> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/configuration-de-scepman/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md). # Mappage fort Intune Mise en œuvre du mappage fort pour les certificats SCEP et PKCS dans Intune à l'aide de SCEPman. [Actuellement, Microsoft informe les clients qu'ils doivent revérifier leurs PKI](https://techcommunity.microsoft.com/t5/intune-customer-success/support-tip-implementing-strong-mapping-in-microsoft-intune/ba-p/4053376): Avec la mise à jour Windows du 10 mai 2022 ([KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)) des modifications ont été apportées au comportement du Kerberos Key Distribution (KDC) d'Active Directory dans Windows Server 2008 et les versions ultérieures afin d'atténuer les vulnérabilités d'élévation de privilèges associées à l'usurpation de certificat. [Nous avons décrit l'impact de ce changement lorsque la vulnérabilité a été initialement divulguée](/fr/autres/troubleshooting/certifried.md). ### Champ d'application Tout d'abord, cette vulnérabilité ne s'applique qu'aux AC dont les certificats sont publiés dans le magasin NTAuth de la forêt AD. Si vous n'utilisez pas vos certificats pour vous authentifier auprès de votre AD local, vous n'avez pas besoin de publier le certificat de votre AC dans le magasin NTAuth et vous êtes alors invulnérable à cette attaque. Notez que Microsoft ADCS publie par défaut ses certificats d'AC dans le magasin NTAuth. Pour l'authentification réseau, le seul NAC que nous connaissons et qui requiert le certificat de l'AC dans le magasin NTAuth est Microsoft NPS. Parmi les NAC qui ne nécessitent pas d'authentification locale et le magasin NTAuth figurent RADIUSaaS, Cisco ISE et Aruba Clearpass. Si vous utilisez les certificats uniquement pour ce cas d'utilisation, assurez-vous simplement que le certificat de votre AC ne se trouve pas dans le magasin NTAuth de votre forêt, et vous n'aurez pas à vous soucier du mappage fort des certificats. Si vous avez un cas d'utilisation qui exige que le certificat de votre AC soit dans le magasin NTAuth, comme notre [Certificats de contrôleur de domaine](/fr/gestion-des-certificats/domain-controller-certificates.md), vous ne souhaitez peut-être toujours pas que vos certificats d'utilisateur final soient utilisés pour l'authentification locale. Dans ce cas, vous n'avez encore une fois pas besoin d'un mappage fort des certificats *pour ces certificats*. Ainsi, vous devriez activer le mode Full Enforcement, mais ne pas ajouter les SID locaux aux certificats. Ce n'est que si vous utilisez vos certificats finaux pour l'authentification locale que vous devez vous assurer que des SID sont ajoutés. Les exemples les plus courants de ce cas d'utilisation sont l'emploi de Microsoft NPS ou l'authentification basée sur certificat pour vous connecter à des VM locales via RDP afin d'éviter les mots de passe. ### Activation du mappage fort des certificats Pour prendre en charge les modifications ADCS/KDC, Microsoft Intune peut inclure le SID dans les certificats inscrits. Vous pouvez inclure le SID en ajoutant un SAN de type URI avec la valeur "{{OnPremisesSecurityIdentifier}}" et il apparaîtra dans le certificat comme ceci : ``` URL=tag:microsoft.com,2022-09-14:sid: ``` Ce changement déploie cette nouvelle fonctionnalité en octobre/novembre 2024 pour tous les clients Microsoft Intune. {% hint style="success" %} SCEPman est prêt pour ce changement. Aucune modification de SCEPman n'est requise, seulement de la configuration Intune. {% endhint %} Si vous souhaitez utiliser cette fonctionnalité, vous devez mettre à jour vos profils de configuration SCEP dans Intune conformément aux instructions de Microsoft. Nous avons testé que SCEPman prend en charge ce format de SAN et qu'il fonctionne avec toutes les versions de SCEPman. Vous pouvez également ajouter une [extension SID](/fr/configuration-de-scepman/application-settings/certificates.md#appconfig-addsidextension) avec SCEPman. C'est ainsi que nous avons traité le problème KDC en [juillet 2023](https://docs.scepman.com/fr/configuration-de-scepman/pages/cc2dd1ba7766a407fe90c220a939d6d88c22f50e#scepman-2.5.892) de la même manière que le fait l'ADCS local. Par conséquent, les clients SCEPman n'ont pas besoin du nouveau champ SAN, surtout s'ils utilisent déjà l'extension SID. Les clients SCEPman peuvent choisir s'ils veulent l'extension SID ou la valeur SID dans le SAN. La première nécessite un paramètre de configuration SCEPman, la seconde nécessite une modification des profils de configuration SCEP, comme indiqué ci-dessus. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.scepman.com/fr/configuration-de-scepman/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.