# 🆕 SCEPman SaaS

<code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> ist eine vollständig verwaltete SCEPman-Bereitstellung, die vollständig von uns gehostet und gewartet wird. Sie ist als Teil des RADIUSaaS- & <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Bundles verfügbar, das beide Dienste in einem einzigen Abonnement kombiniert. Dadurch entfällt die Notwendigkeit, eine eigene SCEPman-Instanz einzurichten und zu verwalten, während weiterhin eine nahtlose zertifikatsbasierte Authentifizierung für Ihre RADIUS-Umgebung bereitgestellt wird. Die folgende Anleitung führt Sie durch die ersten Konfigurationsschritte, um Ihre <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Instanz mit RADIUSaaS zum Laufen zu bringen

## Einrichtung <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>

{% hint style="info" %}
Wenn Sie in Ihrem Tenant bereits eine vorhandene SCEPman Enterprise-Bereitstellung mit RADIUSaaS verwenden, werfen Sie bitte einen Blick in unseren Migrationsleitfaden: [migration-von-scepman-enterprise](https://docs.radiusaas.com/de/konfiguration/scepman-saas/migration-von-scepman-enterprise "mention")
{% endhint %}

{% stepper %}
{% step %}

### Registrieren <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>

Mit einer aktivierten <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Lizenz sehen Sie, dass der Menübereich in **Einstellungen** > **SCEPman** Optionen zum Registrieren und Konfigurieren Ihrer SCEPman-CA enthält.

Oben haben Sie die Möglichkeit, den **Allgemeiner Name** sowie den **Organisation** Namen für Ihre CA auszuwählen.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FQMHbnSnBux9bcCBqujwH%2Fimage.png?alt=media&#x26;token=97b45748-6cf6-4bc7-925e-42752d93c2d8" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Der Common Name und die Organization bilden bei der Registrierung den Betreff des CA-Zertifikats.
{% endhint %}

Durch Klicken auf **Registrieren**wird die Einrichtung gestartet und der Status wird oben angezeigt. Nach ein paar Minuten sollte die Bereitstellung abgeschlossen sein und Sie werden sehen, dass das Hauptmenü von RADIUSaaS nun einen Bereich für [**SCEPman**](https://docs.radiusaas.com/de/admin-portal/scepman).

{% tabs %}
{% tab title="Status" %}
Die **Status** Seite zeigt den aktuellen Zustand der CA und ihrer Integrationen sowie die Endpoint-URLs, die Sie zum Anfordern von Zertifikaten benötigen.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FecMmJueqiEMGpWUa6KeH%2Fimage.png?alt=media&#x26;token=c5f00655-2a6b-454c-b80a-8f25832a67b3" alt="This page is equivalent to the homepage of a SCEPman Enterprise deployment"><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Zertifikate verwalten" %}
Unter **Zertifikate verwalten** können Sie ausgestellte Zertifikate durchsuchen, ihre Gültigkeit prüfen und sie bei Bedarf auch widerrufen.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FTzejovIb8se47UgyZnK8%2Fimage.png?alt=media&#x26;token=f6d2c2a1-d2ef-4fe8-b3a1-a0de063051b8" alt="This page is equivalent to the Manage Certificates section in a SCEPman Enterprise Certificate Master"><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Zertifikate anfordern" %}
Unter **Zertifikate anfordern**, können Sie verschiedene Arten von Zertifikaten für die manuelle Registrierung und Installation anfordern oder CSRs signieren.

{% hint style="info" %}
Werfen Sie einen Blick in die spezielle [Certificate Master](https://docs.scepman.com/certificate-management/certificate-master) Dokumentation, um weitere Informationen zu den verschiedenen Arten von Zertifikaten zu erhalten, die Sie hier anfordern können.
{% endhint %}

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FbTH39Myb4LH7T52VxZ2e%2Fimage.png?alt=media&#x26;token=3d742ea5-1b81-4597-a990-79263748ef5e" alt="This page is equivalent to the Request Certificates section in a  SCEPman Enterprise Certificate Master"><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Aufgaben" %}
Die **Aufgaben** Bereich zeigt den aktuellen Status des Certificate Master und Links zu den Abschnitten, die durch Ihre Rolle freigegeben sind.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FNtkoVWJIX7u60B5cYqiD%2Fimage.png?alt=media&#x26;token=12b076c4-f461-4d13-9a17-6d7c14103c86" alt="This page is equivalent to the home page in a SCEPman Enterprise Certificate Master"><figcaption></figcaption></figure>
{% endtab %}
{% endtabs %}

{% hint style="success" %}
SCEPman ist jetzt bereitgestellt und bereit, Zertifikate auszustellen!
{% endhint %}
{% endstep %}

{% step %}

### SCEPman mit Ihrem Azure-Tenant verbinden

{% hint style="info" %}
Sie müssen SCEPman nur dann mit Ihrem Azure-Tenant verbinden, wenn Sie planen, Zertifikate über Intune oder den StaticAAD-Endpoint bereitzustellen.
{% endhint %}

In den meisten Szenarien möchten Sie, dass SCEPman Zertifikate mithilfe von Intune-SCEP-Profilen ausstellen kann und Zertifikate automatisch widerruft, wenn ein Gerät zum Beispiel gelöscht wurde.

Damit dies wie vorgesehen funktioniert, benötigt SCEPman bestimmte Rollen in Ihrem Tenant. Dies kann entweder durch die Zustimmung zu unserer mandantenfähigen Enterprise-Anwendung oder durch die Bereitstellung einer eigenen App-Registrierung mit den erforderlichen Berechtigungen erfolgen.

#### Tenant bestätigen

{% hint style="info" %}
Wir empfehlen den Ansatz über die Admin-Zustimmung / mandantenfähige Enterprise-Anwendung, um eine Verbindung zu Ihrem Azure-Tenant herzustellen, da hierfür kein Clientgeheimnis erforderlich ist, dessen Ablauf überwacht werden muss.
{% endhint %}

Der erste Schritt des **Admin-Zustimmung** Ablaufs besteht darin, Ihre Tenant-ID einzugeben und zu bestätigen.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FvZ3mz8cJtBn8yIzmxbCV%2Fimage.png?alt=media&#x26;token=5dc5ef8f-6dc0-47f3-bc93-0bd3ccbb6f8f" alt=""><figcaption></figcaption></figure>

Nach dem Klicken auf **Tenant bestätigen** werden Sie zur Microsoft-Zustimmungsseite weitergeleitet, um sich zu authentifizieren und diese Anwendung zunächst zu genehmigen:

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FXX2m3HlBt0xcU4HINfcp%2Fimage.png?alt=media&#x26;token=47767ac7-4021-4747-b78b-580753709adb" alt=""><figcaption></figcaption></figure>

Durch das Akzeptieren dieser Zustimmung wird die <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Enterprise-Anwendung Ihrem Tenant hinzugefügt, es werden jedoch noch nicht die erforderlichen Berechtigungen hinzugefügt.

#### Admin-Zustimmung

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fs4grwQHgnpggGbQTG2o8%2Fimage.png?alt=media&#x26;token=51c816c9-76f5-484f-93ab-7ba353f9c428" alt=""><figcaption></figcaption></figure>

Nach der Bestätigung des Tenants führt ein Klick auf **Admin-Zustimmung** Sie erneut zur Microsoft-Zustimmungsseite und fordert Ihre Bestätigung an, ob der Anwendung die aufgeführten Berechtigungen gewährt werden sollen. Weitere Informationen zu den erforderlichen Berechtigungen finden Sie in unseren [Security & Privacy Q\&As](https://docs.radiusaas.com/de/sonstige/faqs/security-and-privacy#id-5.-which-tenant-permissions-do-users-accessing-the-radiusaas-web-portal-have-to-consent-to).

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F6F2ZseSEQOU8YLvZYBuA%2Fimage.png?alt=media&#x26;token=17e7374d-9607-4d2f-9c92-e6b14cbb3f39" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
SCEPman kann nun eine Verbindung zu Ihrem Azure-Tenant herstellen und Informationen für die Zertifikatsbindung abrufen!
{% endhint %}
{% endstep %}

{% step %}

### Zertifikats-Endpoints aktivieren

In den meisten Szenarien werden Zertifikate bereitgestellt, indem Intune-SCEP-Zertifikatsprofile verwendet werden, um Geräte dazu zu veranlassen, Zertifikate von SCEPman anzufordern. Um diesen Endpoint zu aktivieren, navigieren Sie erneut zu **Einstellungen** > **SCEPman** und aktivieren Sie die **Intune-Validierung** Einstellung und speichern Sie die Konfiguration:

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FiNz9WqtEoDs9q2C55uQd%2Fimage.png?alt=media&#x26;token=0b26b3dc-e554-4757-95b2-b622bf8e50b9" alt=""><figcaption></figcaption></figure>

#### Compliance-Prüfung

Wie bei SCEPman Enterprise kann SCEPman die Gültigkeit eines Zertifikats bewerten, indem der Compliance-Status eines gebundenen Geräts überprüft wird. Weitere Informationen finden Sie in der  [SCEPman-Dokumentation zu dieser Einstellung](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancecheck) .

#### Geräteverzeichnis

Die Auswahl des Geräteverzeichnisses hängt von der spezifischen Bindung ab, die Sie im SCEP-Profil wählen:

* `{{DeviceId}}` wird gesucht in **Intune**
* `{{AAD_DeviceID}}` wird gesucht in **AAD** (Entra ID)
* `{{UserPrincipalName}}` (UPN) wird gesucht in **AAD** (Entra ID)

Bitte lesen Sie die [SCEPman-Dokumentation](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory) für weitere Details zu den Geräteverzeichnissen.

{% hint style="success" %}
Die Intune-Validierung ist jetzt aktiviert und ihr Zertifikats-Endpoint ist verfügbar!
{% endhint %}
{% endstep %}

{% step %}

### Zertifikate bereitstellen

Mit aktivierter Intune-Validierung werden Sie feststellen, dass die SCEPman-Statusseite nun eine Endpoint-URL für das Intune MDM anzeigt:

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F9gfjWTTgWp5cSoUUISdl%2Fimage.png?alt=media&#x26;token=0d96e310-f583-43b8-9b43-e5f9faf227d5" alt=""><figcaption></figcaption></figure>

Diese URL wird im Intune-SCEP-Zertifikatsprofil für die **SCEP Server URL**.

#### Root Certificate

Stellen Sie sicher, dass Sie vor dem Fortfahren ein **Trusted Certificate** Profil in Intune erstellen und dann mit dem **SCEP-Zertifikat** Profil fortfahren sowie das CA-Zertifikat von <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> an Ihre Clients bereitstellen.

[SCEPman-Dokumentation: Root Certificate](https://docs.scepman.com/certificate-management/microsoft-intune/windows-10#root-certificate)

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FAJGdaC7h6GTNWVhU1m3n%2Fimage.png?alt=media&#x26;token=fc0c04a2-6c13-459f-8a0c-212889eb460b" alt=""><figcaption></figcaption></figure>

#### SCEP Certificate

Der Prozess zum Erstellen des SCEP-Zertifikatsprofils ist identisch mit SCEPman Enterprise.

[SCEPman-Dokumentation: SCEP - Intune - Windows](https://docs.scepman.com/certificate-management/microsoft-intune/windows-10)

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FK0Mj6thqRO714qXEBZ1o%2Fimage.png?alt=media&#x26;token=28eaf12d-7a0f-4f38-885c-09606b09563d" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
Ihre Clients sollten nun von SCEPman ausgestellte Zertifikate erhalten!
{% endhint %}
{% endstep %}
{% endstepper %}

## Vertrauen herstellen

Damit Geräte sich mit Zertifikaten Ihrer <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> CA authentifizieren können und Ihre Access Points RadSec-Verbindungen zu Ihrer RADIUSaaS-Instanz herstellen können, müssen Sie ihr CA-Zertifikat vertrauen. Laden Sie dazu zunächst Ihr CA-Zertifikat von der **SCEPman** > **Status** Seite.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FxlMuZhVhgRPluw3vecSM%2Fimage.png?alt=media&#x26;token=6f0dfc1c-9d85-4384-8aeb-6e5feb9142e4" alt=""><figcaption></figcaption></figure>

Heruntergeladenes CA-Zertifikat vorhanden, navigieren Sie zu **Einstellungen** > **Seite „Vertrauenswürdige Zertifikate“** und fügen Sie ein neues Zertifikat hinzu.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FEpZNRoOZvfrrQI3KZ25Q%2Fimage.png?alt=media&#x26;token=2effc58b-d8db-4a73-89c5-44378e6eb45e" alt=""><figcaption></figcaption></figure>

Laden Sie Ihre heruntergeladene Zertifikatsdatei hoch und speichern Sie:

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FcJlVeYyWkKItOyMIzKc7%2Fimage.png?alt=media&#x26;token=16940fd7-6814-4d8f-8d6d-75f7a241c672" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
RADIUSaaS wird nun eingehende Verbindungen akzeptieren, die Zertifikate verwenden, die von SCEPman ausgestellt wurden!
{% endhint %}

## Verwaltung des RADIUSaaS-Serverzertifikats aktivieren

Nachdem Sie <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>registriert haben, werden Sie feststellen, dass der SCEPman-Verbindungsbereich unter **Einstellungen** > **Server Settings** es Ihnen ermöglicht, ein Zertifikat vorab zu erzeugen und eine Verbindung einzurichten.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FR6lHASt8GhOzGORV4g44%2Fimage.png?alt=media&#x26;token=ce87ba5c-d533-45af-bd83-0e98e64bd22e" alt=""><figcaption></figcaption></figure>

An dieser Stelle wurde bereits eine Verbindung zu Ihrer SCEPman-Instanz hergestellt und RADIUSaaS kann Serverzertifikate anfordern. Wie Sie nun am besten fortfahren, hängt davon ab, ob Sie RADIUSaaS zu diesem Zeitpunkt bereits zur Authentifizierung von Clients verwenden oder ob dies eine frische Einrichtung ist.

#### Zertifikat vorab erzeugen

RADIUSaaS wird ein Serverzertifikat anfordern und es der Liste der Zertifikate hinzufügen, aber **es nicht aktivieren oder die automatische Verwaltung nicht einschalten.**

Falls Sie derzeit Clients haben, die sich bei RADIUSaaS authentifizieren, können Sie damit überprüfen, ob Ihr WLAN-Profil die korrekten Namen für die Servervalidierung sowie das korrekte Root-Zertifikat für die Servervalidierung verwendet.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fjp9KpyVKoacpGi9IKgCS%2Fimage.png?alt=media&#x26;token=e1f3ae26-89fd-4677-b268-1fd9bc4beea7" alt=""><figcaption></figcaption></figure>

#### Verbindung einrichten

Wenn dies eine frische Einrichtung ist oder nachdem Sie überprüft haben, dass Ihre Clients die korrekten Informationen zur Validierung des Serverzertifikats verwenden, können Sie die automatische Verwaltung des Serverzertifikats aktivieren, indem Sie auf **Verbindung einrichten**.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FOINrrk50uCnZqZoo38It%2Fimage.png?alt=media&#x26;token=8aacb961-33d0-4dd5-abb6-85d30ecc6e28" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
klicken. RADIUSaaS wird nun ein Serverzertifikat von SCEPman anfordern, es aktivieren und rechtzeitig vor Ablauf erneuern!
{% endhint %}

## Weitere Zertifikats-Endpoints

Das Einrichten anderer Zertifikats-Endpoints ähnelt der Vorgehensweise bei SCEPman Enterprise. Werfen Sie unbedingt einen Blick in die jeweilige Dokumentation:

#### Allgemein

{% content-ref url="../admin-portal/settings/scepman" %}
[scepman](https://docs.radiusaas.com/de/admin-portal/settings/scepman)
{% endcontent-ref %}

#### Jamf

{% embed url="<https://docs.scepman.com/certificate-management/jamf/general>" %}

#### Statische Validierung

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/static-validation>" %}

#### Static-AAD-Validierung

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/staticaad-validation>" %}

#### DC

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/dc-validation>" %}

## Protokolle

Im **Protokolle** Bereich finden Sie alle Anwendungsprotokolle, die Sie auch in SCEPman Enterprise erwarten würden. Dazu gehören:

* Service-Health-Meldungen
* Ausgestellte Zertifikate
* OCSP-Antworten
* Warnungen und Fehler während Validierung und Ausstellung

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F9hu1ZpLgx2bpqO0bCpwE%2Fimage.png?alt=media&#x26;token=e7010882-a6c0-4527-901a-3ed6a577bfa5" alt=""><figcaption></figcaption></figure>