Erweiterter Leitfaden

Nur SCEPman Enterprise Edition

Dies führt Sie durch alle Schritte zur Bereitstellung von SCEPman für eine Enterprise-Umgebung mit erweiterten Anforderungen, z. B. Namenskonventionen, Redundanz oder Autoskalierung.

Azure-Bereitstellung

Beginnen wir mit den Anforderungen und einer Ressourcenübersicht. Denken Sie daran, dass Sie ein sinnvolles Azure-Ressourcendesign planen müssen.

Voraussetzungen

Verpflichtend

• Azure-Ressourcen-Namenskonvention.

• Azure-Abonnement (mindestens Contributor-Rechte für dieses Abonnement).

• Azure-Owner-Rechte (mindestens auf Ressourcengruppenebene).

• Microsoft Entra ID (Azure AD) „Global Administrator“ (Zustimmung zum Zugriff auf die Graph-API).

• Stellen Sie sicher, dass Sie Ihre Azure-Richtlinien definieren gemäß den Anforderungen von SCEPman (z. B. TLS nicht erzwingen).

• Öffentlicher Domain-CNAME (scepman.ihredomain.com), nur wenn Geo-Redundanz verwendet wird.

• SSL-Zertifikat (oder verwenden Sie App Service Managed Certificate), nur wenn Geo-Redundanz verwendet wird.

• SCEPman Enterprise Edition-Lizenzschlüssel.

Optional

• Öffentlicher Domain-CNAME (scepman.ihredomain.com), nur wenn eine benutzerdefinierte Domäne verwendet wird.

• SSL-(Wildcard-)Zertifikat (oder verwenden Sie App Service Managed Certificate), nur wenn eine benutzerdefinierte Domäne verwendet wird.

Azure-Ressourcenübersicht

Die folgenden Ressourcen werden für eine Produktionsumgebung empfohlen.

Wenn Sie zusätzlich Private Endpoints verwenden, haben Sie sieben zusätzliche Azure-Ressourcen.

Konfigurationsschritte

1

SCEPman-Basisdienste bereitstellen

Dies ist ein verpflichtender Schritt.

Treffen Sie Ihre Entscheidung, ob Sie mit einem Windows- oder Linux- App Service Plan bereitstellen möchten. Beide Bereitstellungsmethoden ermöglichen Ihnen die Auswahl Ihres Betriebssystems.

Um mit der Bereitstellung zu beginnen, müssen Sie unseren Einrichtungsanweisungen folgen und dabei ein ARM-Template

Unternehmensbereitstellung

oder alternativ unser Terraform- Skript verwenden:

Terraform-Bereitstellung

2

Post-Deployment-Schritte ausführen (Berechtigungszuweisungen)

Dies ist ein verpflichtender Schritt.

Um alle Komponenten von SCEPman korrekt zu verknüpfen, müssen mehrere Berechtigungen zugewiesen werden. Bitte befolgen Sie diese Schritte, um die relevanten Verbindungen herzustellen:

Verwaltete Identitäten

3

Berechtigungen für den Certificate Master hinzufügen

Dies ist ein verpflichtender Schritt für Enterprise- Edition- Kunden. Benutzer der Community Edition können diesen Schritt überspringen.

Der Certificate Master ist eine Enterprise Edition- Funktion, die Administratoren das manuelle Erstellen und Widerrufen von Zertifikaten ermöglicht. Bitte befolgen Sie diese Schritte, um Zugriff auf den Certificate Master zu gewähren.

Certificate Master RBAC

4

Root-Zertifikat erstellen

Dies ist ein verpflichtender Schritt.

Nach Abschluss der Bereitstellung und der Berechtigungszuweisung müssen Sie das Root-Zertifikat für SCEPman erstellen:

Root-CA

5

Benutzerdefinierte Domäne und SSL-Zertifikat konfigurieren

Dies ist ein empfohlener Schritt. Überspringen Sie jedoch diesen Schritt wenn Sie Geo-Redundanz implementieren.

Damit SCEPman unter Ihrer spezifischen Domäne verfügbar ist, müssen Sie eine benutzerdefinierte Domäne im App Service anlegen.

benutzerdefinierte Domäne

6

Manuelle Updates

Dies ist ein optionaler Schritt.

Standardmäßig verfolgt SCEPman einen Evergreen-Ansatz für Updates. Falls Sie die volle Kontrolle über Ihre SCEPman-Updates benötigen, konfigurieren Sie bitte einen Deployment-Slot wie im folgenden Leitfaden im Abschnitt Konfiguration des Deployment-Slots.

Update-Strategie

7

Application Insights bereitstellen

Dies ist empfohlener Schritt.

Application Insights kann verwendet werden, um einen Überblick über die Leistung des App Service zu erhalten und tiefere Einblicke in die Anforderungsverarbeitung von SCEPman zu gewinnen. Wir empfehlen, Application Insights immer zu konfigurieren, um den App Service zu überwachen, zu warten und zu optimieren.

Application Insights

8

Health Check konfigurieren

Dies ist empfohlener Schritt.

Health Checks können so konfiguriert werden, dass Administratoren benachrichtigt werden, falls der SCEPman App Service nicht reagiert.

Integritätsprüfung

9

Stellen Sie sicher, dass SCEPman über ausreichende Ressourcen verfügt

Dies ist ein verpflichtender Schritt.

Sobald Sie SCEPman in eine Produktionsumgebung überführen, sollten Sie sicherstellen, dass SCEPman mit ausreichender Rechenleistung ausgestattet ist. Prüfen Sie daher bitte unseren Azure-Sizing-Leitfaden und erhöhen Sie bei Bedarf die Stufe Ihres App Service Plans. Sie können dies bis nach Ihrer PoC- oder Testphase verschieben.

Größenanpassung der App Service

10

Autoscaling konfigurieren

Dies ist ein optionaler Schritt.

Die SCEPman-Lösung hat zwei verschiedene Aufgaben und Leistungsanforderungen. Die eine Aufgabe ist der Zertifikatsausstellungsprozess: Nach der Konfiguration der SCEPman-Lösung müssen wir Zertifikate an alle Geräte ausstellen (Benutzer- und/oder Gerätezertifikate), aber das ist eine einmalige Aufgabe und nach der ersten Bereitstellung geschieht dies nur noch, wenn ein neues Gerät angemeldet wird oder die Zertifikate erneuert werden müssen. In diesen Situationen wird SCEPman eine Spitze an SCEP-Anfragen erleben.

Die zweite Aufgabe ist die Zertifikatsvalidierung: Nachdem wir Zertifikate an Geräte ausgestellt haben, müssen diese Zertifikate jedes Mal validiert werden, wenn wir sie verwenden. Bei jeder zertifikatsbasierten Authentifizierung senden die Clients, Gateways oder das RADIUS-System (je nachdem, was Sie verwenden) eine OCSP-Anfrage an den SCEPman App Service. Dies führt zu einer permanenten Anfragelast auf dem App Service.

Um eine optimierte Leistung und Kosteneffizienz zu erreichen, empfehlen wir, die Autoscaling-Funktionalität des App Service einzurichten. Mit dieser Funktion kann Ihre Anwendung basierend auf Metriken horizontal und vertikal skaliert werden.

Autoskalierung

11

Geo-Redundanz konfigurieren

Dies ist ein optionaler Schritt.

Die Konfiguration einer geo-redundanten Instanz für SCEPman kann die Verfügbarkeit und Ausfallsicherheit des Dienstes erhöhen, indem Arbeitslasten auf mehrere Azure-Regionen verteilt werden.

Allerdings ist zu beachten, dass dieses Setup aufgrund der zusätzlichen Ressourcen und der beteiligten Datenreplikation zu höheren Azure-Kosten führen kann. Microsoft bietet für Azure App Services ein SLA von 99,95 %, was in den meisten Szenarien ausreichend ist.

Georedundanz

12

Ihre MDM-Bereitstellungsprofile konfigurieren

Dies ist ein empfohlener Schritt.

Mit Abschluss der oben genannten Schritte haben wir eine funktionierende SCEPman-Implementierung und können nun Zertifikate auf die Geräte ausrollen.

Bitte verwenden Sie einen (oder mehrere) der folgenden Artikel, um Zertifikate mit Ihrer bevorzugten MDM-Lösung bereitzustellen:

Microsoft IntuneJamf ProAndere MDM-Lösungen

13

Zertifikate manuell ausstellen oder CSRs mit dem Certificate Master signieren

Dies ist ein optionaler Schritt.

Bitte folgen Sie dem unten stehenden Link, um zu erfahren, wie Sie TLS-Serverzertifikate auf Basis einer Liste von FQDNs ausstellen oder beliebige CSRs mit der Certificate-Master-Komponente signieren.

Certificate Master

14

Zertifikate über die Enrollment-REST-API ausstellen

Dies ist ein optionaler Schritt.

SCEPman bietet eine REST-API zur Zertifikatsanmeldung. Dies ist eine Alternative zu den SCEP-Endpunkten, die die SCEP-Authentifizierung erfordern, während die REST-API Microsoft-Identitäten zur Authentifizierung verwendet. Das Protokoll ist außerdem wesentlich einfacher als SCEP.

Enrollment-REST-API

15

Sperren auf SCEPman-Azure-Ressourcen erstellen

Dies ist ein optionaler Schritt.

Standardmäßig wendet SCEPman keine Sperren auf Azure-Ressourcen an. Wenn Sie Ressourcensperren verwenden und diese konfigurieren möchten, zeigt die folgende Liste, welche Sperrtypen auf welche SCEPman-Ressource angewendet werden können.

• Key Vault: Soft Delete und Purge Protection bieten bereits Schutz vor versehentlichem Löschen. SCEPman verändert die Ressource nach der Erstellung des CA-Schlüssels nicht mehr, daher ist eine ReadOnlyLock technisch möglich.

• Storage Account: Nur eine DeleteLock ist möglich, da SCEPman Zertifikatsinformationen in die Tabelle schreiben muss. Wenn ein Storage Account versehentlich gelöscht wird, verlieren Sie Informationen über bereits ausgestellte Zertifikate.

• App Services: Eine ReadOnlyLock ist theoretisch möglich, muss jedoch jedes Mal entfernt werden, wenn Sie die SCEPman-Konfiguration ändern. Ein gelöschter App Service kann problemlos neu installiert werden, hat dann aber nur die Standardkonfiguration, sodass alle manuellen Änderungen erneut manuell konfiguriert werden müssen. Eine Kombination aus DeleteLock und ReadOnlyLock hilft, dieses Risiko zu mindern.

• Log Analytics Workspace: Eine DeleteLock ist technisch möglich, aber Sie würden nur Protokolle verlieren, die während des Aufbewahrungszeitraums gesammelt wurden, was die Verfügbarkeit des SCEPman-Dienstes nicht beeinträchtigt.

• Andere Azure-Ressourcen: Diese speichern keine Daten und können ohne Informationsverlust neu erstellt werden. Eine DeleteLock und ReadOnlyLock kann für einige von ihnen nützlich sein. Einige können überhaupt nicht gelöscht werden, da sie Abhängigkeiten zu einem der oben genannten Kerndienste haben.