates, Template name with trust entered, Trusted certificate selected, and a blue Create button to finalize.

  5. Proporcione un nombre para el certificado de confianza de la AC de la organización de Mist y haga clic en Siguiente.

  6. Cargue el certificado de AC de la organización de Mist que descargó anteriormente.

    Si está utilizando un certificado de servidor RADIUS personalizado, no es necesario el certificado de AC de Mist Org. Deberá tener el certificado Root AC del emisor del certificado de Custom RADIUS Server.

    Trusted certificate configuration screen on Step 2. Specifies certificate file mist-ca.crt and destination store Computer certificate store - Root. Includes navigation buttons and progress indicator showing Step 2 of 5.

  7. Asigne este perfil a un grupo de usuarios específico o a todos los dispositivos:

    Assigning trusted certificate in device management system. Included group Employee has 0 devices and 24 users. No groups excluded. Options to add, edit, or remove groups available. Navigation buttons for previous and next steps present.

  8. Haga clic en Siguiente y, a continuación, haga clic en Crear.

  9. Repita los pasos del 1 al 8 para obtener el certificado de Mist Onboard AC.

    Configuration screen for setting up a Trusted certificate in the Basics step with fields for Name, Description, Platform, and Profile type. Navigation buttons Next and Previous are visible. Progress bar shows setup steps: Basics, Configuration settings, Assignments, Applicability Rules, and Review plus create.

    Trusted certificate configuration screen for Windows 10 and later devices showing step 2 of 5, Configuration settings, with scep-ca.crt uploaded to the Computer certificate store - Root. Includes Previous and Next navigation buttons.

Crear un perfil de certificado SCEP

El perfil de certificado SCEP indica al cliente que obtenga un certificado de cliente del servicio SCEP de Mist. En este ejemplo, usamos el tipo de certificado de usuario, pero puede seguir los mismos pasos para un certificado de dispositivo.

  1. Vaya a Configuración > dispositivos y haga clic en Crear> nueva política.

  2. Seleccione una plataforma. Hemos usado Windows 10 y versiones posteriores en este ejemplo.

  3. Seleccione Plantillas como tipo de perfil.

  4. Seleccione el SCEP de la lista de plantillas y haga clic en Crear.

    Create a profile interface showing platform set to Windows 10 and later, profile type set to Templates, SCEP certificate selected from template search results, and a Create button to proceed.

  5. Proporcione un nombre para el certificado y haga clic en Siguiente.

  6. Escriba las opciones de configuración como se muestra en el ejemplo siguiente. Agregue la URL de SCEP en el campo URL del servidor SCEP .

    Proporcione el formato óptimo del certificado para que la información adicional sobre el usuario o dispositivo se pueda codificar para que el NAC la utilice en la evaluación de políticas. En este ejemplo, el identificador de dispositivo de Intune se codifica en el campo SAN:DNS, lo que permite comprobaciones periódicas del cumplimiento del dispositivo. El nombre principal de usuario completo se codifica en el campo SAN:UPN, que habilita la búsqueda de pertenencia a grupos con el ID de Entrada.

    Se le indicará al cliente que confíe en el certificado de Mist Onboard AC.

    Nota:

    Incluir el ID de dispositivo en el campo SAN:DNS es obligatorio porque el NAC usa este valor para la identificación del dispositivo y las comprobaciones de cumplimiento.

    SCEP certificate configuration screen in device management system showing settings like certificate type as User, subject name format as CN equals UserName, SAN with DNS and UPN, validity period of 1 year, TPM KSP preference, key usage, size of 2048 bits, SHA-2 hash algorithm, Mist SCEP CA root certificate, client authentication EKU, and SCEP server URL.

  7. Asigne este perfil a un grupo de usuarios específico o a todos los dispositivos.

  8. Haga clic en Siguiente y, a continuación, haga clic en Crear.

Después de insertar el perfil en el cliente de Windows, verá un nuevo certificado de cliente emitido en el almacenamiento de certificados de usuario personal:

Digital certificate details showing validity from 18 June 2025 to 18 June 2026, subject user.one, RSA public key 2048 Bits, client authentication usage, and key identifiers. Buttons for editing properties and copying to file available.

Cambie al portal de Mist Juniper y confirme que el certificado de cliente se emitió en Certificados>interno.

Internal Certificate pop-up displaying certificate properties including client email address, serial number, device ID, validity dates, and provider Intune, with Juniper Mist interface in the background.

Crear un perfil de Wi-Fi

  1. Vaya a Configuración > dispositivos y haga clic en Crear> nueva política.

  2. Seleccione una plataforma. Hemos usado Windows 10 y versiones posteriores en este ejemplo.

  3. Seleccione Plantillas como tipo de perfil.

  4. Seleccione Wi-Fi en la lista de plantillas.

  5. Proporcione un nombre para el certificado y haga clic en Siguiente.

    Wi-Fi configuration screen for creating a profile in a device management system with fields for name, description, platform, and profile type.

  6. Escriba las opciones de configuración como se muestra en el ejemplo siguiente.

    • Seleccione Enterprise como tipo de seguridad.

    • Proporcione su nombre de SSID.

    • Establezca el modo de autenticación correcto (usuario y equipo, usuario o equipo) según el tipo de certificado SCEP que proporcione a los clientes.

    • Agregue el certificado de AC de la organización de Mist como certificado raíz para validación del servidor (RADIUS).

    • Agregue el perfil SCEP como certificado de cliente para la autenticación del cliente.

    Configuration screen for setting up a secure enterprise Wi-Fi profile in a device management system with EAP-TLS authentication, SCEP certificate, and server validation options.

Inicie una sincronización de dispositivos desde Intune para que los dispositivos puedan obtener las actualizaciones de perfil más recientes. Los dispositivos del cliente pueden obtener automáticamente los certificados digitales.

Configurar la validez de certificados de cliente personalizado en Mist SCEP para Intune

De forma predeterminada, los certificados de cliente emitidos a través de Microsoft Intune con Mist SCEP son válidos por 1 año. Para configurar un período de validez de certificado personalizado, incluya una entrada de URI en el campo Nombre alternativo del firmante (SAN) del perfil de certificado. Debe proporcionar la siguiente información:

  • DNS: agregue el valor {{DeviceId}}

  • URI: ingrese lo siguiente:

    tag:juniper.net,CertValidity:<validity-In-days>

    Por ejemplo: tag:juniper.net,CertValidity:730. En este ejemplo, el certificado de cliente será válido durante 2 años a partir de la fecha de emisión del certificado en lugar del período de validez predeterminado de 1 año.

    Configuration for an SCEP certificate showing certificate type as User, subject name format with CN and EmailAddress, and subject alternative name with attributes UserPrincipalName, DNS, and URI. DNS and URI are highlighted in orange, with trash icons indicating deletable entries.