如何在无MDM及第三方软件的macOS设备上手动配置802.1X EAP-TLS无线认证

嘿，我来帮你一步步搞定这个配置，完全不用MDM或者第三方工具，纯手动操作就能适配你的AD CS证书环境：

第一步：导入所需证书 #

你的网络用AD CS发证书，所以需要导入根CA证书和带私钥的客户端证书，步骤如下：

• 打开钥匙串访问应用（可以通过Spotlight搜索，或者在Launchpad的「其他」文件夹里找到）。
• 导入根CA证书：
  1. 双击你的根CA .crt 文件，在弹出的对话框里选择「系统」钥匙串，点击「添加」。
  2. 输入管理员密码完成验证后，找到刚导入的根CA证书，右键选择「显示简介」。
  3. 在「信任」板块，把「使用此证书时」改成「始终信任」，关闭窗口再输入管理员密码确认——这一步很重要，不然系统会不信任这个CA颁发的证书。
• 导入客户端证书（带私钥，通常是 .pfx 或 .p12 格式）：
  1. 双击证书文件，选择「登录」钥匙串（因为是当前用户使用），输入证书的保护密码（AD CS导出时设置的）。
  2. 点击「添加」，再输入管理员密码完成导入。之后可以在「登录」钥匙串的「我的证书」分类里看到这个证书，确认它旁边有钥匙图标（代表关联了私钥）。

第二步：手动配置无线EAP-TLS连接 #

接下来配置Wi-Fi的802.1X认证：

• 点击菜单栏的Wi-Fi图标，选择「网络偏好设置」（或者从系统设置进入「网络」选项）。
• 在左侧列表选中「Wi-Fi」，点击右下角的「高级」按钮。
• 切换到「Wi-Fi」标签页：
  • 如果你的目标Wi-Fi已经在列表里，选中它后点击「编辑」；如果没出现，点击「+」按钮，手动输入SSID名称。
• 在弹出的配置窗口里：
  1. 「安全性」下拉菜单选择 WPA2 Enterprise 或 WPA3 Enterprise（根据你的网络实际支持的版本选）。
  2. 切换到「802.1X」标签页：
     • 「认证」下拉选择「TLS」。
     • 「身份」输入你的AD用户名（和客户端证书绑定的账户）。
     • 「证书」下拉选择你刚才导入的客户端证书（确保是带私钥的那一个）。
     • 「CA证书」选择你导入的根CA证书（也可以选「系统默认」，但手动指定更稳妥）。
     • 「用户名」和「密码」栏不用填写，因为EAP-TLS是通过证书完成认证的。
  3. 点击「确定」，回到网络设置窗口点击「应用」，然后尝试连接这个Wi-Fi。

一些排坑提示 #

• 如果连接失败，打开控制台应用，搜索「EAP」或「Wi-Fi」关键词，查看日志里的错误信息——常见问题比如根CA信任没设置好、客户端证书过期、证书不包含EAP认证所需的扩展（AD CS一般会自动配置，可在钥匙串的证书简介里查看）。
• 确保客户端证书的私钥没有被锁定，在钥匙串里右键证书，查看「访问控制」设置，确认当前用户有权限使用。

备注：内容来源于stack exchange，提问作者Joao