Erweiterter Leitfaden
nur SCEPman Enterprise Edition
Dies führt Sie durch alle Schritte zur Bereitstellung von SCEPman für eine Enterprise-Umgebung mit erweiterten Anforderungen, z. B. Namenskonventionen, Redundanz oder Auto-Skalierung.
Azure-Bereitstellung
Beginnen wir mit den Anforderungen und einer Ressourcenübersicht. Denken Sie daran, dass Sie ein sinnvolles Design für Azure-Ressourcen planen müssen.
Voraussetzungen
Pflicht
Optional
Azure-Ressourcenübersicht
Die folgenden Ressourcen werden für eine Produktionsumgebung empfohlen.
App Service (x2)
Eine virtuelle Azure-Umgebung zum Ausführen der SCEPman Core- und Cert Master-Anwendungen, die eine Benutzeroberfläche zum Konfigurieren verschiedener anwendungsspezifischer Einstellungen wie CNAME, SSL-Zertifikat und App-Einstellungen bereitstellt.
App Service-Plan
Ein virtueller Satz aus Rechenressourcen und Konfigurationen für die „App Service(s)“.
Hier können Sie die Preisstufe und die Ressourcenskalierung konfigurieren.
Key Vault
Tool zum sicheren Speichern von Geheimnissen und Zertifikaten. Die SCEPman-Anwendung generiert und speichert das Stammzertifikat in Ihrem Key Vault.
Application Insights
Tool für Application Performance Management (APM), um Einblicke in die SCEPman-Anwendungen und -Anfragen zu erhalten. Wird benötigt, um die Leistung zu messen, und ist gut für die Serviceoptimierung geeignet.
Storage-Konto
Speicherplattform, die von der Certificate Master-Komponente von SCEPman verwendet wird, um Zertifikatsattribute zu Sperrzwecken zu speichern. Optional:
Der „App Service“ lädt die Artefakte aus einer Blob-Storage-URI, wenn manuelle Updates konfiguriert sind.
Log Analytics-Arbeitsbereich
Ein zentraler und cloudbasierter Protokollspeicher. Der „App Service“ speichert alle
Plattformprotokolle und Metriken in diesem Arbeitsbereich. Seit v3.0 schreibt SCEPman Protokolle mithilfe der Log Ingestion API von Microsoft in den Log Analytics-Arbeitsbereich.
Wenn Sie zusätzlich Private Endpoints verwenden, haben Sie sieben zusätzliche Azure-Ressourcen.
virtuellen Netzwerk
Die SCEPman App Services, der Key Vault und das Storage Account verbinden sich über dieses VNET.
Privater Endpunkt (×2)
Eines für den Key Vault und eines für das Storage Account. Dadurch werden sie über das VNET zugänglich.
Private DNS-Zone (×2)
Eines für den Key Vault und eines für das Storage Account. Beide haben im VNET eine interne IP-Adresse, für die sie in ihrer jeweiligen Private DNS-Zone einen Namen haben.
Netzwerkschnittstelle (×2)
Eines für den Key Vault und eines für das Storage Account. Sie verbindet den privaten Endpunkt mit dem VNET.
Konfigurationsschritte
SCEPman-Basisdienste bereitstellen
Dies ist ein Pflicht- Schritt.
Treffen Sie Ihre Entscheidung, ob Sie mit einem Windows oder Linux App Service Plan bereitstellen möchten. Beide Bereitstellungsmethoden ermöglichen es Ihnen, Ihr Betriebssystem auszuwählen.
Um mit der Bereitstellung zu beginnen, müssen Sie unseren Einrichtungsanweisungen folgen und dabei eine ARM-Vorlage
oder alternativ unser Terraform Skript verwenden:
Nachbereitungs-Schritte durchführen (Berechtigungszuweisungen)
Dies ist ein Pflicht- Schritt.
Um alle Komponenten von SCEPman korrekt zu verknüpfen, müssen mehrere Berechtigungen zugewiesen werden. Bitte befolgen Sie diese Schritte, um die relevanten Verbindungen herzustellen:
Berechtigungen für den Certificate Master hinzufügen
Dies ist ein Pflicht- Schritt für Enterprise Edition -Kunden. Benutzer der Community Edition
können diesen Schritt überspringen. Die Certificate Master ist eine Funktion der Enterprise Edition, die es Administratoren ermöglicht, Zertifikate manuell zu erstellen und zu widerrufen. Bitte folgen Sie diesen Schritten, um Zugriff auf den Certificate Master zu gewähren.
Root-Zertifikat erstellen
Dies ist ein Pflicht- Schritt.
Nach Abschluss der Bereitstellung und der Zuweisung der Berechtigungen müssen Sie das Root-Zertifikat für SCEPman erstellen:
Eine benutzerdefinierte Domäne und ein SSL-Zertifikat konfigurieren
Dies ist ein empfohlen Schritt. Allerdings überspringen Sie diesen Schritt, wenn Sie Geo-Redundanz implementieren.
Um SCEPman unter Ihrer spezifischen Domäne verfügbar zu machen, müssen Sie eine benutzerdefinierte Domäne im App Service
Manuelle Updates
Dies ist ein optional Schritt.
Standardmäßig verfolgt SCEPman einen Evergreen-Ansatz bei Updates. Falls Sie die volle Kontrolle über Ihre SCEPman-Updates benötigen, konfigurieren Sie bitte einen Bereitstellungsslot wie im folgenden Leitfaden unter Abschnitt Konfiguration des Bereitstellungsslots.
Application Insights bereitstellen
Dies ist empfohlen Schritt.
Application Insights kann verwendet werden, um einen Überblick über die Leistung des App Service zu erhalten und tiefere Einblicke in die Anforderungsverarbeitung von SCEPman zu gewinnen. Wir empfehlen, Application Insights immer zu konfigurieren, um den App Service zu überwachen, zu warten und zu optimieren.
Health Check konfigurieren
Dies ist empfohlen Schritt.
Health Checks können so konfiguriert werden, dass Administratoren benachrichtigt werden, falls der SCEPman App Service nicht reagiert.
Stellen Sie sicher, dass SCEPman über ausreichende Ressourcen verfügt
Dies ist ein Pflicht- Schritt.
Sobald Sie SCEPman in eine Produktionsumgebung verschieben, sollten Sie sicherstellen, dass SCEPman mit ausreichender Rechenleistung ausgestattet ist. Prüfen Sie daher bitte unseren Azure-Sizing-Leitfaden und aktualisieren Sie bei Bedarf die Stufe Ihres App Service Plans. Sie können dies bis nach Ihrer PoC- oder Testphase verschieben.
Autoscaling konfigurieren
Dies ist ein optional Schritt.
Die SCEPman-Lösung hat zwei unterschiedliche Aufgaben und Leistungsanforderungen. Die erste Aufgabe ist der Prozess der Zertifikatsausstellung: Nach der Konfiguration der SCEPman-Lösung müssen wir Zertifikate an alle Geräte verteilen (Benutzer- und/oder Gerätezertifikate), aber dies ist eine einmalige Aufgabe, und nach der ersten Bereitstellung geschieht dies nur noch, wenn ein neues Gerät registriert wird oder die Zertifikate erneuert werden müssen. In diesen Situationen wird SCEPman einen Spitzenwert an SCEP-Anfragen erleben.
Die zweite Aufgabe ist die Zertifikatsvalidierung: Nachdem wir Zertifikate an Geräte bereitgestellt haben, müssen diese Zertifikate jedes Mal validiert werden, wenn wir sie verwenden. Bei jeder zertifikatsbasierten Authentifizierung senden die Clients, Gateways oder das RADIUS-System (je nachdem, was Sie verwenden) eine OCSP-Anfrage an den SCEPman App Service. Dies führt zu einer dauerhaften Anfragelast auf dem App Service.
Um eine optimierte Leistung zu erreichen und die Kosten im Blick zu behalten, empfehlen wir, die Autoscaling-Funktionalität des App Service einzurichten. Mit dieser Funktion kann Ihre Anwendung basierend auf Kennzahlen horizontal skaliert und wieder verkleinert werden.
Geo-Redundanz konfigurieren
Dies ist ein optional Schritt.
Die Konfiguration einer geo-redundanten Instanz für SCEPman kann die Serviceverfügbarkeit und Ausfallsicherheit verbessern, indem Workloads auf mehrere Azure-Regionen verteilt werden.
Es ist jedoch wichtig zu beachten, dass dieses Setup aufgrund der zusätzlichen Ressourcen und der damit verbundenen Datenreplikation zu höheren Azure-Kosten führen kann. Microsoft bietet für Azure App Services ein SLA von 99,95 % an, was in den meisten Szenarien ausreichend ist.
Konfigurieren Sie Ihre MDM-Bereitstellungsprofile
Dies ist ein empfohlen Schritt.
Mit dem Abschluss der obigen Schritte haben wir eine funktionierende SCEPman-Implementierung und können nun Zertifikate auf die Geräte bereitstellen.
Bitte verwenden Sie einen (oder mehrere) der folgenden Artikel, um Zertifikate mit Ihrer bevorzugten MDM-Lösung bereitzustellen:
Zertifikate manuell ausstellen oder CSRs mit dem Certificate Master signieren
Dies ist ein optional Schritt.
Bitte folgen Sie dem nachstehenden Link, um zu erfahren, wie Sie TLS-Serverzertifikate auf Grundlage einer Liste von FQDNs ausstellen oder jede CSR mithilfe der Certificate Master-Komponente signieren können.
Zertifikate mithilfe der Enrollment-REST-API ausstellen
Dies ist ein optional Schritt.
SCEPman verfügt über eine REST-API zur Registrierung von Zertifikaten. Dies ist eine Alternative zu den SCEP-Endpunkten, die eine SCEP-Authentifizierung erfordern, während die REST-API für die Authentifizierung Microsoft-Identitäten verwendet. Das Protokoll ist außerdem deutlich einfacher als SCEP.
Sperren für SCEPman-Azure-Ressourcen erstellen
Dies ist ein optional Schritt.
Standardmäßig wendet SCEPman keine Sperren auf Azure-Ressourcen an. Wenn Sie Ressourcensperren verwenden und diese konfigurieren möchten, zeigt die folgende Liste, welche Sperrtypen auf jede SCEPman-Ressource angewendet werden können.
Key Vault: Soft Delete und Purge Protection bieten bereits Schutz vor versehentlichem Löschen. SCEPman ändert die Ressource nach der Erstellung des CA-Schlüssels nicht mehr, daher ist eine ReadOnlyLock technisch möglich.
Storage Account: Nur eine DeleteLock ist möglich, da SCEPman Zertifikatsinformationen in die Tabelle schreiben muss. Wenn ein Storage Account versehentlich gelöscht wird, gehen Informationen über bereits ausgestellte Zertifikate verloren.
App Services: Ein ReadOnlyLock ist theoretisch möglich, muss jedoch jedes Mal entfernt werden, wenn Sie die SCEPman-Konfiguration ändern. Ein gelöschter App Service kann leicht neu installiert werden, verfügt dann jedoch nur über die Standardkonfiguration, sodass alle manuellen Änderungen erneut manuell konfiguriert werden müssen. Eine Kombination aus DeleteLock und ReadOnlyLock hilft, dieses Risiko zu mindern.
Log Analytics Workspace: Ein DeleteLock ist technisch möglich, jedoch würden Sie nur Protokolle verlieren, die während des Aufbewahrungszeitraums gesammelt wurden, was die Verfügbarkeit des SCEPman-Dienstes nicht beeinträchtigt.
Weitere Azure-Ressourcen: Diese speichern keine Daten und können ohne Informationsverlust neu erstellt werden. Eine DeleteLock und ReadOnlyLock kann für einige davon nützlich sein. Einige können überhaupt nicht gelöscht werden, da sie Abhängigkeiten zu einem der oben genannten Kernservices haben.
Zuletzt aktualisiert
War das hilfreich?