Self-Service-Registrierung

Gilt für SCEPman Version 2.9 und höher

Damit Clients Zertifikate für sich selbst ohne SCEP registrieren können, können sie die SCEPman REST API verwenden. Sie sollten jedoch nicht in der Lage sein, beliebige Zertifikate zu registrieren, sondern nur Zertifikate, die an ihre eigene Identität gebunden sind. Daher verfügt die SCEPman API über eine Rolle, die Benutzern/Gruppen zugewiesen werden kann, um dies zu ermöglichen.

Voraussetzungen

• Diese Rolle ist ab SCEPman 2.9 enthalten. Wenn Sie SCEPman zuvor installiert haben, müssen Sie das Installationsskript erneut ausführen, damit diese Rolle angezeigt wird.

Zuweisen von Self-Service-Berechtigungen

Sie können überprüfen, ob die Self-Service-Rolle in der App-Registrierung von SCEPman-api vorhanden ist:

Sie können Rollenzuweisungen für Benutzer und Gruppen in der Enterprise-Anwendung SCEPman-api erstellen.

Anforderungen für die Zertifikatsregistrierung

Ein Benutzer mit der Self-Service-Rolle kann nur Zertifikate mit den folgenden Attributen registrieren. (Dies sind dieselben Attribute, die Sie bei der Registrierung von Zertifikaten über ein SCEP-Profil in Intune zum Beispiel auswählen würden). Die Gültigkeit des Zertifikats wird an das Geräteobjekt in Intune oder Entra ID bzw. an das Benutzerobjekt in Entra ID gebunden, analog zu in Intune registrierten Zertifikaten.

Wenn Sie das vorgefertigte Registrierungs-Skript aus unserem Abschnitt Anwendungsfälle, wird automatisch eine Anforderung gemäß diesen Anforderungen generiert.

Gerätezertifikate

Entweder muss der Subject Alternative Name (SAN) enthalten IntuneDeviceID://<IntuneDeviceId> als URI, wobei <IntuneDeviceId> ohne die geschweiften Klammern die Geräte-ID des Geräts in Intune ist. Oder das CN-Feld des Betreffs muss die Geräte-ID von Entra ID oder die Intune Device Id sein.

Feld	Wert
Betreff	CN=<AAD_Device_Id> oder CN=<DeviceId>, wobei das Gerät dem Benutzer gehört.
SAN (URI)	IntuneDeviceID://<IntuneDeviceId>
Basisbeschränkungen	Subjekttyp=End Entity
EKUs	Client Authentication, 1.3.6.1.5.5.7.3.2

Benutzerzertifikate

Feld	Wert
Betreff	CN=<DisplayName>
SAN (Anderer Name/UPN)	<UserPrincipalName>
Basisbeschränkungen	Subjekttyp=End Entity
EKUs	Client Authentication, 1.3.6.1.5.5.7.3.2