# Migrer depuis SCEPman Enterprise

Si vous utilisez actuellement SCEPman Enterprise dans votre propre tenant et souhaitez réduire davantage votre empreinte d’infrastructure, vous pouvez envisager de passer à <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>une solution CA entièrement intégrée, intégrée à RADIUSaaS.

### Qu’est-ce qui va changer ?

<table data-full-width="false"><thead><tr><th>Ce qui</th><th>Changements</th><th>Reste inchangé</th></tr></thead><tbody><tr><td><strong>Hébergement de SCEPman</strong></td><td>Géré par nous, n’est plus dans votre tenant Azure.</td><td></td></tr><tr><td><strong>URL de SCEPman</strong></td><td>Nouvelles URL de point de terminaison.</td><td></td></tr><tr><td><strong>Certificat du serveur RADIUS</strong></td><td>Si vous utilisez actuellement la <a href="../../../portail-dadministration/settings/settings-server#scepman-issued-server-certificate">connexion SCEPman</a> ou un <a href="../../../portail-dadministration/settings/settings-server#scepman-issued-server-certificate">certificat de serveur émis par SCEPman</a> un nouveau certificat de serveur sera créé.</td><td>Aucun changement si vous utilisez le <a href="../../../portail-dadministration/settings/settings-server#customer-ca">Customer CA</a>.</td></tr><tr><td><strong>Fonctionnalité des certificats</strong></td><td></td><td>Les certificats fonctionnent de la même manière qu’auparavant.</td></tr><tr><td><strong>Intégration MDM</strong></td><td>Les profil(s) de certificats SCEP doivent pointer vers la nouvelle URL et référencer un nouveau certificat Root CA.</td><td>L’approche globale d’intégration reste la même.</td></tr><tr><td><strong>Expérience de l’utilisateur final</strong></td><td></td><td>Aucun impact, transparent pour les utilisateurs finaux.</td></tr><tr><td><strong>Certificats existants</strong></td><td>Voir la section sur l’impact de la migration ci-dessous.</td><td>Les certificats valides continuent de fonctionner.</td></tr></tbody></table>

### Considérations préalables à la migration

* **Fonctionnalités**: Certaines fonctionnalités de SCEPman Enterprise ne sont pas disponibles dans <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>. Veuillez consulter notre [Comparaison des éditions SCEPman](https://docs.radiusaas.com/fr/details#scepman-edition-comparison) afin de vous assurer que tous vos cas d’usage sont couverts avant de commencer la migration.&#x20;
* **Profils SCEP MDM**: Vous devrez mettre à jour vos profils SCEP pour qu’ils pointent vers la nouvelle <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> URL et fassent référence au nouveau Root CA. Prévoyez la manière dont vous souhaitez déployer cela (en une seule fois ou par étapes).
* **Environnement réseau**: Si vous utilisez RadSec, la migration vers <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> peut signifier que le certificat de serveur utilisé pour la connexion peut changer.
* **Règles DNS ou pare-feu**: Si vous avez des règles réseau liées à votre point de terminaison SCEPman actuel, elles devront être mises à jour.

## Parcours de migration

{% stepper %}
{% step %}

### Configuration <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>

Suivez notre guide dédié sur la manière d’inscrire :

{% content-ref url="" %}
[](https://docs.radiusaas.com/fr/configuration/scepman-saas)
{% endcontent-ref %}

Vous devriez vous trouver dans la situation suivante après cette étape :

* <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> est inscrit et vos appareils ont reçu des certificats adaptés pour l’authentification client à utiliser avec RADIUSaaS (en plus de ceux émis par votre déploiement SCEPman Enterprise actuel).
* <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>Le certificat CA ' est approuvé par vos appareils et ajouté au magasin de confiance de RADIUSaaS.
  {% endstep %}

{% step %}

### Vérifier la configuration du client

Les clients utilisant déjà RADIUSaaS devront effectuer les ajustements suivants si vous souhaitez migrer vers <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> :

* Assurez-vous qu’ils font confiance au <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> certificat Root CA
* Ajustez le profil Wi‑Fi pour inclure (en plus du Root SCEPman Enterprise actuel) le <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> certificat CA pour la validation du serveur

{% hint style="danger" %}
**Attention si vous avez déjà un** [**fonctionnalité SCEPman Connection**](https://docs.radiusaas.com/admin-portal/settings/settings-server#scepman-connection)

Si vous avez déjà configuré la connexion SCEPman pour la gestion automatique des certificats de serveur, <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> prendra le relais de la connexion après l’inscription. Cela signifie que le certificat du serveur proviendra d’un émetteur différent **après la prochaine rotation de certificat**.

Assurez-vous que vos clients ont le <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> certificat CA installé et qu’ils font confiance à la nouvelle CA pour la validation du serveur dans le profil Wi‑Fi.
{% endhint %}
{% endstep %}

{% step %}

### Vérifier la configuration de l’authentificateur

Si vous utilisez RadSec, vos authentificateurs RADIUS (points d’accès, commutateurs et passerelles VPN) devront également faire confiance au nouveau certificat Root CA pour établir une connexion avec RADIUSaaS.

Assurez-vous que le <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> Root CA a été ajouté ici afin d’éviter tout impact lors du basculement du certificat de serveur.

{% hint style="danger" %}
**Veuillez vérifier si votre équipement réseau gère plusieurs CA**

Si vos authentificateurs ne peuvent pas faire confiance à plusieurs CA pour la validation du serveur RadSec, le changement du certificat de serveur vers un certificat émis par <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> devra se faire en même temps que le changement de la CA approuvée pour l’authentification RadSec, sinon les connexions échoueront.
{% endhint %}
{% endstep %}

{% step %}

### Vérifier les règles correspondant à l’émetteur ou aux émetteurs

Si vous utilisez des règles pour filtrer des autorités de certification spécifiques, les authentifications client peuvent être rejetées lors de l’utilisation de certificats provenant de <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> si la **Toute authentification autorisée** règle est désactivée.

Ajoutez de nouvelles règles pour le certificat CA ajouté ou assurez-vous de modifier les règles existantes pour l’inclure :

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FwYmNxxwMXs6pxEh656NZ%2Fimage.png?alt=media&#x26;token=dbff993d-c6e9-48fd-a8d5-8d42db2f3afa" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

## Foire aux questions

### Puis-je exécuter SCEPman Enterprise et <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code> en parallèle pendant la phase de migration ?

Oui. Tant que vous avez approuvé les deux certificats Root CA pour la connexion client dans RADIUSaaS, des certificats client provenant des deux autorités de certification peuvent être utilisés pour l’authentification.

### Puis-je utiliser mon certificat Root SCEPman Enterprise existant pour <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>?

Bien que cela soit techniquement possible via [Bring your own Key Vault](https://docs.radiusaas.com/fr/portail-dadministration/settings/scepman#scepman-identity-and-keys), la réutilisation de votre certificat Root CA existant n’est pas recommandée pour les raisons suivantes :

* Les certificats déjà émis sont uniquement stockés dans le tenant du déploiement SCEPman Enterprise existant, tandis que les nouveaux certificats créés seront stockés dans <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>. Cela peut entraîner des validations échouées si les composants ne parviennent pas à déterminer quelle CA doit être prise en compte pour la validation
* Selon l’emplacement de déploiement de votre Key Vault et de votre instance RADIUSaaS, une latence supplémentaire est à prévoir lors des opérations cryptographiques nécessitant le certificat Root CA

### Quand puis-je mettre hors service mon ancienne instance SCEPman ?

Une fois que tous les cas d’usage des certificats de l’instance SCEPman Enterprise auront été migrés vers <code class="expression">space.vars.SCEPmanSAAS\_ProductName</code>, vous pouvez arrêter le service d’application en toute sécurité. Ces cas d’usage incluent notamment, sans s’y limiter :

* Certificats client
* Certificats de serveur
* Certificats DC
* Certificats pour l’inspection TLS
* Certificats de signature de code
* Certificats S/MIME

Assurez-vous de surveiller suffisamment longtemps le Log Analytics Workspace afin de vérifier qu’aucune validation ou émission de certificats n’a lieu.&#x20;

{% embed url="<https://docs.scepman.com/azure-configuration/log-configuration>" %}