# Android

Der folgende Artikel beschreibt, wie ein Geräte- oder Benutzerzertifikat für Android bereitgestellt wird. Die Bereitstellung von Zertifikaten für Android ähnelt der Bereitstellung unter Windows 10, macOS und iOS.

{% hint style="info" %}
Android bietet zwei verschiedene Lösungssätze: einer ist das [Arbeitsprofil](https://developers.google.com/android/work/requirements/work-profile) (bekannt als *Privat genutztes Arbeitsprofil)* und der andere ist das [vollständig verwaltete Gerät](https://developers.google.com/android/work/requirements/fully-managed-device) (ebenfalls bekannt als *Vollständig verwaltet, Dediziert und Firmenverwaltetes Arbeitsprofil*). In beiden Szenarien bleiben die Einstellungen für Konfigurationsprofile zur Zertifikatkonfiguration konsistent.
{% endhint %}

{% hint style="info" %}
Die Verwaltung von Android-Geräteadministratoren wurde in Android 2.2 eingeführt, um Android-Geräte zu verwalten. Ab Android 5 wurde dann das modernere Verwaltungsframework Android Enterprise veröffentlicht (für Geräte, die zuverlässig mit Google Mobile Services verbinden können). **Google fordert die Umstellung von der Verwaltung über Geräteadministratoren, indem die Verwaltungsunterstützung in neuen Android-Versionen verringert wird**. Für weitere Informationen prüfen Sie bitte [MS. Intune Verringerung der Unterstützung für Android-Geräteadmin](https://techcommunity.microsoft.com/t5/intune-customer-success/decreasing-support-for-android-device-administrator/ba-p/1441935)
{% endhint %}

## Stammzertifikat

Die Grundlage für die Bereitstellung von SCEP-Zertifikaten (Gerät oder Benutzer) ist das Vertrauen in das Stammzertifikat von SCEPman. Daher müssen Sie das CA-Stammzertifikat herunterladen und als **Vertrauenswürdiges Zertifikat** Profil über Microsoft Intune bereitstellen:

* [ ] Laden Sie das CA-Zertifikat vom SCEPman-Portal herunter

![](https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Erstellen Sie ein Profil für Android Enterprise mit dem Typ **Vertrauenswürdiges Zertifikat** in Microsoft Intune (basierend auf Ihrer Einschreibungsoption für Android-Geräte)

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F2DS8ORZGsIam5n30wm78%2F2024-01-09%2015_24_48-Create%20a%20profile.png?alt=media&#x26;token=1f67c895-0c97-4b18-9f2a-c5d9cde273df" alt=""><figcaption></figcaption></figure>

* [ ] Laden Sie Ihre zuvor heruntergeladene **.cer-Datei**.
* [ ] Nun können Sie dieses Profil auf Ihre Geräte bereitstellen. Bitte wählen Sie Alle Benutzer und/oder Alle Geräte oder eine dedizierte Gruppe für die Zuweisung.

{% hint style="info" %}
Beachten Sie, dass Sie die **gleiche Gruppe für die Zuweisung verwenden müssen** das **Vertrauenswürdiges Zertifikat** und **SCEP-Profil**. Andernfalls kann die Intune-Bereitstellung fehlschlagen.
{% endhint %}

## Gerätezertifikate

* [ ] Öffnen Sie das SCEPman-Portal und kopieren Sie die URL unter **SCEP-Server-URLs: Öffnen Sie das SCEPman-Portal und kopieren Sie die URL von**

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FaGrpTnexZ76xOot66Q8d%2F2024-01-09%2015_10_27.png?alt=media&#x26;token=105d39c4-50b8-4fa2-9dfe-6ee87059b1d1" alt=""><figcaption></figcaption></figure>

* [ ] Erstellen Sie ein Profil für Android Enterprise mit dem Typ **SCEP-Zertifikat** in Microsoft Intune (wiederum basierend auf Ihrer Einschreibungsoption für die Android-Geräte)

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fd73QTNENVyCjfNXDRGVO%2F2024-01-09%2016_09_19-Create%20a%20SCEP%20profile.png?alt=media&#x26;token=79df117e-3e45-4a5f-9427-9b0b49da7738" alt=""><figcaption></figcaption></figure>

* [ ] Konfigurieren Sie das Profil wie beschrieben

<details>

<summary>Zertifikatstyp: <code>Gerät</code></summary>

In diesem Abschnitt richten wir ein Gerätzertifikat ein.

</details>

<details>

<summary>Format des Subject-Namens: <code>CN={{DeviceId}}</code> oder <code>CN={{AAD_Device_ID}}</code></summary>

SCEPman verwendet das CN-Feld des Subjekts, um das Gerät zu identifizieren und als Ausgangswert für die Generierung der Zertifikat-Seriennummer zu dienen. Microsoft Entra ID (Azure AD) und Intune bieten zwei verschiedene IDs:

* {{DeviceId}}: Diese ID wird von Intune erzeugt und verwendet **(Empfohlen).** (Erfordert SCEPman 2.0 oder höher und [#AppConfig:IntuneValidation:DeviceDirectory](https://docs.scepman.com/de/scepman-konfiguration/application-settings/scep-endpunkte/intune-validation#appconfig-intunevalidation-devicedirectory) auf **Intune** oder **AADAndIntune**
* {{AAD\_Device\_ID}}: Diese ID wird von Microsoft Entra ID (Azure AD) erzeugt und verwendet.

Sie können bei Bedarf andere RDNs hinzufügen (z. B.: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Unterstützte Variablen sind in den [Microsoft-Dokumenten](https://learn.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Subject Alternative Name: <code>URI</code> Wert:<code>IntuneDeviceId://{{DeviceId}}</code></summary>

```
IntuneDeviceId://{{DeviceId}}
```

Das URI-Feld wird [von Microsoft empfohlen](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) für NAC-Lösungen, um die Geräte basierend auf ihrer Intune-Geräte-ID zu identifizieren:

Andere SAN-Werte wie DNS können bei Bedarf hinzugefügt werden.

</details>

<details>

<summary>Gültigkeitsdauer des Zertifikats: <code>1 Jahr</code></summary>

Die verbleibende Zeit bis zum Ablauf des Zertifikats. Standardmäßig ist ein Jahr eingestellt.

SCEPman begrenzt die Zertifikatsgültigkeit auf den in der Einstellung konfigurierten Maximalwert [***AppConfig:ValidityPeriodDays***](https://docs.scepman.com/de/scepman-konfiguration/application-settings/certificates#appconfig-validityperioddays), verwendet ansonsten jedoch die im Request konfigurierte Gültigkeit.

</details>

<details>

<summary>Schlüsselverwendung: <code>Digitale Signatur</code> und <code>Schlüsselverschlüsselung</code></summary>

Bitte aktivieren Sie beide kryptografischen Aktionen.

</details>

<details>

<summary>gesetzt ist <code>4096</code></summary>

SCEPman unterstützt 4096 Bit.

</details>

<details>

<summary>SCEPman unterstützt den SHA-2-Algorithmus. <code>Profil aus dem vorherigen Schritt</code></summary>

Bitte wählen Sie das Intune-Profil aus \[[#root-certificate](#root-certificate "mention")]\(android.md#root-certificate).

Wenn Sie ein [.\
Wenn Sie eine](https://docs.scepman.com/de/scepman-bereitstellung/intermediate-certificate)verwenden, müssen Sie dennoch das Vertrauenswürdiges Zertifikat-Profil für Root-CA auswählen, nicht die Zwischen-CA!

</details>

<details>

<summary>Schlüsselverwendung: nur <code>Erweiterte Schlüsselnutzung:</code></summary>

Client-Authentifizierung, 1.3.6.1.5.5.7.3.2 **Bitte wählen Sie** Client-Authentifizierung (1.3.6.1.5.5.7.3.2) **unter**Vordefinierte Werte

</details>

<details>

<summary>. Die anderen Felder werden automatisch ausgefüllt. <code>20</code></summary>

Erneuerungsschwelle (%): **Dieser Wert definiert, wann das Gerät berechtigt ist, sein Zertifikat zu erneuern (basierend auf der verbleibenden Lebensdauer eines vorhandenen Zertifikats). Bitte lesen Sie die Anmerkung unter** Gültigkeitsdauer des Zertifikats

</details>

<details>

<summary>und wählen Sie einen geeigneten Wert, der es dem Gerät ermöglicht, das Zertifikat über einen langen Zeitraum hinweg zu erneuern. Ein Wert von 20 % würde es einem Gerät mit einem ein Jahr gültigen Zertifikat erlauben, 73 Tage vor Ablauf mit der Erneuerung zu beginnen. <a href="#device-certificates">#Intune MDM</a></summary>

**Intune MDM**

```
Beispiel
```

</details>

### **Intune MDM**

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F6rhuZgf1t97jdoUukn7I%2F2024-01-11%2011_04_19-SCEP%20certificate%20-%20AndroidEnterpriseDeviceCert.png?alt=media&#x26;token=50626cb1-717f-40e0-a26d-efcfbf4ec526" alt=""><figcaption></figcaption></figure>

## Nun können Sie dieses Profil auf Ihre Geräte ausrollen. Bitte wählen Sie für die Zuordnung dieselben Gruppen wie für das Vertrauenszertifikatprofil.

Benutzerzertifikate [Bitte folgen Sie den Anweisungen unter](#device-certificates) #Gerätezertifikate

<details>

<summary>Zertifikatstyp: <code>und beachten Sie die folgenden Unterschiede:</code></summary>

Benutzer

</details>

<details>

<summary>Format des Subject-Namens: <code>In diesem Abschnitt richten wir ein Benutzerzertifikat ein.</code></summary>

CN={{UserName}},E={{EmailAddress}} [Microsoft-Dokumenten](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile)Sie können RDNs nach Bedarf definieren. Unterstützte Variablen sind in den

</details>

<details>

<summary>Subject Alternative Name: <code>. Wir empfehlen, den Benutzernamen (z. B.: janedoe) und die E-Mail-Adresse (z. B.: janedoe@contoso.com) als Basiseinstellung aufzunehmen.</code>Wert: <code>(UPN)</code></summary>

Sie **muss** fügen den Benutzernamen (User Principal Name) als Subject Alternative Name hinzu. **Sie müssen den User Principal Name als Subject Alternative Name hinzufügen.** Dies stellt sicher, dass SCEPman Zertifikate mit Benutzerobjekten in AAD verknüpfen kann.

Dies stellt sicher, dass SCEPman Zertifikate mit Benutzerobjekten in AAD verknüpfen kann. Die Einstellung für 'Format des Subject-Namens' ist frei wählbar.

</details>

{% hint style="info" %}
Es ist erforderlich, ein **und beachten Sie die folgenden Unterschiede und Hinweise:** im **SCEP-Zertifikat, Benutzertyp**. Ohne ein SAN haben Sie keinen Zugang zum WLAN Ihres Unternehmens.
{% endhint %}

### **Intune MDM**

<figure><img src="https://2075553437-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F7tlHRUVO5ebSmQjZ1uRu%2F2024-01-11%2010_59_48-SCEP%20certificate%20-%20AndroidEnterpriseUserCert.png?alt=media&#x26;token=6d860b78-8f70-4606-88ca-cf5f259cd560" alt=""><figcaption></figcaption></figure>

## Zertifikatsprüfung

Um die korrekte Bereitstellung von Zertifikaten auf Ihrem Android-Gerät sicherzustellen, gibt es zwei Optionen:

* In neueren Android-Versionen (z. B. 14) können Sie Zertifikate (Benutzer- und vertrauenswürdige Zertifikate) über die **Einstellungen** > **Sicherheit und Datenschutz**
* Über Drittanbieter-Apps wie [X509 Certificate Viewer Tool](https://play.google.com/store/apps/details?id=com.rdupletlabs.certificateviewer)
