Erweiterte Anleitung

Nur SCEPman Enterprise Edition

Dies führt Sie durch alle Schritte zur Bereitstellung von SCEPman für eine unternehmensgerechte Umgebung mit erweiterten Anforderungen, z. B. Namenskonventionen, Redundanz oder Auto-Scaling.

Azure-Bereitstellung

Beginnen wir mit den Voraussetzungen und einer Ressourcenübersicht. Beachten Sie, dass Sie ein sinnvolles Azure-Ressourcendesign planen müssen.

Voraussetzungen

Verpflichtend

• Azure-Ressourcen-Namenskonvention.

• Azure-Abonnement (mindestens Mitwirkender-Rechte für dieses Abonnement).

• Azure-Owner-Rechte (mindestens auf Resource Group-Ebene).

• Microsoft Entra ID (Azure AD) „Globaler Administrator“ (Zustimmung zum Zugriff auf die Graph-API).

• Stellen Sie sicher, dass Sie Ihre Azure-Richtlinien definieren entsprechend den SCEPman-Anforderungen (z. B. TLS nicht erzwingen).

• Öffentlicher Domain-CNAME (scepman.ihredomain.com), nur wenn Geo-Redundanz verwendet wird.

• SSL-(Wildcard-)Zertifikat (oder verwenden Sie App Service Managed Certificate), nur wenn Geo-Redundanz verwendet wird.

• SCEPman Enterprise Edition Lizenzschlüssel.

Optional

• Öffentlicher Domain-CNAME (scepman.ihredomain.com), nur wenn eine benutzerdefinierte Domäne verwendet wird.

• SSL-(Wildcard-)Zertifikat (oder verwenden Sie App Service Managed Certificate), nur wenn eine benutzerdefinierte Domäne verwendet wird.

Übersicht Azure-Ressourcen

All diese Ressourcen werden für eine Produktionsumgebung empfohlen.

Zusätzlich, wenn Sie Private Endpoints verwenden, haben Sie sieben weitere Azure-Ressourcen.

Konfigurationsschritte

1

Bereitstellung der SCEPman-Basisdienste

Dies ist ein verpflichtender Schritt.

Treffen Sie Ihre Wahl, ob Sie mit einem Windows oder Linux App Service-Plan bereitstellen möchten. Beide Bereitstellungsmethoden erlauben Ihnen die Auswahl Ihres Betriebssystems.

Um mit der Bereitstellung zu beginnen, befolgen Sie unsere Einrichtungsanweisungen unter Verwendung eines ARM-Templates

Unternehmensbereitstellung

oder alternativ unseres Terraform- Skripts:

Terraform-Bereitstellung

2

Führen Sie Post-Deployment-Schritte (Berechtigungszuweisungen) durch

Dies ist ein verpflichtender Schritt.

Um alle Komponenten von SCEPman korrekt zu verknüpfen, müssen mehrere Berechtigungen zugewiesen werden. Bitte folgen Sie diesen Schritten, um die relevanten Verbindungen herzustellen:

Verwaltete Identitäten

3

Fügen Sie Certificate Master-Berechtigungen hinzu

Dies ist ein verpflichtender Schritt für Enterprise Edition Kunden. Community Edition Benutzer können diesen Schritt überspringen.

Der Certificate Master ist eine Enterprise Edition Funktion, die Administratoren ermöglicht, Zertifikate manuell zu erstellen und zu widerrufen. Bitte folgen Sie diesen Schritten, um Zugriff auf den Certificate Master zu gewähren.

Certificate Master RBAC

4

Root-Zertifikat erstellen

Dies ist ein verpflichtender Schritt.

Nach Abschluss der Bereitstellung und der Berechtigungszuweisungen müssen Sie das Root-Zertifikat für SCEPman erstellen:

Root-CA

5

Konfigurieren einer benutzerdefinierten Domäne und eines SSL-Zertifikats

Dies ist ein empfohlener Schritt. Allerdings überspringen Sie diesen Schritt, wenn Sie Geo-Redundanz / Hochverfügbarkeit implementieren.

Damit Ihr SCEPman unter Ihrer spezifischen Domain erreichbar ist, müssen Sie eine benutzerdefinierte Domäne im App Service

Benutzerdefinierte Domäne

6

erstellen.

Manuelle Updates Dies ist ein Schritt.

optionaler Schritt. Standardmäßig verfolgt SCEPman einen Evergreen-Ansatz.

Update-Strategie

7

gegenüber Updates. Falls Sie volle Kontrolle über Ihre SCEPman-Updates benötigen, konfigurieren Sie bitte einen Deployment-Slot wie im folgenden Leitfaden unter dem Abschnitt

Deployment-Slot-Konfiguration empfohlener Schritt.

bereitstellen von Application Insights

Application Insights

8

Dies ist

Deployment-Slot-Konfiguration empfohlener Schritt.

Die Application Insights kann verwendet werden, um einen Überblick über die Leistung des App Service zu erhalten und tiefere Einblicke in die Anforderungsverarbeitung von SCEPman zu bekommen. Wir empfehlen, Application Insights immer zu konfigurieren, um den App Service zu überwachen, zu warten und zu optimieren.

Health-Check

9

Health Check konfigurieren

Dies ist ein verpflichtender Schritt.

Health Checks können konfiguriert werden, um Administratoren zu benachrichtigen, falls der SCEPman App Service nicht reagiert.

App Service-Größenbestimmung

10

Stellen Sie sicher, dass SCEPman über ausreichende Ressourcen verfügt

Manuelle Updates Dies ist ein Schritt.

Sobald Sie SCEPman in eine Produktionsumgebung überführen, sollten Sie sicherstellen, dass SCEPman über ausreichende Rechenleistung verfügt. Überprüfen Sie daher unseren Azure-Sizing-Leitfaden und aktualisieren Sie bei Bedarf das Tier Ihres App Service-Plans. Sie können dies bis nach Ihrer PoC- oder Testphase verschieben.

Autoscaling konfigurieren

Die SCEPman-Lösung hat zwei verschiedene Aufgaben und Leistungsanforderungen. Eine Aufgabe ist der Zertifikatsausstellungsprozess: Nach der Konfiguration der SCEPman-Lösung müssen wir Zertifikate an alle Geräte bereitstellen (Benutzer- und/oder Gerätezertifikate), dies ist jedoch eine einmalige Aufgabe und nach der Erstbereitstellung geschieht dies nur, wenn ein neues Gerät registriert wird oder Zertifikate erneuert werden müssen. In solchen Situationen erfährt SCEPman einen Peak an SCEP-Anfragen.

Autoskalierung

11

Die zweite Aufgabe ist die Zertifikatsvalidierung: Nachdem wir Zertifikate an Geräte verteilt haben, müssen diese Zertifikate bei jeder Nutzung validiert werden. Für jede zertifikatbasierte Authentifizierung senden die Clients, Gateways oder das RADIUS-System (abhängig von Ihrer Verwendung) eine OCSP-Anfrage an den SCEPman App Service. Dies verursacht eine permanente Anfragelast auf dem App Service.

Manuelle Updates Dies ist ein Schritt.

Um eine optimierte Leistung zu erzielen und die Kosten im Blick zu behalten, empfehlen wir, die Autoscaling-Funktionalität des App Service einzurichten. Mit dieser Funktion kann Ihre Anwendung basierend auf Metriken skalieren (Scale-out und Scale-in).

Geo-Redundanz konfigurieren

Geo-Redundanz

12

Die Konfiguration einer geo-redundanten Instanz für SCEPman kann die Verfügbarkeit und Widerstandsfähigkeit des Dienstes verbessern, indem Arbeitslasten über mehrere Azure-Regionen verteilt werden.

Dies ist ein empfohlener Schritt.

Es ist jedoch wichtig zu beachten, dass diese Einrichtung zu erhöhten Azure-Kosten führen kann, aufgrund der zusätzlichen Ressourcen und Datenreplikation. Microsoft bietet eine SLA von 99,95 % für Azure App Services, die in den meisten Szenarien ausreichend ist.

Konfigurieren Sie Ihre MDM-Bereitstellungsprofile

Microsoft IntuneJamf ProAndere MDM-Lösungen

13

Nach Abschluss der oben genannten Schritte haben wir eine funktionierende SCEPman-Implementierung und können nun Zertifikate auf den Geräten bereitstellen.

Manuelle Updates Dies ist ein Schritt.

Bitte verwenden Sie einen (oder mehrere) der folgenden Artikel, um Zertifikate mit Ihrer bevorzugten MDM-Lösung bereitzustellen:

Certificate Master

14

Zertifikate manuell ausstellen oder CSRs mit dem Certificate Master signieren

Manuelle Updates Dies ist ein Schritt.

Bitte folgen Sie dem untenstehenden Link, um zu erfahren, wie Sie TLS-Serverzertifikate basierend auf einer Liste von FQDNs ausstellen oder beliebige CSR mithilfe der Certificate Master-Komponente signieren.

Enrollment REST API

15

Zertifikate über die Enrollment REST API ausstellen

Manuelle Updates Dies ist ein Schritt.

SCEPman verfügt über eine REST-API zur Registrierung von Zertifikaten. Dies ist eine Alternative zu den SCEP-Endpunkten, die die SCEP-Authentifizierung erfordern, während die REST-API Microsoft-Identitäten zur Authentifizierung verwendet. Das Protokoll ist außerdem deutlich einfacher als SCEP.

• Erstellen von Sperren (Locks) für SCEPman Azure-Ressourcen Standardmäßig wendet SCEPman keine Sperren auf Azure-Ressourcen an. Wenn Sie Ressourcensperren verwenden und diese konfigurieren möchten, beschreibt die folgende Liste, welche Sperrtypen auf jede SCEPman-Ressource angewendet werden können. Key Vault: Soft Delete und Purge Protection bieten bereits Schutz gegen versehentliche Löschung. SCEPman ändert die Ressource nach der Erstellung des CA-Schlüssels nicht mehr, daher ist ein

• ReadOnlyLock technisch möglich. Storage Account: Nur ein

• DeleteLock ist möglich, da SCEPman Zertifikatsinformationen in die Tabelle schreiben muss. Wenn ein Storage Account versehentlich gelöscht wird, gehen Informationen über bereits ausgestellte Zertifikate verloren. Key Vault: App Services: Storage Account: Ein Key Vault: ist theoretisch möglich, muss aber jedes Mal entfernt werden, wenn Sie die SCEPman-Konfiguration ändern. Ein gelöschter App Service kann leicht erneut installiert werden, hat dann jedoch nur die Standardkonfiguration, sodass alle manuellen Änderungen erneut manuell konfiguriert werden müssen. Eine Kombination aus

• und ist möglich, da SCEPman Zertifikatsinformationen in die Tabelle schreiben muss. Wenn ein Storage Account versehentlich gelöscht wird, gehen Informationen über bereits ausgestellte Zertifikate verloren. Storage Account: hilft, dieses Risiko zu mindern.

• Log Analytics Workspace: ist technisch möglich, aber Sie würden nur Protokolle verlieren, die während der Aufbewahrungszeit gesammelt wurden, was die Verfügbarkeit des SCEPman-Dienstes nicht beeinträchtigt. Storage Account: Ein Key Vault: Andere Azure-Ressourcen:‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎‎Diese speichern keine Daten und können ohne Informationsverlust neu erstellt werden. Ein