Allgemeine Konfiguration

SCEPman kann über den dedizierten Jamf-Endpunkt von SCEPman als externe CA mit Jamf Pro verbunden werden, sodass registrierte Benutzer und Geräte Zertifikate erhalten können. Jamf Pro fungiert als SCEP-Proxy und vermittelt die Kommunikation zwischen SCEPman und Jamf-Pro-Geräten.

Jamf-Integration aktivieren

Die Jamf-Integration von SCEPman lässt sich einfach über die folgenden Umgebungsvariablen auf SCEPman-App-Service:

Einstellung	Beschreibung	Beispiel
AppConfig:JamfValidation:Enabled	Möchten Sie SCEPman mit Jamf verwenden?	true
AppConfig:JamfValidation:RequestPassword	Jamf authentifiziert seine Zertifikatsanforderungen bei SCEPman mit diesem sicheren Passwort. Erwägen Sie, dies als Geheimnis in Ihrem SCEPman KeyVault.	max. 32-stelliges Passwort
AppConfig:JamfValidation:ValidityPeriodDays (optional)	Wie viele Tage dürfen über Jamf ausgestellte Zertifikate höchstens gültig sein?	365
AppConfig:JamfValidation:EnableCertificateStorage (optional)	Aktivieren Sie diese Einstellung, um Jamf-Zertifikate im Certificate Master zu speichern	wahr oder falsch (Standard)

API-Verbindung

SCEPman muss mit der Jamf-API verbunden werden, um den Status der eingebundenen Clients zu überprüfen. Dies wird für den Widerruf von Zertifikaten verwendet.

Siehe die Jamf-Dokumentation darüber, wie eine API-Rolle und ein API-Client erstellt werden. Der API-Client muss eine Rolle mit diesen Berechtigungen haben:

• Mobile Devices lesen
• Computer lesen
• Benutzer lesen

Bitte definieren Sie die folgenden Umgebungsvariablen in Ihrem SCEPman App Service:

Einstellung	Beschreibung	Beispiel
AppConfig:JamfValidation:URL	Die URL Ihrer Jamf-Instanz	https://contoso.jamfcloud.com
AppConfig:JamfValidation:ClientID	Der Bezeichner des Jamf-API-Clients	Siehe Jamf-Client-ID
AppConfig:JamfValidation:ClientSecret	Der Wert des Client Secrets für die Konfiguration des API-Clients. Erwägen Sie, dies als Geheimnis in Ihrem SCEPman KeyVault.	Siehe Jamf-Client-Secret

Die Classic API von Jamf Pro unterstützt seit Version 10.35.0 die Bearer-Authentifizierung. Seit Version 10.36.0 gibt es eine Einstellung, um die vorherige Authentifizierungsmethode, die Basic Authentication, zu deaktivieren. Eine zukünftige Jamf-Version, die für August bis Dezember 2022 geplant ist, wird die Unterstützung für Basic Authentication entfernen. SCEPman 2.0 und niedriger unterstützen für die Classic API nur Basic Authentication, während SCEPman 2.1 und höher Bearer Authentication verwendet. Um Bearer Authentication zu verwenden, müssen Sie auf SCEPman 2.1 oder höher aktualisieren.

Verbindung zur externen CA

Öffnen Sie die Jamf-Pro-Einstellungen und wählen Sie unter "Global Management" "PKI Certificates":

Wechseln Sie zum Tab "Management Certificate Template", "External CA" und aktivieren Sie den Bearbeitungsmodus. Bitte aktivieren Sie Jamf Pro als "SCEP Proxy für Konfigurationsprofile":

Bitte füllen Sie die folgenden Felder aus und speichern Sie die Konfiguration:

Feld	Beschreibung	Beispiel/Wert
URL	URL zu SCEPman Vergessen Sie NICHT den /jamf am Ende	https://scepman.contoso.com/jamf
Name	Name der Instanz	SCEPman Contoso
Betreff	Einträge gemäß X.500-Standard	O=Contoso
Challenge-Typ	Challenge-Typ zur Überprüfung der Zertifikatsausstellung	Static
(Prüf-)Challenge	vorab geteilter geheimer Wert (Challenge)	in SCEPman definiert über AppConfig Parameter
Schlüsselgröße	Schlüsselgröße in Bits	2048
Als digitale Signatur verwenden		Ja (falls erforderlich)
Für Schlüsselverschlüsselung verwenden		Ja (falls erforderlich)
Fingerabdruck	Fingerabdruck des SCEPman-CA-Zertifikats (SHA-1)	im SCEPman-Dashboard sichtbar ("CA Thumbprint")

Signierzertifikat

Bei Verwendung einer externen CA verlangt Jamf, dass Sie das CA-Zertifikat hinzufügen, damit Jamf vergleichen kann, ob die Zertifikate korrekt signiert sind. Jamf erlaubt das Hinzufügen eines CA-Zertifikats jedoch nur, wenn Sie auch ein Signierzertifikat mit einem entsprechenden privaten Schlüssel hinzufügen. Jamf verwendet dieses Signierzertifikat, um Zertifikatsanforderungen zu signieren, die an SCEPman gesendet werden. SCEPman prüft die Signatur auf Anforderungen jedoch nicht und akzeptiert sogar unsignierte Anforderungen (z. B. von Intune), da die Gültigkeit der Anforderung ausschließlich aus der Verwendung des richtigen, in Jamf konfigurierten Challenge-Passworts resultiert.

OpenSSL

openssl req -x509 -newkey rsa:4096 -keyout tempKey.key -out tempCert.pem -sha256 -days 3650 -nodes -subj "/CN=JAMF Signierzertifikat für SCEPman"
openssl pkcs12 -export -out SigningCert.pfx -inkey ./tempKey.key -in ./tempCert.pem -passout pass:password
# Temporäre Dateien entfernen
rm tempKey.key
rm tempCert.pem

PowerShell

$cert = New-SelfSignedCertificate -Subject "CN=JAMF Signierzertifikat für SCEPman" -CertStoreLocation "Cert:\CurrentUser\My" -NotAfter (Get-Date).AddYears(10)
$pfxBytes = $cert.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pfx, "password")
[System.IO.File]::WriteAllBytes("c:\temp\jamf.pfx", $pfxBytes)

Klicken Sie dann in der External-CA-Konfiguration von Jamf auf "Change Signing and CA Certificates"

Laden Sie im Assistenten die PFX-Datei mit dem Signierzertifikat bei Jamf hoch, wenn danach gefragt wird (Hinweis: Pkcs#12 und PFX sind Synonyme). Geben Sie in den nächsten Schritten das Passwort für die PFX-Datei ein und bestätigen Sie die Auswahl des Signierzertifikats. Im Tab "Upload CA Certificate" müssen Sie das SCEPman-CA-Zertifikat hochladen. Sie können das SCEPman-CA-Zertifikat erhalten, indem Sie oben rechts auf der Startseite Ihrer SCEPman-Instanz auf den Link "Get CA Certificate" klicken. Bestätigen Sie abschließend Ihre Änderungen.