🆕 SCEPman SaaS

SCEPman SaaS は、完全に管理され、ホストされ、保守される SCEPman のデプロイです。これは RADIUSaaS & に含まれています SCEPman SaaS Bundle で、1 つのサブスクリプションで両方のサービスを提供します。SCEPman インスタンスを管理せずに、RADIUSaaS での証明書ベース認証用の証明書を発行するために使用します。このガイドでは、次の初期設定を扱います Intune のデプロイです。

セットアップ SCEPman SaaS

すでに RADIUSaaS で、テナント内の既存の SCEPman Enterprise デプロイを使用している場合は、移行ガイドをご確認ください: SCEPman Enterprise からの移行

登録する SCEPman SaaS CA

有効な SCEPman SaaS ライセンスがあると、 SCEPman > 設定には、SCEPman CA を登録および設定するためのオプションがあります。

上部で、 共通名 および組織名を CA に対して指定できます。

登録時に、Common Name と Organization が CA 証明書のサブジェクトを構成します。

をクリックすると ルート CA を登録するとセットアップが開始され、状態が上に表示されます。完了すると、SCEPman セクションに追加のページが表示されます。

この状態ページには、CA とその統合の現在の状態に加え、証明書を要求するために必要なエンドポイント URL が表示されます。

では 証明書の管理 発行済み証明書を参照し、有効性を確認し、失効させることもできます。

では 証明書の要求では、手動の登録とインストール用にさまざまな種類の証明書を要求したり、CSR に署名したりできます。

専用の Certificate Master ドキュメントで、ここで要求できるさまざまな種類の証明書の詳細をご確認ください。

この タスク セクションには、Certificate Master の現在の状態と、あなたのロールで許可されたセクションへのリンクが表示されます。

SCEPman は現在デプロイされており、証明書を発行できる状態です!

既定の証明書プロファイルを構成する

すべての証明書エンドポイントを通じて発行される証明書に適用される既定設定です。証明書エンドポイント配下の各ソースは、独自のプロファイルでこの 2 つの値を上書きできます。

この CA が発行するすべての証明書の失効設定もここで行います。

既定の証明書プロファイル設定

既定の拡張キー使用法

証明書を何に使用できるかを示します。サーバー証明書には ServerAuthentication；802.1X 用のデバイス証明書には ClientAuthentication。これは、要求に EKU が含まれていない場合のフォールバックにすぎません。

有効期間

発行された証明書が有効である最大日数です。詳細.

証明書失効リスト (CRL)

OCSP をサポートしないクライアント向けに、署名済みの失効証明書一覧を公開します。配布ポイントは、有効化した時点から発行されるすべての証明書に埋め込まれます。詳細.

OCSP 認証済みレスポンダー

専用のレスポンダー証明書で署名され、OCSP を介して失効状況にリアルタイムで応答します。SCEPman SaaS では常に有効です。詳細.

証明書エンドポイントを有効にする

テナントに関連する証明書エンドポイントを有効にします。エンドポイントをオンにすると、構成可能な追加設定が表示されます。各エンドポイントの詳細はこちら.

Microsoft Intune と Static challenge + Entra device check のエンドポイントは、先に手順 4 を完了しておく必要があります。

SCEPman を Azure Tenant に接続する

証明書を Intune または Static-AAD エンドポイント経由で配布する予定がある場合のみ、SCEPman を Azure テナントに接続する必要があります。

ほとんどのシナリオでは、SCEPman が Intune SCEP プロファイルを使用して証明書を発行し、たとえばデバイスが消去された場合に自動で証明書を失効できるようにしたいはずです。

これを意図したとおりに機能させるには、SCEPman にテナント内の特定のロールが必要です。これは、当社のマルチテナント enterprise application への同意を行うか、必要な権限を持つアプリ登録を自分で提供することで実現できます。

Tenant を確認

Azure テナントに接続するには、Admin Consent / multi-tenant enterprise application の方式をおすすめします。これは、有効期限を監視する必要のあるクライアントシークレットを必要としないためです。

の最初の手順は Admin Consent フローでは、テナント ID を入力して確認します。

をクリックすると Tenant を確認 認証のために Microsoft の同意ページへリダイレクトされ、このアプリケーションを最初に承認します:

この同意を受け入れると、 SCEPman SaaS enterprise application がテナントに追加されますが、必要な権限はまだ追加されません。

管理者の同意

テナントを確認したら、 管理者の同意を選択します。Microsoft の同意ページが再度開きます。アプリケーションが一覧の権限を受け取れることを確認してください。詳細は Security & Privacy Q&As を参照してください。

SCEPman は Azure テナントに接続し、証明書バインディング用の情報を取得できるようになりました!

Intune エンドポイントを有効にする

ほとんどのシナリオでは、Intune SCEP 証明書プロファイルを活用してデバイスに SCEPman からの証明書要求を促し、証明書を配布します。このエンドポイントを有効にするには、次へ移動します SCEPman > 設定そして次を有効にします Intune Validation 設定を有効にして、構成を保存します:

コンプライアンスチェック

SCEPman Enterprise と同様に、SCEPman は関連付けられたデバイスのコンプライアンス状態を確認することで、証明書の有効性を評価できます。 SCEPman documentation で詳細をご確認ください。

デバイスディレクトリ

デバイスディレクトリの選択は、SCEP プロファイルで選択する特定のバインディングに依存します:

{{DeviceId}} で参照されます Intune
{{AAD_DeviceID}} で参照されます AAD (Entra ID)
{{UserPrincipalName}} (UPN) で参照されます AAD (Entra ID)

次を参照してください SCEPman documentation デバイスディレクトリの詳細については。

Intune validation が有効になり、証明書エンドポイントが利用可能になりました!

証明書を配布

Intune validation を有効にすると、SCEPman の状態ページに Intune MDM 用のエンドポイント URL が表示されるようになります:

この URL は、Intune SCEP 証明書プロファイルの SCEP Server URL.

ルート証明書

必ず Trusted Certificate プロファイルを Intune で作成してから次へ進んでください SCEP 証明書 プロファイルを作成し、CA 証明書を配布します SCEPman SaaS クライアントに

SCEPman documentation: Root Certificate

SCEP 証明書

SCEP 証明書プロファイルの作成手順は SCEPman Enterprise と同じです。

SCEPman documentation: SCEP - Intune - Windows

これでクライアントは SCEPman が発行した証明書を受け取るはずです!

信頼を確立する

デバイスがあなたの証明書を使用して認証できるようにするには SCEPman SaaS CA を使用し、アクセスポイントが RADIUSaaS インスタンスへの RadSec 接続を確立できるようにするには、その CA 証明書を信頼する必要があります。そのためには、まず次の場所から CA 証明書をダウンロードします。 SCEPman > 状態ページ。