Permettre aux utilisateurs de s’authentifier avec un certificat - Document technique : Mise en œuvre de l’authentification 802.1X avec Jamf Pro

Document technique : Mise en œuvre de l’authentification 802.1X avec Jamf Pro
Solution
Application
Content Type
Documentation technique
Utilities & Services
ft:locale
fr-FR

Les configurations 802.1X qui exigent que les utilisateurs utilisent un certificat pour s’authentifier doivent utiliser le protocole TLS. Pour utiliser ce protocole, vous devez distribuer un profil de configuration aux ordinateurs avec un certificat d’identité configuré dans une entité ainsi que l’entité Réseau.

Requirements

Pour activer l’authentification par certificat, vous avez besoin d’un serveur SCEP avec un certificat d’utilisateur ou d’appareil. Si vous utilisez un certificat d’utilisateur, les appareils doivent être attribués à un utilisateur dans Jamf Pro. Pour plus d’informations, consultez la section Attributions d’utilisateurs de la Documentation Jamf Pro.

  1. Dans la barre latérale de Jamf Pro, cliquez sur Ordinateurs .
  2. Cliquez sur Profils de configuration dans la barre latérale.
  3. Cliquez sur Nouveau.
  4. Utilisez l’entité Général pour configurer les réglages de base du profil, notamment le niveau auquel le profil doit être appliqué et la méthode de distribution.
  5. Selon votre environnement, vous devez configurer l’une des entités suivantes pour le certificat d’identité :

    Si votre environnement s’intègre à Active Directory Certificate Services (AD CS), sélectionnez l’entité Certificat pour configurer les informations du certificat :

    1. Saisissez un nom d’affichage pour le certificat dans le champ Nom du certificat.
    2. Choisissez "Téléverser" dans le menu contextuel Sélectionner l’option de certificat.
    3. Cliquez sur Téléverser le certificat et téléversez le certificat CA racine.
    4. Si vous avez téléversé un certificat .p12 ou .pfx, saisissez un mot de passe dans le champ Mot de passe, puis confirmez le mot de passe. Pour plus d’informations, consultez la section Distribution d’un certificat à l’aide d’un profil de configuration du document technique Intégration à Active Directory Certificate Services (AD CS) avec Jamf Pro 10.40.0 ou version ultérieure.

    Si votre environnement ne s’intègre pas à AD CS et que les ordinateurs sont liés à Active Directory, sélectionnez l’entité Certificat AD et configurez les éléments suivants :

    1. Saisissez une description pour la demande de certificat dans le champ Description.
    2. Saisissez le nom d’hôte du serveur AD CS dans le champ Serveur de certificat. Vous pouvez alors renseigner l’adresse IP et le nom d’hôte.
    3. Saisissez le nom de l’autorité de certification CA dans le champ Autorité de certification.
    4. Saisissez le nom du modèle de certificat dans le champ Modèle de certificat.
      Note:

      Assurez-vous de saisir le nom du certificat d’ordinateur si vous distribuez le profil au niveau ordinateur, ou le nom du certificat d’utilisateur si vous distribuez le profil au niveau utilisateur. Ces champs sont sensibles à la casse et doivent contenir les noms correctement orthographiés.

    5. Saisissez le nombre de jours avant l’expiration du certificat pour commencer à afficher la notification d’expiration dans le champ Seuil de notification de l’expiration d’un certificat.
    6. Terminez la configuration des autres réglages de l’entité.
      Note:
      • Ne sélectionnez pas le réglage Demander les identifiants. Il n’est pas encore pris en charge.
      • Les champs Nom d’utilisateur et Mot de passe peuvent être laissés vides. Les identifiants sont extraits des tickets Kerberos et n’ont pas besoin d’être renseignés.

    Si votre environnement ne s’intègre pas à AD CS et que les ordinateurs ne sont pas liés à Active Directory, sélectionnez l’entité SCEP et configurez les éléments suivants :

    1. Renseignez l’URL du serveur SCEP dans le champ URL. Par exemple : http://SCEP.Hostname/certsrv/mscep/mscep.dll
    2. Indiquez le nom de l’instance.

      Cette valeur peut être le nom du certificat CA racine.

    3. Configurez le réglage Redistribuer le profil, si nécessaire.
    4. Saisissez les variables suivantes dans le champ Objet :

      • Si vous distribuez le profil au niveau utilisateur : CN=$USERNAME ou CN=$FULLNAME

      • Si vous distribuez le profil au niveau ordinateur : CN=$COMPUTERNAME ou CN=$SERIALNUMBER

    5. Dans le menu contextuel Type de nom alternatif de l’objet, sélectionnez "Nom RFC 822".
    6. (Optional) Saisissez une valeur pour l’objet dans le champ Type de nom alternatif de l’objet.
    7. Saisissez une valeur dans le champ Nom principal NT. Cette valeur est celle que le serveur RADIUS recherche.

      Exemple de profil au niveau ordinateur : $COMPUTERNAME@scep.domain

      Exemple de profil au niveau utilisateur : $USERNAME@scep.domain

    8. Choisissez une option dans le menu contextuel Type de challenge, puis effectuez l’une des opérations suivantes :

      • Type de challenge "Statique" : Renseignez le nom du challenge du secret prépartagé.

      • Type de challenge "Dynamic-Microsoft CA" : Saisissez une valeur similaire à la suivante dans le champ URL vers SCEP Admin : http://SCEP.Hostname/certsrv/mscep_admin/, puis saisissez le nom d’utilisateur et le mot de passe pour vous authentifier auprès du serveur SCEP.

    9. (Optional) Terminez la configuration des autres réglages du volet.
  6. Utilisez l’entité Réseau pour configurer les informations de votre réseau :
    1. Dans le menu contextuel Interface réseau, sélectionnez le type d’interface réseau à utiliser.
    2. (Wi-Fi uniquement) Configurez les réglages en fonction de votre environnement, notamment l’identifiant SSID (Service Set Identifier) et les réglages de la configuration du proxy, si votre environnement utilise un proxy.
      Note:

      Jamf recommande d’utiliser type de sécurité « "WPA2 Enterprise" ».

    3. Dans l’onglet Protocoles, sélectionnez TLS et procédez comme suit, selon votre environnement :

      • Si vous avez configuré l’entité Certificat AD, sélectionnez "Certificat AD" dans le menu contextuel Certificat d’identité.

      • Si vous avez configuré l’entité Certificat, sélectionnez "Certificat AD CS" dans le menu contextuel Certificat d’identité.

      • Si vous avez configuré l’entité SCEP, sélectionnez "SCEP" dans le menu contextuel Certificat d’identité.

    4. Si votre environnement utilise le certificat CA racine uniquement, sélectionnez l’onglet Fiabilité, puis cliquez sur Ajouter. Dans le champ Nom commun du certificat, saisissez le nom commun du serveur RADIUS.
      Note:

      Le champ Nom commun du certificat est sensible à la casse.

    5. (Optional) Selon votre environnement, sélectionnez Autoriser les exceptions de confiance, si nécessaire.
  7. Cliquez sur l’onglet Périmètre et configurez le périmètre du profil.
  8. Cliquez sur Enregistrer .

Le profil sera distribué sur les ordinateurs inclus dans le périmètre du profil la prochaine fois qu’ils contacteront Jamf Pro. Les utilisateurs rejoignent le réseau en toute simplicité, car ils s’authentifient avec le certificat.