MDM WiFi 证书配置文件对比：Intune、Jamf Pro、JumpCloud、Kandji、Hexnode、Iru 和 Addigy

{{asset:header_image.png}}

此处的每个 MDM 均能推送 EAP-TLS WiFi 证书配置文件，该文件基于 SCEP 或 PKCS 证书以及 WiFi 负荷构建。Microsoft Intune 和 Hexnode 覆盖 Windows、Apple 和 Android。Jamf Pro、Kandji（现为 Iru）和 Addigy 覆盖 Apple 设备。JumpCloud 颁发其自己的证书。Purple 的云端 RADIUS 负责对结果进行验证。数值截至 2026 年 6 月 10 日。

如何阅读本 MDM WiFi 证书配置文件参考指南？

本参考指南涵盖一项任务：将客户端证书及匹配的 WiFi 配置文件部署到受控设备上。随后，这些设备即可通过 EAP-TLS 连接至您现有的接入点，加入您的安全网络。

主矩阵中的每一行代表一个 MDM。每一列解答了您在制定备选清单之前会提出的问题。“来源”列指明了每个单元格背后的厂商文档或标准。对于未找到相关文档的数值，我们选择留空而非臆测。

各列中的术语

• EAP-TLS（带传输层安全的扩展认证协议，RFC 5216）：设备使用证书而非密码来证明其身份。
• IEEE 802.1X：您的接入点在 WPA2-Enterprise 或 WPA3-Enterprise SSID 上执行的基于端口的访问控制标准。
• RADIUS：负责检查每个 802.1X 请求的服务器。它会返回接受或拒绝指令，以及诸如 VLAN 等属性。
• VLAN（虚拟局域网）：设备在完成身份验证后所进入的网络段。
• SCEP（简单证书注册协议，RFC 8894）：设备生成自己的密钥，并向您的证书颁发机构 (CA) 请求证书。
• PKCS #12：在设备外部生成的包含证书及其私钥的捆包。
• 受信任根及服务器名称：告知设备应当接受哪个 RADIUS 服务器证书的设置。

配置文件应用的具体位置

Purple Access 在单一平台上运行三个网络。开放网络承载强制门户登录和 BYOD（自带设备）接入。安全网络承载 EAP-TLS、身份提供程序登录、Passpoint 以及云端 RADIUS。xPSK 网络为每台设备或居住者提供其专属的预共享密钥。在这三个网络上，均由身份信息决定 VLAN。

本参考指南中的所有配置文件均应用于安全网络。您的 MDM 会交付证书和配置文件。Purple 的云端 RADIUS 会验证该证书并读取其中的身份信息。SSID 依然保留在您现有的接入点上，因此您无需购置新硬件。

{"kind":"flow","direction":"lr","caption":"MDM 证书配置文件如何连接至安全网络","alt":"从 MDM 控制台和证书颁发机构到受管设备、接入点、Purple 云 RADIUS 以及 VLAN 分配的流程。","nodes":[{"id":"a","label":"MDM 控制台","sub":"Intune、Jamf Pro、JumpCloud、Kandji（现为 Iru）、Hexnode、Addigy","tone":"neutral"},{"id":"b","label":"证书颁发机构","sub":"通过 SCEP 或 PKCS #12 颁发客户端证书","tone":"neutral"},{"id":"c","label":"受管设备","sub":"持有证书、可信根证书和 WiFi 配置文件","tone":"neutral"},{"id":"d","label":"接入点","sub":"Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple 云 RADIUS","sub":"验证 EAP-TLS 并读取身份信息","tone":"brand"},{"id":"f","label":"VLAN 分配","sub":"身份信息在安全网络上设置 VLAN","tone":"success"}],"edges":[{"from":"a","to":"b","label":"挑战码或连接器"},{"from":"b","to":"c","label":"证书"},{"from":"a","to":"c","label":"WiFi 配置文件","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"允许接入"}]}

截至日期

每个表格都包含一个截至日期（asOf）。本版本发布日期为 2026 年 6 月 10 日。MDM 控制台会在版本更新中发生变化，因此如果某个单元格的信息早于其截至日期，请务必核对相关链接文档。

{"tone":"note","title":"范围","text":"本页面对比了各 MDM 供应商针对 WiFi 证书配置文件所记录的功能。定价、补丁管理和应用管理不在本对比范围内。"}

各个 MDM 分别支持哪些 WiFi 证书配置文件？

该矩阵回答了每个 MDM 的四个核心问题：哪些平台支持 WiFi 证书配置文件？证书是如何送达的？供应商记录了哪些 CA 路径？WiFi 配置文件又是如何指向该证书的？

{"caption":"MDM WiFi 证书配置文件对比","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"WiFi 配置文件平台"},{"key":"cert","label":"证书交付"},{"key":"ca","label":"已记录的 CA 路径"},{"key":"eap","label":"EAP-TLS 链接"},{"key":"src","label":"来源"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","SCEP、PKCS 及可信证书配置文件","通过 Certificate Connector 的 AD CS、Microsoft Cloud PKI、合作伙伴 CA","WiFi 配置文件选择 SCEP 或 PKCS 配置文件","Microsoft Learn：Intune 中的证书"],["Jamf Pro","macOS, iOS, iPadOS","证书 (PKCS #12) 与 SCEP 有效负载","内置 CA、AD CS Connector、DigiCert、Venafi、SCEP 代理","WiFi 有效负载选择身份证书","Jamf Pro 文档：PKI 证书"],["JumpCloud","macOS, Windows, iOS","JumpCloud 颁发的证书；自定义 Apple 配置文件","用于 JumpCloud RADIUS 的 JumpCloud CA；通过自定义配置文件的外部 SCEP","用于 RADIUS 的基于证书的身份验证","JumpCloud 技术支持：RADIUS 基于证书的身份验证"],["Kandji (now Iru)","macOS, iOS, iPadOS, tvOS","证书、SCEP 及 AD CS 库项目","通过 Kandji AD CS Connector 的 AD CS；任何 SCEP 服务器","WiFi 库项目选择身份证书","Kandji 技术支持：库项目"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","证书与 SCEP 策略","任何 SCEP 服务器，例如带有 NDES 的 AD CS；PKCS #12 上传","WiFi 策略引用该证书","Hexnode 帮助中心：WiFi 与 SCEP 策略"],["Addigy","macOS, iOS, iPadOS","证书与 SCEP MDM 有效负载","任何 SCEP 服务器；PKCS #12 上传","WiFi 有效负载引用身份证书","Addigy 技术支持：MDM 配置"]],"footnote":"平台为各厂商在截止日期时为其 WiFi 证书配置文件记录的平台。请查阅发布说明以获取更新平台的信息。","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

其中呈现出三种明显的模式。Intune 和 Hexnode 记录了跨 Windows、Apple 和 Android 的 WiFi 证书配置文件。Jamf Pro、Kandji (now Iru) 和 Addigy 基于 Apple 的有效负载构建，因此它们的 EAP 选项相匹配，但其 CA 集成有所不同。JumpCloud 将其证书与自带的 RADIUS 服务相配对，这改变了将其连接到 Purple 的方式。

哪些说明会改变矩阵中的单元格？

Kandji 和 Iru 是同一款产品

Kandji 于 2025 年宣布品牌重命名为 Iru。鉴于其 WiFi、证书、SCEP 和 AD CS 库项目均属于同一款产品，因此同一行涵盖了这两个名称。较旧的技术支持文章仍在使用 Kandji 这一名称。

Intune 需要先配置 CA 路径，WiFi 配置文件才能生效

仅当您获得 Microsoft Cloud PKI 许可时，Intune 才会自行颁发证书。否则，SCEP 会通过网络设备注册服务 (NDES) 和 Intune Certificate Connector 针对 Active Directory 证书服务 (AD CS) 运行。受支持的第三方 CA 是另一种途径。PKCS 交付同样使用 Certificate Connector。

首先部署可信证书配置文件，然后部署 SCEP 或 PKCS 配置文件，最后部署同时引用这两者的 WiFi 配置文件。Intune 的 SCEP 配置文件包含一个续订阈值（即剩余生命周期的百分比），文档记录的默认值为 20%。要在托管 CA 和 AD CS 之间做出选择，请阅读 适用于 WiFi 证书的托管 PKI 或 AD CS。

仅限 Apple 的 MDM 共享同一种有效负载模型

Jamf Pro、Kandji（现为 Iru）和 Addigy 用于配置 Apple 的 WiFi 有效负载。Apple 文档中列出的支持 EAP 类型包括 TLS、TTLS、LEAP、PEAP、EAP-FAST、EAP-SIM 和 EAP-AKA。因此三者的 EAP-TLS 单元格内容完全相同。区别在于 CA 列，每个厂商所支持的集成方式有所不同。

JumpCloud 证书专为 JumpCloud RADIUS 构建

JumpCloud 的基于证书的身份验证由 JumpCloud CA 颁发证书，专门用于其自身的 RADIUS 服务。如果希望改用 Purple 的云 RADIUS，请与 JumpCloud 确认两点。第一，第三方 RADIUS 服务器能否信任该颁发 CA？第二，带有指向您自定义 CA 的 SCEP 有效负载的自定义配置文件，是否适合您的 Apple 设备阵列？JumpCloud 与 802.1X 指南 详细说明了这两种路径。

服务器验证是一项单独的设置

Intune 将其标记为“用于服务器验证的根证书”和“证书服务器名称”。Apple 有效负载则称之为可信证书和可信服务器名称。矩阵中的每个 MDM 都提供了该选项，但没有任何工具会自动为您填写。

{"tone":"warning","title":"在每个配置文件中设置服务器信任","text":"如果将可信根证书或服务器名称留空，设备可能会要求持有人手动信任该服务器。恶意接入点可以利用该提示发起攻击。"}

证书中的身份决定 VLAN 划分

设备证书用于标识硬件。个人证书则用于标识登录的员工，通常通过主体替代名称中的 UPN（目录登录名）来实现。共享收银机和自助终端适合使用设备证书。分配给特定员工的笔记本电脑则适合使用个人证书，并映射到 Microsoft Entra ID、Okta 或 Google Workspace 用户组。

Windows 11 上的 PEAP 会改变迁移路径

Microsoft 的文档指出，Credential Guard 会阻止将 MS-CHAPv2（PEAP 内部的密码方法）用于单点登录。Windows 11 22H2 及更高版本已为符合条件的设备默认启用 Credential Guard。基于密码的 WiFi 配置文件可能会在系统升级后失效，因此迁移至 EAP-TLS 将成为一项计划内的任务。

{"tone":"proof","title":"变更带来的成果","text":"McDonald's 在使用 Purple 后，IT 服务台请求减少了 80%。面向全企业的 MDM 设置只需一次性投入 5 到 10 分钟。"}

证书和 EAP 变体如何映射到 Purple 网络？

主矩阵对比了各个 MDM。本表对比了它们推送的配置文件变体、各自背后的标准以及它们最终接入的 Purple 网络。高亮显示的列展示了与 Purple 的适配度。

{"caption":"WiFi 配置文件变体（按标准和 Purple 网络划分）","asOf":"2026-06-10","columns":[{"key":"v","label":"变体"},{"key":"c","label":"配置文件包含的内容"},{"key":"s","label":"标准"},{"key":"p","label":"Purple 网络适用性","highlight":true},{"key":"src","label":"来源"}],"rows":[["EAP-TLS，通过 SCEP 获取设备证书","设备生成的密钥、CA 根证书、SSID、服务器名称","IEEE 802.1X, RFC 5216, RFC 8894","安全网络；设备身份决定 VLAN","RFC 编辑器；上述 MDM 文档"],["EAP-TLS，通过 SCEP 获取个人证书","绑定到已登录用户的证书（Intune `User` 类型）","IEEE 802.1X, RFC 5216, RFC 8894","安全网络；目录组决定 VLAN","Microsoft Learn：SCEP 证书配置文件"],["EAP-TLS，PKCS #12 交付","设备外生成的密钥对，作为捆包交付","RFC 7292, RFC 5216","安全网络；在支持的情况下首选 SCEP","Microsoft Learn：PKCS 证书"],["EAP-TLS，带证明的 ACME","在 Apple 设备上请求的硬件绑定密钥","RFC 8555；Apple ACME 证书载荷","安全网络；先确认 MDM 支持情况","Apple 设备管理文档"],["带 EAP-TLS 的 Passpoint","证书加上域名、NAI 领域和漫游联盟","Hotspot 2.0 (IEEE 802.11u)","安全网络；跨站点自动加入","Apple 设备管理文档"],["PEAP-MSCHAPv2","用户名和密码；无客户端证书","RFC 2759 (MS-CHAPv2)","非证书配置文件；迁移至 EAP-TLS","Microsoft Learn：Credential Guard"],["xPSK，无证书","每个设备或住户唯一的预共享密钥","WPA2-Personal 或 WPA3-Personal","xPSK 网络；密钥的身份决定 VLAN","Purple Access 文档"]],"footnote":"Purple 网络适用性反映了三种 Purple Access 网络：开放网络、安全网络和 xPSK 网络。"}

将前两行视为默认选项。SCEP 会将私钥保存在设备上，因此我们的排名高于 PKCS #12 交付。ACME（自动证书管理环境，RFC 8555）在较新的 Apple 设备上增加了硬件绑定密钥。MDM 对其支持情况有所不同，请先咨询您的供应商。SCEP 与 ACME 指南 对比了这两种注册协议。

Passpoint (Hotspot 2.0) 允许设备利用其凭据和域名匹配自动加入已识别的网络。在不同站点之间移动的员工无需在每个站点手动选择 SSID。xPSK 独立于证书配置文件之外。它适用于无法持有证书的打印机和物联网 (IoT) 传感器。

基于身份的分段已在业界大规模运行。JPMorgan 在 5,000 个分行中使用 Purple 运行员工 WiFi，Whitbread 则在 Purple 上运行分段员工 WiFi。如果只有通过 Intune 合规策略的设备才能访问员工 WiFi，请阅读 将 Intune 合规策略应用于 WiFi 访问。

每个值的来源是什么？

每个单元格都可以追溯到以下主要来源之一：

• Microsoft Intune：Microsoft Learn，Intune 中的证书，以及各平台 WiFi 设置和 Credential Guard 文章。
• Jamf Pro：Jamf 文档、PKI 证书和配置描述文件。
• JumpCloud：JumpCloud 支持、RADIUS 基于证书的身份验证。
• Kandji（现为 Iru）：Kandji 支持、WiFi、SCEP 和 AD CS 库项。
• Hexnode：Hexnode 帮助中心、WiFi 和 SCEP 策略。
• Addigy：Addigy 支持、MDM 配置。
• Apple：针对 WiFi、SCEP 和 ACME 证书有效负载的 Apple 设备管理文档。
• 标准：RFC 5216 (EAP-TLS)、RFC 9190 (EAP-TLS 1.3)、RFC 8894 (SCEP)、RFC 8555 (ACME)、RFC 7292 (PKCS #12)、IEEE 802.1X-2020 和 IEEE 802.11u。

如需了解全局概览，请参阅有关证书、身份和 Passpoint 的安全网络柱石。产品视角请参阅安全网络上的 Purple 员工 WiFi。如需审计框架，请阅读企业 WiFi 安全指南。

此参考指南如何进行维护？

我们在每个版本发布时都会对照其链接来源重新检查每个单元格，并更新两个表中的 asOf 日期。仅当供应商文档或标准发生变化时，单元格才会随之更改。如果没有文档支持某个数值，该数值将被移除，而不会凭记忆保留。

品牌重塑和新增平台会被记录为注释，例如 Kandji 和 Iru。如果供应商在我们的下一版本发布之前推出了更改，则以供应商文档为准。

常见问题解答

我需要新的接入点才能将 MDM 证书描述文件与 Purple 结合使用吗？

不需要。证书描述文件可在您的接入点已支持的 WPA2-Enterprise 或 WPA3-Enterprise SSID 上运行。Purple 独立于硬件，作为云覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。您只需在无线控制台中将 SSID 指向 Purple 的云 RADIUS。Purple 基于此模式运行于 90 个国家的 80,000 多个场所。

哪款 MDM 适合混合使用 Windows、Apple 和 Android 的环境？

根据各平台针对 WiFi 证书描述文件记录的内容，推荐使用 Microsoft Intune 或 Hexnode。Jamf Pro、Kandji（现为 Iru）和 Addigy 仅记载了 Apple 设备，因此混合环境需将它们与其他工具搭配使用。JumpCloud 记载了用于基于证书身份验证的 macOS、Windows 和 iOS。Purple 的云 RADIUS 可接收来自其中任何一种工具的证书，前提是其信任颁发机构 CA。

使用 Purple 进行 MDM 配置需要多长时间？

针对整个组织，MDM 配置只需一次性花费 5 至 10 分钟。该时间涵盖了集成中 Purple 端的配置工作。如果您的 CA 路径尚未建立（例如部署 NDES 或获取 Microsoft Cloud PKI 许可），则需要更长时间。一旦两者均上线运行，新设备在注册时即可接收证书和 WiFi 配置文件，无需进行单台设备的手动操作。

我应该为 WiFi 证书使用 SCEP 还是 PKCS #12？

只要您的 MDM 和 CA 支持，请使用 SCEP。使用 SCEP 时，设备会生成自己的私钥，且密钥永远不会离开该设备。使用 PKCS #12 时，密钥对是在其他地方创建并作为数据包交付的，因此会有更多系统接触到该密钥。对于没有 SCEP 端点的 CA，PKCS #12 仍是一种可行的路径。

我可以在不占用周末切换时间的情况下从 PEAP 迁移到 EAP-TLS 吗？

可以。在现有 PEAP 配置文件的同时发布新的 EAP-TLS 配置文件或新的 SSID。一旦 RADIUS 身份验证日志显示设备已在使用证书，即可移除 PEAP。Windows 11 Credential Guard 使得这一迁移变得非常紧迫，因为它会在符合条件的设备上阻止使用 MS-CHAPv2 进行单点登录。按站点或设备组分阶段推进可以在变更期间保持 Helpdesk 的工作量稳定。

EAP-TLS 证书配置文件是否有助于 PCI DSS 或 ISO 27001 审计？

它为这些合规控制项提供证据，而非直接保证通过审计。证书配置文件可以证明每台设备都是通过 IEEE 802.1X 使用唯一凭据进行的身份验证，且流量已通过 WPA2-Enterprise 或 WPA3-Enterprise 进行加密。审计人员可以将这些记录映射到 PCI DSS v4.0 的无线与身份验证要求，以及 ISO 27001 的访问控制要求。Purple 拥有 ISO 27001 和 Cyber Essentials 认证。

每个选项的成本是多少？

本参考文档未列出价格，因为供应商更改价格的频率往往高于其文档更新的频率。除了 MDM 许可证外，还需预算两项费用。第一项是 CA：Microsoft Cloud PKI 是 Intune 的附加组件，而 AD CS 则在带有 SCEP NDES 的 Windows Server 上运行。第二项是 RADIUS，由 Purple Access 作为云服务提供。

Kandji 和 Iru 需要不同的 WiFi 配置文件吗？

不需要。Kandji 于 2025 年宣布更名为 Iru，这两个名称指的是同一个产品。您现有的 WiFi、证书、SCEP 和 AD CS 库项目依然有效，因此您可以保留相同的可信根、服务器名称和身份证书。无论采用哪种方式，Purple 的云端 RADIUS 都会识别出相同的证书，且您构建的 VLAN 规则依然有效。