この記事は自動的に翻訳されています。翻訳には不正確な表現が含まれる場合があります。
英語の原文はこちらをご覧ください。
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

設定

以下の項目は、SCEPman SaaS で利用できる設定の簡単な概要を示します。意図的に簡潔にまとめています。詳細は、対応する各セクションの SCEPman のドキュメント

証明機関

あなたのテナントのルート証明書です。SCEPman が発行するすべての証明書はこれを起点にチェーンされます。一度作成されると、そのサブジェクト名は後から変更できません。

ルート CA 自体の有効期間は 7300 日（20 年）です。

既定の証明書プロファイル

すべての証明書エンドポイントを通じて発行される証明書に適用される既定設定です。証明書エンドポイントの下の各ソースは、独自のプロファイルでこれら 2 つの値を上書きできます。

この CA が発行するすべての証明書の失効設定もここで行います。

既定の証明書プロファイル設定

既定の拡張キー使用法

証明書を何に使用できるか。サーバー証明書には ServerAuthentication; 802.1X 用のデバイス証明書には ClientAuthenticationが必要です。これは、要求に EKU が含まれていない場合のフォールバックにすぎません。

有効期間

発行された証明書が有効である最大日数です。 詳細を見る.

証明書失効リスト（CRL）

OCSP をサポートしないクライアント向けに、失効済み証明書の署名付きリストを公開します。有効にした瞬間から、発行されるすべての証明書に配布ポイントが埋め込まれます。 詳細を見る.

OCSP 認証済みレスポンダー

専用のレスポンダー証明書で署名された OCSP により、失効情報をリアルタイムで応答します。SCEPman SaaS では常に有効です。 詳細を見る.

証明書エンドポイント

各エンドポイントは、デバイスが証明書を要求できるルートです。それぞれに独自の証明書プロファイルと資格情報があります。設定するには、いずれかをオンにします。

実際に使用するエンドポイントのみを有効にしてください。有効化した各エンドポイントは、CA から証明書を取得するための追加の手段になります。

Microsoft Intune

このエンドポイントを使用するには、Entra テナント接続が構成されている必要があります

発行前にデバイスを Intune で確認します。Intune で管理される Windows、iOS、Android、macOS デバイスに使用してください。Entra テナント接続が必要です。 詳細を見る.

Microsoft Intune の設定

有効期間

Intune で管理されるデバイスに発行されるすべての証明書の既定プロファイルを上書きします。

デバイスに準拠を要求する

  • オフ: 登録済みのデバイスにはどれでも証明書が付与されます。

  • オン: デバイスは Intune で準拠していると報告される必要があります。

詳細を見る.

準拠猶予期間

準拠チェックがオンのときに表示されます。デバイスがまだ報告していなくても準拠済みとして扱われる、分単位の期間です。 詳細を見る.

デバイスをどこで検索するか

SCEPman がデバイスを検証するために照会するディレクトリです。 詳細を見る.

組み合わせて選択できる検索ソース:

ソース
動作

Entra ID デバイス オブジェクト

要求を Entra ID のデバイス オブジェクトと照合します。Intune がまだチェックインしていない Entra 参加デバイスも対象です。

Intune 管理デバイス

Intune のデバイス レコードと照合します。MDM 登録済みデバイスの通常の選択肢です。

エンドポイント一覧

Intune の発行済み証明書一覧と照合します。

オポチュニスティック一致

上記のいずれのディレクトリにも到達できない、または結果が返らない場合に証明書を発行します。チェック自体の代償として、障害中でも登録を継続できます。

Jamf Pro

発行前に Apple デバイスを Jamf Pro のインベントリと照合します。Jamf API の資格情報が必要です。

Jamf Pro で SCEPman SaaS をセットアップする方法については、SCEPman Enterprise ガイドもぜひご覧ください:

LogoGeneral Configuration | SCEPmandocs.scepman.com
Jamf Pro の設定

既定の拡張キー使用法

Jamf デバイスに発行される証明書の EKU フォールバック。

有効期間

このエンドポイントの既定プロファイルを上書きします。

Jamf API 資格情報

Jamf Pro API ロールのクライアント ID とシークレット。 詳細を見る.

Active Directory

ドメイン参加済み Windows クライアント向けの Kerberos 認証による登録で、Group Policy によって完全に制御されます。オンプレミス ドメイン内で Service Principal と keytab が必要です。 詳細を見る.

4 つの証明書テンプレートを個別に有効化でき、それぞれに専用のタブがあります:

テンプレート
目的

ユーザー

ドメイン ユーザー向けのユーザー証明書。 詳細を見る.

コンピューター

ドメイン参加済みデバイス向けのマシン証明書。例: 802.1X 用。 詳細を見る.

ドメイン コントローラー

DC 向けの LDAPS および Kerberos PKINIT 証明書。 詳細を見る.

RDP

RDP サーバー認証用の証明書。 詳細を見る.

各テンプレートごと:

テンプレート設定

既定の拡張キー使用法

このテンプレートの EKU フォールバック。

有効期間

このテンプレートの証明書有効期間（日数）。

グループ フィルター（SID）

SID で指定された、該当する Active Directory グループのメンバーに登録を制限します。空白の場合、すべてのドメイン メンバーが登録できます。

KSP

秘密鍵を作成できるキー ストレージ プロバイダー。例: Microsoft Platform Crypto Provider （TPM）または Microsoft Smart Card Key Storage Provider。空白の場合、クライアントが選択します。

対応するグループ ポリシーの展開方法は、 グループ ポリシー.

ドメイン コントローラー証明書

Active Directory ではなくチャレンジ パスワードで認証された、LDAPS および Kerberos PKINIT に必要な証明書をドメイン コントローラーに発行します。SCEPman が DC を担当する場合のみ有効にしてください。 詳細を見る.

ドメイン コントローラー設定

有効期間

証明書の有効期間（日数）。

チャレンジ パスワード

ドメイン コントローラーが証明書を要求するときに使用されます。

Enrollment REST API

チャレンジ パスワードの代わりに Microsoft の ID を使用して、独自ツールから HTTPS 経由で証明書を要求できます。スクリプトやサービスが使用しない限り、オフのままにしてください。 詳細を見る.

要求は API トークンで認証されます。トークンは アクセスとルール → 権限.

例:

Enrollment REST API の設定

既定の拡張キー使用法

API で発行された証明書の EKU フォールバック。

有効期間

証明書の有効期間（日数）。

固定チャレンジ

共有チャレンジ パスワードを提示するすべての要求を受け入れます。MDM で登録できないアプライアンスに便利です。 詳細を見る.

固定チャレンジ設定

既定の拡張キー使用法

このエンドポイントの EKU フォールバック。

有効期間

証明書の有効期間（日数）。

チャレンジ パスワード

この値を知っている人なら誰でも証明書を取得できます。アクセス権を持つ人が退職したらローテーションしてください。

チャレンジなしの更新

  • オフ: すべての更新で再度チャレンジ パスワードを提示する必要があります。

  • オン: 有効な証明書を持つクライアントは、それなしで更新できます。

固定チャレンジ + Entra デバイス チェック（Static-AAD）

このエンドポイントを使用するには、Entra テナント接続が構成されている必要があります

上記と同じですが、デバイスは Entra ID にも存在する必要があります。デバイスが Entra 参加済みである場合は、通常の固定チャレンジよりこちらを推奨します。Entra テナント接続が必要です。 詳細を見る.

と同じ設定 固定チャレンジ.

Entra テナント接続

オプションですが、以下には必要です Intune 検証 および Static AAD 検証 エンドポイント。

SCEPman が Entra ID テナントからデバイスおよびユーザー オブジェクトを読み取る方法を制御します。これにより、Intune と Entra の検証ソースが利用可能になります。無効の間は、これらのソースをオンにできません。

単一の同意フローで、当社のマルチテナント アプリに読み取りアクセスを付与します。最も早い方法であり、SCEPman の進化に合わせて権限セットは最新の状態に保たれます。

グローバル管理者による一度の承認が必要です。

接続は 3 ステップで完了します:

1

テナントを確認する

Entra ID にサインインします。そのサインインからテナントを取得し、どのディレクトリかを表示するので、間違ったテナントに同意することはありません。

組織に代わって同意する必要はありません。

この同意により SCEPman as a Service (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx) エンタープライズ アプリケーションが Entra 環境に追加されます。

2

管理者の同意を付与

Microsoft の同意画面を開きます。グローバル管理者の承認が必要です。あなたが該当しない場合は、このページの同意リンクをその管理者に送ってください。

この権限を SCEPman as a Service エンタープライズ アプリケーションに付与します。

3

接続をテスト

依存する前に、1 つのデバイス オブジェクトを読み取り、権限が機能することを確認します。

自分で作成し管理するアプリ登録を使用します。サードパーティのマルチテナント アプリがポリシーで禁止されている場合にこれを選択してください。

テナント ID、クライアント ID、クライアント シークレットが必要です。

以下の アプリケーション 権限を付与し、管理者同意を行ってください:

API
権限
目的

Microsoft Graph

Directory.Read.All

ディレクトリ データの読み取り

Microsoft Graph

DeviceManagementManagedDevices.Read.All

Intune デバイスの読み取り

Microsoft Graph

DeviceManagementConfiguration.Read.All

Intune デバイス構成の読み取り

Microsoft Intune API

scep_challenge_provider

SCEP チャレンジの検証

リモート デバッグ

サポート チーム向けに詳細な要求トレースを有効にします。既定では無効です。トレースにはデバイス識別子が含まれる可能性があるため、指定日の後にトレースは自動的にオフになります。

最終更新

役に立ちましたか？