> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/fr/configuration/scepman-saas.md).

# 🆕 SCEPman SaaS

<code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> est un déploiement SCEPman entièrement géré, hébergé et maintenu. Il est inclus avec le RADIUSaaS & <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Pack, qui fournit les deux services sous un seul abonnement. Utilisez-le pour émettre des certificats pour l’authentification par certificat avec RADIUSaaS, sans gérer d’instance SCEPman. Ce guide couvre la configuration initiale d’un **Intune** déploiement.

## Configuration <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>

{% hint style="info" %}
Si vous utilisez déjà un déploiement SCEPman Enterprise existant dans votre locataire avec RADIUSaaS, assurez-vous de consulter notre guide de migration : [Migrer depuis SCEPman Enterprise](/fr/configuration/scepman-saas/migrer-depuis-scepman-enterprise.md)
{% endhint %}

{% stepper %}
{% step %}

### Enrôlez l’ <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> AC

Avec une <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> licence activée, vous verrez que la section de menu dans **SCEPman** > **Paramètres** contient des options pour enrôler et configurer votre AC SCEPman.

En haut, vous avez la possibilité de choisir le **nom commun** ainsi que le **Organisation** nom de votre AC.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FwLtBNxXY0TTNcjVHDs9E%2Fimage.png?alt=media&amp;token=ed4dc966-f7cd-493f-8bbb-5b6fc65ec76a" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Le nom commun et l’organisation formeront le sujet du certificat de l’AC lors de l’enrôlement.
{% endhint %}

En cliquant sur **Enrôler l’AC racine**, la configuration démarrera et l’état sera affiché ci-dessus. Une fois terminée, la section SCEPman contiendra des pages supplémentaires.

{% tabs %}
{% tab title="Statut" %}
Le **Statut** La page montre l’état actuel de l’AC et de ses intégrations ainsi que les URL des points de terminaison dont vous avez besoin pour demander des certificats.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fz7zU4TYIrpBAeXALIIXA%2Fimage.png?alt=media&amp;token=63df39b2-c37b-40bc-aa20-f5e620a9c4e2" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Gérer les certificats" %}
Sous **Gérer les certificats** vous pouvez parcourir les certificats émis, vérifier leur validité et également avoir la possibilité de les révoquer.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FBkk06QcyZEXchYkkQLSF%2Fimage.png?alt=media&amp;token=34804be3-e355-4aff-93a1-a4ff1fdc4922" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Demander des certificats" %}
Sous **Demander des certificats**, vous pouvez demander différents types de certificats pour un enrôlement et une installation manuels ou signer des CSR.

{% hint style="info" %}
Consultez la documentation dédiée de [Certificate Master](https://docs.scepman.com/certificate-management/certificate-master) pour plus d’informations sur les différents types de certificats que vous pouvez demander ici.
{% endhint %}

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FSOIKPnEVZ1znYQVuUU10%2Fimage.png?alt=media&amp;token=a7991a1c-6bcc-41bc-bfb8-f6616d14eccf" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Tâches" %}
Le **Tâches** La section montre l’état actuel de Certificate Master et des liens vers les sections autorisées par votre rôle.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FWHcBCwuNy8waC7JqZSg5%2Fimage.png?alt=media&amp;token=e7ec2e18-f8f0-4a99-a0a7-a807e81f34c6" alt=""><figcaption></figcaption></figure>
{% endtab %}
{% endtabs %}

{% hint style="success" %}
SCEPman est maintenant déployé et prêt à émettre des certificats !
{% endhint %}
{% endstep %}

{% step %}

### Configurer le profil de certificat par défaut

Les paramètres par défaut appliqués aux certificats émis via tous les points de terminaison de certificat. Chaque source sous Points de terminaison de certificat peut remplacer ces deux valeurs avec son propre profil.

La révocation de chaque certificat émis par cette AC est également configurée ici.

<details>

<summary>Paramètres du profil de certificat par défaut</summary>

**Utilisation étendue de clé par défaut**

À quoi le certificat peut être utilisé. Les certificats serveur nécessitent `Authentification du serveur`; les certificats d’appareil pour 802.1X nécessitent `Authentification du client`. Il ne s’agit que du repli au cas où la requête ne contient pas d’EKU.

**Période de validité**

Le nombre maximal de jours pendant lesquels un certificat émis est valide. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/certificates#appconfig-validityperioddays).

**Liste de révocation des certificats (CRL)**

Publie une liste signée des certificats révoqués pour les clients qui ne prennent pas en charge OCSP. Le point de distribution est intégré dans chaque certificat émis à partir du moment où vous l’activez. [En savoir plus](https://docs.scepman.com/certificate-management/manage-certificates/enabling-crl).

**Répondeur OCSP autorisé**

Répond en temps réel aux vérifications de révocation via OCSP, signé par un certificat de répondeur dédié. Toujours activé pour SCEPman SaaS. [En savoir plus](https://docs.scepman.com/certificate-management/manage-certificates).

</details>

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FVGwADJNXvooW5zSU79LT%2Fimage.png?alt=media&amp;token=d8a39914-13ce-4fac-8d39-7ff00980a774" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Activer les points de terminaison de certificats

Activez les points de terminaison de certificats pertinents pour votre locataire. L’activation des points de terminaison fera apparaître des paramètres supplémentaires à configurer. Pour plus d’informations sur chaque point de terminaison, consultez [ici](/fr/portail-dadministration/scepman-saas/parametres.md#certificate-endpoints).

{% hint style="warning" %}
Les points de terminaison Microsoft Intune et Défi statique + vérification de l’appareil Entra nécessitent que l’étape 4 soit d’abord effectuée.
{% endhint %}

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FACReWrV5aYvMycKbdqKC%2Fimage.png?alt=media&amp;token=0f07edb7-77a9-4513-ba96-2578cea8962a" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Connecter SCEPman à votre Azure Tenant

{% hint style="info" %}
Vous n’aurez besoin de connecter SCEPman à votre locataire Azure que si vous prévoyez de déployer des certificats via Intune ou le point de terminaison Static-AAD.
{% endhint %}

Dans la plupart des scénarios, vous voudrez que SCEPman puisse émettre des certificats en utilisant des profils de certificats Intune SCEP et également révoquer automatiquement les certificats si, par exemple, un appareil a été effacé.

Pour que cela fonctionne comme prévu, SCEPman nécessite des rôles spécifiques dans votre locataire. Cela peut se faire soit en donnant votre consentement à notre application d’entreprise multi-locataire, soit en fournissant vous-même une inscription d’application disposant des autorisations requises.

#### Confirmer le Tenant

{% hint style="info" %}
Nous recommandons l’approche Consentement administrateur / application d’entreprise multi-locataire pour vous connecter à votre locataire Azure, car elle ne nécessite pas de secret client dont il faut surveiller l’expiration.
{% endhint %}

La première étape du **Consentement administrateur** flux consiste à saisir l’ID de votre locataire et à le confirmer.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FoCK6nCA5tiBakhiJhnTK%2Fimage.png?alt=media&amp;token=364a99a0-4b11-4eb2-ab72-7c8b3f096236" alt=""><figcaption></figcaption></figure>

En cliquant sur **Confirmer le Tenant** vous serez redirigé vers la page de consentement de Microsoft pour l’authentification et pour approuver initialement cette application :

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FXX2m3HlBt0xcU4HINfcp%2Fimage.png?alt=media&amp;token=47767ac7-4021-4747-b78b-580753709adb" alt=""><figcaption></figcaption></figure>

L’acceptation de ce consentement ajoutera l’application d’entreprise <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> à votre locataire mais n’ajoutera pas encore les autorisations requises.

#### Consentement administrateur

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FIw0lq2QNJIPnrvXZkof0%2Fimage.png?alt=media&amp;token=a2a8c4f4-9ca5-4416-bae0-4523d1437f79" alt=""><figcaption></figcaption></figure>

Après avoir confirmé le locataire, sélectionnez **Consentement administrateur**. La page de consentement de Microsoft s’ouvre à nouveau. Confirmez que l’application peut recevoir les autorisations indiquées. En savoir plus dans les FAQ Sécurité et confidentialité.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F6F2ZseSEQOU8YLvZYBuA%2Fimage.png?alt=media&amp;token=17e7374d-9607-4d2f-9c92-e6b14cbb3f39" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
SCEPman peut maintenant se connecter à votre locataire Azure et récupérer des informations pour la liaison des certificats !
{% endhint %}
{% endstep %}

{% step %}

### Activer le point de terminaison Intune

Dans la plupart des scénarios, les certificats seront déployés en exploitant les profils de certificats Intune SCEP pour déclencher les appareils afin qu’ils demandent des certificats à SCEPman. Pour activer ce point de terminaison, accédez à **SCEPman** > **Paramètres** et activez le **Validation Intune** paramètre et enregistrez la configuration :

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F2N4NTI27aAh6Y8cnVBU4%2Fimage.png?alt=media&amp;token=403f07af-3d0e-469c-8201-0d1114f6045f" alt=""><figcaption></figcaption></figure>

#### Vérification de conformité

Comme avec SCEPman Enterprise, SCEPman peut évaluer la validité d’un certificat en vérifiant l’état de conformité d’un appareil lié. Veuillez consulter la [documentation SCEPman](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancecheck) pour plus d’informations.

#### Répertoire des appareils

La sélection du répertoire des appareils dépend du type de liaison spécifique que vous choisissez dans le profil SCEP :

* `{{DeviceId}}` sera recherché dans **Intune**
* `{{AAD_DeviceID}}` sera recherché dans **AAD** (Entra ID)
* `{{UserPrincipalName}}` (UPN) sera recherché dans **AAD** (Entra ID)

Veuillez vous référer à [documentation SCEPman](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory) pour plus de détails sur les répertoires d’appareils.

{% hint style="success" %}
La validation Intune est maintenant activée et son point de terminaison de certificats est disponible !
{% endhint %}
{% endstep %}

{% step %}

### Déployer des certificats

Avec la validation Intune activée, vous constaterez que la page d’état SCEPman affiche désormais une URL de point de terminaison pour le MDM Intune :

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fx7awLC4VVaXsPPvx5zLb%2Fimage.png?alt=media&amp;token=88046637-d00e-4962-bb86-e4e79caa244d" alt=""><figcaption></figcaption></figure>

Cette URL sera utilisée dans le profil de certificat Intune SCEP pour le **URL du serveur SCEP**.

#### Certificat racine

Assurez-vous de créer un **Certificat de confiance** profil dans Intune avant de continuer vers le **certificat SCEP** profil et de déployer le certificat d’AC de <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> sur vos clients.

[Documentation SCEPman : certificat racine](https://docs.scepman.com/certificate-management/microsoft-intune/windows-10#root-certificate)

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FAJGdaC7h6GTNWVhU1m3n%2Fimage.png?alt=media&amp;token=fc0c04a2-6c13-459f-8a0c-212889eb460b" alt=""><figcaption></figcaption></figure>

#### Certificat SCEP

Le processus de création du profil de certificat SCEP est identique à celui de SCEPman Enterprise.

[Documentation SCEPman : SCEP - Intune - Windows](https://docs.scepman.com/certificate-management/microsoft-intune/windows-10)

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FK0Mj6thqRO714qXEBZ1o%2Fimage.png?alt=media&amp;token=28eaf12d-7a0f-4f38-885c-09606b09563d" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
Vos clients devraient maintenant recevoir des certificats émis par SCEPman !
{% endhint %}
{% endstep %}
{% endstepper %}

## Établir la confiance

Pour permettre aux appareils de s’authentifier à l’aide de certificats provenant de votre <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> AC et pour permettre à vos points d’accès d’établir des connexions RadSec à votre instance RADIUSaaS, vous devrez faire confiance à son certificat d’AC. Pour ce faire, téléchargez d’abord votre certificat CA depuis le **SCEPman** > **Statut** page.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FxlMuZhVhgRPluw3vecSM%2Fimage.png?alt=media&amp;token=6f0dfc1c-9d85-4384-8aeb-6e5feb9142e4" alt=""><figcaption></figcaption></figure>

Une fois le certificat d’AC en place, accédez à **Paramètres** > **Certificats approuvés** et ajoutez un nouveau certificat.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F2ElSWHAYkImEEVqEvErJ%2Fimage.png?alt=media&amp;token=55d0627d-8286-4bbe-8a66-918539317414" alt=""><figcaption></figcaption></figure>

Téléversez le fichier de certificat téléchargé et enregistrez :

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FsKd9KvH9AFQAtipsDJFI%2Fimage.png?alt=media&amp;token=a1ffb361-7645-498d-96a3-003131acc2fe" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
RADIUSaaS acceptera désormais les connexions entrantes utilisant des certificats émis par SCEPman !
{% endhint %}

## Activer la gestion du certificat serveur RADIUSaaS

Après avoir enrôlé <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>, vous remarquerez que la section de connexion SCEPman sous **Connectivité** > **SCEPman** vous permet de pré-générer un certificat et de configurer une connexion.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FKeox1Rj9S8E15av4dcVU%2Fimage.png?alt=media&amp;token=01ad0871-6e97-4a50-ae70-75ebeb548204" alt=""><figcaption></figcaption></figure>

Une connexion à votre instance SCEPman a déjà été établie à ce stade et RADIUSaaS peut demander des certificats serveur. La bonne manière de procéder maintenant dépend du fait que vous utilisiez déjà RADIUSaaS pour authentifier des clients à ce stade ou qu’il s’agisse d’une nouvelle configuration.

#### Pré-générer un certificat

RADIUSaaS demandera un certificat serveur et l’ajoutera à la liste des certificats, mais **ne l’activera pas et n’activera pas la gestion automatique.**

Si vous avez actuellement des clients authentifiés auprès de RADIUSaaS, cela vous permet de vérifier que votre profil Wifi contient les bons noms pour la validation du serveur ainsi que le bon certificat racine pour la validation du serveur.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fjp9KpyVKoacpGi9IKgCS%2Fimage.png?alt=media&amp;token=e1f3ae26-89fd-4677-b268-1fd9bc4beea7" alt=""><figcaption></figcaption></figure>

#### Configurer la connexion

S’il s’agit d’une nouvelle configuration ou après avoir vérifié que vos clients utilisent les bonnes informations pour valider le certificat serveur, vous pouvez activer la gestion automatique du certificat serveur en cliquant sur **Configurer la connexion**.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FVaIvrtFWIqBOL71JyMiX%2Fimage.png?alt=media&amp;token=7be60572-74ef-45a0-a0c1-701d423910e3" alt=""><figcaption></figcaption></figure>

{% hint style="success" %}
RADIUSaaS demandera alors un certificat serveur à SCEPman, l’activera et le renouvellera à temps avant son expiration !
{% endhint %}

## Autres points de terminaison de certificats

La configuration d’autres points de terminaison de certificats est similaire à la manière dont ils sont configurés avec SCEPman Enterprise. Assurez-vous de consulter la documentation pertinente :

#### Jamf

{% embed url="<https://docs.scepman.com/certificate-management/jamf/general>" %}

#### API REST d'inscription

{% hint style="info" %}
La variante SaaS de SCEPman de l’API d’inscription REST utilise des jetons d’accès RADIUSaaS au lieu de jetons d’accès Entra.
{% endhint %}

{% embed url="<https://docs.scepman.com/certificate-management/api-certificates>" %}

#### Validation Active Directory

{% embed url="<https://docs.scepman.com/certificate-management/active-directory>" %}

#### Validation statique

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/static-validation>" %}

#### Validation Static-AAD

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/staticaad-validation>" %}

#### DC

{% embed url="<https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/dc-validation>" %}

## journaux

Vous pouvez trouver tous les journaux d’application auxquels vous vous attendez dans SCEPman Enterprise dans la section **journaux** . Ils incluent :

* Messages d’état du service
* Certificats émis
* Réponses OCSP
* Avertissements et erreurs pendant la validation et l’émission

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FUHIrulw7a8cNMoWAx43i%2Fimage.png?alt=media&amp;token=85d53b3b-f3be-4442-9c2c-9d1b42783410" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.radiusaas.com/fr/configuration/scepman-saas.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.