Création d’un certificat que le serveur RADIUS présentera à la machine client - Document technique : Mise en œuvre de l’authentification 802.1X avec Jamf Pro

Document technique : Mise en œuvre de l’authentification 802.1X avec Jamf Pro
Solution
Application
Content Type
Documentation technique
Utilities & Services
ft:locale
fr-FR
  1. Si vous prévoyez d’utiliser SCEP pour émettre des certificats, effectuez les étapes suivantes :

    Si vous ne prévoyez pas d’utiliser SCEP pour émettre des certificats, passez directement à l’étape 2.

    1. Dans la fenêtre Autorité de certification, cliquez avec le bouton droit sur Modèles de certificats et sélectionnez Nouveau > Modèle de certificat à émettre.
    2. Sélectionnez le modèle de votre appareil mobile, par exemple (« AppleEnroll »), puis cliquez sur OK.

      Le nouveau modèle est maintenant disponible, et le service SCEP doit en être informé en modifiant un réglage du registre.

    3. Cliquez sur le menu Démarrage.
    4. Cliquez sur Rechercher, puis saisissez Regedit dans le champ de recherche.
      La fenêtre Éditeur du registre s’affiche.
      Important:

      Faites attention lorsque vous modifiez les réglages de l’Éditeur du registre.

    5. Accédez à HKEY_LOCAL_MACHINE > LOGICIEL > Microsoft > Cryptographie.
    6. Cliquez sur la clé MSCEP.
    7. Dans la colonne Données, remplacez le nom des trois clés suivantes par celui du modèle que vous avez créé : EncryptionTemplate, GeneralPurposeTemplate et SignatureTemplate.
    8. Créez une nouvelle clé sous la clé MSCEP que vous appellerez « PasswordMax ».
    9. Créez une nouvelle Valeur DWORD 32 bits pour la clé PasswordMax.
    10. Saisissez PasswordMax dans le champ Nom pour la nouvelle valeur DWORD.
    11. Double-cliquez sur l’entrée DWORD pour ouvrir la boîte de dialogue Modifier la valeur DWORD 32 bits.
    12. Dans le champ Données de la valeur, entrez une valeur suffisamment grande pour convenir au nombre d’appareils inscrits dans votre environnement.
      Note:

      Par défaut, le nombre de mots de passe mis en cache est de cinq. Les mots de passe sont mis en cache pour une durée maximale de 60 minutes ou jusqu’à ce qu’ils soient utilisés.

    13. Dans la zone des options Base, sélectionnez Décimale.
    14. Cliquez sur OK.
    15. Fermez la fenêtre Éditeur du registre.
    16. Cliquez sur Démarrer et sélectionnez Gestionnaire de serveur.
    17. Cliquez sur IIS, cliquez avec le bouton droit sur Service admin IIS dans la liste Services, puis sélectionnez Redémarrer les services.
  2. Ouvrez Microsoft Management Console (MMC) sur le serveur qui hébergera le serveur RADIUS.
  3. Accédez à Fichier > Ajouter/Supprimer un composant logiciel enfichable.
  4. Dans la liste Composants logiciels enfichables disponibles, cliquez sur Certificats > Ajouter.
  5. Dans la fenêtre Composant logiciel enfichable Certificats, sélectionnez Compte d’ordinateur, Ordinateur local, puis cliquez sur Terminer.
  6. Développez la barre latérale de la console pour ouvrir le dossier Certificats (Ordinateur local) > Personnel > Certificats.
  7. Sélectionnez le certificat du serveur qui indique Authentification du client, Authentification du serveur dans la colonne Rôles prévus.
    Important:

    Notez le nom du certificat. Vous en aurez besoin plus tard, lors de la configuration de la méthode d’authentification PEAP ou TLS.

  8. Accédez à Démarrer > Outils d’administration Windows > Serveur NPS (Network Policy Server).
  9. Dans la barre latérale de la console, développez Clients et serveurs RADIUS, puis cliquez sur Clients RADIUS.
  10. Dans le volet Clients RADIUS, cliquez avec le bouton droit sur le client RADIUS sans fil ou filaire, sélectionnez Propriétés, puis configurez les réglages suivants des points d’accès :
    • Nom convivial —Cela peut être n’importe quel nom, mais vous devez avoir un nom unique pour le point d’accès sans fil et un autre nom unique pour le point d’accès filaire.
    • Adresse IP —Il s’agit de l’adresse IP du point d’accès ou du commutateur filaire.
    • Fournisseur —Doit correspondre aux appareils sans fil et filaires que vous utilisez pour prendre en charge 802.1X.
    • Secret partagé —Sélectionnez l’option Manuel en bas de la zone Secret partagé, puis saisissez le mot de passe que vous avez défini pour le point d’accès ou le commutateur filaire.
  11. Dans la barre latérale de la console, développez Stratégies, sous « NPS (Local) », puis cliquez avec le bouton droit sur Stratégies réseau et sélectionnez Nouveau.
  12. Lorsque vous y êtes invité, saisissez un nom dans le champ Nom de la stratégie.
  13. Assurez-vous que l’option Type de serveur d’accès réseau est définie sur Non spécifié.
  14. Cliquez sur Next (Suivant).
  15. Dans la fenêtre Spécifier les conditions, cliquez sur Ajouter pour ajouter une condition.
  16. Sélectionnez les conditions nécessaires pour votre environnement. Prenez en compte les valeurs suivantes, couramment utilisées, pour chaque réglage :

    • Type de port du serveur NAS : défini sur Sans fil – Autre ou Sans fil – IEEE 802.11.

    • Type d’authentification : défini sur EAP.

  17. Cliquez sur Next (Suivant).
  18. Dans la fenêtre Spécifier l’autorisation d’accès, sélectionnez l’option adaptée à votre environnement parmi les options suivantes :

    • Accès accordé

    • Accès refusé

    • L’accès est déterminé en fonction de la configuration des propriétés de numérotation de chaque compte d’utilisateur.

  19. Cliquez sur Next (Suivant).
  20. Dans la fenêtre Configurer les méthodes d’authentification, cliquez sur Ajouter.
  21. Pour configurer la méthode d’authentification PEAP, procédez comme suit :
    1. Sélectionnez Microsoft : Protected EAP (PEAP), puis cliquez sur OK.
    2. Sélectionnez Microsoft : Protected EAP (PEAP), puis cliquez sur Modifier pour ouvrir la fenêtre Propriétés.
    3. Cliquez sur le menu contextuel Certificat délivré à et sélectionnez le nom du certificat que vous avez noté à l’étape 6.
    4. Cochez la case Activer la reconnexion rapide.
    5. Dans le champ Types EAP, sélectionnez Mot de passe sécurisé (EAP-MSCHAP v2).
      Note:

      Il est possible d’utiliser un certificat comme protocole EAP (Extensible Authentication Protocol) dans PEAP, mais cela crée une forme hybride de 802.1X (un mélange de PEAP et d’EAP-TLS).

    6. Cliquez sur OK.
  22. Pour configurer la méthode d’authentification TLS, procédez comme suit :
    1. Sélectionnez Microsoft : Carte à puce ou autre certificat, puis cliquez sur OK.
    2. Sélectionnez Microsoft : Carte à puce ou autre certificat, puis cliquez sur Modifier pour ouvrir la fenêtre Propriétés.
    3. Cliquez sur le menu contextuel Certificat délivré à et sélectionnez le nom du certificat que vous avez noté au préalable.
    4. Cliquez sur OK.
  23. Dans Méthodes d’authentification moins sécurisées, décochez toutes les cases, puis cliquez sur Suivant.
  24. (Optional) Dans la fenêtre Configurer les contraintes, configurez les paramètres supplémentaires, puis cliquez sur Suivant.
  25. (Optional) Dans la fenêtre Configurer les réglages, configurez les réglages supplémentaires, puis cliquez sur Suivant.
  26. (Optional) Une fois que vous avez vérifié vos réglages dans la fenêtre d’aperçu, cliquez sur Terminer.

L’environnement nécessaire pour exécuter l’authentification basique PEAP et EAP-TLS 802.1X est désormais prêt.