Latest / M365.FM – Podcast Microsoft 365, Copilot & IA en français / Microsoft Cloud PKI expliqué : des certificats d’appareil avec Intune au lieu d’un mot de passe Wi-Fi partagé (Doublage IA)

Transcript

Microsoft Cloud PKI expliqué : des certificats d’appareil avec Intune au lieu d’un mot de passe Wi-Fi partagé (Doublage IA) · M365.FM – Podcast Microsoft 365, Copilot & IA en français

0:00
Speaker 2: Prêt pour 10 jours de Microsoft 365, Copilot, l'IA, Azure
0:04
Speaker 2: et les personnes qui façonnent l'avenir du travail? En janvier,
0:09
Speaker 2: la M365Con est de retour et nous allons plus loin.
0:12
Speaker 2: Rejoignez-nous pour des sessions en direct, des démonstrations concrètes et
0:15
Speaker 2: des connaissances pratiques de MVP et d'experts du secteur du
0:17
Speaker 2: monde entier. Pas de diapositives génériques, pas de mots à
0:20
Speaker 2: la mode sans fin. Nous nous attaquons au vrai défi.
0:23
Speaker 2: Copilot Studio, Agents d'IA, Fabrique, Sécurité, Gouvernance et Automatisation? Que
0:30
Speaker 2: vous soyez un professionnel de l'informatique, un développeur ou un
0:32
Speaker 2: chef d'entreprise, des sessions sont conçues pour vous. Pendant 10
0:35
Speaker 2: jours complets, vous pouvez explorer de multiples technologies et vous
0:38
Speaker 2: connecter à une communauté mondiale. Regardez en direct et rapportez
0:42
Speaker 2: des informations pratiques à votre organisation. Janvier 2027, 10 jours,
0:48
Speaker 2: une communauté Microsoft. Les inscriptions sont ouvertes dès maintenant. Rendez-vous
0:52
Speaker 2: sur m365on. net et réservez votre place dès aujourd'hui. C'est m365on. net... net.
1:00
Speaker 2: Rejoignez-nous dès maintenant sur m365con. net et nous vous retrouverons en
1:03
Speaker 2: direct en janvier. Imaginez que vous achetez un nouvel ordinateur
1:06
Speaker 2: portable pour quelqu'un qui rejoint votre entreprise. Ils ont besoin d'emails,
1:08
Speaker 2: de fichiers partagés, du Wi-Fi du bureau et peut-être d'un
1:10
Speaker 2: VPN lorsqu'ils travaillent à domicile. Chaque connexion pose la même
1:13
Speaker 2: question silencieuse. Cet ordinateur portable a-t-il sa place ici? Dans
1:16
Speaker 2: de nombreuses petites entreprises, la réponse est toujours un mot
1:18
Speaker 2: de passe, un code Wi-Fi partagé, une connexion VPN envoyée
1:21
Speaker 2: dans un message, puis une correction manuelle lorsque quelqu'un change
1:23
Speaker 2: un mot de passe, remplace un ordinateur portable ou quitte l'entreprise.
1:25
Speaker 2: Cela peut sembler être un problème de petites entreprises. La
1:28
Speaker 2: même question se pose dans une entreprise de 10 personnes
1:30
Speaker 2: et dans une entreprise de 10 000 personnes. Vous devez
1:32
Speaker 2: trouver un moyen pour un appareil de prouver qu'il appartient
1:34
Speaker 2: à votre entreprise sans demander à la personne qui l'utilise
1:35
Speaker 2: de continuer de continuer à le faire. Je suis Melko
1:37
Speaker 2: Peters de M365FM et cette pépite de connaissances explique les
1:40
Speaker 2: certificats Microsoft Cloud PKI et comment Intune peut gérer cette
1:43
Speaker 2: preuve en coulisses. Un minuscule fichier numérique peut remplacer un
1:46
Speaker 2: mot de passe à la porte du bureau. Voyons d'abord
1:49
Speaker 2: pourquoi ce fichier existe. Pourquoi les certificats existent. Ouvrez un
1:52
Speaker 2: site web sécurisé dans votre navigateur. Avant de dire la page,
1:54
Speaker 2: votre navigateur vérifie quelque chose en arrière-plan. Il vérifie un
1:57
Speaker 2: certificat numérique. Ce certificat aide le navigateur à confirmer qu'il
2:00
Speaker 2: a atteint le véritable site web et peut créer une
2:02
Speaker 2: connexion protégée. La plupart des gens ne voient jamais cette vérification,
2:05
Speaker 2: mais vous vous y fiez tous les jours. Un certificat
2:07
Speaker 2: fonctionne un peu comme un badge d'identification d'entreprise. Le badge
2:09
Speaker 2: porte un nom et des informations sur son auteur. Il
2:12
Speaker 2: contient également la preuve d'un fabricant de badge en qui
2:13
Speaker 2: vous avez confiance. Un certificat numérique porte un nom ou
2:16
Speaker 2: une identité et une clé publique. Considérez la clé publique
2:18
Speaker 2: comme une information que d'autres peuvent inspecter. Le certificat contient
2:21
Speaker 2: également une signature numérique de confiance qui indique ce bureau
2:24
Speaker 2: de badge a vérifié cette identité et a prouvé ce
2:26
Speaker 2: badge aiguë. Cela donne au gardien quelque chose à vérifier.
2:30
Speaker 2: Mais un badge seul ne suffit pas. Quelqu'un pourrait prendre
2:32
Speaker 2: un badge imprimé sur un bureau. Les certificats numériques résolvent
2:35
Speaker 2: ce problème avec une clé privée. La clé privée est
2:37
Speaker 2: le secret du détenteur. Reste avec un ordinateur portable, un
2:40
Speaker 2: téléphone ou un utilisateur. L'appareil l'utilise pour prouver qu'il est
2:42
Speaker 2: réellement propriétaire du certificat, mais il ne transmet pas ce
2:44
Speaker 2: secret au réseau Wi-Fi, au VPN ou à l'application vérifiant
2:46
Speaker 2: le badge. Imagine un gardien vous demandant de déverrouiller votre
2:49
Speaker 2: propre porte-badge plutôt que de vous demander de révéler la combinaison.
2:52
Speaker 2: Vous prouvez que vous pouvez l'ouvrir, mais le garde n'apprend
2:54
Speaker 2: jamais la combinaison. C'est pourquoi les certificats peuvent être plus
2:57
Speaker 2: sûrs qu'un mot de passe partagé Un mot de passe
2:59
Speaker 2: Wi-Fi partagé peut voyager. Quelqu'un peut l'écrire, le transférer, le
3:01
Speaker 2: réutiliser sur un appareil personnel ou le conserver après avoir
3:03
Speaker 2: quitté l'entreprise. Un certificat d'appareil donne à chaque ordinateur portable, téléphone,
3:07
Speaker 2: gérer sa propre preuve. Alors qui crée et gère ces
3:10
Speaker 2: badges numériques? Cette tâche incombe à PKI, Abréviation d'Infrastructure à
3:14
Speaker 2: Clé Publique. Le nom semble lourd, mais l'idée est simple.
3:16
Speaker 2: PKI est le bureau des badges de votre espace de
3:18
Speaker 2: travail numérique. Il crée des certificats, les envoie aux bonnes
3:21
Speaker 2: personnes ou aux bons appareils, les renouvelle avant leur expiration
3:23
Speaker 2: et les annule lorsqu'ils ne devraient plus fonctionner. Au sein
3:27
Speaker 2: de ce bureau des badges se trouve une autorité de certification,
3:29
Speaker 2: généralement abrégée en CA. Une CA est le fabricant de
3:31
Speaker 2: badges de confiance. Lorsqu'un réseau Wi-Fi, un service VPN ou
3:34
Speaker 2: une application interne voit un certificat et pose une question,
3:37
Speaker 2: est-ce que je fais confiance au fabricant de badge qu'il
3:39
Speaker 2: a approuvé? Si la réponse est oui, il peut vérifier
3:41
Speaker 2: le certificat et décider s'il laisse passer l'appareil. Il y
3:44
Speaker 2: a généralement deux couches. Au sommet se trouve l'autorité de
3:46
Speaker 2: certification AC. Considérez-la comme le siège social de l'entreprise qui
3:49
Speaker 2: approuve l'ensemble du système de badges. Il n'a pas besoin
3:50
Speaker 2: d'imprimer chaque badge pour chaque ordinateur portable. En dessous se
3:52
Speaker 2: trouve une autorité de certification et maîtrise. C'est le bureau
3:55
Speaker 2: qui gère. Il met des certificats pour les appareils utilisateurs,
3:58
Speaker 2: tandis que son autorité renvoie à l'autorité de certification racine.
4:01
Speaker 2: Lorsqu'un service vérifie la chaîne, il peut suivre le certificat
4:03
Speaker 2: de l'ordinateur portable à l'autorité de certification et maîtrise, puis
4:05
Speaker 2: revenir à l'autorité de certification et maîtrise, mais avec effet confiant.
4:07
Speaker 2: Cette chaîne donne la structure du processus. Vous pouvez l'utiliser
4:10
Speaker 2: pour un Wi-Fi sécurisé, où un ordinateur portable fait ses
4:12
Speaker 2: preuves avant de rejoindre le réseau. Vous pouvez l'utiliser pour
4:14
Speaker 2: un VPN, où l'ordinateur portable prouve qu'il appartient au réseau
4:17
Speaker 2: avant d'accéder aux ressources de l'entreprise depuis son domicile. Vous
4:19
Speaker 2: pouvez également l'utiliser pour une application interne qui ne doit
4:21
Speaker 2: accepter que les appareils gérés par l'entreprise. L'employé n'a pas
4:24
Speaker 2: besoin de comprendre Il ouvre l'ordinateur portable, choisit le Wi-Fi
4:27
Speaker 2: de l'entreprise et se connecte. C'est l'objectif. La partie difficile
4:30
Speaker 2: commence lorsque votre bureau de badge se trouve dans une
4:32
Speaker 2: salle de serveur. Pourquoi l'infrastructure avec les publics traditionnels devient
4:35
Speaker 2: un fardeau pour l'opinion d'entreprise? Pendant de nombreuses années, ce
4:37
Speaker 2: système de badge signifiait construire et exploiter son propre équipement.
4:40
Speaker 2: Vous devez installer Windows Server, puis ajouter les services de
4:42
Speaker 2: certificat Active Directory, souvent appelés ADCS, qui exécutent l'autorité de
4:45
Speaker 2: certification au sein du réseau de votre entreprise. Mais le
4:48
Speaker 2: serveur seul ne suffit pas. Si vous utilisez des appareils
4:51
Speaker 2: gérés par Intune, ils ont besoin d'un moyen de demander
4:53
Speaker 2: un certificat à cette autorité de certification locale. Cela signifie
4:57
Speaker 2: configurer un connecteur de certificat Intune, un serveur NDES pour
4:59
Speaker 2: gérer les demandes de certificat, un proxy inverse pour un
5:02
Speaker 2: accès sécurisé depuis l'extérieur et des règles de pare-feu qui
5:04
Speaker 2: autorisent le trafic approprié. Chaque élément a une fonction. Ensemble,
5:07
Speaker 2: ils peuvent transformer un objectif simple comme un Wi-Fi sans
5:10
Speaker 2: mot de passe en un projet de serveur complet. Voici
5:12
Speaker 2: une analogie. Imaginez que vous souhaitiez imprimer des cartes d'accès
5:14
Speaker 2: pour le personnel dans votre propre bureau. N'achetez pas simplement
5:16
Speaker 2: une imprimante à cartes. Vous construisez une pièce fermée à
5:17
Speaker 2: clé pour cela. Vous ajoutez des armoires fermées à clé
5:19
Speaker 2: pour le stock de cartes et les dossiers. Vous installez
5:21
Speaker 2: une alimentation de secours. Vous définissez des règles pour les
5:22
Speaker 2: personnes autorisées à entrer. Ensuite, vous avez besoin de quelqu'un
5:24
Speaker 2: qui sache quel commutateur utiliser lorsque l'imprimante cesse de fonctionner.
5:27
Speaker 2: Cela se rapproche davantage de l'infrastructure à clé publique traditionnelle
5:29
Speaker 2: que la plupart des gens. Une petite entreprise peut souhaiter
5:31
Speaker 2: que les ordinateurs portables se connectent au Wi-Fi sans partager
5:33
Speaker 2: un seul mot de passe entre tous. Ou bien il
5:35
Speaker 2: peut vouloir un VPN qui reconnaît un ordinateur portable géré
5:37
Speaker 2: avant de demander à l'employé de se connecter. Des objectifs raisonnables. Cependant,
5:42
Speaker 2: l'ancienne méthode peut nécessiter des serveurs, des règles réseau, une
5:45
Speaker 2: planification de l'accès public et des connaissances que de nombreuses
5:47
Speaker 2: petites équipes informatiques n'ont tout simplement pas le temps de développer.
5:50
Speaker 2: Et le travail ne s'arrête pas après la configuration. Serveurs
5:52
Speaker 2: ont besoin de mise à jour. Le matériel arrive en
5:53
Speaker 2: fin de vie, les sauvegardes doivent être testées, pas seulement
5:55
Speaker 2: une coche verte dans un outil de sauvegarde. Les certificats
5:58
Speaker 2: ont des dates d'expiration et le système doit les renouveler
6:00
Speaker 2: avant que ces dates n'arrivent. Lorsque le renouvellement échoue, le
6:03
Speaker 2: premier signe peut venir d'un employé qui ne peut pas
6:05
Speaker 2: se connecter au Wi-Fi un lundi matin chargé. Le mot
6:08
Speaker 2: de passe de l'employé peut toujours fonctionner parfaitement. Son ordinateur
6:11
Speaker 2: portable peut toujours ouvrir Word et ses emails à partir
6:12
Speaker 2: d'une connexion mobile, mais le certificat qui permet au réseau
6:15
Speaker 2: de reconnaître cet ordinateur portable peut expirer. Le VPN peut
6:17
Speaker 2: le refuser, une application interne peut le refuser, le Wi-Fi
6:20
Speaker 2: peut le refuser. Cela se transforme en un appel au
6:22
Speaker 2: support qui semble étrange au premier abord. Mon mot de
6:24
Speaker 2: passe fonctionne, mais je ne peux pas me connecter. Quelqu'un
6:26
Speaker 2: doit ensuite déterminer si le problème se situe au niveau
6:28
Speaker 2: de l'appareil, du profil de certificat, du service réseau, de
6:31
Speaker 2: l'autorité de certification locale, du connecteur ou du pare-feu. Une
6:34
Speaker 2: petite équipe informatique peut perdre une demi-journée à suivre cette piste.
6:37
Speaker 2: Le travail à distance ajoute une couche supplémentaire. Un ordinateur
6:39
Speaker 2: portable au bureau peut accéder plus facilement aux services de
6:41
Speaker 2: certificat locaux, mais un ordinateur portable sur la table de
6:43
Speaker 2: cuisine de quelqu'un a toujours besoin d'un chemin sûr pour
6:45
Speaker 2: récupérer un certificat ou un nouveau. Vous pouvez exposer une
6:47
Speaker 2: partie du processus avec précaution via un proxy inverse et
6:50
Speaker 2: des règles de pare-feu. Cela fonctionne lorsqu'il est correctement planifié
6:52
Speaker 2: et maintenu, mais cela ajoute également des éléments mobiles, des
6:54
Speaker 2: paramètres et des emplacements supplémentaires où une petite erreur peut
6:56
Speaker 2: interrompre l'accès. Le coût ne se limite pas à une
6:59
Speaker 2: licence serveur, mais représente également le temps passé à appliquer
7:01
Speaker 2: les correctifs, les connaissances spécialisées et la documentation qui doit
7:04
Speaker 2: être à jour. C'est le risque qu'une personne comprenne le
7:06
Speaker 2: système de certificat, puis quitte l'entreprise avec la carte en tête.
7:10
Speaker 2: La PKI elle-même n'est pas réservée aux grandes entreprises. Une
7:13
Speaker 2: petite entreprise peut bénéficier du même type de protection des
7:16
Speaker 2: appareils qu'une grande entreprise. Le problème est que l'exécution d'une
7:18
Speaker 2: PKI à l'ancienne peut exiger l'effort d'un service informatique beaucoup
7:21
Speaker 2: plus important. Microsoft Cloud PKI conserve le processus de certification,
7:25
Speaker 2: mais transfère une grande partie de cette machinerie hors de
7:27
Speaker 2: votre salle de serveur vers le Cloud Microsoft. Qu'est-ce que
7:29
Speaker 2: Microsoft Cloud PKI en réalité? Microsoft Cloud PKI est le
7:33
Speaker 2: service d'autorité de certification géré de Microsoft au sein d'Intune.
7:36
Speaker 2: C'est la définition la plus simple. Il crée et gère
7:38
Speaker 2: les certificats pour les appareils et les utilisateurs gérés par Intune.
7:41
Speaker 2: Au lieu que votre entreprise exécute le système de badge
7:43
Speaker 2: sur des serveurs locaux, Microsoft exécute le service d'autorité de
7:46
Speaker 2: certification dans le Cloud. Vos employés n'ouvriront pas une application
7:48
Speaker 2: appelée Cloud PKI? Nous ne cliquerons pas sur un bouton
7:51
Speaker 2: pour demander un certificat, n'enregistrons pas de fichiers ou ne
7:52
Speaker 2: faisons pas de fichiers. Cloud PKI fonctionne en arrière-plan. Il
7:56
Speaker 2: peut émettre un certificat lorsqu'un appareil géré en a besoin,
7:58
Speaker 2: le renouveler avant son expiration et le révoquer lorsque ce
8:00
Speaker 2: certificat ne devrait plus fonctionner. Reprenons l'analogie de l'immeuble de bureau.
8:04
Speaker 2: Entre ID se trouve à la réception. Il sait qui
8:06
Speaker 2: sont les gens et contrôle leur identité de connexion. Intune
8:09
Speaker 2: agit comme le gestionnaire de l'immeuble. Il sait quels ordinateurs
8:12
Speaker 2: portables et téléphones appartiennent à l'entreprise et envoie leurs paramètres,
8:14
Speaker 2: applications et règles. Cloud PKI est le bureau de badge
8:17
Speaker 2: sécurisé à l'intérieur de ce bâtiment. Intune indique au bureau
8:20
Speaker 2: de badge quels appareils gérés ont besoin d'un accès. Cloud
8:22
Speaker 2: PKI crée le certificat. L'appareil peut ensuite utiliser ce certificat
8:26
Speaker 2: lorsqu'il se connecte au service que votre entreprise a configuré
8:28
Speaker 2: pour lui faire confiance. Chaque service a un rôle clair.
8:30
Speaker 2: Vous n'avez pas besoin d'un serveur Windows local exécutant une
8:32
Speaker 2: autorité de certification racine. Vous n'avez pas besoin d'un autre
8:34
Speaker 2: serveur local agissant en tant qu'autorité de certification. Microsoft peut
8:37
Speaker 2: héberger les deux parties dans une configuration Cloud First avec
8:39
Speaker 2: une autorité de certification au sommet et une autorité de
8:41
Speaker 2: certification à maîtrise gérant les certificats maîtrisés par vos appareils.
8:44
Speaker 2: Cela supprime beaucoup d'équipements du Cela change également la personne
8:47
Speaker 2: qui gère le service de certificat sous jasper. Dans le
8:49
Speaker 2: cadre d'une utilisation en production sous licence, Microsoft protège les
8:52
Speaker 2: clés de l'autorité de certification avec des modules de sécurité matériel,
8:54
Speaker 2: généralement appelés HSM. Un HSM est un matériel de coffre-fort
8:57
Speaker 2: verrouillé conçu pour protéger les clés cryptographiques hautement sensibles. Vous
9:01
Speaker 2: n'avez pas besoin d'acheter, de monter en rack, de corriger
9:02
Speaker 2: ou de protéger ce matériel vous-même. Microsoft l'exécute dans le
9:05
Speaker 2: cadre du service. Votre travail reste axé sur la décision commerciale,
9:08
Speaker 2: à savoir quels appareils doivent recevoir des certificats et à
9:10
Speaker 2: quoi ces certificats doivent-ils leur permettre d'accéder. Il y a
9:13
Speaker 2: un nom court qui mérite d'être connu ici, CCEP. Cela
9:16
Speaker 2: signifie Simple Certificate Enrollment Protocol. Vous n'aurez pas besoin de
9:18
Speaker 2: vous souvenir du nom complet après cet épisode. Considérez CEP
9:21
Speaker 2: comme la voie de demande protégée entre un appareil géré
9:23
Speaker 2: et le bureau des badges. Un ordinateur portable utilise cette
9:26
Speaker 2: voie pour demander un certificat. Cloud PKI vérifie la demande
9:29
Speaker 2: via Intune et renvoie le certificat signé lorsque la demande
9:32
Speaker 2: réussit ses vérifications. L'appareil n'envoie pas son secret privé via
9:35
Speaker 2: cette voie. Ce détail est important. L'appareil crée sa clé
9:38
Speaker 2: privée localement, puis la conserve. Cloud PKI reçoit une demande
9:41
Speaker 2: contenant les informations publiques dont il a besoin pour émettre
9:43
Speaker 2: le certificat et non la clé privée de l'appareil Cloud
9:46
Speaker 2: PKI prend en charge les familles d'appareils que la plupart
9:48
Speaker 2: des petites entreprises utilisent déjà. Cela inclut les ordinateurs portables Windows,
9:51
Speaker 2: les Mac, les iPhone, les iPad et les appareils Android.
9:54
Speaker 2: La condition est simple. L'appareil doit être inscrit et géré
9:57
Speaker 2: via Intune et sa plateforme doit prendre en charge le
9:59
Speaker 2: profil de cette plateforme. d'Intune. Un ordinateur portable personnel qui
10:02
Speaker 2: n'est pas géré via Intune ne correspond pas à ce modèle.
10:05
Speaker 2: Cette limite est délibérée. Cloud PKI utilise les connaissances d'Intune
10:08
Speaker 2: sur l'appareil dans le cas du processus. Il fonctionne donc
10:10
Speaker 2: mieux lorsque votre entreprise contrôle la configuration et peut appliquer
10:13
Speaker 2: ses règles de sécurité. Avant de planifier en conséquence, vérifiez
10:16
Speaker 2: les licences. Cloud PKI nécessite la bonne licence Microsoft en
10:19
Speaker 2: plus d'Intune. Microsoft modifie les détails du plan au fil
10:21
Speaker 2: du temps. Vérifiez donc vos droits actuels et confirmez qu'il
10:24
Speaker 2: y a besoin d'une licence avant de concevoir le service
10:26
Speaker 2: en conséquence. L'autorité de certification peut désormais résider dans le cloud,
10:29
Speaker 2: mais le certificat doit toujours atteindre le bon ordinateur portable
10:31
Speaker 2: en toute sécurité. Ce parcours explique pourquoi Cloud PKI fonctionne
10:34
Speaker 2: si bien dans le travail moderne. Imaginez qu'un nouvel employé
10:37
Speaker 2: ouvre son ordinateur portable géré par Intune pour la première
10:39
Speaker 2: fois et doit se connecter à un réseau Wi-Fi sécurisé
10:41
Speaker 2: ou utiliser un VPN. Que se passe-t-il lorsqu'un appareil a
10:44
Speaker 2: besoin d'un certificat? Imaginez un nouvel employé assis devant son
10:47
Speaker 2: ordinateur portable d'entreprise le premier matin à la maison. Cet
10:50
Speaker 2: ordinateur portable est déjà inscrit à Intune? Ils auront besoin
10:52
Speaker 2: du Wi-Fi du bureau lorsqu'ils arriveront sur place et probablement
10:54
Speaker 2: d'un VPN pour accéder au système interne depuis leur domicile,
10:56
Speaker 2: mais ils ne devraient pas avoir à chercher un mot
10:58
Speaker 2: de passe Wi-Fi ou appeler le service informatique pour obtenir
11:00
Speaker 2: un certificat. Avant même que l'ordinateur portable demande son propre certificat,
11:03
Speaker 2: Intune envoie les certificats auxquels il doit faire confiance. Cela
11:06
Speaker 2: inclut le certificat racine et le certificat d'émission de votre
11:08
Speaker 2: configuration Cloud PKI. Cela semble être un détail, n'est-ce pas?
11:11
Speaker 2: En fait, c'est toute la base et indique à l'ordinateur
11:13
Speaker 2: portable qu'assez l'autorité de certification à laquelle vous pouvez faire confiance.
11:16
Speaker 2: Sans cette confiance, l'ordinateur portable n'a aucun moyen de savoir
11:19
Speaker 2: si un certificat provient du service approuvé de votre entreprise
11:21
Speaker 2: ou d'un endroit quelconque. Ensuite, l'ordinateur portable génère sa propre
11:24
Speaker 2: clé privée. Cela se produit directement sur l'appareil lui-même et
11:27
Speaker 2: cette clé privée ne quitte jamais l'appareil. Elle n'est pas
11:29
Speaker 2: copiée dans Intune, envoyée à Cloud PKI ou transmise au
11:32
Speaker 2: service Wi-Fi. Cette séparation est ce qui protège le secret. Ensuite,
11:36
Speaker 2: l'ordinateur portable prépare une demande de certificat. Cette demande inclut
11:38
Speaker 2: les informations publiques nécessaires au certificat ainsi que la preuve
11:41
Speaker 2: que l'ordinateur portable contrôle sa propre clé privée. Il envoie
11:44
Speaker 2: cette requête via SHP, le chemin de requête protégée dont
11:46
Speaker 2: nous avons parlé précédemment. Seule la requête transite, pas la clé.
11:49
Speaker 2: Intune joue désormais un rôle actif dans la vérification. Il
11:52
Speaker 2: confirme que la requête provient d'un appareil inscrit et géré
11:54
Speaker 2: par votre entreprise. Il protège également la requête afin que
11:57
Speaker 2: le service Cloud PKI puisse vérifier qu'elle n'a pas été
11:59
Speaker 2: falsifiée en cours de route. Si la requête ne correspond
12:02
Speaker 2: pas à ce qu'Intune attend, aucun certificat n'est émis. Cela
12:05
Speaker 2: empêche un ordinateur portable inconnu d'en demander un et de l'obtenir.
12:08
Speaker 2: Lorsque toutes les vérifications sont réussies, Cloud PKI envoie la
12:10
Speaker 2: requête à l'autorité de certification émettrice. L'autorité de certification et
12:13
Speaker 2: maîtrise signe un certificat pour l'identité de cet appareil et
12:16
Speaker 2: un tune le renvoie à l'ordinateur portable. L'employé ne voit
12:18
Speaker 2: rien de tout cela. Il ouvre simplement l'ordinateur portable. Et
12:21
Speaker 2: lorsqu'il arrive au bureau, le réseau Wi-Fi peut demander une
12:23
Speaker 2: preuve à l'ordinateur portable. Au lieu de saisir un mot
12:25
Speaker 2: de passe partagé, l'ordinateur portable présente son certificat. Le réseau
12:28
Speaker 2: vérifie ensuite la chaîne de certificat. Ce certificat a-t-il été
12:31
Speaker 2: émis par l'autorité de certification et maîtrise à laquelle il
12:32
Speaker 2: fait confiance? Cette autorité de certification et maîtrise renvoie-t-elle à
12:34
Speaker 2: l'autorité de certification racine à laquelle il fait confiance? Si
12:36
Speaker 2: ces vérifications sont concluantes, l'ordinateur portable se colle. Le même
12:38
Speaker 2: schéma fonctionne avec un VPN. Un service VPN peut vérifier
12:41
Speaker 2: si le certificat de l'appareil appartient à un ordinateur portable
12:43
Speaker 2: géré par l'entreprise avant d'autoriser une connexion. Une application interne
12:47
Speaker 2: peut faire de même en acceptant que les appareils qui
12:49
Speaker 2: possèdent un certificat de votre autorité de certification approuvée. Le
12:52
Speaker 2: certificat ne remplace pas toutes les invites de connexion partout,
12:54
Speaker 2: mais il offre au service un autre moyen efficace d'identifier l'appareil.
12:57
Speaker 2: Parlons maintenant de la partie que les gens ne remarquent
12:59
Speaker 2: généralement que lorsqu'elle est défectueuse, l'expiration. Les certificats ne durent
13:02
Speaker 2: pas éternellement et c'est délibéré. Un certificat a besoin d'une
13:05
Speaker 2: date de fin, de sorte qu'un ancien identifiant d'appareil ne
13:07
Speaker 2: peut pas continuer à fonctionner indéfiniment sans une autre vérification.
13:09
Speaker 2: CloudPK et Intune peuvent commencer le renouvellement avant cette date
13:11
Speaker 2: à chaque fois que l'appareil géré s'enregistre. L'ordinateur portable demande
13:15
Speaker 2: un certificat de remplacement et l'ensemble du processus suit le
13:17
Speaker 2: même chemin protégé. Pour l'employé, rien ne change. Il se
13:21
Speaker 2: connecte au Wi-Fi et utilise le VPN. Le certificat se
13:23
Speaker 2: renouvelle en arrière-plan au lieu de devenir un ticket d'assistance
13:25
Speaker 2: surprise le jour de son expiration. Un ordinateur portable perdu
13:28
Speaker 2: nécessite une réponse différente. Si un appareil disparaît, qu'un employé
13:32
Speaker 2: part ou que vous pensez que le certificat n'est plus fiable,
13:34
Speaker 2: un administrateur peut révoquer ce certificat dans Intune. Cloud PKI
13:39
Speaker 2: publie cette modification de sorte que les services qui vérifient
13:41
Speaker 2: l'état du certificat peuvent rejeter l'ancien certificat, peuvent rejeter l'ancien certificat.
13:44
Speaker 2: L'appareil peut toujours exister physiquement, mais sa preuve numérique cesse
13:47
Speaker 2: de fonctionner. C'est une bien meilleure position que de changer
13:49
Speaker 2: un mot de passe Wi-Fi partagé et d'espérer que chaque
13:51
Speaker 2: ancien employé, ancien ordinateur portable et téléphone personnel ne l'a plus,
13:54
Speaker 2: ne l'a plus. Cependant, la livraison automatique de certificat ne
13:57
Speaker 2: signifie pas que Cloud PKI gère toutes les tâches de
13:59
Speaker 2: certificat dans votre entreprise. Cela fonctionne très bien pour un
14:01
Speaker 2: ensemble spécifique de tâches. D'autres tâches nécessitent un service de
14:04
Speaker 2: certificat différent, et connaître cette limite vous fera gagner du
14:07
Speaker 2: temps avant de commencer à créer. Où Cloud PKI s'intègre
14:10
Speaker 2: et où il ne s'intègre pas? Cloud PKI est le
14:12
Speaker 2: mieux adapté lorsque vous avez besoin qu'un appareil d'entreprise géré
14:14
Speaker 2: fasse ses preuves avant d'y avoir accès. Le Wi-Fi sécurisé
14:16
Speaker 2: en est un exemple classique. Au lieu de communiquer le
14:18
Speaker 2: même mot de passe sans fil à chaque nouvel employé,
14:20
Speaker 2: un tune peut placer un certificat sur son ordinateur portable
14:22
Speaker 2: ou son téléphone géré, et le réseau peut accepter ce certificat.
14:25
Speaker 2: L'accès VPN est une autre solution efficace? Un ordinateur portable
14:28
Speaker 2: géré peut présenter son certificat lorsqu'il se connecte, ce qui
14:30
Speaker 2: supprime les avis répétés du mot de passe et offre
14:32
Speaker 2: au VPN un autre moyen de vérifier l'appareil avant d'autoriser l'accès.
14:35
Speaker 2: Certaines applications internes peuvent utiliser la même approche lorsqu'elles doivent
14:38
Speaker 2: accepter uniquement les appareils gérés par votre entreprise. Cela fonctionne
14:41
Speaker 2: sur les ordinateurs portables Windows, Mac, iPhone, iPad et appareils
14:44
Speaker 2: Android gérés. Pour une petite entreprise, cela change un problème familier.
14:48
Speaker 2: Un mot de passe Wi-Fi partagé a tendance à se propager?
14:50
Speaker 2: Il apparaît dans les e-mails de bienvenue, les messages de chat,
14:53
Speaker 2: les ordinateurs portables, les anciens téléphones. Lorsqu'une personne part, le
14:56
Speaker 2: changer peut signifier reconnecter chaque imprimante, ordinateur portable, tablette et
14:59
Speaker 2: appareil de salle de réunion. Avec les certificats d'appareil, chaque
15:02
Speaker 2: appareil géré possède sa propre preuve d'accès. La décision d'accès
15:05
Speaker 2: devient également plus précise. Un mot de passe prouve uniquement
15:07
Speaker 2: que quelqu'un connaît le mot de passe. Certificat émis via
15:10
Speaker 2: Cloud PKI connecte l'accès à un appareil qu'Intune connaît et gère.
15:14
Speaker 2: Cela soutient l'idée de la confiance zéro. N'accordez pas l'accès
15:17
Speaker 2: simplement parce qu'un élément se trouve sur le réseau du bureau.
15:20
Speaker 2: Vérifiez l'appareil et sa preuve chaque fois que le service
15:22
Speaker 2: le demande. Il existe deux façons courantes de commencer. Si
15:25
Speaker 2: votre entreprise fonctionne principalement dans le cloud et ne dispose
15:27
Speaker 2: pas de système de certificat existant, vous pouvez créer une
15:28
Speaker 2: autorité de certification racinée, une autorité de certification émettrice dans
15:31
Speaker 2: Cloud PKI. Vous configurez ensuite le service Wi-Fi de vos
15:33
Speaker 2: appareils gérés, la passerelle VPN ou certaines applications pour qu'ils
15:36
Speaker 2: approuvent cette chaîne de certificat. C'est le chemin de départ propre.
15:39
Speaker 2: Si vous exécutez déjà une autorité de certification, vous n'avez
15:41
Speaker 2: pas toujours besoin de la supprimer. Cloud PKI peut utiliser
15:44
Speaker 2: une autorité de certification émettrice qui renvoie à une autorité
15:46
Speaker 2: de certification assez inexistante de sorte que vos nouveaux appareils
15:48
Speaker 2: gérés par Intune puissent s'adapter aux règles de confiance que
15:49
Speaker 2: vous utilisez déjà. Le chemin approprié dépend de ce que
15:52
Speaker 2: votre réseau approuve déjà, mais... Cloud PKI a une limite ferme.
15:56
Speaker 2: Il cible les appareils inscrits dans Intune. Il n'émet pas
15:58
Speaker 2: tous les types de certificats pour chaque machine ou service
16:00
Speaker 2: que votre entreprise possède. Par exemple, il ne remplace pas
16:03
Speaker 2: de manière générale les certificats sur les serveurs web, les
16:05
Speaker 2: passerelles VPN, les équilibres de charge ou d'autres serveurs. Il
16:09
Speaker 2: ne répond pas non plus aux besoins en certificat des
16:10
Speaker 2: ordinateurs non gérés, des systèmes isolés sans connexion au cloud
16:13
Speaker 2: ou des appareils Linux non pris en charge par Intune.
16:17
Speaker 2: Cela ne réduit pas son utilité. Cela signifie simplement que
16:19
Speaker 2: vous devez adapter l'outil à la tâche. Cloud PKI gère
16:21
Speaker 2: les appareils de vos utilisateurs gérés Un autre service peut
16:25
Speaker 2: toujours gérer les certificats pour les systèmes auxquels ces appareils
16:27
Speaker 2: se connectent. Votre contrôleur Wi-Fi, votre passerelle VPN ou votre
16:29
Speaker 2: application interne nécessitent également une configuration. Ils doivent faire confiance
16:32
Speaker 2: à la racine et à la chaîne de certificats et
16:33
Speaker 2: maîtrises utilisées par CloudPK. Si ce service ne reconnaît pas
16:36
Speaker 2: votre autorité de certification, il rejettera un certificat d'appareil parfaitement valide.
16:40
Speaker 2: Le côté appareil et le côté service doivent être d'accord.
16:42
Speaker 2: Un point de planification peut vous éviter des frustrations utérines.
16:45
Speaker 2: Lorsque vous créez une autorité de certification, vous choisissez ce
16:47
Speaker 2: que ces certificats peuvent faire. Ces choix doivent correspondre à
16:49
Speaker 2: l'utilisation que vous prévoyez. Authentification client pour l'accès Wi-Fi ou VPN,
16:53
Speaker 2: par exemple. Si vous faites un choix trop étroit et
16:55
Speaker 2: que vous avez besoin d'un objectif différent, par la suite,
16:57
Speaker 2: vous devrez peut-être créer une nouvelle autorité de certification et
16:59
Speaker 2: déplacer les appareils. Décidez du premier cas d'utilisation avant de
17:02
Speaker 2: créer quoi que ce soit. Cela nous éloigne du schéma
17:04
Speaker 2: technique et nous ramène à un choix commercial simple. Ou
17:07
Speaker 2: un certificat d'appareil éliminerait-il un réel problème d'accès pour votre personnel?
17:11
Speaker 2: Un point de départ judicieux pour une petite entreprise. Alors
17:13
Speaker 2: par où une petite entreprise doit-elle commencer? Commencer par un problème,
17:16
Speaker 2: pas par un déploiement à l'échelle de l'entreprise? Peut-être que
17:18
Speaker 2: le réseau Wi-Fi de votre personnel utilise toujours un mot
17:20
Speaker 2: de passe partagé, ou que votre VPN oblige les utilisateurs
17:22
Speaker 2: à se connecter encore et encore. Peut-être avez-vous une application
17:24
Speaker 2: interne qui ne devrait s'ouvrir qu'à partir des ordinateurs portables.
17:26
Speaker 2: Choisissez un problème. Assurez-vous ensuite que les bases sont en place.
17:30
Speaker 2: Ces appareils sont-ils inscrits dans Intune? Les utilisateurs se connectent-ils
17:33
Speaker 2: via Entride? Votre licence Microsoft inclut-elle les besoins en matière
17:36
Speaker 2: de PKI Cloud? Exécutez un petit projet pilote pour répondre
17:38
Speaker 2: à ces questions sans affecter tout le monde. Sélectionnez un
17:40
Speaker 2: groupe limité d'appareils. Créez la chaîne de confiance, le profil
17:43
Speaker 2: de certificat et la stratégie Wi-Fi ou VPN correspondant ensemble
17:46
Speaker 2: comme une tâche connectée. Ne traitez pas le certificat séparément,
17:49
Speaker 2: car le service réseau doit savoir quelle chaîne de certificat accepter. Accepté.
17:52
Speaker 2: Faites appel à la personne qui possède ce réseau.