新CMG -客户端安装通过Azure AD认证

[tjwsysengineer]

是否有人使用Azure AD身份验证选项来安装配置管理器客户机?我没有公共证书，所以我不认为我的内部CA PKI解决方案将适用于从未或可能永远不会在现场通过域GPO接收证书并信任它的外部设备。

我了解到Azure AD身份验证可以作为一种解决方案，用于为加入AAD的设备(即外部部署设备)安装Config Mgr客户端。

要在使用Azure Active Directory (Azure AD)身份验证的Windows设备上安装配置管理器客户机，请将配置管理器与Azure AD集成。客户端可以在内部网上直接与启用了HTTP的管理点或启用了Enhanced HTTP的站点中的任何管理点通信。他们也可以通过CMG或基于互联网的管理点进行基于互联网的交流。此过程使用Azure AD将客户端验证到Configuration Manager站点。Azure AD取代了配置和使用客户端身份验证证书的需要。”

使用Azure AD -配置管理器安装客户端

使用Azure Active Directory在Windows设备上安装和分配配置管理器客户端进行身份验证

learn.microsoft.com

共同管理基于互联网的设备-配置管理器

了解如何准备您的Windows互联网设备共同管理。

learn.microsoft.com

<！[LOG]发送位置请求到'HOSTNAME.LOCATION.CLOUDAPP.AZURE.COM/CCM_Proxy_MutualAuth/7欢迎您~2057594037927171'失败(0x80070057)。> . StatusCode 200, StatusText "]LOG]!> . ><！> . ><！从MP 'HOSTNAME.LOCATION.CLOUDAPP.AZURE.COM/CCM_Proxy_MutualAuth/72057594037927171'获取欢迎您~DP位置作为预期版本失败。> . > . > . > . >
我意识到我的测试忽略了HTTPS中的S，这可能导致了错误。更改为HTTPS会导致无效的CA错误。我认为这个Azure AD身份过程可以解决CMG配置中对证书的需求。

> . ><！[LOG[[CCMHTTP] AsyncCallback(): WINHTTP_CALLBACK_STATUS_SECURE_FAILURE occurred]LOG]!> . ><！[LOG[[CCMHTTP]: dwStatusInformationLength is 4 .日志含义
> . ><！[LOG[[CCMHTTP]: *lpvStatusInformation is 0x8 .日志含义
> . ><！[LOG[[CCMHTTP]: WINHTTP_CALLBACK_STATUS_FLAG_INVALID_CA设置成功
> . >

[tjwsysengineer]

我在Intune中创建了一个策略，将内部CA根证书推送到客户端设备，从而使事情正常工作。我还需要nocrlcheck来安装ccm客户端，因为这是一个内部证书。

然而，在成功安装客户端之后，由于缺少CRL，测试客户端似乎正在失败。我原以为nocrl会绕过这一点，但也许这仅仅适用于客户端安装过程。根据我找到的设置，CMG上禁用了证书撤销验证。