MDM WiFi 憑證設定檔比較：Intune、Jamf Pro、JumpCloud、Kandji、Hexnode、Iru 與 Addigy

{{asset:header_image.png}}

此處的每個 MDM 都可以推播 EAP-TLS WiFi 憑證設定檔，該設定檔由 SCEP 或 PKCS 憑證加上 WiFi 負載所建置。Microsoft Intune 和 Hexnode 支援 Windows、Apple 與 Android。Jamf Pro、Kandji（現為 Iru）和 Addigy 支援 Apple 裝置。JumpCloud 發行自身的憑證。Purple 的雲端 RADIUS 驗證其結果。數值截至 2026 年 6 月 10 日。

如何閱讀此 MDM WiFi 憑證設定檔參考指南？

本參考指南涵蓋一項工作：將用戶端憑證和相符的 WiFi 設定檔套用至受控裝置。隨後，這些裝置會在您現有運行的基地台上，透過 EAP-TLS 加入您的安全網路。

主要矩陣中的每一列代表一個 MDM。每一欄則解答您在建立候選名單前會提出的問題。「來源」欄列出每個儲存格背後的廠商說明文件或標準。在我們找不到某個數值之說明文件的情況下，我們選擇留空該數值而非隨意猜測。

各欄中的術語

• EAP-TLS（傳輸層安全性可擴充身份驗證協定，RFC 5216）：裝置透過憑證而非密碼來證明其身分。
• IEEE 802.1X：您的基地台在 WPA2-Enterprise 或 WPA3-Enterprise SSID 上實施的以連接埠為基礎的存取控制標準。
• RADIUS：檢查每個 802.1X 要求的伺服器。它會傳回接受或拒絕，以及諸如 VLAN 等屬性。
• VLAN（虛擬區域網路）：裝置在通過身份驗證後進入的網路區段。
• SCEP（簡單憑證註冊協定，RFC 8894）：裝置會產生自身的金鑰，並向您的憑證授權單位 (CA) 請求憑證。
• PKCS #12：攜帶憑證及其私密金鑰的封包，在裝置外部產生。
• 受信任的根與伺服器名稱：告知裝置應接受哪張 RADIUS 伺服器憑證的設定。

設定檔套用的位置

Purple Access 在單一平台上運行三個網路。開放網路處理強制入口登入與 BYOD（攜帶自有裝置）註冊。安全網路處理 EAP-TLS、身份提供者登入、Passpoint 和雲端 RADIUS。xPSK 網路為每台裝置或住戶提供專屬的預先共用金鑰。在所有這三個網路上，身份識別會決定 VLAN。

本參考指南中的每個設定檔均套用於安全網路。您的 MDM 會傳送憑證與設定檔。Purple 的雲端 RADIUS 會驗證憑證並讀取其中的身份識別。該 SSID 會保留在您現有的基地台上，因此您不需要購買任何新硬體。

{"kind":"flow","direction":"lr","caption":"MDM 憑證設定檔如何連線至安全網路","alt":"從 MDM 主控台與憑證頒發機構到受控裝置、基地台、Purple 雲端 RADIUS 與 VLAN 指派的流程。","nodes":[{"id":"a","label":"MDM 主控台","sub":"Intune、Jamf Pro、JumpCloud、Kandji (現為 Iru)、Hexnode、Addigy","tone":"neutral"},{"id":"b","label":"憑證頒發機構","sub":"透過 SCEP 或 PKCS #12 發行用戶端憑證","tone":"neutral"},{"id":"c","label":"受控裝置","sub":"持有憑證、受信任根憑證與 WiFi 設定檔","tone":"neutral"},{"id":"d","label":"基地台","sub":"Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple 雲端 RADIUS","sub":"驗證 EAP-TLS 並讀取身分","tone":"brand"},{"id":"f","label":"VLAN 指派","sub":"身分設定安全網路上的 VLAN","tone":"success"}],"edges":[{"from":"a","to":"b","label":"挑戰或連接器"},{"from":"b","to":"c","label":"憑證"},{"from":"a","to":"c","label":"WiFi 設定檔","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"存取允許"}]}

截至日期

每個表格都包含截至日期 (asOf)。本版本日期為 2026 年 6 月 10 日。MDM 主控台會隨版本更新而變動，因此如果欄位資訊早於其截至日期，請務必查閱連結的說明文件。

{"tone":"note","title":"範圍","text":"本頁面比較各 MDM 針對 WiFi 憑證設定檔所提供的文件說明。價格、修補程式與應用程式管理不在本頁面的討論範圍內。"}

各 MDM 支援哪些 WiFi 憑證設定檔？

此矩陣解答了每個 MDM 的四個問題：哪些平台可使用 WiFi 憑證設定檔？憑證如何送達？廠商記錄了哪些 CA 路徑？WiFi 設定檔如何指向該憑證？

{"caption":"MDM WiFi 憑證設定檔比較","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"WiFi 設定檔平台"},{"key":"cert","label":"憑證交付"},{"key":"ca","label":"已記載的 CA 路徑"},{"key":"eap","label":"EAP-TLS 連結"},{"key":"src","label":"來源"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","SCEP, PKCS 與受信任的憑證設定檔","透過 Certificate Connector 的 AD CS、Microsoft Cloud PKI、合作夥伴 CA","WiFi 設定檔選擇 SCEP 或 PKCS 設定檔","Microsoft Learn：Intune 中的憑證"],["Jamf Pro","macOS, iOS, iPadOS","憑證 (PKCS #12) 與 SCEP 裝載","內建 CA、AD CS Connector、DigiCert、Venafi、SCEP 代理伺服器","WiFi 裝載選擇身分驗證憑證","Jamf Pro 文件：PKI 憑證"],["JumpCloud","macOS, Windows, iOS","JumpCloud 發行的憑證；自訂 Apple 設定檔","用於 JumpCloud RADIUS 的 JumpCloud CA；透過自訂設定檔的外部 SCEP","用於 RADIUS 的憑證式驗證","JumpCloud 支援：RADIUS 憑證式驗證"],["Kandji (now Iru)","macOS, iOS, iPadOS, tvOS","憑證、SCEP 與 AD CS 程式庫項目","透過 Kandji AD CS Connector 的 AD CS；任何 SCEP 伺服器","WiFi 程式庫項目選擇身分驗證憑證","Kandji 支援：程式庫項目"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","憑證與 SCEP 原則","任何 SCEP 伺服器，例如帶有 NDES 的 AD CS；PKCS #12 上傳","WiFi 原則參考該憑證","Hexnode 說明中心：WiFi 與 SCEP 原則"],["Addigy","macOS, iOS, iPadOS","憑證與 SCEP MDM 裝載","任何 SCEP 伺服器；PKCS #12 上傳","WiFi 裝載參考身分驗證憑證","Addigy 支援：MDM 設定"]],"footnote":"平台為各廠商在截至日期前針對 WiFi 憑證設定檔所記載的內容。請查看版本說明以取得較新平台的資訊。","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

當中有三個明顯的模式。Intune 與 Hexnode 記載了跨 Windows、Apple 及 Android 的 WiFi 憑證設定檔。Jamf Pro、Kandji (now Iru) 與 Addigy 建立在 Apple 的裝載基礎上，因此其 EAP 選項一致，但 CA 整合方式有所不同。JumpCloud 將其憑證與自家的 RADIUS 服務配對，這會改變將其連線至 Purple 的方式。

哪些說明會改變矩陣中的儲存格？

Kandji 與 Iru 為同一款產品

Kandji 於 2025 年宣布品牌更名為 Iru。由於 WiFi、憑證、SCEP 與 AD CS 程式庫項目均屬於同一款產品，因此同一列包含這兩個名稱。較舊的支援文章仍使用 Kandji 這個名稱。

Intune 需要在 WiFi 設定檔運作前設定好 CA 路徑

只有在您取得 Microsoft Cloud PKI 授權的情況下，Intune 才會自行發行憑證。否則，SCEP 會透過網路裝置註冊服務 (NDES) 以及 Intune Certificate Connector 針對 Active Directory 憑證服務 (AD CS) 運作。受支援的第三方 CA 是另一條路徑。PKCS 交付同樣使用 Certificate Connector。

先部署受信任的憑證設定檔，接著部署 SCEP 或 PKCS 設定檔，最後再部署同時引用這兩者的 WiFi 設定檔。Intune 的 SCEP 設定檔包含續期臨界值，即剩餘生命週期的百分比，官方說明文件預設值為 20%。若要在受控 CA 與 AD CS 之間進行選擇，請閱讀 適用於 WiFi 憑證的受控 PKI 或 AD CS。

僅支援 Apple 的 MDM 共用單一 Payload 模型

Jamf Pro、Kandji（現為 Iru）與 Addigy 皆負責設定 Apple 的 WiFi Payload。Apple 的說明文件將 TLS、TTLS、LEAP、PEAP、EAP-FAST、EAP-SIM 與 EAP-AKA 列為可接受的 EAP 類型。因此，這三者的 EAP-TLS 欄位內容相同。差異在於 CA 欄位，每個廠商紀錄的整合方式各不相同。

JumpCloud 憑證專為 JumpCloud RADIUS 建置

JumpCloud 基於憑證的驗證功能會從 JumpCloud CA 發行憑證，供其本身的 RADIUS 服務使用。若要改為使用 Purple 的雲端 RADIUS，請與 JumpCloud 確認兩點。第一，第三方 RADIUS 伺服器是否能信任該發行 CA？第二，將帶有 SCEP Payload 的自訂設定檔傳送到您自己的 CA，是否適合您的 Apple 裝置群？JumpCloud 與 802.1X 指南 詳細介紹了這兩條路徑。

伺服器驗證屬於獨立設定

Intune 將其標記為 "Root certificate for server validation"（用於伺服器驗證的根憑證）與 "Certificate server names"（憑證伺服器名稱）。Apple Payload 則稱之為受信任的憑證與受信任的伺服器名稱。矩陣中的每個 MDM 都會提供此設定，但沒有任何一個會自動為您填寫。

{"tone":"warning","title":"在每個設定檔中設定伺服器信任","text":"若將受信任的根憑證或伺服器名稱留空，裝置可能會要求持有人信任該伺服器。流氓無線存取點（Rogue AP）可能會利用該提示進行攻擊。"}

憑證中的身分決定了 VLAN

裝置憑證用於識別硬體。個人憑證用於識別已登入的員工成員，通常是透過主體別名中的 UPN（目錄登入名稱）。共用收銀機與 kiosk 適合裝置憑證。專屬筆記型電腦則適合個人憑證，並對應至 Microsoft Entra ID、Okta 或 Google Workspace 群組。

Windows 11 上的 PEAP 會改變遷移狀況

Microsoft 說明文件指出 Credential Guard 會封鎖搭配 MS-CHAPv2（PEAP 內部的密碼驗證機制）的單一登入。Windows 11 22H2 與更新版本預設為符合條件的裝置開啟 Credential Guard。基於密碼的 WiFi 設定檔可能會在升級後停止運作，因此遷移至 EAP-TLS 將成為一項預定任務。

{"tone":"proof","title":"這項變更帶來的成果","text":"McDonald's 使用 Purple 後，IT 服務台請求減少了 80%。全公司僅需設定一次 MDM，耗時五到 10 分鐘。"}

憑證與 EAP 變體如何對應至 Purple 的網路？

主要矩陣用於比較 MDM。本矩陣則比較它們推播的設定檔變體、每個變體背後的標準，以及各自對應的 Purple 網路。高亮顯示的欄位代表適合 Purple 的配置。

{"caption":"依標準和 Purple 網路區分的 WiFi 設定檔變體","asOf":"2026-06-10","columns":[{"key":"v","label":"變體"},{"key":"c","label":"設定檔包含內容"},{"key":"s","label":"標準"},{"key":"p","label":"Purple 網路適用性","highlight":true},{"key":"src","label":"來源"}],"rows":[["EAP-TLS，透過 SCEP 的裝置憑證","裝置生成的金鑰、CA 根憑證、SSID、伺服器名稱","IEEE 802.1X、RFC 5216、RFC 8894","安全網路；裝置身分用於設定 VLAN","RFC Editor；上述 MDM 文件"],["EAP-TLS，透過 SCEP 的個人憑證","繫結至已登入人員的憑證（Intune `User` 類型）","IEEE 802.1X、RFC 5216、RFC 8894","安全網路；目錄群組用於設定 VLAN","Microsoft Learn: SCEP 憑證設定檔"],["EAP-TLS，PKCS #12 交付","在裝置外生成的金鑰對，以套件形式交付","RFC 7292、RFC 5216","安全網路；在支援的情況下優先選擇 SCEP","Microsoft Learn: PKCS 憑證"],["EAP-TLS，具備證明功能的 ACME","在 Apple 裝置上要求的硬體繫結金鑰","RFC 8555；Apple ACME 憑證負載","安全網路；請先確認 MDM 支援","Apple 裝置管理文件"],["具備 EAP-TLS 的 Passpoint","憑證加上網域、NAI 領域與漫遊聯盟","Hotspot 2.0 (IEEE 802.11u)","安全網路；跨據點自動加入","Apple 裝置管理文件"],["PEAP-MSCHAPv2","使用者名稱與密碼；無用戶端憑證","RFC 2759 (MS-CHAPv2)","非憑證設定檔；請轉移至 EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK，無憑證","每個裝置或住戶的唯一預共用金鑰","WPA2-Personal 或 WPA3-Personal","xPSK 網路；金鑰的身分用於設定 VLAN","Purple Access 文件"]],"footnote":"Purple 網路適用性反映了三種 Purple Access 網路：開放、安全與 xPSK。"}

將前兩列視為預設值。SCEP 會將私鑰保留在裝置上，因此我們的排名高於 PKCS #12 交付。ACME (Automatic Certificate Management Environment, RFC 8555) 在近期的 Apple 裝置上新增了硬體繫結金鑰。MDM 對其支援有所不同，因此請先諮詢您的廠商。SCEP 與 ACME 比較指南 比較了這兩種註冊協定。

Passpoint (Hotspot 2.0) 讓裝置能使用其憑證與網域比對，自動加入可信賴的網路。在多個據點之間移動的員工不再需要在每個據點手動選擇 SSID。xPSK 不屬於憑證設定檔。它適用於無法持有憑證的印表機與物聯網 (IoT) 感測器。

基於身分的分段機制已大規模運作。JPMorgan 在 5,000 個分行使用 Purple 運行員工 WiFi，Whitbread 也在 Purple 上運行分段員工 WiFi。如果只有通過 Intune 合規策略的裝置才能存取員工 WiFi，請閱讀 將 Intune 合規策略應用於 WiFi 存取。

每個值來自何處？

每個儲存格均可追溯至以下主要來源之一：

• Microsoft Intune：Microsoft Learn，Intune 中的憑證，以及各平台的 WiFi 設定與 Credential Guard 文章。
• Jamf Pro：Jamf 文件、PKI 憑證與設定檔。
• JumpCloud：JumpCloud 支援、RADIUS 以憑證為基礎的驗證。
• Kandji（現為 Iru）：Kandji 支援、WiFi、SCEP 與 AD CS 程式庫項目。
• Hexnode：Hexnode 說明中心、WiFi 與 SCEP 原則。
• Addigy：Addigy 支援、MDM 設定。
• Apple：適用於 WiFi、SCEP 和 ACME 憑證負載的 Apple 裝置管理文件。
• 標準：RFC 5216 (EAP-TLS)、RFC 9190 (EAP-TLS 1.3)、RFC 8894 (SCEP)、RFC 8555 (ACME)、RFC 7292 (PKCS #12)、IEEE 802.1X-2020 與 IEEE 802.11u。

若要瞭解更全面的概況，請從憑證、身分識別與 Passpoint 的安全網路支柱 開始。產品檢視部位於安全網路上的 Purple 員工 WiFi。如需稽核架構，請閱讀企業 WiFi 安全指南。

此參考資料如何維護？

我們會在每個版本中重新核對每個儲存格與其連結的來源，並更新兩個表格上的 asOf 日期。僅當廠商文件或標準發生變更時，儲存格才會變更。如果沒有任何文件支援某個數值，該數值就會自表格中移除，而非憑記憶保留。

品牌重塑和平台新增會記錄為附註，就像 Kandji 和 Iru 一樣。如果廠商在我們的下個版本發布前發布了變更，則廠商文件優先於此頁面。

常見問題

我需要新的無線存取點才能在 Purple 使用 MDM 憑證設定檔嗎？

不需要。憑證設定檔可在您無線存取點已支援的 WPA2-Enterprise 或 WPA3-Enterprise SSID 上執行。Purple 獨立於硬體之外，並以雲端重疊形式執行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您可以在無線主控台中將 SSID 指向 Purple 的雲端 RADIUS。Purple 透過此模式已在 90 個國家的 80,000 多個場所中運行。

哪種 MDM 適合混合使用 Windows、Apple 和 Android 的環境？

根據各自針對 WiFi 憑證設定檔所記錄的平台，可選擇 Microsoft Intune 或 Hexnode。Jamf Pro、Kandji（現為 Iru）和 Addigy 記錄了 Apple 裝置，因此混合環境會將它們與第二個工具配對。JumpCloud 則記錄了適用於以憑證為基礎驗證的 macOS、Windows 和 iOS。Purple 的雲端 RADIUS 接受來自上述任何一種工具的憑證，前提是它信任簽發的 CA。

使用 Purple 進行 MDM 設定需要多少時間？

對整個組織而言，MDM 設定只需進行一次，耗時約 5 到 10 分鐘。該時間涵蓋整合中 Purple 端的作業。如果您的 CA 路徑尚未建立（例如建置 NDES 或取得 Microsoft Cloud PKI 授權），則需要較長時間。一旦兩者均上線，新裝置就會在註冊時收到憑證與 WiFi 設定檔，無需針對單一裝置進行額外作業。

我應該使用 SCEP 還是 PKCS #12 來取得 WiFi 憑證？

如果您的 MDM 與 CA 支援，請使用 SCEP。使用 SCEP 時，裝置會自行產生私鑰，且私鑰永遠不會離開裝置。使用 PKCS #12 時，金鑰對會在其他地方建立並以套件形式傳遞，因此會有更多系統處理該金鑰。對於沒有 SCEP 端點的 CA，PKCS #12 仍是有效的路徑。

我可以在不利用週末切換系統的情況下，從 PEAP 移轉至 EAP-TLS 嗎？

可以。在現有 PEAP 設定檔旁發佈新的 EAP-TLS 設定檔或新的 SSID。當 RADIUS 驗證記錄顯示裝置開始使用憑證後，即可移除 PEAP。Windows 11 Credential Guard 會阻止符合條件的裝置使用 MS-CHAPv2 進行單一登入，因此會讓此移轉變得非常急迫。依據據點或裝置群組分階段進行，可以在變更期間維持客服支援量穩定。

EAP-TLS 憑證設定檔有助於 PCI DSS 或 ISO 27001 稽核嗎？

它能為這些控制措施提供佐證，但並非直接通過稽核。憑證設定檔可證明每台裝置均透過 IEEE 802.1X 使用唯一憑證進行驗證，且流量已透過 WPA2-Enterprise 或 WPA3-Enterprise 加密。稽核人員可將其對應至 PCI DSS v4.0 的無線與驗證需求，以及 ISO 27001 存取控制。Purple 擁有 ISO 27001 和 Cyber Essentials 認證。

每個選項的費用是多少？

本參考資料未列出價格，因為廠商更新價格的頻率比更新說明文件還要頻繁。除了 MDM 授權外，請編列另外兩項預算。第一項是 CA：Microsoft Cloud PKI 是 Intune 的附加功能，而 AD CS 則是在帶有 SCEP NDES 的 Windows Server 上執行。第二項是 RADIUS，由 Purple Access 提供雲端服務。

Kandji 和 Iru 需要不同的 WiFi 設定檔嗎？

不需要。Kandji 宣布於 2025 年改名為 Iru，這兩個名稱代表同一款產品。您現有的 WiFi、憑證、SCEP 和 AD CS 程式庫項目依然有效，因此您能保留相同的受信任根憑證、伺服器名稱與身分憑證。Purple 的雲端 RADIUS 無論如何都能識別相同的憑證，且您建立的 VLAN 規則也會保持不變。