Comparativo de perfis de certificado para MDM WiFi: Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru e Addigy

{{asset:header_image.png}}

Todos os MDMs apresentados aqui podem enviar um perfil de certificado EAP-TLS WiFi, criado a partir de um certificado SCEP ou PKCS mais uma carga útil de WiFi. O Microsoft Intune e o Hexnode cobrem Windows, Apple e Android. O Jamf Pro, o Kandji (agora Iru) e o Addigy cobrem dispositivos Apple. O JumpCloud emite seus próprios certificados. O RADIUS em nuvem da Purple valida o resultado. Valores atualizados em 10 de junho de 2026.

Como devo ler esta referência de perfil de certificado WiFi de MDM?

Esta referência cobre uma tarefa: colocar um certificado de cliente e um perfil de WiFi correspondente em dispositivos gerenciados. Esses dispositivos passam a se conectar à sua rede segura com EAP-TLS, nos pontos de acesso que você já utiliza.

Cada linha da matriz principal representa um MDM. Cada coluna responde a uma pergunta que você faria antes de criar uma lista de opções. A coluna Fonte indica a documentação do fornecedor ou o padrão por trás de cada célula. Onde não encontramos documentação para um valor, preferimos omitir a informação a fazer suposições.

Os termos nas colunas

• EAP-TLS (Extensible Authentication Protocol com Transport Layer Security, RFC 5216): o dispositivo comprova sua identidade com um certificado, e não com uma senha.
• IEEE 802.1X: o padrão de controle de acesso baseado em porta que seus pontos de acesso aplicam em um WPA2-Enterprise ou WPA3-Enterprise SSID.
• RADIUS: o servidor que verifica cada solicitação 802.1X. Ele retorna uma resposta de aceitação ou rejeição, além de atributos como uma VLAN.
• VLAN (LAN virtual): o segmento de rede em que um dispositivo é alocado após a autenticação.
• SCEP (Simple Certificate Enrollment Protocol, RFC 8894): o dispositivo gera sua própria chave e solicita um certificado à sua autoridade certificadora (CA).
• PKCS #12: um pacote que contém um certificado e sua chave privada, gerado fora do dispositivo.
• Raiz confiável e nomes de servidor: as configurações que dizem a um dispositivo qual certificado de servidor RADIUS aceitar.

Onde o perfil é aplicado

O Purple Access executa três redes em uma única plataforma. A rede aberta gerencia o acesso via portal cativo e a integração de BYOD (traga seu próprio dispositivo). A rede segura gerencia EAP-TLS, logon via provedor de identidade, Passpoint e RADIUS em nuvem. A rede xPSK fornece a cada dispositivo ou residente sua própria chave pré-compartilhada. Em todas as três, a identidade define a VLAN.

Todos os perfis nesta referência são aplicados na rede segura. Seu MDM entrega o certificado e o perfil. O RADIUS em nuvem da Purple valida o certificado e lê a identidade nele contida. O SSID permanece em seus pontos de acesso existentes, portanto, você não precisa de novos hardwares.

{"kind":"flow","direction":"lr","caption":"Como um perfil de certificado MDM alcança a rede segura","alt":"Fluxo a partir do console MDM e autoridade certificadora para o dispositivo gerenciado, o ponto de acesso, Purple cloud RADIUS e atribuição de VLAN.","nodes":[{"id":"a","label":"Console MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (now Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autoridade certificadora","sub":"Emite o certificado do cliente por SCEP ou PKCS #12","tone":"neutral"},{"id":"c","label":"Dispositivo gerenciado","sub":"Contém o certificado, root confiável e perfil de WiFi","tone":"neutral"},{"id":"d","label":"Ponto de acesso","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple cloud RADIUS","sub":"Valida o EAP-TLS e lê a identidade","tone":"brand"},{"id":"f","label":"Atribuição de VLAN","sub":"A identidade define a VLAN na rede segura","tone":"success"}],"edges":[{"from":"a","to":"b","label":"desafio ou conector"},{"from":"b","to":"c","label":"certificado"},{"from":"a","to":"c","label":"perfil de WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"aceite de acesso"}]}

A data de atualização

Todas as tabelas possuem uma data em asOf. Esta edição é de 10 de junho de 2026. Os consoles MDM mudam entre edições, portanto, considere qualquer célula mais antiga que a sua data asOf como um lembrete para verificar a documentação no link.

{"tone":"note","title":"Escopo","text":"Esta página compara o que cada MDM documenta para perfis de certificado WiFi. Preços, aplicação de patches e gerenciamento de aplicativos estão fora do escopo."}

A quais perfis de certificado WiFi cada MDM oferece suporte?

A matriz responde a quatro perguntas por MDM. Quais plataformas aceitam um perfil de certificado WiFi? Como o certificado chega? Quais caminhos de CA o fornecedor documenta? Como o perfil de WiFi aponta para o certificado?

{"caption":"Comparação de perfis de certificado WiFi no MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Plataformas de perfil WiFi"},{"key":"cert","label":"Entrega de certificados"},{"key":"ca","label":"Caminhos de CA documentados"},{"key":"eap","label":"Link EAP-TLS"},{"key":"src","label":"Fonte"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","Perfis de certificado confiável, SCEP e PKCS","AD CS via Certificate Connector, Microsoft Cloud PKI, CAs parceiras","O perfil WiFi seleciona o perfil SCEP ou PKCS","Microsoft Learn: certificados no Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payloads de SCEP e Certificado (PKCS #12)","CA embutida, AD CS Connector, DigiCert, Venafi, proxy SCEP","O payload WiFi seleciona o certificado de identidade","Documentação do Jamf Pro: certificados PKI"],["JumpCloud","macOS, Windows, iOS","Certificados emitidos pela JumpCloud; perfis personalizados da Apple","JumpCloud CA para JumpCloud RADIUS; SCEP externo via perfil personalizado","Autenticação baseada em certificado para RADIUS","Suporte JumpCloud: autenticação baseada em certificado para RADIUS"],["Kandji (agora Iru)","macOS, iOS, iPadOS, tvOS","Itens da biblioteca de Certificado, SCEP e AD CS","AD CS via Kandji AD CS Connector; qualquer servidor SCEP","O item da biblioteca WiFi seleciona o certificado de identidade","Suporte Kandji: itens da biblioteca"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Políticas de Certificado e SCEP","Qualquer servidor SCEP, como AD CS com NDES; upload de PKCS #12","A política WiFi referencia o certificado","Central de ajuda Hexnode: políticas de WiFi e SCEP"],["Addigy","macOS, iOS, iPadOS","Payloads MDM de Certificado e SCEP","Qualquer servidor SCEP; upload de PKCS #12","O payload WiFi referencia o certificado de identidade","Suporte Addigy: configurações MDM"]],"footnote":"As plataformas são aquelas que cada fornecedor documenta para perfis de certificado WiFi na data asOf. Verifique as notas de lançamento para plataformas mais recentes.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Três padrões se destacam. Intune e Hexnode documentam perfis de certificado WiFi em Windows, Apple e Android. Jamf Pro, Kandji (agora Iru) e Addigy baseiam-se nos payloads da Apple, portanto suas opções EAP correspondem e suas integrações de CA diferem. A JumpCloud combina seus certificados com seu próprio serviço RADIUS, o que altera a forma como você a conecta ao Purple.

Quais notas alteram uma célula na matriz?

Kandji e Iru são o mesmo produto

A Kandji anunciou seu rebrand para Iru em 2025. Uma única linha cobre ambos os nomes, porque os itens da biblioteca de WiFi, Certificado, SCEP e AD CS são o mesmo produto. Artigos de suporte mais antigos ainda usam o nome Kandji.

O Intune precisa de um caminho de CA antes que o perfil WiFi funcione

O Intune só emite certificados por conta própria se você licenciar o Microsoft Cloud PKI. Caso contrário, o SCEP é executado por meio do Network Device Enrollment Service (NDES) e do Intune Certificate Connector no Active Directory Certificate Services (AD CS). Uma CA de terceiros compatível é a outra rota. A entrega de PKCS também usa o Certificate Connector.

Implante primeiro o perfil de certificado confiável, depois o perfil SCEP ou PKCS e, em seguida, o perfil de WiFi que referencia ambos. O perfil SCEP do Intune possui um limite de renovação, uma porcentagem do tempo de vida restante, com um padrão documentado de 20%. Para escolher entre uma CA gerenciada e o AD CS, leia PKI gerenciada ou AD CS para certificados WiFi.

MDMs exclusivos para Apple compartilham um modelo de payload

Jamf Pro, Kandji (agora Iru) e Addigy configuram o payload de WiFi da Apple. A documentação da Apple lista TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM e EAP-AKA como tipos de EAP aceitos. Portanto, a célula EAP-TLS tem a mesma leitura para os três. A diferença está na coluna CA, onde cada fornecedor documenta integrações diferentes.

Os certificados do JumpCloud são criados para o JumpCloud RADIUS

A autenticação baseada em certificado do JumpCloud emite certificados de uma CA do JumpCloud para seu próprio serviço RADIUS. Para usar o RADIUS em nuvem da Purple, confirme dois pontos com o JumpCloud. Primeiro, um servidor RADIUS de terceiros pode confiar nessa CA emissora? Segundo, um perfil personalizado contendo um payload SCEP para sua própria CA atende à sua frota Apple? O guia do JumpCloud e 802.1X detalha ambos os caminhos.

A validação do servidor é uma configuração separada

O Intune a rotula como "Certificado raiz para validação de servidor" e "Nomes de servidores de certificados". Os payloads da Apple a chamam de certificados confiáveis e nomes de servidores confiáveis. Todos os MDMs na matriz a exibem, mas nenhum a preenche por você.

{"tone":"warning","title":"Defina a confiança do servidor em todos os perfis","text":"Deixe a raiz confiável ou os nomes de servidores em branco e o dispositivo poderá pedir à pessoa que o segura para confiar no servidor. Um access point malicioso pode explorar esse aviso."}

A identidade no certificado define a VLAN

Um certificado de dispositivo identifica o hardware. Um certificado por pessoa identifica o membro da equipe conectado, geralmente por meio do UPN (nome de logon no diretório) no nome alternativo do proprietário. Caixas e quiosques compartilhados adaptam-se a certificados de dispositivo. Laptops atribuídos adaptam-se a certificados por pessoa, mapeados para grupos do Microsoft Entra ID, Okta ou Google Workspace.

O PEAP no Windows 11 altera a célula de migração

A Microsoft documenta que o Credential Guard bloqueia o logon único com MS-CHAPv2, o método de senha dentro do PEAP. O Windows 11 22H2 e posterior ativam o Credential Guard por padrão para dispositivos qualificados. Perfis de WiFi baseados em senha podem parar de funcionar após uma atualização, tornando a migração para EAP-TLS uma tarefa agendada.

{"tone":"proof","title":"O que a mudança entrega","text":" O McDonald's registrou 80% menos solicitações de suporte de TI no Purple. A configuração do MDM leva de cinco a 10 minutos, uma única vez, para toda a organização."}

Como as variantes de certificado e EAP se mapeiam para as redes da Purple?

A matriz principal compara MDMs. Esta compara as variantes de perfil que eles enviam, o padrão por trás de cada uma e a rede Purple em que cada uma é aplicada. A coluna destacada mostra a adequação ao Purple.

{"caption":"Variantes de perfil de WiFi por padrão e rede Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"O que o perfil contém"},{"key":"s","label":"Padrão"},{"key":"p","label":"Adequação à rede Purple","highlight":true},{"key":"src","label":"Origem"}],"rows":[["EAP-TLS, certificado de dispositivo via SCEP","Chave gerada pelo dispositivo, CA raiz, SSID, nomes de servidor","IEEE 802.1X, RFC 5216, RFC 8894","Rede segura; a identidade do dispositivo define a VLAN","Editor RFC; documentação de MDM acima"],["EAP-TLS, certificado por pessoa via SCEP","Certificado vinculado à pessoa conectada (tipo `Usuário` do Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Rede segura; o grupo do diretório define a VLAN","Microsoft Learn: Perfis de certificado SCEP"],["EAP-TLS, entrega PKCS #12","Par de chaves gerado fora do dispositivo, entregue como um pacote","RFC 7292, RFC 5216","Rede segura; prefira SCEP quando disponível","Microsoft Learn: Certificados PKCS"],["EAP-TLS, ACME com atestação","Chave vinculada a hardware solicitada em um dispositivo Apple","RFC 8555; payload de certificado ACME da Apple","Rede segura; confirme o suporte a MDM primeiro","Documentação de Gerenciamento de Dispositivos Apple"],["Passpoint com EAP-TLS","Certificado mais domínio, realm NAI e consórcio de roaming","Hotspot 2.0 (IEEE 802.11u)","Rede segura; entrada automática entre locais","Documentação de Gerenciamento de Dispositivos Apple"],["PEAP-MSCHAPv2","Nome de usuário e senha; sem certificado de cliente","RFC 2759 (MS-CHAPv2)","Não é um perfil de certificado; migrar para EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK, sem certificado","Uma chave pré-compartilhada exclusiva por dispositivo ou residente","WPA2-Personal ou WPA3-Personal","Rede xPSK; a identidade da chave define a VLAN","Documentação do Purple Access"]],"footnote":"A adequação à rede Purple reflete as três redes do Purple Access: aberta, segura e xPSK."}

Considere as duas primeiras linhas como padrão. O SCEP mantém a chave privada no dispositivo, por isso o classificamos acima da entrega PKCS #12. O ACME (Automatic Certificate Management Environment, RFC 8555) adiciona chaves vinculadas a hardware em dispositivos Apple recentes. O suporte a MDM para ele varia, portanto, consulte seu fornecedor primeiro. O guia SCEP vs ACME compara ambos os protocolos de inscrição.

O Passpoint (Hotspot 2.0) permite que um dispositivo entre em uma rede reconhecida automaticamente, usando sua credencial e uma correspondência de domínio. Funcionários que se deslocam entre locais deixam de precisar escolher um SSID em cada um. O xPSK fica fora dos perfis de certificado. Ele é ideal para impressoras e sensores de internet das coisas (IoT) que não podem conter um certificado.

A segmentação baseada em identidade já funciona em grande escala. O JPMorgan executa o WiFi para funcionários no Purple em 5.000 filiais, e a Whitbread executa o WiFi segmentado para funcionários no Purple. Se apenas os dispositivos que cumprem uma política de conformidade do Intune devem acessar o WiFi dos funcionários, leia Política de conformidade do Intune para acesso ao WiFi.

De onde vem cada valor?

Cada célula tem origem em uma destas fontes primárias:

• Microsoft Intune: Microsoft Learn, certificados no Intune, além dos artigos de configurações de WiFi por plataforma e do Credential Guard.
• Jamf Pro: Documentação do Jamf, certificados PKI e perfis de configuração.
• JumpCloud: Suporte do JumpCloud, autenticação baseada em certificado RADIUS.
• Kandji (agora Iru): Suporte do Kandji, itens da biblioteca WiFi, SCEP e AD CS.
• Hexnode: Central de ajuda do Hexnode, políticas de WiFi e SCEP.
• Addigy: Suporte do Addigy, configurações de MDM.
• Apple: Documentação de Gerenciamento de Dispositivos Apple para os payloads de certificado WiFi, SCEP e ACME.
• Padrões: RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 e IEEE 802.11u.

Para uma visão mais ampla, comece com o pilar de rede segura sobre certificados, identidade e Passpoint. A visão do produto está disponível no Purple staff WiFi na rede segura. Para enquadramento de auditoria, leia o guia de segurança de WiFi empresarial.

Como essa referência é mantida?

Verificamos novamente cada célula em relação à sua fonte vinculada a cada edição e atualizamos a data asOf em ambas as tabelas. Uma célula só é alterada quando a documentação do fornecedor ou um padrão muda. Se nenhum documento der suporte a um valor, ele é removido da tabela em vez de permanecer de memória.

Mudanças de marca e adições de plataforma são registradas como notas, como ocorre com Kandji e Iru. Se um fornecedor lançar uma alteração antes da nossa próxima edição, a documentação do fornecedor terá precedência sobre esta página.

Perguntas frequentes

Preciso de novos pontos de acesso para usar perfis de certificado MDM com o Purple?

Não. Os perfis de certificado são executados nos SSIDs WPA2-Enterprise ou WPA3-Enterprise que seus pontos de acesso já suportam. O Purple é independente de hardware e funciona como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você aponta o SSID para o cloud RADIUS do Purple em seu console sem fio. O Purple opera em mais de 80.000 locais em 90 países com esse modelo.

Qual MDM é ideal para um parque que mistura Windows, Apple e Android?

Microsoft Intune ou Hexnode, com base nas plataformas que cada um documenta para perfis de certificado WiFi. Jamf Pro, Kandji (agora Iru) e Addigy documentam dispositivos Apple, portanto, um parque misto os combina com uma segunda ferramenta. O JumpCloud documenta macOS, Windows e iOS para autenticação baseada em certificado. O cloud RADIUS do Purple aceita certificados de qualquer um desses, desde que confie na AC emissora.

Quanto tempo leva a configuração do MDM com a Purple?

A configuração do MDM leva de cinco a dez minutos, uma única vez, para toda a organização. Esse tempo cobre o lado da Purple na integração. O caminho da sua CA levará mais tempo se ela ainda não existir, como ao implementar o NDES ou licenciar o Microsoft Cloud PKI. Assim que ambos estiverem ativos, os novos dispositivos receberão o certificado e o perfil de WiFi no momento do registro, sem necessidade de trabalho individual por dispositivo.

Devo usar SCEP ou PKCS #12 para certificados de WiFi?

Utilize o SCEP quando o seu MDM e a sua CA forem compatíveis. Com o SCEP, o próprio dispositivo gera sua chave privada, e a chave nunca sai dele. Com o PKCS #12, o par de chaves é criado em outro local e entregue como um pacote, fazendo com que mais sistemas manuseiem a chave. O PKCS #12 continua sendo um caminho válido para CAs que não possuem um endpoint SCEP.

Posso migrar do PEAP para o EAP-TLS sem um final de semana de transição direta?

Sim. Publique um novo perfil de EAP-TLS, ou uma nova SSID, paralelamente ao perfil de PEAP existente. Remova o PEAP assim que os logs de autenticação do RADIUS mostrarem que os dispositivos estão utilizando certificados. O Windows 11 Credential Guard torna essa migração urgente, pois bloqueia o single sign-on com MS-CHAPv2 em dispositivos elegíveis. Fazer a transição em fases por local ou grupo de dispositivos mantém o volume do suporte estável durante a mudança.

Um perfil de certificado EAP-TLS ajuda em auditorias PCI DSS ou ISO 27001?

Ele fornece evidências para esses controles, não uma aprovação automática. Um perfil de certificado demonstra que cada dispositivo foi autenticado com uma credencial exclusiva via IEEE 802.1X, com o tráfego criptografado sob WPA2-Enterprise ou WPA3-Enterprise. Os auditores podem mapear essa evidência para os requisitos de conexão sem fio e autenticação do PCI DSS v4.0, bem como para o controle de acesso da ISO 27001. A Purple possui certificações ISO 27001 e Cyber Essentials.

Quanto custa cada opção?

Esta referência não lista preços, pois os fornecedores os alteram com mais frequência do que suas documentações. Faça o orçamento de dois itens além das licenças do MDM. O primeiro é a CA: o Microsoft Cloud PKI é um add-on do Intune, enquanto o AD CS roda no Windows Server com NDES para SCEP. O segundo é o RADIUS, fornecido pelo Purple Access como um serviço em nuvem.

O Kandji e o Iru precisam de perfis de WiFi diferentes?

Não. O Kandji anunciou seu reposicionamento de marca para Iru em 2025, e ambos os nomes descrevem o mesmo produto. Seus itens de biblioteca existentes de WiFi, Certificado, SCEP e AD CS permanecem válidos, portanto você mantém a mesma raiz de confiança, nomes de servidor e certificado de identidade. O RADIUS em nuvem da Purple reconhece o mesmo certificado em qualquer um dos casos, e as regras de VLAN que você criou permanecem ativas.