Integracja kontroli dostępu do sieci (NAC) z usługą Intune

Artykuł
03/04/2025

Intune integruje się z partnerami kontroli dostępu do sieci (NAC), aby ułatwić organizacjom zabezpieczanie danych firmowych, gdy urządzenia próbują uzyskać dostęp do zasobów lokalnych.

Uwaga

Usługa pobierania zgodności została wydana w lipcu 2021 r. i zastąpiła poprzednią usługę NAC Intune. Microsoft Intune zapewnia obsługę starszej Intune usługi NAC do 31 marca 2024 r. Nasi partnerzy translatora adresów sieciowych przechodzą do usługi pobierania zgodności i obejmują:

ExtremeCloud Universal ZTNA
Extreme Networks ExtremeCloud IQ-Site Engine w wersji 24.2
Cisco ISE 3.1 i nowsze
Citrix Gateway 13.0-84.11 i nowsze
Citrix Gateway 13.1-12.50 i nowsze
F5 BIG-IP Access Policy Manager 14.1.5.2 i nowsze
F5 BIG-IP Access Policy Manager 15.1.7 lub nowszy
F5 BIG-IP Access Policy Manager 16.1.3.1 lub nowszy
F5 BIG-IP Access Policy Manager 17.0 i nowsze
Ivanti Connect Secure 9.1R16 i nowsze
Aruba ClearPass z rozszerzeniem Microsoft Intune v6 i nowszym
Forescout eyeExtend Microsoft Module w wersji 1.0.1 lub nowszej
Portnox Cloud

W przyszłości wycofamy Intune usługi NAC, dlatego zalecamy migrację do usługi pobierania zgodności, aby uniknąć zakłóceń w działaniu usługi. Jeśli masz pytania dotyczące usługi pobierania zgodności lub wpływu na dzierżawę, skontaktuj się z dostawcą rozwiązania NAC. Aby uzyskać więcej informacji i aktualizacji dotyczących usługi pobierania zgodności i partnerów NAC, zobacz Microsoft Tech Community: Nowa usługa Microsoft Intune na potrzeby kontroli dostępu do sieci.

W jaki sposób rozwiązania Intune i NAC pomagają chronić zasoby organizacji?

Rozwiązania NAC sprawdzają stan rejestracji urządzeń i zgodności przy użyciu Intune, aby podejmować decyzje dotyczące kontroli dostępu. Jeśli urządzenie nie jest zarejestrowane lub jest zarejestrowane i niezgodne z zasadami zgodności urządzeń Intune, urządzenie powinno zostać przekierowane do Intune w celu rejestracji lub sprawdzenia zgodności urządzenia.

Przykład

Jeśli urządzenie jest zarejestrowane i zgodne z Intune, rozwiązanie NAC powinno zezwalać urządzeniu na dostęp do zasobów firmowych. Na przykład użytkownicy mogą mieć dozwolony lub zablokowany dostęp podczas próby uzyskania dostępu do firmowych Wi-Fi lub zasobów sieci VPN.

Zachowania funkcji

Urządzenia aktywnie synchronizowane z Intune nie mogą przejść ze zgodnych / niezgodnych do niezsynchronizowanych (lub nieznanych). Stan Nieznany jest zarezerwowany dla nowo zarejestrowanych urządzeń, które nie zostały jeszcze ocenione pod kątem zgodności.

W przypadku urządzeń, które nie mają dostępu do zasobów, usługa blokująca powinna przekierowywać wszystkich użytkowników do portalu zarządzania , aby określić, dlaczego urządzenie jest zablokowane. Jeśli użytkownicy odwiedzają tę stronę, ich urządzenia są synchronicznie ponownie oceniane pod kątem zgodności.

Translator adresów dostępu i dostęp warunkowy

Usługa NAC współpracuje z dostępem warunkowym w celu zapewnienia decyzji dotyczących kontroli dostępu. Aby uzyskać więcej informacji, zobacz Typowe sposoby używania dostępu warunkowego z Intune.

Jak działa integracja translatora adresów sieciowych

Poniższa lista zawiera omówienie sposobu działania integracji translatora adresów sieciowych w przypadku integracji z usługą Intune. Pierwsze trzy kroki, 1–3, wyjaśniają proces dołączania. Po zintegrowaniu rozwiązania NAC z Intune kroki 4–9 opisują trwającą operację.

Koncepcyjny obraz działania funkcji NAC z Intune

Zarejestruj rozwiązanie partnerskie NAC przy użyciu Tożsamość Microsoft Entra i przyznaj delegowane uprawnienia do interfejsu API TRANSLATOR Intune.
Skonfiguruj rozwiązanie partnerskie NAC przy użyciu odpowiednich ustawień, w tym adresu URL odnajdywania Intune.
Skonfiguruj rozwiązanie partnerskie NAC na potrzeby uwierzytelniania certyfikatów.
Użytkownik nawiązuje połączenie z firmowym punktem dostępu Wi-Fi lub wysyła żądanie połączenia sieci VPN.
Rozwiązanie partnerskie translatora adresów sieciowych przekazuje informacje o urządzeniu do Intune i Intune o stan rejestracji i zgodności urządzenia.
Jeśli urządzenie nie jest zgodne lub nie zostało zarejestrowane, rozwiązanie partnerskie translatora adresów sieciowych nakazuje użytkownikowi zarejestrowanie lub naprawienie zgodności urządzenia.
Urządzenie próbuje przywrócić jego zgodność i stan rejestracji, jeśli ma to zastosowanie.
Po zarejestrowaniu i zgodności urządzenia rozwiązanie partnerskie NAC pobiera stan z Intune.
Połączenie zostało pomyślnie nawiązane, co umożliwia urządzeniu dostęp do zasobów firmowych.

Uwaga

Rozwiązania partnerskie translatora adresów sieciowych zwykle tworzą dwa różne typy zapytań, aby Intune pytać o stan zgodności urządzeń:

Filtrowanie zapytań na podstawie znanej wartości właściwości pojedynczego urządzenia, takiej jak adres IMEI lub adres MAC Wi-Fi
Szerokie, niefiltrowane zapytania dotyczące wszystkich niezgodnych urządzeń.

Rozwiązania NAC mogą wykonywać dowolną liczbę zapytań specyficznych dla urządzenia zgodnie z wymaganiami. Jednak szerokie niefiltrowane zapytania mogą być ograniczane. Rozwiązanie translatora adresów sieciowych powinno być skonfigurowane tak, aby przesyłało tylko zapytania dotyczące wszystkich niezgodnych urządzeń co najwyżej raz na cztery godziny. Zapytania wykonywane częściej będą otrzymywać błąd http 503 z usługi Intune.

Włączanie translatora adresów dostępu

Aby włączyć korzystanie z translatora adresów sieciowych i usługi pobierania zgodności, zapoznaj się z najnowszą dokumentacją produktu NAC dotyczącą włączania integracji translatora adresów sieciowych z Intune. Ta integracja może wymagać wprowadzenia zmian po uaktualnieniu do nowego produktu lub wersji translatora adresów sieciowych.

Usługa pobierania zgodności wymaga uwierzytelniania opartego na certyfikatach i użycia identyfikatora urządzenia Intune jako alternatywnej nazwy podmiotu certyfikatów. W przypadku certyfikatów protokołu Simple Certificate Enrollment Protocol (SCEP) oraz certyfikatów par kluczy prywatnych i publicznych (PKCS) można dodać atrybut typu identyfikatora URI z wartością zdefiniowaną przez dostawcę TRANSLATOR. Na przykład instrukcje dostawcy NAC mogą zawierać IntuneDeviceId://{{DeviceID}}jako alternatywną nazwę podmiotu.

Inne produkty NAC mogą wymagać uwzględnienia identyfikatora urządzenia podczas korzystania z translatora adresów sieciowych z profilami sieci VPN systemu iOS.

Porada

Zalecamy używanie uwierzytelniania opartego na certyfikatach z identyfikatorem urządzenia Intune wszędzie tam, gdzie jest to możliwe. Jeśli nie możesz używać uwierzytelniania opartego na certyfikatach, Intune obsługuje wykonywanie zapytań dotyczących urządzeń na podstawie adresów MAC.

Aby uzyskać więcej informacji na temat profilów certyfikatów, zobacz Używanie profilów certyfikatów SCEP z Microsoft Intune i Używanie profilu certyfikatu PKCS do aprowizacji urządzeń z certyfikatami w Microsoft Intune.

Dane udostępniane partnerom NAC

Określone właściwości urządzenia, które są współużytkowane z partnerami NAC, zależą od wersji interfejsu API NAC używanego przez produkt NAC. Skontaktuj się z partnerem translatora adresów sieciowych, aby uzyskać więcej informacji na temat wersji interfejsu NAC lub interfejsu API pobierania zgodności używanego przez produkt NAC.

Ponadto zwrócone dane będą ograniczone, jeśli:

Urządzenie nie jest zarejestrowane w Intune. W takim przypadku żadne informacje inne niż to, że urządzenie nie jest zarządzane przez Intune, nie zostaną udostępnione produktowi NAC.
System operacyjny uniemożliwia udostępnianie określonej właściwości urządzenia firmie Microsoft. Intune będzie współużytkować puste wartości z powrotem do produktu NAC dla właściwości danych, które nie są udostępniane Intune przez system operacyjny.

Właściwość urządzenia	Dostępne w usłudze NAC 1.0	Dostępne w usłudze NAC 1.1	Dostępne w nac 1.3	Dostępne w sekcji Pobieranie zgodności/NAC 2.0
Stan zgodności	Tak	Tak	Tak	Tak
Zarządzane przez usługę Intune	Tak	Tak	Tak	Tak
Własność osobista lub firmowa	Nie	Tak	Tak	Nie
Adres MAC	Tak	Tak	Tak	Tak
Numer seryjny	Tak	Tak	Tak	Nie
Numer IMEI	Tak	Tak	Tak	Nie
Identyfikator UDID	Tak	Tak	Tak	Nie
IDENTYFIKATOR MEID	Tak	Tak	Tak	Nie
Wersja systemu operacyjnego	Tak	Tak	Tak	Nie
Model urządzenia	Tak	Tak	Tak	Nie
Producent	Tak	Tak	Tak	Nie
identyfikator urządzenia Microsoft Entra	Tak	Tak	Tak	Nie
Czas ostatniego kontaktu z Intune	Tak	Tak	Tak	Nie
identyfikator urządzenia Intune	Nie	Nie	Nie	Tak

Udostępnij za pośrednictwem