Standardanleitung

Dies führt Sie durch alle notwendigen Schritte, um SCEPman in Ihrer PoC- oder Produktionsumgebung gemäß unseren Best Practices einzurichten.

Azure-Bereitstellung

Beginnen wir mit den Anforderungen und einer Ressourcenübersicht. Beachten Sie, dass Sie ein sinnvolles Azure-Ressourcendesign planen müssen.

Voraussetzungen

Obligatorisch

Optional

Übersicht Azure-Ressourcen

All diese Ressourcen werden für eine Produktionsumgebung empfohlen.

Typ
Beschreibung

App Service (x2)

Eine virtuelle Azure-Umgebung zum Ausführen der SCEPman Core- und Cert Master-Anwendungen und stellt eine Benutzeroberfläche zur Verfügung, um verschiedene anwendungsspezifische Einstellungen wie CNAME, SSL-Zertifikat und App-Einstellungen zu konfigurieren.

App Service-Plan

Eine virtuelle Gruppe von Rechenressourcen und Konfigurationen für die "App Service(s)".

Hier können Sie die Preiskategorie und die Skalierung der Ressourcen konfigurieren.

Key Vault

Tool zum sicheren Speichern von Geheimnissen und Zertifikaten. Die SCEPman-Anwendung

wird das Root-Zertifikat in Ihrem Key Vault erzeugen und speichern.

Application Insights

Application Performance Management (APM)-Tool, um Einblicke in die

SCEPman-Anwendungen und -Anfragen zu erhalten. Benötigt, um die Leistung zu messen

und gut zur Serviceoptimierung geeignet.

Speicherkonto

Speicherplattform, die von der Certificate Master-Komponente von SCEPman verwendet wird, um bestimmte Attribute manuell ausgestellter TLS-Serverzertifikate für Widerrufs-Zwecke zu speichern. Optional:

Der "App Service" lädt die Artefakte aus einer Blob-Storage-URI, wenn manuelle Updates konfiguriert sind.

Log Analytics-Arbeitsbereich

Ein zentralisierter und cloudbasierter Protokollspeicher. Der "App Service" speichert alle

Plattformprotokolle und Metriken in diesem Arbeitsbereich.

Datensammlungsregel

Seit Version 3.0, um SCEPman zu ermöglichen, Protokolle mithilfe der Microsoft Log Ingestion API in den Log Analytics-Arbeitsbereich zu schreiben

Zusätzlich, wenn Sie Private Endpoints verwenden, haben Sie sieben weitere Azure-Ressourcen.

Typ
Beschreibung

Virtuelles Netzwerk

Die SCEPman App Services, das Key Vault und das Storage-Konto verbinden sich über dieses VNET.

Privater Endpunkt (×2)

Einer für das Key Vault und einer für das Storage-Konto. Er macht sie über das VNET zugänglich.

Private DNS-Zone (×2)

Eine für das Key Vault und eine für das Storage-Konto. Beide haben eine interne IP-Adresse im VNET, für die sie einen Namen in ihrer jeweiligen privaten DNS-Zone haben.

Netzwerkschnittstelle (×2)

Eine für das Key Vault und eine für das Storage-Konto. Sie verbindet den privaten Endpunkt mit dem VNET.

Konfigurationsschritte

1

Bereitstellen der SCEPman-Basisdienste

circle-exclamation

Um mit der Bereitstellung zu beginnen, folgen Sie bitte unseren Bereitstellungsanweisungen:

Marketplace-Bereitstellungchevron-right

2

Führen Sie Nachbereitungs-Schritte durch (Berechtigungszuweisungen)

circle-exclamation

Um alle Komponenten von SCEPman 2 richtig zu verknüpfen, müssen mehrere Berechtigungen zugewiesen werden. Bitte folgen Sie diesen Schritten, um die relevanten Verbindungen herzustellen:

Verwaltete Identitätenchevron-right

3

Zertifikat-Master-Berechtigungen hinzufügen

circle-check

Der Certificate Master ist ein Enterprise-Edition Feature, das Administratoren erlaubt, Zertifikate manuell zu erstellen und zu widerrufen. Bitte folgen Sie diesen Schritten, um Zugriff auf den Certificate Master zu gewähren.

Certificate Master-RBACchevron-right

4

Root-Zertifikat erstellen

circle-exclamation

Nachdem die Bereitstellung und die Berechtigungszuweisung abgeschlossen sind, müssen Sie das Root-Zertifikat für SCEPman erstellen:

Root-CAchevron-right

5

Konfigurieren einer benutzerdefinierten Domain und eines SSL-Zertifikats

circle-info

Dies ist ein optional Schritt.

Um Ihren SCEPman unter Ihrer spezifischen Domain verfügbar zu machen, müssen Sie eine benutzerdefinierte Domain im App Service

Benutzerdefinierte Domainchevron-right

6

manuelle Updates

circle-info

Dies ist ein optional Schritt.

Standardmäßig verfolgt SCEPman einen evergreen-Ansatz gegenüber Updates. Falls Sie die vollständige Kontrolle über Ihre SCEPman-Updates benötigen, konfigurieren Sie bitte einen Bereitstellungs-Slot wie in der folgenden Anleitung unter dem Abschnitt beschrieben Bereitstellungs-Slot-Konfiguration.

Update-Strategiechevron-right

7

Application Insights bereitstellen

circle-check

Application Insights kann verwendet werden, um einen Überblick über die Leistung des App Service zu erhalten und tiefere Einblicke in die Anfrageverarbeitung von SCEPman zu gewinnen. Wir empfehlen, Application Insights stets zu konfigurieren, um den App Service zu überwachen, zu warten und zu optimieren.

Application Insightschevron-right

8

Health Check konfigurieren

circle-check

Wir können einen Health Check für den App Service konfigurieren, um direkte Benachrichtigungen zu erhalten, falls SCEPman nicht mehr funktioniert.

Health-Checkchevron-right

9

Stellen Sie sicher, dass SCEPman ausreichende Ressourcen hat

circle-exclamation

Sobald Sie SCEPman in eine Produktionsumgebung überführen, sollten Sie sicherstellen, dass SCEPman mit ausreichender Rechenleistung ausgestattet ist. Prüfen Sie daher bitte unseren Azure-Sizing-Leitfaden und erhöhen Sie bei Bedarf die Stufe Ihres App Service-Plans. Sie können dies bis nach Ihrer PoC- oder Testphase verschieben.

App Service-Größenplanungchevron-right

10

Konfigurieren Sie Ihre MDM-Bereitstellungsprofile

circle-check

Mit Abschluss der obigen Schritte haben wir eine funktionierende SCEPman-Implementierung und können nun Zertifikate auf die Geräte bereitstellen.

Bitte verwenden Sie einen (oder mehrere) der folgenden Artikel, um Zertifikate mit Ihrer bevorzugten MDM-Lösung bereitzustellen:

Microsoft Intunechevron-rightJamf Prochevron-rightAndere MDM-Lösungenchevron-right

11

Zertifikate manuell ausstellen oder CSRs mit dem Certificate Master signieren

circle-info

Dies ist ein optional Schritt.

Bitte folgen Sie dem untenstehenden Link, um zu erfahren, wie man TLS-Server- oder andere Zertifikate ausstellt oder wie man beliebige CSRs mit der Certificate Master-Komponente signiert.

Certificate Masterchevron-right

Zuletzt aktualisiert

War das hilfreich?