Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Microsoft Cloud PKI einfach erklärt: Gerätezertifikate mit Intune statt geteiltem WLAN-Passwort (KI-Synchronfassung)

Transcript

Microsoft Cloud PKI einfach erklärt: Gerätezertifikate mit Intune statt geteiltem WLAN-Passwort (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Bereit für 10 Tage voller Microsoft 365, Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten?
0:07
Diesen Januar ist die M3-Türnete 65-Con zurück und wir legen noch eins drauf.
0:12
Seien Sie dabei bei Live-Sitzungen, praxisnahen Demos und Expertenwissen von MVPs und Branchenprofis weltweit.
0:18
Keine generischen Folien. Kein Endless-Buzzword-Bingo.
0:22
Wir widmen uns den echten Herausforderungen.
0:23
Copilot Studio, KI-Agenten, Fabric, Sicherheit, Governance und Automatisierung.
0:28
Egal ob IT-Profi, Entwickler oder Führungskraft, es gibt für jeden die passenden Sitzungen.
0:35
An 10 vollen Tagen können Sie vielfältige Technologien erkunden und sich mit einer globalen Community vernetzen.
0:40
Schauen Sie live zu und nehmen Sie praktische Erkenntnisse mit in Ihr Unternehmen.
0:45
Januar 2027. 10 Tage. Eine Microsoft-Community. Die Anmeldung ist jetzt geöffnet.
0:51
Besuchen Sie m3-65-con.net und sichern Sie sich heute noch Ihren Platz.
0:55
Das ist m3-65-con.net.
1:00
Melden Sie sich jetzt unter m3-65-con.net an. Wir sehen uns im Januar live.
1:05
Stellen Sie sich vor, Sie kaufen einen neuen Laptop für neue Mitarbeiter in Ihrem Unternehmen.
1:07
Er benötigt E-Mail, freigegebene Dateien, das Büro-WLAN und vielleicht ein VPN für die Arbeit im Homeoffice.
1:12
Jede Verbindung stellt dieselbe stille Frage. Gehört dieser Laptop hierher?
1:15
In vielen kleinen Unternehmen lautet die Antwort immer noch, ein Passwort immer noch, ein Passwort, ein GitHub-WLAN-Code, ein VPN-Login per Nachricht und manuelle Korrekturen, wenn jemand ein Passwort ändert, ein Laptop ersetzt oder das Unternehmen verlässt.
1:25
Das mag sich nach einem Problem für kleine Büros anfühlen. Ist es aber nicht.
1:28
Die gleiche Frage stellt sich im 10-Personen-Unternehmen wie auch im 10.000-Personen-Konzert.
1:31
Sie benötigen eine Methode, mit der ein Gerät seine Zugehörigkeit nachweist, ohne selbstständig Geheimnisse eingeben muss.
1:37
Bin-Mail kopiert das von M35560FM und dieser Wissenshappen erklärt Zertifikate, Microsoft Cloud PKE und wie Intune diesen Nachweis im Hintergrund abwickelt.
1:45
Eine kleine digitale Datei kann ein Passwort an der Bürotür ersetzen.
1:48
Sehen wir uns zuerst an, warum diese Datei existiert.
1:50
Warum Zertifikate existieren?
1:52
Öffnen Sie eine sichere Website in Ihrem Browser.
1:53
Bevor Sie die Seite lesen, überprüft Ihr Browser im Hintergrund etwas.
1:57
Er prüft ein digitales Zertifikat.
1:58
Dieses Zertifikat hilft dem Browser zu bestätigen, dass er die richtige Website erreicht hat und eine geschützte Verbindung aufbauen kann.
2:03
Die meisten Menschen sehen diese Prüfung nie, aber sie verlassen sich jeden Tag darauf.
2:06
Ein Zertifikat funktioniert ein wenig wie ein Firmenausweis.
2:09
Der Ausweis trägt einen Namen und Details dazu, wem er gehört.
2:12
Er enthält auch einen Nachweis von einem Ausweishersteller, dem Sie vertrauen.
2:14
Ein digitales Zertifikat enthält einen Namen bzw. eine Identität und einen öffentlichen Schlüssel,
2:18
der Sie sich den öffentlichen Schlüssel als Informationen vor dir einsehen können.
2:20
Das Zertifikat enthält außerdem eine vertrauenswürdige digitale Signatur, die besagt,
2:24
diese Ausweisstelle hat diese Identität geprüft und diesen Ausweis genehmigt.
2:28
Damit hat der Wachschutz etwas zur Überprüfung.
2:30
Doch ein Ausweis allein reicht nicht aus.
2:31
Jemand könnte einen gedruckten Ausweis einfach vom Schreibtisch nehmen.
2:34
Digitale Zertifikate lösen dieses Problem mit einem privaten Schlüssel.
2:37
Der private Schlüssel ist das Inhabers.
2:39
Er verbleibt auf dem Laptop, dem Telefon oder beim Benutzer.
2:41
Das Gerät nutzt ihn, um zu beweisen, dass es wirklich Eigentümer des Zertifikats ist,
2:44
ohne das Geheimnis an das WLAN, das VPN oder die App weiterzugeben, die den Ausweis prüfen.
2:47
Stellen Sie es sich so vor, als würde ein Wachmann Sie bitten,
2:49
Ihren eigenen Ausweishalter aufzuschließen, anstatt die Kombination preiszugeben.
2:52
Sie beweisen, dass Sie ihn öffnen können, doch der Wachmann erfährt nie die Kombination.
2:55
Deshalb sind Zertifikate sicherer als ein gemeinsam genutztes Passwort.
2:58
Ein gemeinsam genutztes WLAN-Passwort kann weitergehen.
3:00
Jemand kann es aufschreiben, weiterleiten, auf einem privaten Gerät verwenden
3:02
oder nach dem Ausscheiden aus dem Unternehmen behalten.
3:04
Ein Gerätezertifikat gibt jedem verwalteten Laptop oder Telefon stattdessen einen eigenen Nachweis.
3:09
Wer erstellt und verwaltet also diese digitalen Ausweise?
3:11
Diese Aufgabe übernimmt die PKI, kurz für Public Key Infrastruktur.
3:14
Der Name klingt kompliziert, aber das Konzept ist ein.
3:16
Die PKI ist das Ausweisbüro für Ihren digitalen Arbeitsblatt.
3:19
Sie erstellt Zertifikate, sendet sie an die richtigen Personen oder Geräte,
3:22
erneuert sie vor Ablauf und sperrt sie, wenn sie nicht mehr gültig sein sollen.
3:26
Innerhalb dieses Ausweisbüros befindet sich eine Zertifizierungsstelle, meist CA genannt.
3:30
Eine CA ist der vertrauenswürdige Ausweisausstelle.
3:32
Wenn ein WLAN, ein VPN-Dienst oder eine interne App ein Zertifikat sieht,
3:36
stellt sie eine Frage, vertraue ich dem Ausweisaussteller, der dies genehmigt hat?
3:40
Leutet die Antwort, ja, ühe, kann sie das Zertifikat prüfen und entscheiden,
3:43
ob das Gerät zugelassen wird.
3:44
Normalerweise gibt es zwar eben.
3:45
An der Spitze steht die Rutsi ein.
3:46
Betrachten Sie sie als Unternehmenszentrale, die das gesamte Ausweissystem genehmigt.
3:50
Sie muss nicht jeden Ausweis für jeden Laptop selbst drucken.
3:52
Darunter befindet sich eine ausstellende CA.
3:54
Das ist die Stelle, die die tägliche Arbeit erledigt.
3:56
Sie stellt Zertifikate für Geräte und Benutzer aus,
3:58
während ihre Befugnis auf die Route CA zurückgeht.
4:00
Prüft ein Dienst diese Kette, kann er das Zertifikat vom Laptop zur ausstellenden CA
4:04
und dann zurück zur vertrauenswürdigen Route CA verfolgen.
4:07
Diese Kette verleiht dem Prozess eine feste Struktur.
4:09
Sie können dies für sicheres WLAN nutzen,
4:10
bei dem sich ein Laptop ausweist, bevor er dem Netzwerk beitritt.
4:13
Sie können es für ein VPN nutzen, bei dem der Laptop seine Zugehörigkeit nachweist,
4:17
bevor er von Unternehmensressourcen zugreift.
4:18
Sie können es auch für eine interne App verwenden,
4:20
die nur verwaltete Firmengeräte zulassen soll.
4:23
Der Mitarbeiter muss von all dem nichts verstehen.
4:25
Er öffnet den Laptop, wählt das Firmen-WLAN aus und verbindet sie.
4:28
Das ist das Ziel.
4:29
Schwierig wird es, wenn sich das Büro für die Berechtigungen im Serverraum befindet.
4:34
Warum herkömmliche PKI zur Last für kleine Unternehmen wird?
4:36
Viele Jahre bedeutete dieses Berechtigungssystem, eigene Hardware aufzubauen und zu betreiben.
4:40
Man installierte Windows-Server und fügte Active Directory Certificate Services, kurz ADCS,
4:44
hinzu, dass die Zertifizierungsstelle im Firmennetzwerk betreibt.
4:48
Doch der Server allein ist nicht alles.
4:50
Wer Intune verwaltete Geräte nutzt, muss eine Möglichkeit finden,
4:52
diese lokale Zertifizierungsstelle, um ein Zertifikat zu bitten.
4:55
Bitten.
4:56
Das bedeutet die Einrichtung eines Intune Certificate Connectors,
4:59
eines NDIS-Servers für Zertifikatsanfragen,
5:01
eines Reverse Proxies für sicheren externen Zugriff und Firewall-Regeln,
5:04
für den richtigen Datenverkehr.
5:06
Jedes Teil hat seine Aufgabe.
5:07
Zusammen können Sie ein einfaches Ziel wie ein passwortloses WLAN in ein riesiges Serverprojekt verwandeln.
5:12
Ein Vergleich dazu.
5:13
Stellen Sie sich vor, Sie möchten Zugangskarten für Mitarbeiter in Ihrem Makoto.
5:15
Sie kaufen nicht einfach einen Kartendruck.
5:16
Sie bauen einen abschließbaren Raum dafür.
5:18
Sie besorgen abschließbare Schränke für Kartenholing und Unterlagen.
5:20
Sie installieren eine Notstromversorgung.
5:22
Sie legen Regeln fest, wer den Raum betreht.
5:23
Dann brauchen Sie jemanden, der weiß, welcher Schalter zu betätigen ist, wenn der Drucker streikt.
5:27
Das kommt der herkömmlichen PKI näher, als die meisten vermuten.
5:30
Ein kleines Unternehmen möchte vielleicht nur, dass Laptops dem WLAN beitreten,
5:33
ohne dass sich jeder ein Passwort teilen muss.
5:34
Oder es möchte ein VPN, das einen verwalteten Laptop erkennt,
5:37
bevor der Mitarbeiter zur Anmeldung aufgefordert wird.
5:40
Vernünftige Ziele.
5:42
Doch der alte Weg erfordert Server, Netzwerkregeln, öffentliche Zugriffsplanung und Fachwissen,
5:46
für das viele kleine IT-Teams einfach keine Zeit haben.
5:50
Und die Arbeit endet nicht nach der Einrichtung.
5:51
Server brauchen Updates.
5:53
Hardware reicht ihr Lebensende.
5:54
Backups müssen getestet werden, nicht nur ein grünes Häkchen im Backup-Tool.
5:56
Zertifikate haben Ablaufdaten und das System muss sie rechtzeitig erneuern.
6:02
Wenn die Erneuerung fehlschlägt, merkt es oft zuerst ein Mitarbeiter,
6:05
der sich an einem Geschäft den Montagmorgen nicht mit dem WLAN verbinden kann.
6:07
Das Passwort des Mitarbeiters funktioniert womöglich noch einwandfrei.
6:10
Der Laptop kann über eine mobile Verbindung noch Word und E-Mails öffnen.
6:13
Aber das Zertifikat, mit dem das Netzwerk den Laptop erkennt, ist möglicherweise abgelaufen.
6:17
Das VPN kann den Zugriff verweigern.
6:18
Eine interne App kann ihn ablehnen.
6:19
Das WLAN kann ihn abweisen.
6:21
Das führt zu einem Support an.
6:22
Ein Ruf, der zunächst merkwürdig klingt.
6:23
Mein Passwort funktioniert, aber ich komme nicht online.
6:26
Da muss jemand herausfinden, ob das Problem am Gerät, am Zertifikatsprofil,
6:29
am Netzwerkdienst, an der lokalen CA, am Connector oder an der Firewall liegt.
6:33
Ein kleines IT-Team kann einen halben Tag damit verbringen, dieser Spur zu fangen.
6:37
Remote-Arbeit führt eine weitere Ebene hinzu.
6:39
Ein Laptop im Büro kann die lokalen Zertifikatsdienste leichter erreichen,
6:42
aber ein Laptop am Küchentisch zu Hause benötigt einen sicheren Weg,
6:44
um ein Zertifikat oder ein neues zu erhalten.
6:46
Man kann einen Teil des Prozesses vorsichtig über einen Reverse-Proxy- und Firewall-Regeln zugänglich machen.
6:51
Das funktioniert, wenn es richtig geplant und gewartet wird,
6:53
aber es bringt auch mehr bewegliche Teile, mehr Einstellungen und mehr Stellen für kleine Fehler mit sich,
6:57
die den Zugriff unterbrechen können.
6:58
Die Kosten bestehen nicht nur aus einer Serverlizenz,
7:00
sondern auch aus der Zeit für Patches, Fachwissen und Dokumentationen,
7:03
die stets aktuell gehalten werden müssen.
7:05
Es besteht das Risiko, dass eine Person das Zertifikatssystem versteht
7:07
und dann das Unternehmen mit dem Wissen im Kopf verlässt.
7:10
PKI selbst ist nicht nur großen Unternehmen vorbehalten.
7:13
Ein kleines Unternehmen kann von der gleichen Art des Gerätennachweises profitieren wie ein Großunternehmen.
7:17
Das Problem ist, dass der Betrieb einer herkömmlichen PKI den Aufwand einer viel größeren IT-Abteilung erfordern kann.
7:22
Microsoft Cloud PKI behält den Zertifikatsprozess bei,
7:25
verlagert aber einen Großteil dieser Maschinerie aus ihrem Serverraum in die Microsoft Cloud.
7:29
Was Microsoft Cloud PKI tatsächlich ist?
7:31
Microsoft Cloud PKI ist der verwaltete Zertifizierungsstellendienst von Microsoft innerhalb von Intune.
7:36
Das ist die einfache Definition.
7:37
Es erstellt und verwaltet Zertifikate für Geräte und Benutzer, die von Intune verwaltet werden.
7:41
Anstatt dass ihr Unternehmen das Ausweissystem auf lokalen Servern betreibt,
7:44
betreibt Microsoft den Zertifizierungsstellendienst in der Cloud.
7:47
Ihre Mitarbeiter müssen keine App namens Cloud PKI öffnen,
7:49
auf eine Schaltfläche klicken, um ein Zertifikat anzufordern,
7:51
eine Datei speichern, eine Datei speichern oder sich ein weiteres Passwort merken.
7:53
Cloud PKI arbeitet im Hintergrund.
7:55
Es kann ein Zertifikat ausstellen, wenn ein verwaltetes Gerät eines benötigt,
7:59
es vor Ablauf erneuern und es widerrufen, wenn das Zertifikat nicht mehr gültig sein soll.
8:02
Lassen Sie uns noch einmal das Analogiebeispiel des Bürogebäudes.
8:04
Entra-ID sitzt an der Rezeption.
8:06
Es weiß, wer die Leute sind und kontrolliert ihre Anmeldeidentität.
8:09
Intune fungiert wie der Gebäudemanager.
8:11
Es weiß, welche Laptops und Telefone zum Unternehmen gehören
8:13
und sendet deren Einstellungen, Apps und Regeln.
8:16
Cloud PKI ist das sichere Ausweisbüro innerhalb dieses Gebäudes.
8:19
Intune teilt dem Ausweisbüro, mit welchen verwalteten Geräte Zugriff benötigen.
8:22
Cloud PKI erstellt das Zertifikat.
8:24
Dann kann das Gerät dieses Zertifikat verwenden,
8:25
wenn es eine Verbindung zu Diensten herstellt,
8:27
die Ihr Unternehmen so konfiguriert hat, dass es ihm vertraut.
8:28
Jeder Dienst hat eine Klagerolle.
8:30
Sie benötigen keinen lokalen Windows-Server,
8:32
auf dem eine Stammzertifizierungsstelle läuft.
8:33
Sie benötigen keinen weiteren lokalen Server,
8:35
der als ausstellende Zertifizierungsstelle fungiert.
8:37
Microsoft kann beide Teile in einer Cloud-First-Konfiguration
8:39
hosten mit einer CA an der Spitze
8:41
und einer ausstellenden CA für die Zertifikate Ihrer Geräte.
8:43
Das spart eine Menge an zusätzliche Hardware ein.
8:45
Es ändert auch, wer den zugrunde liegenden Zertifikatsdienst verwaltet.
8:49
Im lizenzierten Produktionsansatz
8:50
schützt Microsoft die Schlüssel der Zertifizierungsstelle mit
8:53
Hardware-Sicherheitsmodulen, kurz HSMs.
8:56
Ein HSM ist ein gesicherter Tresor,
8:57
der speziell zum Schutz hochsensibler kryptografischer Schlüssel entwickelt wurde.
9:01
Sie müssen diese Hardware nicht selbst kaufen, installieren, patchen oder bewachen.
9:04
Microsoft betreibt sie als Dienstes.
9:06
Ihre Aufgabe konzentriert sich auf die geschäftliche Entscheidung.
9:08
Welche Geräte sollen Zertifikate erhalten?
9:10
Und wozu sollen diese Zertifikate berechtigen?
9:12
Ein kurzer Begriff ist hier wichtig.
9:14
CEP.
9:15
Er steht für Simple Certificate Enrollment Protocol.
9:18
Sie müssen sich den vollständigen Namen nach dieser Folge nicht mehr merken.
9:20
Betrachten Sie CEP als den geschützten Anforderungskanal
9:22
zwischen einem verwalteten Gerät und der Zertifizierungsstelle.
9:24
Ein Laptop nutzt diesen Kanal, um ein Zertifikat anzufordern.
9:27
Cloud PKI prüft die Anfrage über Intune
9:29
und sendet das signierte Zertifikat zurück,
9:31
sobald die Prüfungen erfolgreich waren.
9:33
Das Gerät sendet seinen privaten Schlüssel niemals über diesen Kanal.
9:36
Dieses Detail ist wichtig.
9:37
Das Gerät erstellt seinen privaten Schlüssel lokal und behält ihn dort.
9:40
Cloud PKI erhält eine Anfrage mit den öffentlichen Informationen,
9:42
die zur Ausstellung des Zertifikats nötig sind,
9:44
nicht den privaten Schlüssel des Geräts.
9:46
Cloud PKI unterstützt die Gerätefamilien,
9:48
die die meisten kleinen Unternehmen bereits verwenden.
9:49
Dazu gehören Windows-Laptops, Macs, iPhones, iPads und Android-Geräte.
9:53
Die Bedingung ist einfach.
9:55
Das Gerät muss über Intune registriert und verwaltet werden
9:57
und die Plattform muss das Zertifikatsprofil von Intune unterstützen.
10:01
Hä?
10:01
Ein privater Laptop, der nicht über Intune verwaltet wird,
10:03
passt nicht in dieses Modell.
10:05
Diese Grenze ist bewusst gewählt.
10:06
Cloud PKI nutzt das Wissen von Intune über das Gerät im Prozess,
10:09
daher funktioniert es am besten dort,
10:11
wo Ihr Unternehmen die Einrichtung kontrolliert
10:12
und Sicherheitsregeln anwenden kann.
10:14
Prüfen Sie vor der Planung die Lizenzierung.
10:16
Cloud PKI erfordert neben Intune
10:18
die entsprechende Microsoft-Lizenzierung.
10:19
Da Microsoft die Plandetails regelmäßig anpasst,
10:22
prüfen Sie Ihre aktuellen Ansprüche
10:23
und bestätigen Sie, wer eine Lizenz benötigt,
10:25
bevor Sie den Dienst darauf aufbauen.
10:27
Die Zertifizierungsstelle mag zwar in der Cloud liegen,
10:29
aber das Zertifikat muss den richtigen Laptop sicher erreichen.
10:32
Dieser Weg erklärt,
10:33
warum Cloud PKI so gut für modernes Arbeiten geeignet ist.
10:36
Stellen Sie sich vor,
10:36
ein neuer Mitarbeiter öffnet zum ersten Mal
10:38
seinen Intune verwalteten Laptop
10:39
und muss sich mit sicherem WLAN verbinden
10:40
oder ein VPN nutzen.
10:43
Was passiert, wenn ein Gerät ein Zertifikat benötigt?
10:46
Stellen Sie sich vor,
10:46
ein neuer Mitarbeiter sitzt am ersten Morgen zu Hause
10:48
vor seinem Firmenlaptop.
10:50
Dieser Laptop ist bereits in Intune registriert.
10:52
Sie benötigen das Büro WLAN,
10:53
wenn Sie dort ankommen
10:53
und wahrscheinlich ein VPN,
10:55
um von zu Hause auf interne Systeme zuzugreifen,
10:56
aber Sie sollten nicht nach einem WLAN-Passwort suchen
10:58
oder die IT wegen eines Zertifikats anrufen müssen.
11:00
Bevor der Laptop überhaupt ein eigenes Zertifikat anfordert,
11:03
sendet Intune die Zertifikate,
11:04
denen er vertrauen muss.
11:06
Dazu gehören das Stammzertifikat
11:07
und das ausstellende Zertifikat
11:08
aus Ihrer Cloud PKI-Konfiguration.
11:09
Klingt nach einem kleinen Detail, oder?
11:11
Tatsächlich ist es das gesamte Fundament.
11:13
Sag dem Laptop,
11:14
dies ist die Zertifizierungsstelle,
11:15
der du vertrauen kannst.
11:16
Ohne dieses Vertrauen
11:17
hat der Laptop keine Möglichkeit zu wissen,
11:19
ob ein Zertifikat
11:19
von einem zugelassenen Dienst
11:20
Ihres Unternehmens
11:21
oder von einer beliebigen Stelle stammt.
11:22
Als nächstes generiert der Laptop
11:24
seinen eigenen privaten Schlüssel.
11:25
Dies geschieht direkt auf dem Gerät selbst
11:26
und dieser private Schlüssel
11:27
verlässt es niemals.
11:28
Er wird nicht in Intune kopiert,
11:30
nicht an die Cloud PKI gesendet
11:31
und nicht an den WLAN-Dienst weitergegeben.
11:33
Diese Trennung ist das,
11:34
was das Geheimnis schützt.
11:35
Dann erstellt der Laptop
11:36
eine Zertifikatsanforderung.
11:38
Diese Anforderung enthält
11:38
die für das Zertifikat benötigten Informationen
11:40
sowie den Nachweis,
11:41
dass der Laptop
11:41
seinen privaten Schlüssel kontrolliert.
11:43
Er sendet diese Anforderung
11:45
über SAP,
11:45
den geschützten Anforderungspfad,
11:46
über den wir bereits gesprochen haben.
11:48
Nur die Anforderung
11:48
wird übertragen, nicht der Schlüssel.
11:49
Jetzt spielt Intune
11:50
eine aktive Rolle bei der Überprüfung.
11:52
Es bestätigt,
11:52
dass die Anforderung
11:53
von einem Gerät stammt,
11:53
das registriert
11:54
und von Ihrem Unternehmen verwaltet wird.
11:55
Er schützt außerdem die Anforderung,
11:57
damit der Cloud PKI-Dienst
11:58
überprüfen kann,
11:58
ob sie unterwegs manipuliert wurde.
12:00
Wenn die Anforderung
12:01
nicht mit dem übereinstimmt,
12:02
was Intune erwartet,
12:03
wird kein Zertifikat ausgestellt.
12:04
Das verhindert,
12:05
dass ein unbekannter Laptop
12:06
einfach eines anfordert und erhält.
12:08
Wenn alle Prüfungen erfolgreich sind,
12:09
sendet Cloud PKI die Anforderung
12:10
an die ausstellende Zertifizierungsstelle.
12:12
Die ausstellende CA
12:13
signiert ein Zertifikat
12:14
für diese Geräte-Identität
12:15
und Intune liefert es zurück
12:16
an den Laptop.
12:18
Der Mitarbeiter bekommt davon nichts mit.
12:19
Er klappt den Laptop einfach auf
12:20
und wenn er im Büro ankommt,
12:21
kann das WLAN-Netzwerk
12:22
den Laptop nach einem Nachweis fragen.
12:24
Anstatt ein gemeinsam genutztes Passwort einzugeben,
12:26
präsentiert der Laptop sein Zertifikat.
12:28
Das Netzwerk prüft dann
12:28
die Zertifikatskette.
12:30
Wurde dieses Zertifikat
12:31
von der ausstellenden CA ausgestellt,
12:32
der es vertraut?
12:33
Lässt sich diese ausstellende CA
12:34
zurückführen, der es vertraut?
12:35
Wenn diese Prüfungen erfolgreich sind,
12:37
stellt der Laptop die Verbindung.
12:38
Das gleiche Muster funktioniert
12:39
mit einem VPN.
12:40
Ein VPN-Dienst kann überprüfen,
12:41
ob das Geräte-Zertifikat
12:42
zu einem verwalteten Firmenlaptop gehört,
12:44
bevor eine Verbindung zugelassen wird.
12:46
Eine interne App kann dasselbe tun
12:47
und nur Geräte akzeptieren,
12:48
die ein Zertifikat
12:49
ihrer zugelassenen Zertifizierungsstelle tragen.
12:51
Das Zertifikat ersetzt
12:52
nicht jede Anmeldeaufforderung überall.
12:54
Aber es gibt im Dienst
12:55
eine weitere starke Methode
12:56
zur Identifizierung des Geräts.
12:57
Kommen wir nun zu dem Teil,
12:58
den die Leute meist erst bemerken,
12:59
wenn er nicht mehr funktioniert.
13:00
Das Ablaufdatum.
13:02
Zertifikate halten nicht ewig
13:03
und das ist auch so gewollt.
13:04
Ein Zertifikat braucht ein Enddatum,
13:05
damit eine alte Geräteberechtigung
13:07
nicht ewig ohne erneute Überprüfung gültig wird.
13:09
Cloud, PKI und Intune
13:10
können die Erneuerung
13:10
bereits vor diesem Datum einleiten,
13:12
sobald sich das verwaltete Gerät meldet.
13:14
Der Laptop fordert ein Ersatzzertifikat an
13:15
und der gesamte Prozess
13:16
folgt dem selben geschützten Pfad.
13:18
Für den Mitarbeiter ändert sich nichts.
13:20
Er verbindet sich mit dem WLAN,
13:22
nutzt das VPN
13:22
und das Zertifikat erneuert sich im Hintergrund,
13:24
anstatt am Tag des Ablaufs
13:25
einem unerwarteten Support-Ticket zu werden.
13:27
Bei einem verlorenen Laptop
13:28
ist jedoch eine andere Reaktion erforderlich.
13:31
Wenn ein Gerät verschwindet,
13:32
ein Mitarbeiter das Unternehmen verlässt
13:33
oder sie vermuten,
13:34
dass dem Zertifikat nicht mehr zu trauen ist,
13:36
dem Zertifikat in Intune wieder rufen.
13:38
Cloud, PKI veröffentlicht diese Änderung,
13:41
sodass Dienste,
13:41
die den Zertifikatsstatus prüfen,
13:42
das alte Zertifikat ablehnen können.
13:44
Das Gerät mag physisch noch existieren,
13:46
aber sein digitaler Nachweis
13:47
funktioniert nicht mehr.
13:48
Das ist eine wesentlich bessere Ausgangslage,
13:49
als ein geteiltes WLAN-Passwort zu ändern
13:51
und zu hoffen,
13:51
dass kein ehemaliger Mitarbeiter,
13:52
kein alter Laptop
13:53
und kein privates Handy es mehr kennen.
13:55
Dennoch bedeutet die automatische
13:56
Zertifikatsbereitstellung nicht,
13:58
dass Cloud, PKI,
13:58
jede Zertifikatsaufgabe
13:59
in Ihrem Unternehmen übernimmt.
14:00
Es funktioniert sehr gut
14:01
für eine spezifische Reihe von Aufgaben.
14:03
Andere Aufgaben erfordern
14:04
einen anderen Zertifikatsdienst
14:05
und diese Grenzen zu kennen,
14:06
spart Ihnen Zeit,
14:07
bevor Sie mit dem Aufbau beginnen.
14:09
Wo Cloud, PKI passt und wo nicht.
14:11
Cloud, PKI eignet sich am besten,
14:12
wenn ein verwaltetes Firmengerät
14:13
seine Identität nachweisen muss,
14:14
bevor es zugreifert.
14:15
Sicheres WLAN
14:19
kann Intune ein Zertifikat
14:21
auf dem verwalteten Laptop
14:22
oder Telefon platzieren,
14:23
das vom Netzwerk akzeptiert wird.
14:25
VPN-Zugriff ist ein weiters
14:26
ideales Einsatzgebiet.
14:27
Ein verwalteter Laptop
14:28
kann bei der Verbindung
14:28
sein Zertifikat vorlegen,
14:30
was wiederholte Passworteingaben
14:31
überflüssig macht
14:31
und dem VPN eine weitere Möglichkeit bietet,
14:33
das Gerät zu verifizieren,
14:34
bevor der Zugriff gewährt.
14:35
Einige interne Apps
14:36
können denselben Ansatz verwenden,
14:37
wenn sie nur Geräte akzeptieren sollen,
14:38
die von Ihrem Unternehmen verwaltet werden.
14:40
Dies funktioniert für verwaltete
14:41
Windows-Laptops,
14:42
Macs, iPhones, iPads
14:43
und Android-Geräte.
14:45
Für kleine Unternehmen
14:46
verändert das ein bekanntes Problem.
14:48
Ein geteiltes WLAN-Passwort
14:49
verbreitet sich leicht.
14:51
Es taucht in Willkommens-E-Mails,
14:52
Chat-Nachrichten, Notizbüchern
14:53
und alten Handys auf.
14:55
Wenn jemand geht,
14:55
bedeutet eine Änderung oft,
14:56
jeden Drucker, Laptop,
14:57
jedes Tablet und jedes Gerät
14:58
im Konferenzraum neu zu verbinden.
15:00
Mit Geräte-Zertifikaten
15:01
trägt jedes verwaltete Gerät
15:02
seinen eigenen Zugriffsbeleg bei sich.
15:04
Auch die Zugriffsentscheidung
15:05
wird präziser.
15:06
Ein Passwort beweist nur,
15:07
dass jemand das Passwort kennt.
15:09
Ein über Cloud-PKI
15:10
ausgestelltes Zertifikat
15:11
verknüpft den Zugriff
15:12
mit einem Gerät,
15:12
das Intune kennt und verwaltet.
15:14
Das unterstützt die Idee
15:15
hinter Zero Trust.
15:17
Gewähren Sie keinen Zugriff
15:17
nur deshalb,
15:18
weil sich etwas im Büronetzwerk befindet.
15:20
Überprüfen Sie das Gerät
15:21
und dessen Nachweis
15:21
bei jeder Anfrage des Dienstes.
15:23
Es gibt zwei gängige Wege
15:24
für den Start.
15:24
Wenn Ihr Unternehmen
15:25
hauptsächlich in der Cloud arbeitet
15:26
und kein bestehendes
15:27
Zertifikatssystem hat,
15:28
können Sie in Cloud-PKI
15:29
eine Stammzertifizierungsstelle
15:30
und eine ausstellende
15:30
Zertifizierungsstelle erstellen.
15:32
Dann konfigurieren Sie
15:32
den WLAN-Dienst
15:33
Ihrer verwalteten Geräte
15:34
das VPN-Gateway
15:35
oder ausgewählte Apps,
15:36
so dass Sie dieser Zertifikatskette vertrauen.
15:42
Cloud-PKI kann eine ausstellende
15:44
Zertifizierungsstelle verwenden,
15:45
die mit einer bestehenden
15:45
Stammzertifizierungsstelle
15:46
verknüpft ist,
15:47
damit Ihre neuen Intune
15:48
verwalteten Geräte
15:48
in die bereits genutzten
15:49
Vertrauensregeln passen.
15:50
Der richtige Weg hängt davon ab,
15:52
was Ihr Netzwerk
15:52
bereits als vertrauenswürdig einstuft.
15:54
Aber Cloud-PKI hat eine klare Grenze.
15:55
Es richtet sich an Geräte,
15:56
die Intune registriert sind.
15:58
Es stellt nicht jede Art
15:59
von Zertifikat für jede Maschine
16:00
oder jeden Dienst aus,
16:01
den Ihr Unternehmen besitzt.
16:02
Es ist zum Beispiel
16:03
kein allgemeiner Ersatz
16:03
für Zertifikate auf Web-Servern,
16:05
VPN-Gateways,
16:05
Load-Balancern
16:06
oder anderen Servern
16:07
oder anderen Servern.
16:08
Es löst auch nicht
16:09
die Zertifikatsanforderungen
16:10
für nicht verwaltete Computer,
16:12
isolierte Systeme
16:12
ohne Cloud-Verbindung
16:13
oder Linux-Geräte
16:14
außerhalb der Intune-Unterstützung.
16:16
Das mindert seinen Nutzen nicht.
16:18
Es bedeutet lediglich,
16:19
dass Sie das richtige Werkzeug
16:20
für die jeweiligen Auftrag.
16:20
Cloud-PKI kümmert sich
16:21
um Ihre verwalteten
16:22
Benutzergeräte.
16:24
Ein anderer Dienst
16:24
übernimmt möglicherweise
16:25
weiterhin die Zertifikate
16:26
für die Systeme,
16:26
mit denen sich diese geredet.
16:27
Auch Ihr WLAN-Controller,
16:28
Ihr VPN-Gateway
16:29
oder Ihre interne App
16:30
erfordern Einrichtungsarbeit.
16:31
Sie müssen der Stamm
16:32
und der ausstellenden
16:33
Zertifikatskette vertrauen,
16:34
die Cloud-PKI verwenden.
16:35
Wenn dieser Dienst
16:36
Ihre Zertifizierungsstelle
16:37
nicht erkennt,
16:37
wird er ein einwandfreies
16:38
Geräte-Zertifikat ablehnen.
16:40
Die Geräteseite
16:41
müssen übereinstimmen,
16:41
müssen übereinstimmen.
16:42
Ein Planungspunkt
16:43
kann später Frustration ersparen.
16:45
Wenn Sie eine Zertifizierungsstelle
16:46
erstellen, legen Sie fest,
16:47
wofür deren Zertifikate
16:47
verwendet werden.
16:48
Diese Entscheidungen
16:49
müssen zu Ihrer geplanten
16:50
Nutzung passen.
16:50
Client-Authentifizierung
16:51
für WLAN- oder VPN-Zugriff
16:53
zum Beispiel.
16:54
Wenn Sie zu eng wählen
16:55
und später einen anderen
16:56
Zweck benötigen,
16:57
müssen Sie möglicherweise
16:58
eine neue Zertifizierungsstelle
16:59
erstellen und die Geräte
17:00
migrieren.
17:01
Entscheiden Sie sich
17:01
für den ersten Anwendungsfall,
17:02
bevor Sie etwas erstellen.
17:03
Das führt uns weg
17:04
vom technischen Diagramm
17:05
und zurück zu einer
17:05
einfachen geschäftlichen
17:06
Entscheidung.
17:07
Wo würde ein Geräte-Zertifikat
17:08
ein echtes Zugriffsproblem
17:09
für Ihre Mitarbeiter lösen?
17:10
Ein sinnvoller Ausgangspunkt
17:11
für ein kleines Unternehmen.
17:13
Wo sollte also
17:13
ein kleines Unternehmen anfangen?
17:15
Beginnen Sie mit einem Problem,
17:16
nicht mit einer
17:16
unternehmensweiten Einführung.
17:18
Vielleicht verwendet
17:18
Ihr Mitarbeiter WLAN
17:19
noch ein gemeinsames Passwort
17:20
oder Ihr VPN verlangt
17:21
von den Leuten,
17:22
sich immer wieder neu anzumelden.
17:23
Vielleicht haben Sie
17:23
eine interne App,
17:24
die sich nur von
17:24
verwalteten Firmenlaptops
17:25
ausöffnen lassen.
17:26
Wählen Sie ein Problem aus.
17:28
Stellen Sie dann sicher,
17:28
dass die Grundlagen waren.
17:30
Sind diese Geräte
17:30
in Intune registriert?
17:31
Melden sich Benutzer
17:32
über EntraID an?
17:33
Beinhaltet Ihre Microsoft-Lizenzierung
17:35
die Anforderungen für Cloud-PKI?
17:36
Führen Sie ein kleines
17:37
Pilotprojekt durch,
17:38
um diese Fragen zu klären,
17:39
ohne alle zu beinträgen.
17:40
Wählen Sie eine begrenzte
17:41
Gerätegruppe aus
17:41
und erstellen Sie die
17:42
Vertrauenskette,
17:43
das Zertifikatsprofil
17:44
sowie die passende
17:44
WLAN- oder VPN-Richtlinie
17:46
als zusammenhängende Aufgabe.
17:47
Betrachten Sie das
17:48
Zertifikat nicht isoliert,
17:49
da der Netzwerkdienst
17:49
wissen muss,
17:50
welche Zertifikatskette
17:51
akzeptiert werden soll.
17:52
Holen Sie die Person dazu,
17:52
die für das Netzwerk
17:53
verantwortlich ist.