> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/scepman-bereitstellung/deployment-guides/enterprise-guide-1.md). # Erweiterter Leitfaden Diese Anleitung führt Sie durch alle Schritte zur Bereitstellung von SCEPman für eine unternehmensgerechte Umgebung mit erweiterten Anforderungen, z. B. Namenskonventionen, Redundanz oder Auto-Scaling. {% hint style="warning" %} Nur SCEPman Enterprise Edition {% endhint %} ## Azure-Bereitstellung Beginnen wir mit den Anforderungen und einem Ressourcenüberblick.\ Beachten Sie, dass Sie ein sinnvolles Azure-Ressourcendesign planen müssen. ### Voraussetzungen #### Pflicht * [ ] Namenskonvention für Azure-Ressourcen. * [ ] Azure-Abonnement (mindestens Contributor-Rechte für dieses Abonnement). * [ ] Azure-Besitzerrechte (mindestens auf Ebene der Ressourcengruppe). * [ ] Microsoft Entra ID (Azure AD) "Global administrator" (Einwilligung für den Zugriff auf die Graph API). * [ ] Stellen Sie sicher, dass Sie Ihre Azure-Richtlinien definieren [gemäß den SCEPman-Anforderungen](/de/sonstiges/security-faq.md#azure-cis) (z. B. TLS nicht erzwingen). * [ ] Öffentlicher Domain-CNAME (*scepman.yourdomain.com*), nur wenn Geo-Redundanz verwendet wird. * [ ] SSL-Zertifikat (oder verwenden Sie [App Service Managed Certificate](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), nur wenn Geo-Redundanz verwendet wird. * [ ] Lizenzschlüssel für SCEPman Enterprise Edition. #### Optional * [ ] Öffentlicher Domain-CNAME (*scepman.yourdomain.com*), nur wenn eine benutzerdefinierte Domäne verwendet wird. * [ ] SSL-(Wildcard-)Zertifikat (oder verwenden Sie [App Service Managed Certificate](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), nur wenn eine benutzerdefinierte Domäne verwendet wird. ### Azure-Ressourcenübersicht Die folgenden Ressourcen werden für eine Produktionsumgebung empfohlen. | Typ | Beschreibung | | ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | App Service (x2) | Eine virtuelle Azure-Umgebung zum Ausführen der SCEPman Core- und Cert Master-Anwendungen und bietet eine Benutzeroberfläche zur Konfiguration verschiedener anwendungsspezifischer Einstellungen wie CNAME, SSL-Zertifikat und App-Einstellungen. | | App Service-Plan |

Ein virtueller Satz von Rechenressourcen und Konfigurationen für die „App Service(s)“.

Hier können Sie die Preisstufe und die Ressourcenskalierung konfigurieren.

| | Key Vault | Tool zum sicheren Speichern von Geheimnissen und Zertifikaten. Die SCEPman-Anwendung generiert und speichert das Stammzertifikat in Ihrem Key Vault. | | Storage Account |

Speicherplattform, die von SCEPmans Certificate Master-Komponente verwendet wird, um Zertifikatsattribute zu Widerrufszwecken zu speichern.

Optional:

Der „App Service“ lädt die Artefakte von einer Blob-Storage-URI, wenn manuelle Updates konfiguriert sind.

| | Log Analytics Workspace |

Ein zentraler und cloudbasierter Protokollspeicher. Der „App Service“ speichert alle

Plattformprotokolle und Metriken in diesem Arbeitsbereich.

Seit Version 3.0 schreibt SCEPman Protokolle mithilfe von Microsofts Log Ingestion API in den Log Analytics Workspace.

| Wenn Sie zusätzlich Private Endpoints verwenden, haben Sie [sieben zusätzliche Azure-Ressourcen.](/de/azure-konfiguration/private-endpoints.md#azure-resources-used-for-private-endpoints)
TypBeschreibung
Virtuelles NetzwerkDie SCEPman App Services, der Key Vault und der Storage Account verbinden sich über dieses VNET.
Private Endpoint (×2)Eines für den Key Vault und eines für den Storage Account. Dadurch sind sie über das VNET zugänglich.
Private DNS-Zone (×2)Eine für den Key Vault und eine für den Storage Account. Beide haben eine interne IP-Adresse im VNET, für die sie in ihrer jeweiligen Private DNS-Zone einen Namen haben.
Netzwerkschnittstelle (×2)Eine für den Key Vault und eine für den Storage Account. Sie verbindet das Private Endpoint mit dem VNET.
## Konfigurationsschritte {% stepper %} {% step %} ### SCEPman-Basisdienste bereitstellen {% hint style="warning" %} Dies ist ein **erforderlicher** Schritt. {% endhint %} Entscheiden Sie, ob Sie mit einem **Windows** oder **Linux** App Service Plan bereitstellen möchten. Beide Bereitstellungsmethoden ermöglichen Ihnen die Wahl Ihres Betriebssystems. Um mit der Bereitstellung zu beginnen, müssen Sie unsere Einrichtungsanweisungen befolgen und dabei ein **ARM-Template** {% content-ref url="/pages/1929588f904471beb3bff59227281768ed2b072e" %} [Unternehmensbereitstellung](/de/scepman-bereitstellung/deployment-options/enterprise-deployment.md) {% endcontent-ref %} oder alternativ unser **Terraform** Skript: {% content-ref url="/pages/218e0ef180a7c2ed77160a81276a2df99adb6880" %} [Terraform-Bereitstellung](/de/scepman-bereitstellung/deployment-options/terraform-deployment.md) {% endcontent-ref %} {% endstep %} {% step %} ### Nachbereitstellungsschritte durchführen (Berechtigungszuweisungen) {% hint style="warning" %} Dies ist ein **erforderlicher** Schritt. {% endhint %} Um alle Komponenten von SCEPman korrekt zu verknüpfen, müssen mehrere Berechtigungen zugewiesen werden. Bitte befolgen Sie diese Schritte, um die relevanten Verbindungen herzustellen: {% content-ref url="/pages/de8eaad1df224683eda5b2c0b6e9275b18e24baa" %} [Verwaltete Identitäten](/de/scepman-bereitstellung/permissions/post-installation-config.md) {% endcontent-ref %} {% endstep %} {% step %} ### Berechtigungen für den Certificate Master hinzufügen {% hint style="success" %} Dies ist ein **erforderlicher** Schritt für **Enterprise** **Edition** Kunden. **Community Edition** Benutzer können diesen Schritt überspringen. {% endhint %} Der Certificate Master ist eine **Enterprise Edition** Funktion, mit der Administratoren Zertifikate manuell generieren und widerrufen können. Bitte befolgen Sie diese Schritte, um Zugriff auf den Certificate Master zu gewähren. {% content-ref url="/pages/b78e280494330ea0bf6fcbe8ac4042c4d4bcb998" %} [Certificate Master RBAC](/de/scepman-konfiguration/rbac.md) {% endcontent-ref %} {% endstep %} {% step %} ### Root-Zertifikat erstellen {% hint style="warning" %} Dies ist ein **erforderlicher** Schritt. {% endhint %} Nachdem die Bereitstellung und die Zuweisung der Berechtigungen abgeschlossen ist, müssen Sie das Root-Zertifikat für SCEPman erstellen: {% content-ref url="/pages/c0e0c809d41eeed206bcbb401188a5d4d08ef196" %} [Root-CA](/de/scepman-bereitstellung/first-run-root-cert.md) {% endcontent-ref %} {% endstep %} {% step %} ### Eine benutzerdefinierte Domäne und ein SSL-Zertifikat konfigurieren {% hint style="success" %} Dies ist ein **empfohlen** Schritt. Allerdings, **überspringen** diesen Schritt, wenn Sie Geo-Redundanz implementieren. {% endhint %} Damit SCEPman unter Ihrer spezifischen Domäne verfügbar ist, müssen Sie eine **benutzerdefinierte Domäne** im **App Service.** {% content-ref url="/pages/8a4c10114df6670818c24b0cd7578f11bccf9e92" %} [Benutzerdefinierte Domain](/de/azure-konfiguration/custom-domain.md) {% endcontent-ref %} {% endstep %} {% step %} ### Manuelle Updates {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} Standardmäßig verfolgt SCEPman einen [Evergreen-Ansatz](/de/azure-konfiguration/update-strategy.md#evergreen-approach) für Updates. Wenn Sie die vollständige Kontrolle über Ihre SCEPman-Updates benötigen, konfigurieren Sie bitte einen Bereitstellungsslot wie in der folgenden Anleitung im Abschnitt **Konfiguration des Bereitstellungsslots**. {% content-ref url="/pages/4fbc8fbb07e9f847cf611b15db5759ae1fb67848" %} [Aktualisierungsstrategie](/de/azure-konfiguration/update-strategy.md) {% endcontent-ref %} {% endstep %} {% step %} ### Health-Check-Warnungen konfigurieren {% hint style="success" %} Dies ist ein **empfohlen** Schritt. {% endhint %} Health Checks können so konfiguriert werden, dass Administratoren benachrichtigt werden, wenn der SCEPman-App Service nicht reagiert. Während der Health Check während der Installation automatisch hinzugefügt wird, müssen Warnungen manuell konfiguriert werden. {% content-ref url="/pages/d32c86a21eb916e98b49e6eda1dbca5ad6022cc2" %} [Gesundheitsprüfung](/de/azure-konfiguration/health-check.md) {% endcontent-ref %} {% endstep %} {% step %} ### Stellen Sie sicher, dass SCEPman über ausreichende Ressourcen verfügt {% hint style="warning" %} Dies ist ein **erforderlicher** Schritt. {% endhint %} Sobald Sie SCEPman in eine Produktionsumgebung überführen, sollten Sie sicherstellen, dass SCEPman über ausreichende Rechenleistung verfügt. Prüfen Sie daher bitte unseren Azure-Sizing-Leitfaden und aktualisieren Sie bei Bedarf die Stufe Ihres App Service Plans. Sie können dies bis nach Ihrer PoC- oder Testphase aufschieben. {% content-ref url="/pages/83dc78e6d61fe14611e43d6ebf7ba12554f49ca5" %} [App Service-Dimensionierung](/de/azure-konfiguration/azure-sizing.md) {% endcontent-ref %} {% endstep %} {% step %} ### Autoscaling konfigurieren {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} Die SCEPman-Lösung hat zwei unterschiedliche Aufgaben und Leistungsanforderungen.\ Eine Aufgabe ist der Prozess der Zertifikatsausstellung: Nach der Konfiguration der SCEPman-Lösung müssen wir Zertifikate auf alle Geräte bereitstellen (Benutzer- und/oder Gerätezertifikate), dies ist jedoch eine einmalige Aufgabe, und nach der ersten Bereitstellung geschieht dies nur noch, wenn ein neues Gerät registriert wird oder die Zertifikate erneuert werden müssen. In diesen Situationen wird SCEPman einen Spitzenwert an SCEP-Anfragen verarbeiten. Die zweite Aufgabe ist die Zertifikatsvalidierung: Nachdem wir Zertifikate auf Geräten bereitgestellt haben, müssen diese Zertifikate jedes Mal validiert werden, wenn wir sie verwenden. Bei jeder zertifikatsbasierten Authentifizierung senden die Clients, Gateways oder das RADIUS-System (je nachdem, was Sie verwenden) eine OCSP-Anfrage an den SCEPman-App Service. Dies führt zu einer dauerhaften Anfragelast auf dem App Service. Für eine optimierte Leistung und zur Kostenkontrolle empfehlen wir, die Autoscaling-Funktionalität des App Service einzurichten. Mit dieser Funktion kann Ihre Anwendung basierend auf Metriken horizontal hoch- und herunterskalieren. {% content-ref url="/pages/83ce381419577d68f0b8598b7064ceed31f75824" %} [Autoskalierung](/de/azure-konfiguration/azure-sizing/autoscaling.md) {% endcontent-ref %} {% endstep %} {% step %} ### Geo-Redundanz konfigurieren {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} Das Konfigurieren einer geo-redundanten Instanz für SCEPman kann die Dienstverfügbarkeit und Ausfallsicherheit verbessern, indem Arbeitslasten über mehrere Azure-Regionen verteilt werden. Es ist jedoch wichtig zu beachten, dass dieses Setup aufgrund der zusätzlichen Ressourcen und der beteiligten Datenreplikation zu höheren Azure-Kosten führen kann. Microsoft bietet für Azure App Services ein SLA von 99,95 %, was in den meisten Szenarien ausreichend ist. {% content-ref url="/pages/6d63e25074fd9d29d789ca748b36f8b84000ac5b" %} [Geo-Redundanz](/de/azure-konfiguration/geo-redundancy.md) {% endcontent-ref %} {% endstep %} {% step %} ### Konfigurieren Sie Ihre MDM-Bereitstellungsprofile {% hint style="success" %} Dies ist ein **empfohlen** Schritt. {% endhint %} Mit dem Abschluss der obigen Schritte haben wir eine funktionsfähige SCEPman-Implementierung und können nun Zertifikate auf die Geräte bereitstellen. Bitte verwenden Sie einen (oder mehrere) der folgenden Artikel, um Zertifikate mit Ihrer bevorzugten MDM-Lösung bereitzustellen: {% content-ref url="/pages/e3c41e3d155553a007cb75e3182a936e3d908f2f" %} [Microsoft Intune](/de/zertifikatsverwaltung/microsoft-intune.md) {% endcontent-ref %} {% content-ref url="/pages/c97b83e46aeef20ec602363d85fadd969cded44c" %} [Jamf Pro](/de/zertifikatsverwaltung/jamf.md) {% endcontent-ref %} {% content-ref url="/pages/2bc7c1329c7bb8d88542b3da49d158b756541f1b" %} [Andere MDM-Lösungen](/de/zertifikatsverwaltung/static-certificates.md) {% endcontent-ref %} {% endstep %} {% step %} ### Zertifikate manuell ausstellen oder CSRs mit dem Certificate Master signieren {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} Bitte folgen Sie dem untenstehenden Link, um zu erfahren, wie TLS-Serverzertifikate auf Basis einer Liste von FQDNs ausgestellt oder beliebige CSRs mit der Komponente Certificate Master signiert werden. {% content-ref url="/pages/fcc73d86c013986781b1a301511539c4d449a9ed" %} [Certificate Master](/de/zertifikatsverwaltung/certificate-master.md) {% endcontent-ref %} {% endstep %} {% step %} ### Zertifikate über die Enrollment-REST-API ausstellen {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} SCEPman verfügt über eine REST-API zur Registrierung von Zertifikaten. Dies ist eine Alternative zu den SCEP-Endpunkten, die eine SCEP-basierte Authentifizierung erfordern, während die REST-API Microsoft Identities für die Authentifizierung verwendet. Das Protokoll ist außerdem viel einfacher als SCEP. {% content-ref url="/pages/5246dbcfd1fdf20948b05420842af9372e0d0d9a" %} [Registrierungs-REST-API](/de/zertifikatsverwaltung/api-certificates.md) {% endcontent-ref %} {% endstep %} {% step %} ### Sperren für SCEPman-Azure-Ressourcen erstellen {% hint style="info" %} Dies ist ein **optional** Schritt. {% endhint %} Standardmäßig wendet SCEPman keine Sperren auf Azure-Ressourcen an. Wenn Sie Ressourcensperren verwenden und diese konfigurieren möchten, zeigt die folgende Liste, welche Sperrtypen auf jede SCEPman-Ressource angewendet werden können. * **Key Vault:** Soft Delete und Purge Protection bieten bereits Schutz vor versehentlichem Löschen. SCEPman ändert die Ressource nach der Erstellung des CA-Schlüssels nicht mehr, daher ist ein **ReadOnlyLock** technisch möglich. * **Storage Account:** Nur ein **DeleteLock** ist möglich, da SCEPman Zertifikatsinformationen in die Tabelle schreiben muss. Wenn ein Storage Account versehentlich gelöscht wird, verlieren Sie Informationen über bereits ausgestellte Zertifikate. * **App Services:** Ein **ReadOnlyLock** ist theoretisch möglich, muss jedoch jedes Mal entfernt werden, wenn Sie die SCEPman-Konfiguration ändern. Ein gelöschter App Service kann leicht neu installiert werden, verfügt dann jedoch nur über die Standardkonfiguration, sodass alle manuellen Änderungen erneut manuell konfiguriert werden müssen. Eine Kombination aus **DeleteLock** und **ReadOnlyLock** hilft, dieses Risiko zu mindern. * **Log Analytics Workspace:** Ein **DeleteLock** ist technisch möglich, aber Sie würden nur Protokolle verlieren, die während des Aufbewahrungszeitraums gesammelt wurden, was die Verfügbarkeit des SCEPman-Dienstes nicht beeinträchtigt. * **Andere Azure-Ressourcen:** Diese speichern keine Daten und können ohne Informationsverlust neu erstellt werden. Eine **DeleteLock** und **ReadOnlyLock** kann für einige von ihnen nützlich sein. Einige können überhaupt nicht gelöscht werden, da sie Abhängigkeiten von einem der oben genannten Kerndienste haben. {% endstep %} {% endstepper %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.scepman.com/de/scepman-bereitstellung/deployment-guides/enterprise-guide-1.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.