> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/fr/portail-dadministration/scepman-saas/parametres.md).

# Paramètres

Les entrées ci-dessous donnent un bref aperçu des paramètres disponibles pour SCEPman SaaS. Elles sont volontairement concises. Pour plus de détails, reportez-vous aux sections correspondantes de la [documentation SCEPman](https://docs.scepman.com/)

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FUg2LmMPvJLOwEkp3TFKa%2Fimage.png?alt=media&amp;token=341c6aec-3d17-49cf-b6f5-0f89af9fae54" alt=""><figcaption></figcaption></figure>

### Autorité de certification

Le certificat racine de votre Tenant. Chaque certificat émis par SCEPman remonte jusqu’à lui. Il est créé une seule fois et le nom de son sujet ne peut plus être modifié ensuite.

L’AC racine elle-même est valide pendant 7300 jours (20 ans).

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fi7yCSCvVOoqRHLG1lLsZ%2Fimage.png?alt=media&amp;token=f3f26ee9-e293-48ba-b262-7c0fd303ca68" alt=""><figcaption></figcaption></figure>

### Profil de certificat par défaut

Les paramètres par défaut appliqués aux certificats émis via tous les points de terminaison de certificat. Chaque source sous Points de terminaison de certificat peut remplacer ces deux valeurs avec son propre profil.

La révocation de chaque certificat émis par cette AC est également configurée ici.

<details>

<summary>Paramètres du profil de certificat par défaut</summary>

**Utilisation étendue de clé par défaut**

À quoi le certificat peut être utilisé. Les certificats serveur nécessitent `Authentification du serveur`; les certificats d’appareil pour 802.1X nécessitent `Authentification du client`. Il ne s’agit que du repli au cas où la requête ne contient pas d’EKU.

**Période de validité**

Le nombre maximal de jours pendant lesquels un certificat émis est valide. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/certificates#appconfig-validityperioddays).

**Liste de révocation des certificats (CRL)**

Publie une liste signée des certificats révoqués pour les clients qui ne prennent pas en charge OCSP. Le point de distribution est intégré dans chaque certificat émis à partir du moment où vous l’activez. [En savoir plus](https://docs.scepman.com/certificate-management/manage-certificates/enabling-crl).

**Répondeur OCSP autorisé**

Répond en temps réel aux vérifications de révocation via OCSP, signé par un certificat de répondeur dédié. Toujours activé pour SCEPman SaaS. [En savoir plus](https://docs.scepman.com/certificate-management/manage-certificates).

</details>

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FuBTHvhmdCQYQPe0FmC2L%2Fimage.png?alt=media&amp;token=6ade9391-731d-4a1c-8637-d50f3e2c586d" alt=""><figcaption></figcaption></figure>

### Points de terminaison de certificat

Chaque point de terminaison est une route par laquelle un appareil peut demander un certificat. Chacun apporte son propre profil de certificat et ses propres identifiants. Activez-en un pour le configurer.

{% hint style="warning" %}
N’activez que les points de terminaison que vous utilisez réellement. Chaque point de terminaison activé est une manière supplémentaire d’obtenir un certificat de votre AC.
{% endhint %}

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FFi97SBr6o9EbOjayG8uq%2Fimage.png?alt=media&amp;token=c2679dcb-c376-4837-893e-5668a37e4098" alt=""><figcaption></figcaption></figure>

#### Microsoft Intune

{% hint style="info" %}
Ce point de terminaison nécessite que la connexion au Tenant Entra soit configurée
{% endhint %}

Vérifie l’appareil dans Intune avant l’émission. Utilisez ceci pour les appareils Windows, iOS, Android et macOS gérés par Intune. Nécessite la connexion au Tenant Entra. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation).

<details>

<summary>Paramètres Microsoft Intune</summary>

**Période de validité**

Remplace le profil par défaut pour chaque certificat émis à un appareil géré par Intune.

**Exiger que l’appareil soit conforme**

* Désactivé : tout appareil inscrit reçoit un certificat.
* Activé : l’appareil doit être déclaré conforme dans Intune.

[En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancecheck).

**Période de grâce de conformité**

Affiché lorsque la vérification de conformité est activée. Une fenêtre en minutes pendant laquelle un appareil est considéré comme conforme même s’il ne l’a pas encore signalé. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancegraceperiodminutes).

**Où rechercher l’appareil**

Dans quels annuaires SCEPman interroge pour valider l’appareil. [En savoir plus](https://docs.scepman.com/scepman-configuration/device-directories).

Sources de recherche, sélectionnables en combinaison :

| Source                              | Comportement                                                                                                                                                                                               |
| ----------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Objets d’appareil Entra ID**      | Fait correspondre la requête à l’objet d’appareil dans Entra ID. Couvre les appareils joints à Entra même lorsque Intune n’a pas encore effectué de synchronisation.                                       |
| **Appareils gérés par Intune**      | Fait correspondre l’enregistrement de l’appareil dans Intune. Le choix habituel pour les appareils inscrits via MDM.                                                                                       |
| **Liste des points de terminaison** | Fait correspondre la requête à la liste des certificats émis par Intune.                                                                                                                                   |
| **Correspondance opportuniste**     | Émet le certificat si aucun des annuaires ci-dessus n’est joignable ou ne renvoie de résultat. Permet à l’inscription de continuer à fonctionner pendant une panne — au prix de la vérification elle-même. |

</details>

#### Jamf Pro

Vérifie les appareils Apple par rapport à votre inventaire Jamf Pro avant l’émission. Nécessite des identifiants API Jamf.

N’oubliez pas de consulter le guide SCEPman Enterprise sur la façon de configurer SCEPman SaaS avec Jamf Pro :

{% embed url="<https://docs.scepman.com/certificate-management/jamf/general>" %}

<details>

<summary>Paramètres Jamf Pro</summary>

**Utilisation étendue de clé par défaut**

Repli EKU pour les certificats émis aux appareils Jamf.

**Période de validité**

Remplace le profil par défaut pour ce point de terminaison.

**Identifiants API Jamf**

ID client et secret du rôle API Jamf Pro. [En savoir plus](https://docs.scepman.com/certificate-management/jamf/general).

</details>

#### Active Directory

Inscription authentifiée par Kerberos pour les clients Windows joints au domaine, entièrement pilotée par la stratégie de groupe. Nécessite un Service Principal et un keytab dans votre domaine sur site. [En savoir plus](https://docs.scepman.com/certificate-management/active-directory).

Quatre modèles de certificat peuvent être activés indépendamment, chacun avec son propre onglet :

| Modèle                | Objectif                                                                                                                                                                                                     |
| --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **Utilisateur**       | Certificats utilisateur pour les utilisateurs du domaine. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/user-template).                              |
| **Ordinateur**        | Certificats machine pour les appareils joints au domaine, par exemple pour 802.1X. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/computer-template). |
| **Domain Controller** | Certificats LDAPS et Kerberos PKINIT pour les DC. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/dc-template).                                        |
| **RDP**               | Certificats pour l’authentification du serveur RDP. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/rdp-template).                                     |

Par modèle :

<details>

<summary>Paramètres du modèle</summary>

**Utilisation étendue de clé par défaut**

Repli EKU pour ce modèle.

**Période de validité**

Durée de vie du certificat pour ce modèle, en jours.

**Filtre de groupe (SID)**

Limite l’inscription aux membres des groupes Active Directory indiqués, spécifiés par SID. Vide signifie que tout membre du domaine peut s’inscrire.

**KSPs**

Fournisseurs de stockage de clés dans lesquels la clé privée peut être créée, par exemple *Microsoft Platform Crypto Provider* (TPM) ou *Microsoft Smart Card Key Storage Provider*. Vide signifie que le client choisit.

</details>

{% hint style="info" %}
Le déploiement de la stratégie de groupe correspondante est décrit dans [Stratégie de groupe](https://docs.scepman.com/certificate-management/active-directory/group-policy).
{% endhint %}

#### certificats de contrôleur de domaine

Émet les certificats dont les Domain Controller ont besoin pour LDAPS et Kerberos PKINIT, authentifiés avec un mot de passe de défi au lieu d’Active Directory. N’activez cette option que si SCEPman sert vos DC. [En savoir plus](https://docs.scepman.com/certificate-management/domain-controller-certificates).

<details>

<summary>Paramètres Domain Controller</summary>

**Période de validité**

Durée de vie du certificat en jours.

**Mot de passe de défi**

Utilisé sur le contrôleur de domaine lorsqu’il demande son certificat.

</details>

#### API REST d’inscription

Permet à vos propres outils de demander des certificats via HTTPS au lieu de SCEP, en utilisant des identités Microsoft plutôt qu’un mot de passe de défi. Laissez désactivé sauf si un script ou un service de votre part l’utilise. [En savoir plus](https://docs.scepman.com/certificate-management/api-certificates).

Les requêtes s’authentifient avec un jeton API. Gérez les jetons sous **Accès et règles → Autorisations**.

Exemple :

{% code overflow="wrap" %}

```powershell
New-SCEPmanCertificate -Url 'contoso.scepman-as-a-service.com' -AccessToken 'IyBJJ2FtIGFuIGFjY2VzcyB0b2tlbi4gIw==' -Subject 'CN=Certificate'
```

{% endcode %}

<details>

<summary>Paramètres de l’API REST d’inscription</summary>

**Utilisation étendue de clé par défaut**

Repli EKU pour les certificats émis par l’API.

**Période de validité**

Durée de vie du certificat en jours.

</details>

#### Défi statique

Accepte toute requête présentant un mot de passe de défi partagé. Pratique pour les appareils qu’aucun MDM ne peut inscrire. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/static-validation).

<details>

<summary>Paramètres du défi statique</summary>

**Utilisation étendue de clé par défaut**

Repli EKU pour ce point de terminaison.

**Période de validité**

Durée de vie du certificat en jours.

**Mot de passe de défi**

Toute personne détenant cette valeur peut obtenir un certificat. Renouvelez-la lorsqu’une personne ayant accès quitte l’organisation.

**Renouvellements sans défi**

* Désactivé : chaque renouvellement doit présenter à nouveau le mot de passe de défi.
* Activé : un client disposant d’un certificat valide peut renouveler sans celui-ci.

</details>

#### Défi statique + vérification d’appareil Entra ID (Static-AAD)

{% hint style="info" %}
Ce point de terminaison nécessite que la connexion au Tenant Entra soit configurée
{% endhint %}

Comme ci-dessus, mais l’appareil doit également exister dans Entra ID. Préférez ceci à un simple défi statique chaque fois que l’appareil est joint à Entra. Nécessite la connexion au Tenant Entra. [En savoir plus](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/staticaad-validation).

Même paramètres que **Défi statique**.

### connexion au Tenant Entra

{% hint style="info" %}
Optionnel mais requis pour **Validation Intune** et **Validation AAD statique** points de terminaison.
{% endhint %}

Contrôle la façon dont SCEPman lit les objets d’appareil et d’utilisateur depuis votre Tenant Entra ID. C’est ce qui rend disponibles les sources de validation Intune et Entra. Tant qu’il est désactivé, ces sources ne peuvent pas être activées.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FI2BJxqzYyaKFYsMgdPml%2Fimage.png?alt=media&amp;token=e7259508-947b-409f-8082-6a631da298c4" alt=""><figcaption></figcaption></figure>

{% tabs %}
{% tab title="Consentement administrateur (recommandé)" %}
Accorde à notre application multitenant un accès en lecture en un seul flux de consentement. La voie la plus rapide, et nous maintenons l’ensemble des autorisations à jour à mesure que SCEPman évolue.

Nécessite qu’un administrateur général l’approuve une fois.

Trois étapes complètent la connexion :

{% stepper %}
{% step %}

### **Confirmer le Tenant**

Connectez-vous à Entra ID. Nous récupérons le Tenant à partir de cette connexion et vous montrons de quel annuaire il s’agit, afin que vous ne consentiez pas dans le mauvais.

Vous n’avez pas besoin de consentir au nom de votre organisation.

Ce consentement ajoutera **SCEPman as a Service (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)** l’application d’entreprise à votre environnement Entra.
{% endstep %}

{% step %}

### **Accorder le consentement administrateur**

Ouvre l’écran de consentement Microsoft. Un administrateur général doit approuver ; si ce n’est pas vous, envoyez-lui le lien de consentement depuis cette page.

Cela accordera à **SCEPman as a Service** les autorisations requises à l’application d’entreprise.
{% endstep %}

{% step %}

### **Tester la connexion**

Lit un objet d’appareil pour prouver que les autorisations fonctionnent avant de vous y fier.
{% endstep %}
{% endstepper %}
{% endtab %}

{% tab title="Votre propre enregistrement d’application" %}
Utilisez un enregistrement d’application que vous créez et contrôlez. Choisissez cette option lorsque la politique interdit les applications multitenant tierces.

Nécessite l’ID du Tenant, l’ID client et un secret client.

Accordez les **autorisations de l’application** suivantes et accordez-leur le consentement administrateur :

| API                  | Autorisation                              | Objectif                                   |
| -------------------- | ----------------------------------------- | ------------------------------------------ |
| Microsoft Graph      | `Directory.Read.All`                      | Lire les données d’annuaire                |
| Microsoft Graph      | `DeviceManagementManagedDevices.Read.All` | Lire les appareils Intune                  |
| Microsoft Graph      | `DeviceManagementConfiguration.Read.All`  | Lire la configuration des appareils Intune |
| API Microsoft Intune | `scep_challenge_provider`                 | Validation du défi SCEP                    |
| {% endtab %}         |                                           |                                            |
| {% endtabs %}        |                                           |                                            |

### Débogage à distance

Active la journalisation détaillée des requêtes pour notre équipe d’assistance. Elle est désactivée par défaut. Comme les traces peuvent contenir des identifiants d’appareil, la journalisation se désactive automatiquement à la date indiquée.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F2xKvarOq5SRCzmV9c1dO%2Fimage.png?alt=media&amp;token=c971f150-623a-44ae-a3e8-3c1436d23211" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.radiusaas.com/fr/portail-dadministration/scepman-saas/parametres.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.