Comparação de perfis de certificados de MDM para WiFi: Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru e Addigy

{{asset:header_image.png}}

Todos os MDM aqui apresentados podem enviar um perfil de certificado de WiFi EAP-TLS, criado a partir de um certificado SCEP ou PKCS mais uma carga útil de WiFi. O Microsoft Intune e o Hexnode abrangem Windows, Apple e Android. O Jamf Pro, o Kandji (agora Iru) e o Addigy abrangem dispositivos Apple. O JumpCloud emite os seus próprios certificados. O RADIUS na nuvem da Purple valida o resultado. Valores a 10 de junho de 2026.

Como devo ler esta referência de perfil de certificado de WiFi para MDM?

Esta referência abrange uma tarefa: colocar um certificado de cliente e um perfil de WiFi correspondente em dispositivos geridos. Esses dispositivos juntam-se depois à sua rede segura com EAP-TLS, nos pontos de acesso que já utiliza.

Cada linha na matriz principal corresponde a um MDM. Cada coluna responde a uma pergunta que faria antes de elaborar uma lista restrita. A coluna Fonte indica a documentação do fornecedor ou a norma subjacente a cada célula. Onde não encontrámos documentação para um valor, omitimos o valor em vez de o adivinhar.

Os termos nas colunas

• EAP-TLS (Extensible Authentication Protocol com Transport Layer Security, RFC 5216): o dispositivo comprova a sua identidade com um certificado, não com uma palavra-passe.
• IEEE 802.1X: a norma de controlo de acesso baseada em portas que os seus pontos de acesso aplicam numa SSID WPA2-Enterprise ou WPA3-Enterprise.
• RADIUS: o servidor que verifica cada pedido 802.1X. Devolve uma aceitação ou rejeição, além de atributos como uma VLAN.
• VLAN (VLAN): o segmento de rede onde o dispositivo entra após a autenticação.
• SCEP (Simple Certificate Enrollment Protocol, RFC 8894): o dispositivo gera a sua própria chave e solicita um certificado à sua autoridade de certificação (CA).
• PKCS #12: um pacote que contém um certificado e a respetiva chave privada, gerado fora do dispositivo.
• Nomes de servidor e raiz de confiança: as definições que indicam a um dispositivo qual o certificado de servidor RADIUS a aceitar.

Onde o perfil é instalado

O Purple Access executa três redes numa única plataforma. A rede aberta inclui o início de sessão através de portal cativo e a integração BYOD (bring your own device). A rede segura inclui EAP-TLS, início de sessão com fornecedor de identidade, Passpoint e RADIUS na nuvem. A rede xPSK fornece a cada dispositivo ou residente a sua própria chave pré-partilhada. Em todas as três, a identidade define a VLAN.

Todos os perfis nesta referência são instalados na rede segura. O seu MDM fornece o certificado e o perfil. O RADIUS na nuvem da Purple valida o certificado e lê a identidade no seu interior. A SSID permanece nos seus pontos de acesso existentes, pelo que não necessita de novo hardware.

{"kind":"flow","direction":"lr","caption":"Como um perfil de certificado MDM alcança a rede segura","alt":"Fluxo da consola MDM e autoridade de certificação para o dispositivo gerido, o ponto de acesso, o Purple cloud RADIUS e a atribuição de VLAN.","nodes":[{"id":"a","label":"Consola MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (now Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autoridade de certificação","sub":"Emite o certificado de cliente por SCEP ou PKCS #12","tone":"neutral"},{"id":"c","label":"Dispositivo gerido","sub":"Contém o certificado, a raiz de confiança e o perfil de WiFi","tone":"neutral"},{"id":"d","label":"Ponto de acesso","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple cloud RADIUS","sub":"Valida o EAP-TLS e lê a identidade","tone":"brand"},{"id":"f","label":"Atribuição de VLAN","sub":"A identidade define a VLAN na rede segura","tone":"success"}],"edges":[{"from":"a","to":"b","label":"desafio ou conector"},{"from":"b","to":"c","label":"certificado"},{"from":"a","to":"c","label":"perfil de WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"aceitação de acesso"}]}

A data de atualização

Todas as tabelas contêm uma data em asOf. Esta edição é de 10 de junho de 2026. As consolas MDM mudam entre versões, pelo que deve tratar qualquer célula mais antiga do que a sua data de asOf como um lembrete para verificar a documentação associada.

{"tone":"note","title":"Âmbito","text":"Esta página compara o que cada MDM documenta para perfis de certificado WiFi. Preços, correções e gestão de aplicações estão fora do âmbito."}

Que perfis de certificado WiFi são suportados por cada MDM?

A matriz responde a quatro perguntas por MDM. Que plataformas aceitam um perfil de certificado WiFi? Como é que o certificado chega ao dispositivo? Que caminhos de CA são documentados pelo fornecedor? Como é que o perfil de WiFi aponta para o certificado?

{"caption":"Comparação de perfis de certificado WiFi em MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Plataformas de perfil WiFi"},{"key":"cert","label":"Entrega de certificados"},{"key":"ca","label":"Caminhos de CA documentados"},{"key":"eap","label":"Legação EAP-TLS"},{"key":"src","label":"Fonte"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","Perfis de certificado SCEP, PKCS e de confiança","AD CS através do Certificate Connector, Microsoft Cloud PKI, CAs de parceiros","O perfil WiFi seleciona o perfil SCEP ou PKCS","Microsoft Learn: certificados no Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payloads de certificado (PKCS #12) e SCEP","CA integrada, AD CS Connector, DigiCert, Venafi, proxy SCEP","O payload WiFi seleciona o certificado de identidade","Documentação do Jamf Pro: certificados PKI"],["JumpCloud","macOS, Windows, iOS","Certificados emitidos pela JumpCloud; perfis personalizados da Apple","JumpCloud CA para JumpCloud RADIUS; SCEP externo através de perfil personalizado","Autenticação baseada em certificados para RADIUS","Suporte JumpCloud: autenticação baseada em certificados para RADIUS"],["Kandji (agora Iru)","macOS, iOS, iPadOS, tvOS","Itens de biblioteca de certificado, SCEP e AD CS","AD CS através do Kandji AD CS Connector; qualquer servidor SCEP","O item de biblioteca WiFi seleciona o certificado de identidade","Suporte Kandji: itens de biblioteca"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Políticas de certificado e SCEP","Qualquer servidor SCEP, como AD CS com NDES; carregamento de PKCS #12","A política WiFi referencia o certificado","Centro de ajuda Hexnode: políticas de WiFi e SCEP"],["Addigy","macOS, iOS, iPadOS","Payloads MDM de certificado e SCEP","Qualquer servidor SCEP; carregamento de PKCS #12","O payload WiFi referencia o certificado de identidade","Suporte Addigy: configurações MDM"]],"footnote":"As plataformas são as que cada fornecedor documenta para perfis de certificado WiFi na data asOf. Consulte as notas de lançamento para plataformas mais recentes.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Destacam-se três padrões. O Intune e o Hexnode documentam perfis de certificado WiFi em Windows, Apple e Android. O Jamf Pro, o Kandji (agora Iru) e o Addigy baseiam-se nos payloads da Apple, pelo que as suas opções EAP coincidem e as suas integrações de CA diferem. O JumpCloud associa os seus certificados ao seu próprio serviço RADIUS, o que altera a forma como o liga ao Purple.

Quais as notas que alteram uma célula na matriz?

Kandji e Iru são o mesmo produto

A Kandji anunciou o seu rebranding para Iru em 2025. Uma linha cobre ambos os nomes, porque os itens de biblioteca de WiFi, Certificado, SCEP e AD CS são o mesmo produto. Os artigos de suporte mais antigos ainda utilizam o nome Kandji.

O Intune precisa de um caminho de CA antes que o perfil WiFi funcione

O Intune apenas emite certificados por si próprio se licenciar o Microsoft Cloud PKI. Caso contrário, o SCEP é executado através do Network Device Enrollment Service (NDES) e do Intune Certificate Connector contra o Active Directory Certificate Services (AD CS). Uma CA de terceiros suportada é a outra alternativa. A entrega de PKCS também utiliza o Certificate Connector.

Implemente primeiro o perfil de certificado fidedigno, depois o perfil SCEP ou PKCS e, em seguida, o perfil de WiFi que referencia ambos. O perfil SCEP do Intune possui um limite de renovação, uma percentagem da vida útil restante, com um valor predefinido documentado de 20%. Para escolher entre uma CA gerida e os AD CS, leia PKI gerida ou AD CS para certificados WiFi.

MDMs exclusivos para Apple partilham um modelo de payload

O Jamf Pro, o Kandji (agora Iru) e o Addigy configuram o payload de WiFi da Apple. A documentação da Apple lista TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM e EAP-AKA como tipos de EAP aceites. Por isso, a célula EAP-TLS lê-se da mesma forma para os três. A diferença está na coluna da CA, onde cada fornecedor documenta integrações diferentes.

Os certificados JumpCloud são criados para o JumpCloud RADIUS

A autenticação baseada em certificados do JumpCloud emite certificados de uma CA JumpCloud para o seu próprio serviço RADIUS. Para usar o cloud RADIUS da Purple em alternativa, confirme dois pontos com o JumpCloud. Primeiro: um servidor RADIUS de terceiros pode confiar nessa CA emissora? Segundo: um perfil personalizado com um payload SCEP para a sua própria CA adequa-se à sua frota Apple? O guia JumpCloud e 802.1X detalha ambos os caminhos.

A validação do servidor é uma definição independente

O Intune denomina-a como "Certificado de raiz para validação do servidor" e "Nomes de servidor de certificados". Os payloads da Apple chamam-lhe certificados fidedignos e nomes de servidor fidedignos. Todos os MDM na matriz a expõem, mas nenhum a preenche por si.

{"tone":"warning","title":"Defina a confiança do servidor em todos os perfis","text":"Deixe a raiz fidedigna ou os nomes de servidor em branco e o dispositivo poderá pedir à pessoa que o segura para confiar no servidor. Um ponto de acesso malicioso pode explorar esse aviso."}

A identidade no certificado define a VLAN

Um certificado de dispositivo identifica o hardware. Um certificado por pessoa identifica o membro da equipa com sessão iniciada, geralmente através do UPN (nome de início de sessão do diretório) no nome alternativo do sujeito. Caixas registadoras e quiosques partilhados adequam-se a certificados de dispositivo. Portáteis atribuídos adequam-se a certificados por pessoa, mapeados para grupos do Microsoft Entra ID, Okta ou Google Workspace.

O PEAP no Windows 11 altera a célula de migração

A Microsoft documenta que o Credential Guard bloqueia o início de sessão único com MS-CHAPv2, o método de palavra-passe dentro do PEAP. O Windows 11 22H2 e posterior ativam o Credential Guard por predefinição para dispositivos elegíveis. Os perfis de WiFi baseados em palavra-passe podem deixar de funcionar após uma atualização, pelo que a transição para EAP-TLS se torna uma tarefa agendada.

{"tone":"proof","title":"O que a alteração proporciona","text":"A McDonald's registou menos 80% de pedidos ao suporte técnico de TI na Purple. A configuração do MDM demora de cinco a 10 minutos, uma única vez, para toda a organização."}

Como é que as variantes de certificado e EAP se mapeiam nas redes da Purple?

A matriz principal compara os MDMs. Esta compara as variantes de perfil que eles enviam, o padrão por trás de cada uma e a rede Purple onde cada uma termina. A coluna em destaque mostra a compatibilidade com a Purple.

{"caption":"Variantes de perfil WiFi por norma e rede Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"O que o perfil inclui"},{"key":"s","label":"Norma"},{"key":"p","label":"Adequação à rede Purple","highlight":true},{"key":"src","label":"Fonte"}],"rows":[["EAP-TLS, certificado de dispositivo via SCEP","Chave gerada no dispositivo, raiz da AC, SSID, nomes dos servidores","IEEE 802.1X, RFC 5216, RFC 8894","Rede segura; a identidade do dispositivo define a VLAN","RFC Editor; documentação MDM acima"],["EAP-TLS, certificado individual via SCEP","Certificado associado à pessoa com sessão iniciada (tipo `User` no Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Rede segura; o grupo do diretório define a VLAN","Microsoft Learn: Perfis de certificado SCEP"],["EAP-TLS, entrega PKCS #12","Par de chaves gerado fora do dispositivo, entregue como um pacote","RFC 7292, RFC 5216","Rede segura; dar preferência ao SCEP quando disponível","Microsoft Learn: Certificados PKCS"],["EAP-TLS, ACME com atestação","Chave associada ao hardware solicitada num dispositivo Apple","RFC 8555; payload de certificado ACME da Apple","Rede segura; confirmar primeiro o suporte MDM","Documentação de Gestão de Dispositivos Apple"],["Passpoint com EAP-TLS","Certificado mais domínio, realm NAI e consórcio de roaming","Hotspot 2.0 (IEEE 802.11u)","Rede segura; adesão automática entre locais","Documentação de Gestão de Dispositivos Apple"],["PEAP-MSCHAPv2","Nome de utilizador e palavra-passe; sem certificado de cliente","RFC 2759 (MS-CHAPv2)","Não é um perfil de certificado; migrar para EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK, sem certificado","Uma chave pré-partilhada única por dispositivo ou residente","WPA2-Personal ou WPA3-Personal","Rede xPSK; a identidade da chave define a VLAN","Documentação do Purple Access"]],"footnote":"A adequação à rede Purple reflete as três redes Purple Access: aberta, segura e xPSK."}

Considere as duas primeiras linhas como predefinições. O SCEP mantém a chave privada no dispositivo, por isso posicionamo-lo acima da entrega PKCS #12. O ACME (Automatic Certificate Management Environment, RFC 8555) adiciona chaves associadas ao hardware em dispositivos Apple recentes. O suporte de MDM para este varia, por isso confirme primeiro junto do seu fornecedor. O guia SCEP vs ACME compara ambos os protocolos de inscrição.

O Passpoint (Hotspot 2.0) permite que um dispositivo se ligue automaticamente a uma rede reconhecida, utilizando as suas credenciais e uma correspondência de domínio. Os funcionários que se deslocam entre locais deixam de precisar de escolher um SSID em cada um deles. O xPSK situa-se fora dos perfis de certificado. É adequado para impressoras e sensores de Internet das Coisas (IoT) que não conseguem armazenar um certificado.

A segmentação baseada em identidade já funciona em grande escala. A JPMorgan executa o WiFi para funcionários no Purple em 5 000 sucursais, e a Whitbread executa WiFi segmentado para funcionários no Purple. Se pretender que apenas os dispositivos que cumprem uma política de conformidade do Intune acedam ao WiFi de funcionários, consulte política de conformidade do Intune para acesso WiFi.

De onde vem cada valor?

Cada célula tem origem numa destas fontes primárias:

• Microsoft Intune: Microsoft Learn, certificados no Intune, além das configurações por plataforma para WiFi e artigos do Credential Guard.
• Jamf Pro: Documentação da Jamf, certificados PKI e perfis de configuração.
• JumpCloud: Suporte da JumpCloud, autenticação baseada em certificados RADIUS.
• Kandji (agora Iru): Suporte da Kandji, itens de biblioteca WiFi, SCEP e AD CS.
• Hexnode: Centro de ajuda da Hexnode, políticas WiFi e SCEP.
• Addigy: Suporte da Addigy, configurações MDM.
• Apple: Documentação da Gestão de Dispositivos Apple para os payloads de certificados WiFi, SCEP e ACME.
• Normas: RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 e IEEE 802.11u.

Para uma visão mais abrangente, comece pelo pilar de rede segura sobre certificados, identidade e Passpoint. A perspetiva do produto encontra-se no WiFi para colaboradores da Purple em redes seguras. Para enquadramento de auditoria, leia o guia de segurança empresarial para WiFi.

Como é mantida esta referência?

Verificamos novamente cada célula em relação à respetiva fonte associada em cada edição e atualizamos a data "asOf" em ambas as tabelas. Uma célula altera-se apenas quando a documentação do fornecedor ou uma norma muda. Se nenhum documento comprovar um valor, este é removido da tabela em vez de permanecer de memória.

Rebrandings e adições de plataformas são registados como notas, tal como aconteceu com a Kandji e a Iru. Se um fornecedor lançar uma alteração antes da nossa próxima edição, a documentação do fornecedor prevalece sobre esta página.

Perguntas frequentes

Preciso de novos pontos de acesso para utilizar perfis de certificado MDM com o Purple?

Não. Os perfis de certificado são executados nos SSIDs de WPA2-Enterprise ou WPA3-Enterprise que os seus pontos de acesso já suportam. O Purple é independente de hardware e funciona como um overlay na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Aponta o SSID para o RADIUS na nuvem do Purple na sua consola sem fios. O Purple funciona em mais de 80 000 locais em 90 países com este modelo.

Qual é o MDM adequado para uma infraestrutura que combina Windows, Apple e Android?

O Microsoft Intune ou o Hexnode, com base nas plataformas que cada um documenta para perfis de certificado WiFi. O Jamf Pro, o Kandji (agora Iru) e o Addigy documentam dispositivos Apple, pelo que uma infraestrutura mista os combina com uma segunda ferramenta. O JumpCloud documenta macOS, Windows e iOS para autenticação baseada em certificados. O RADIUS na nuvem do Purple aceita certificados de qualquer uma destas opções, desde que confie na AC emissora.

Quanto tempo demora a configuração do MDM com a Purple?

A configuração do MDM demora de cinco a 10 minutos, uma única vez, para toda a organização. Essa estimativa cobre o lado da integração da Purple. O seu percurso de CA demorará mais tempo se ainda não existir, por exemplo, ao implementar a NDES ou ao licenciar a Microsoft Cloud PKI. Assim que ambas estiverem operacionais, os novos dispositivos recebem o certificado e o perfil de WiFi no momento da inscrição, sem trabalho individual por dispositivo.

Devo utilizar SCEP ou PKCS #12 para certificados de WiFi?

Utilize SCEP quando o seu MDM e a sua CA o suportarem. Com o SCEP, o dispositivo gera a sua chave privada e a chave nunca sai dele. Com o PKCS #12, o par de chaves é criado noutro local e entregue como um pacote, pelo que mais sistemas manipulam a chave. O PKCS #12 continua a ser uma opção válida para uma CA sem um ponto de extremidade SCEP.

Posso migrar do PEAP para o EAP-TLS sem um fim de semana de transição direta?

Sim. Publique um novo perfil de EAP-TLS, ou uma nova SSID, juntamente com o perfil de PEAP existente. Remova o PEAP assim que os registos de autenticação do RADIUS mostrarem que os dispositivos estão a utilizar certificados. O Windows 11 Credential Guard torna a mudança urgente, porque bloqueia o início de sessão único com MS-CHAPv2 em dispositivos elegíveis. A faseamento por local ou por grupo de dispositivos mantém o volume do suporte técnico estável durante a alteração.

Um perfil de certificado de EAP-TLS ajuda em auditorias PCI DSS ou ISO 27001?

Fornece provas para esses controlos, não uma aprovação automática. Um perfil de certificado demonstra que cada dispositivo se autenticou com uma credencial única através do IEEE 802.1X, com o tráfego encriptado ao abrigo de WPA2-Enterprise ou WPA3-Enterprise. Os auditores podem mapear essa informação com os requisitos de rede sem fios e de autenticação do PCI DSS v4.0 e com o controlo de acessos da ISO 27001. A Purple possui certificação ISO 27001 e Cyber Essentials.

Quanto custa cada opção?

Esta referência não lista preços, uma vez que os fornecedores os alteram com mais frequência do que a sua documentação. Preveja orçamento para dois itens para além das licenças de MDM. O primeiro é a CA: a Microsoft Cloud PKI é um suplemento do Intune, enquanto o AD CS é executado no Windows Server com NDES para SCEP. O segundo é o RADIUS, que a Purple Access fornece como um serviço em nuvem.

O Kandji e o Iru precisam de perfis de WiFi diferentes?

Não. O Kandji anunciou a sua alteração de marca para Iru em 2025 e ambos os nomes descrevem um único produto. Os seus itens de biblioteca de WiFi, Certificado, SCEP e AD CS existentes permanecem válidos, pelo que mantém a mesma raiz de confiança, nomes de servidor e certificado de identidade. O RADIUS em nuvem da Purple vê o mesmo certificado de qualquer forma e as regras de VLAN que criou mantêm-se em vigor.