Confronto tra i profili dei certificati MDM WiFi: Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru e Addigy

{{asset:header_image.png}}

Tutti gli MDM elencati qui possono distribuire un profilo di certificato WiFi EAP-TLS, creato da un certificato SCEP o PKCS integrato da un payload WiFi. Microsoft Intune e Hexnode supportano Windows, Apple e Android. Jamf Pro, Kandji (ora Iru) e Addigy supportano i dispositivi Apple. JumpCloud rilascia i propri certificati. Il server RADIUS in cloud di Purple convalida il risultato. Valori aggiornati al 10 giugno 2026.

Come si legge questo riferimento ai profili di certificato WiFi per MDM?

Questo riferimento riguarda una singola procedura: l'installazione di un certificato client e di un profilo WiFi corrispondente sui dispositivi gestiti. Tali dispositivi accedono quindi alla rete sicura mediante EAP-TLS, attraverso gli access point già in uso.

Ogni riga della matrice principale corrisponde a un MDM. Ogni colonna risponde a una domanda utile prima di definire una selezione sintetica. La colonna Fonte indica la documentazione del fornitore o lo standard alla base di ciascuna cella. Qualora non sia stata reperita alcuna documentazione per un determinato valore, questo è stato omesso anziché ipotizzato.

I termini presenti nelle colonne

• EAP-TLS (Extensible Authentication Protocol con Transport Layer Security, RFC 5216): il dispositivo dimostra la propria identità mediante un certificato e non tramite password.
• IEEE 802.1X: lo standard di controllo dell'accesso basato su porte applicato dagli access point su un'infrastruttura SSID WPA2-Enterprise o WPA3-Enterprise.
• RADIUS: il server che verifica ogni richiesta 802.1X. Restituisce un esito di accettazione o rifiuto, oltre ad attributi quali una VLAN.
• VLAN (VLAN, virtual LAN): il segmento di rete in cui il dispositivo viene instradato dopo l'autenticazione.
• SCEP (Simple Certificate Enrollment Protocol, RFC 8894): il dispositivo genera la propria chiave e richiede un certificato alla propria autorità di certificazione (CA).
• PKCS #12: un pacchetto che contiene un certificato e la relativa chiave privata, generato esternamente al dispositivo.
• Nomi server e radici attendibili: le impostazioni che indicano al dispositivo quale certificato del server RADIUS accettare.

Destinazione del profilo

Purple Access gestisce tre reti su un'unica piattaforma. La rete aperta gestisce l'accesso tramite portale captive e l’onboarding BYOD (bring your own device). La rete sicura gestisce l'autenticazione EAP-TLS, l'accesso tramite identity provider, Passpoint e il server RADIUS in cloud. La rete xPSK assegna a ciascun dispositivo o utente la propria chiave precondivisa. In tutte e tre le reti, l'identità determina la VLAN.

Ciascun profilo presente in questo riferimento viene applicato sulla rete sicura. L'MDM distribuisce il certificato e il profilo. Il server RADIUS in cloud di Purple convalida il certificato e legge l'identità contenuta al suo interno. La rete SSID rimane sugli access point esistenti, senza richiedere l'acquisto di nuovo hardware.

{"kind":"flow","direction":"lr","caption":"Come un profilo di certificato MDM raggiunge la rete sicura","alt":"Flusso dalla console MDM e dall'autorità di certificazione al dispositivo gestito, al punto di accesso, a Purple cloud RADIUS e all'assegnazione della VLAN.","nodes":[{"id":"a","label":"Console MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (now Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autorità di certificazione","sub":"Emette il certificato client tramite SCEP o PKCS #12","tone":"neutral"},{"id":"c","label":"Dispositivo gestito","sub":"Contiene certificato, root attendibile e profilo WiFi","tone":"neutral"},{"id":"d","label":"Punto di accesso","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple cloud RADIUS","sub":"Convalida EAP-TLS e legge l'identità","tone":"brand"},{"id":"f","label":"Assegnazione VLAN","sub":"L'identità imposta la VLAN sulla rete sicura","tone":"success"}],"edges":[{"from":"a","to":"b","label":"challenge o connettore"},{"from":"b","to":"c","label":"certificato"},{"from":"a","to":"c","label":"profilo WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"access accept"}]}

La data di aggiornamento

Ogni tabella riporta una data asOf. Questa edizione è del 10 giugno 2026. Le console MDM cambiano ad ogni versione, pertanto considera una cella più vecchia della relativa data asOf come un invito a verificare la documentazione allegata.

{"tone":"note","title":"Ambito","text":"Questa pagina confronta la documentazione fornita da ciascun MDM per i profili di certificato WiFi. Prezzi, installazione di patch e gestione delle app non rientrano in questo ambito."}

Quali profili di certificato WiFi supporta ciascun MDM?

La matrice risponde a quattro domande per ciascun MDM. Quali piattaforme accettano un profilo di certificato WiFi? In che modo arriva il certificato? Quali percorsi CA documenta il fornitore? In che modo il profilo WiFi punta al certificato?

{"caption":"Confronto tra i profili di certificato WiFi MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Piattaforme del profilo WiFi"},{"key":"cert","label":"Distribuzione del certificato"},{"key":"ca","label":"Percorsi CA documentati"},{"key":"eap","label":"Link EAP-TLS"},{"key":"src","label":"Fonte"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","SCEP, PKCS e profili di certificati attendibili","AD CS tramite Certificate Connector, Microsoft Cloud PKI, CA partner","Il profilo WiFi seleziona il profilo SCEP o PKCS","Microsoft Learn: certificati in Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payload di certificato (PKCS #12) e SCEP","CA integrata, AD CS Connector, DigiCert, Venafi, proxy SCEP","Il payload WiFi seleziona il certificato di identità","Documentazione Jamf Pro: certificati PKI"],["JumpCloud","macOS, Windows, iOS","Certificati emessi da JumpCloud; profili Apple personalizzati","CA JumpCloud per JumpCloud RADIUS; SCEP esterno tramite profilo personalizzato","Autenticazione basata su certificato per RADIUS","Supporto JumpCloud: autenticazione basata su certificato RADIUS"],["Kandji (now Iru)","macOS, iOS, iPadOS, tvOS","Elementi libreria certificato, SCEP e AD CS","AD CS tramite Kandji AD CS Connector; qualsiasi server SCEP","L'elemento della libreria WiFi seleziona il certificato di identità","Supporto Kandji: elementi della libreria"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Criteri di certificato e SCEP","Qualsiasi server SCEP, come AD CS con NDES; caricamento PKCS #12","I criteri WiFi fanno riferimento al certificato","Centro assistenza Hexnode: criteri WiFi e SCEP"],["Addigy","macOS, iOS, iPadOS","Payload MDM di certificato e SCEP","Qualsiasi server SCEP; caricamento PKCS #12","Il payload WiFi fa riferimento al certificato di identità","Supporto Addigy: configurazioni MDM"]],"footnote":"Le piattaforme sono quelle che ciascun fornitore documenta per i profili di certificato WiFi alla data specificata in asOf. Verificare le note di rilascio per le piattaforme più recenti.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Tre modelli si distinguono nettamente. Intune ed Hexnode documentano i profili di certificato WiFi su Windows, Apple ed Android. Jamf Pro, Kandji (now Iru) ed Addigy si basano sui payload di Apple, pertanto le loro opzioni EAP coincidono mentre le integrazioni CA differiscono. JumpCloud abbina i suoi certificati al proprio servizio RADIUS, modificando la modalità di connessione a Purple.

Quali note modificano una cella della matrice?

Kandji ed Iru sono lo stesso prodotto

Kandji ha annunciato il suo cambio di nome in Iru nel 2025. Un'unica riga copre entrambi i nomi, in quanto gli elementi della libreria WiFi, Certificate, SCEP e AD CS appartengono allo stesso prodotto. Gli articoli di supporto meno recenti utilizzano ancora il nome Kandji.

Intune richiede un percorso CA prima che il profilo WiFi funzioni

Intune emette certificati direttamente solo se si possiede la licenza per Microsoft Cloud PKI. In caso contrario, SCEP viene eseguito tramite Network Device Enrollment Service (NDES) e Intune Certificate Connector rispetto ad Active Directory Certificate Services (AD CS). Una CA di terze parti supportata rappresenta l'altro percorso. Anche la distribuzione PKCS utilizza il Certificate Connector.

Distribuisci prima il profilo del certificato attendibile, poi il profilo SCEP o PKCS, infine il profilo WiFi che fa riferimento a entrambi. Il profilo SCEP di Intune prevede una soglia di rinnovo, espressa come percentuale della durata residua, con un valore predefinito documentato del 20%. Per scegliere tra una CA gestita e AD CS, consulta la guida su PKI gestita o AD CS per certificati WiFi.

Gli MDM solo Apple condividono un unico modello di payload

Jamf Pro, Kandji (ora Iru) e Addigy configurano il payload WiFi di Apple. La documentazione di Apple elenca TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM ed EAP-AKA come tipi EAP accettati. Di conseguenza, la casella relativa a EAP-TLS risulta identica per tutti e tre. La differenza risiede nella colonna CA, dove ciascun fornitore documenta integrazioni diverse.

I certificati JumpCloud sono progettati per JumpCloud RADIUS

L'autenticazione basata su certificati di JumpCloud emette certificati da una CA JumpCloud per il proprio servizio RADIUS. Per utilizzare invece il cloud RADIUS di Purple, è necessario verificare due aspetti con JumpCloud. In primo luogo, un server RADIUS di terze parti può ritenere attendibile la CA emittente? In secondo luogo, un profilo personalizzato che trasmette un payload SCEP alla propria CA è adatto alla flotta Apple? La guida a JumpCloud e 802.1X illustra entrambi i percorsi.

La convalida del server è un'impostazione separata

Intune la definisce "Certificato radice per convalida server" e "Nomi server certificati". I payload Apple la denominano certificati attendibili e nomi server attendibili. Tutti gli MDM presenti nella matrice la rendono disponibile, ma nessuno la compila automaticamente.

{"tone":"warning","title":"Imposta l'attendibilità del server in ciascun profilo","text":"Se si lasciano vuoti la root attendibile o i nomi server, il dispositivo potrebbe chiedere all'utente di considerare attendibile il server. Un access point malevolo può sfruttare questa richiesta."}

L'identità presente nel certificato determina la VLAN

Un certificato dispositivo identifica l'hardware. Un certificato individuale identifica il membro del personale che ha effettuato l'accesso, di solito tramite l'UPN (nome utente di accesso alla directory) nel subject alternative name. I registratori di cassa e i chioschi condivisi sono adatti ai certificati dispositivo. I laptop assegnati si adattano ai certificati individuali, associati ai gruppi di Microsoft Entra ID, Okta o Google Workspace.

PEAP su Windows 11 modifica la casella di migrazione

Microsoft documenta che Credential Guard blocca il single sign-on con MS-CHAPv2, il metodo con password utilizzato all'interno di PEAP. Windows 11 22H2 e versioni successive attivano Credential Guard per impostazione predefinita per i dispositivi idonei. I profili WiFi basati su password possono smettere di funzionare dopo un aggiornamento, rendendo il passaggio a EAP-TLS un'attività pianificata.

{"tone":"proof","title":"Risultati dell'aggiornamento","text":"McDonald's ha registrato l'80% in meno di richieste all'helpdesk IT su Purple. La configurazione dell'MDM richiede da cinque a 10 minuti, una sola volta, per l'intera organizzazione."}

Come si collegano le varianti di certificato ed EAP alle reti Purple?

La matrice principale mette a confronto gli MDM. Questa confronta le varianti di profilo che essi distribuiscono, lo standard su cui si basa ciascuna e la rete Purple di destinazione. La colonna evidenziata mostra la soluzione Purple più adatta.

{"caption":"Varianti del profilo WiFi per standard e rete Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"Contenuto del profilo"},{"key":"s","label":"Standard"},{"key":"p","label":"Idoneità rete Purple","highlight":true},{"key":"src","label":"Fonte"}],"rows":[["EAP-TLS, certificato dispositivo tramite SCEP","Chiave generata dal dispositivo, CA root, SSID, nomi dei server","IEEE 802.1X, RFC 5216, RFC 8894","Rete sicura; l'identità del dispositivo imposta la VLAN","RFC Editor; documentazione MDM sopra"],["EAP-TLS, certificato per persona tramite SCEP","Certificato associato alla persona che ha effettuato l'accesso (tipo `User` di Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Rete sicura; il gruppo di directory imposta la VLAN","Microsoft Learn: profili certificato SCEP"],["EAP-TLS, distribuzione PKCS #12","Coppia di chiavi generata all'esterno del dispositivo, distribuita come pacchetto","RFC 7292, RFC 5216","Rete sicura; preferire SCEP laddove disponibile","Microsoft Learn: certificati PKCS"],["EAP-TLS, ACME con attestazione","Chiave legata all'hardware richiesta su un dispositivo Apple","RFC 8555; payload certificato Apple ACME","Rete sicura; verificare prima il supporto MDM","Documentazione Apple Device Management"],["Passpoint con EAP-TLS","Certificato più dominio, NAI realm e consorzio di roaming","Hotspot 2.0 (IEEE 802.11u)","Rete sicura; connessione automatica tra le sedi","Documentazione Apple Device Management"],["PEAP-MSCHAPv2","Nome utente e password; nessun certificato client","RFC 2759 (MS-CHAPv2)","Non è un profilo certificato; migrare a EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK, senza certificato","Una chiave precondivisa univoca per dispositivo o residente","WPA2-Personal o WPA3-Personal","Rete xPSK; l'identità della chiave imposta la VLAN","Documentazione Purple Access"]],"footnote":"L'idoneità della rete Purple riflette le tre reti Purple Access: aperta, sicura e xPSK."}

Considera le prime due righe come predefinite. SCEP mantiene la chiave privata sul dispositivo, quindi lo posizioniamo sopra la distribuzione PKCS #12. ACME (Automatic Certificate Management Environment, RFC 8555) aggiunge chiavi legate all'hardware sui dispositivi Apple recenti. Il supporto MDM per quest'ultimo varia, quindi verifica prima con il tuo fornitore. La guida SCEP vs ACME confronta entrambi i protocolli di registrazione.

Passpoint (Hotspot 2.0) consente a un dispositivo di connettersi automaticamente a una rete riconosciuta, utilizzando le sue credenziali e una corrispondenza di dominio. Il personale che si sposta tra le sedi smette di dover scegliere un SSID in ognuna di esse. xPSK si colloca al di fuori dei profili certificato. È adatto a stampanti e sensori Internet of Things (IoT) che non possono ospitare un certificato.

La segmentazione basata sull'identità è già attiva su larga scala. JPMorgan gestisce il WiFi del personale su Purple in 5.000 filiali, e Whitbread gestisce il WiFi del personale segmentato su Purple. Se desideri che solo i dispositivi conformi a una criterio di conformità Intune accedano al WiFi del personale, consulta Criteri di conformità Intune per l'accesso WiFi.

Da dove proviene ciascun valore?

Ogni cella risale a una di queste fonti primarie:

• Microsoft Intune: Microsoft Learn, certificati in Intune, oltre agli articoli sulle impostazioni WiFi per singola piattaforma e Credential Guard.
• Jamf Pro: Documentazione Jamf, certificati PKI e profili di configurazione.
• JumpCloud: Supporto JumpCloud, autenticazione RADIUS basata su certificati.
• Kandji (ora Iru): Supporto Kandji, elementi di libreria WiFi, SCEP e AD CS.
• Hexnode: Centro assistenza Hexnode, criteri WiFi e SCEP.
• Addigy: Supporto Addigy, configurazioni MDM.
• Apple: Documentazione di Apple Device Management per i payload dei certificati WiFi, SCEP e ACME.
• Standard: RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 e IEEE 802.11u.

Per un quadro più ampio, inizia con il pilastro della rete sicura su certificati, identità e Passpoint. La visione di prodotto si trova su WiFi per il personale di Purple sulla rete sicura. Per il contesto di audit, leggi la guida alla sicurezza WiFi enterprise.

Come viene mantenuto questo riferimento?

Verifichiamo nuovamente ogni cella con la relativa fonte collegata a ogni edizione e aggiorniamo la data asOf su entrambe le tabelle. Una cella cambia solo quando la documentazione del fornitore o uno standard modificano le proprie specifiche. Se nessun documento supporta un valore, il valore viene rimosso dalla tabella anziché rimanere a memoria.

I cambio di brand e le aggiunte di piattaforme vengono registrati come note, come nel caso di Kandji e Iru. Se un fornitore rilascia una modifica prima della nostra edizione successiva, la documentazione del fornitore ha la precedenza su questa pagina.

Domande frequenti

Ho bisogno di nuovi access point per utilizzare i profili dei certificati MDM con Purple?

No. I profili dei certificati funzionano sugli SSID WPA2-Enterprise o WPA3-Enterprise già supportati dai tuoi access point. Purple è agnostico rispetto all'hardware e funziona come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Basta indirizzare l'SSID verso il RADIUS cloud di Purple nella consolle wireless. Purple opera su oltre 80.000 sedi in 90 Paesi grazie a questo modello.

Quale MDM è più adatto a un parco dispositivi misto con Windows, Apple e Android?

Microsoft Intune o Hexnode, in base alle piattaforme che ciascuno documenta per i profili dei certificati WiFi. Jamf Pro, Kandji (ora Iru) e Addigy documentano i dispositivi Apple, quindi un parco dispositivi misto li affianca a un secondo strumento. JumpCloud documenta macOS, Windows e iOS per l'autenticazione basata su certificati. Il RADIUS cloud di Purple accetta certificati da ciascuno di essi, a condizione che riconosca la CA emittente.

Quanto tempo richiede la configurazione MDM con Purple?

La configurazione MDM richiede da cinque a 10 minuti, una sola volta, per l'intera organizzazione. Tale cifra copre la parte di integrazione relativa a Purple. Il percorso della CA richiede più tempo se non è ancora presente, ad esempio per l'attivazione di NDES o per la licenza di Microsoft Cloud PKI. Una volta attivi entrambi, i nuovi dispositivi ricevono il certificato e il profilo WiFi al momento della registrazione, senza alcun intervento per singolo dispositivo.

È preferibile utilizzare SCEP o PKCS #12 per i certificati WiFi?

Utilizzi SCEP laddove l'MDM e la CA lo supportino. Con SCEP, il dispositivo genera la propria chiave privata e la chiave non lascia mai il dispositivo. Con PKCS #12, la coppia di chiavi viene creata altrove e consegnata come pacchetto, quindi la chiave viene gestita da un numero maggiore di sistemi. PKCS #12 rimane un percorso valido per una CA priva di endpoint SCEP.

È possibile migrare da PEAP a EAP-TLS senza un weekend di interruzione totale del servizio?

Sì. Pubblichi un nuovo profilo EAP-TLS, o una nuova SSID, accanto al profilo PEAP esistente. Rimuova PEAP una volta che i log di autenticazione RADIUS mostrano che i dispositivi utilizzano i certificati. Credential Guard di Windows 11 rende il passaggio urgente, poiché blocca il single sign-on con MS-CHAPv2 sui dispositivi idonei. La ripartizione per fasi in base al sito o al gruppo di dispositivi mantiene costante il volume di richieste all'helpdesk durante il cambiamento.

Un profilo di certificato EAP-TLS aiuta con gli audit PCI DSS o ISO 27001?

Fornisce prove per tali controlli, non una certificazione automatica. Un profilo di certificato dimostra che ciascun dispositivo si è autenticato con una credenziale univoca tramite IEEE 802.1X, con traffico crittografato in WPA2-Enterprise o WPA3-Enterprise. Gli auditor possono associare questo aspetto ai requisiti di autenticazione e wireless PCI DSS v4.0 e al controllo degli accessi ISO 27001. Purple possiede le certificazioni ISO 27001 e Cyber Essentials.

Quanto costa ciascuna opzione?

Questa guida di riferimento non riporta i prezzi, poiché i fornitori li modificano più spesso della loro documentazione. Calcoli il budget per due elementi oltre alle licenze MDM. Il primo è la CA: Microsoft Cloud PKI è un componente aggiuntivo di Intune, mentre AD CS viene eseguito su Windows Server con NDES per SCEP. Il secondo è RADIUS, fornito da Purple Access come servizio cloud.

Kandji e Iru richiedono profili WiFi diversi?

No. Kandji ha annunciato il rebranding in Iru nel 2025 ed entrambi i nomi descrivono un unico prodotto. Gli elementi della libreria WiFi, Certificato, SCEP e AD CS esistenti rimangono validi, mantenendo così la stessa root attendibile, gli stessi nomi server e lo stesso certificato di identità. Il servizio cloud RADIUS di Purple rileva lo stesso certificato in entrambi i casi e le regole VLAN create rimangono invariate.