> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/zertifikatsverwaltung/microsoft-intune/macos.md).
# macOS
Stellen Sie Zertifikate über SCEP in Intune mit SCEPman auf MacOS-Geräten bereit.
Der folgende Artikel beschreibt, wie Sie Geräte- und/oder Benutzerzertifikate für macOS-Geräte bereitstellen. Die Bereitstellung des SCEPman-Stammzertifikats ist zwingend erforderlich. Danach können Sie wählen, ob Sie nur Geräte-, nur Benutzerzertifikate oder beide Zertifikatstypen bereitstellen.
{% hint style="warning" %}
Bitte beachten Sie, dass macOS zusätzlich zum eigentlichen SCEP-Zertifikatsprofil für jedes Gerätekonfigurationsprofil, in dem ein SCEP-Profil referenziert wird, ein separates Clientauthentifizierungszertifikat bzw. separate Clientauthentifizierungszertifikate registriert. Siehe den Hinweis [hier](https://learn.microsoft.com/en-us/intune/intune-service/protect/certificates-profile-scep#assign-the-certificate-profile)
{% endhint %}
## Root-Zertifikat
Die Grundlage für die Bereitstellung von SCEP-Zertifikaten ist, dem Root-Zertifikat von SCEPman zu vertrauen. Daher müssen Sie das CA-Root-Zertifikat herunterladen und es als **Vertrauenswürdiges Zertifikat** Profil über Microsoft Intune:
* [ ] Laden Sie das CA-Zertifikat aus Ihrem SCEPman-Portal herunter:
%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(2\).png?alt=media)
* [ ] Erstellen Sie ein Profil für macOS vom Typ **Vertrauenswürdiges Zertifikat** in Microsoft Intune:
* [ ] Laden Sie Ihre zuvor heruntergeladene **.cer-Datei**.
* [ ] Jetzt können Sie dieses Profil auf Ihre Geräte bereitstellen. Bitte wählen Sie Alle Benutzer und/oder Alle Geräte oder eine dedizierte Gruppe für die Zuweisung aus.
{% hint style="info" %}
Beachten Sie, dass Sie das **dieselbe Gruppe für die Zuweisung** das **Vertrauenswürdiges Zertifikat** und **SCEP-Profil**. Andernfalls könnte die Intune-Bereitstellung fehlschlagen.
{% endhint %}
## Gerätezertifikate
* [ ] Öffnen Sie das SCEPman-Portal und kopieren Sie die URL unter **Intune MDM**:
* [ ] Erstellen Sie ein Profil für macOS vom Typ **SCEP-Zertifikat** in Microsoft Intune:
* [ ] Konfigurieren Sie das Profil wie beschrieben:
Zertifikatstyp: Gerät
In diesem Abschnitt richten wir ein Gerätezertifikat ein.
Format des Subject-Namens: CN={{DeviceName}} oder CN={{DeviceId}} oder CN={{AAD_Device_ID}}
**Empfohlen:** Verwenden Sie `{{DeviceName}}`für das CN-RDN, damit das Zertifikat auf dem Gerät oder bei der Zertifikatsuche einen aussagekräftigen Namen hat.
**Optional:** Falls konfiguriert auf `CN={{DeviceId}}` oder `CN={{AAD_Device_ID}}`verwendet SCEPman das CN-Feld des Subject-Namens zur Identifizierung des Geräts und als Ausgangswert für die Generierung der Zertifikatsseriennummer. Microsoft Entra ID (Azure AD) und Intune bieten zwei verschiedene IDs an:
* `{{DeviceId}}`: Diese ID wird von Intune generiert und verwendet.\
\
(erfordert [Intune-Validierung](/de/scepman-konfiguration/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory) auf **Intune** oder **AADAndIntune**)
* `{{AAD_Device_ID}}`: Diese ID wird von Microsoft Entra ID (Azure AD) generiert und verwendet.
Falls weder `CN={{DeviceId}}` noch `CN={{AAD_Device_ID}}` für das CN-Feld verwendet wird (z. B. `CN={{DeviceName}})`, identifiziert SCEPman das Gerät anhand der Intune-Geräte-ID (`(URI)-Wert:` `IntuneDeviceId://{{DeviceId}}`) bereitgestellt im Subject Alternative Name (SAN).
**Wichtig:** Die Wahl des CN-Feldes beeinflusst das [automatische Widerrufsverhalten](/de/zertifikatsverwaltung/manage-certificates.md#automatic-revocation) von Zertifikaten, die für Ihre von Intune verwalteten Geräte ausgestellt wurden.
Sie können bei Bedarf weitere RDNs hinzufügen (z. B.: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Unterstützte Variablen sind in den [Microsoft-Dokumentation](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).
Alternativer Betreffname: URI Wert:IntuneDeviceId://{{DeviceId}}
Das URI-Feld wird [von Microsoft empfohlen](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) damit NAC-Lösungen die Geräte anhand ihrer Intune-Geräte-ID identifizieren können.
```
IntuneDeviceId://{{DeviceId}}
```
Das **URI-Feld ist obligatorisch** falls weder `CN={{DeviceId}}` noch `CN={{AAD_Device_ID}}` im **Format des Subject-Namens** verwendet wird.
Andere SAN-Werte wie DNS können bei Bedarf hinzugefügt werden.
Gültigkeitsdauer des Zertifikats: 1 Jahr
**Wichtig:** macOS-Geräte ignorieren die Konfiguration der Gültigkeitsdauer über Intune. Stellen Sie bitte sicher, dass Sie [Zertifikate](/de/scepman-konfiguration/application-settings/certificates.md#appconfig-validityperioddays) auf einen festen Wert konfigurieren. Sie können die Einstellung für die Zertifikatsgültigkeitsdauer auf 1 Jahr belassen, da sie ohnehin ignoriert wird.\
\ **Wichtig:** Beachten Sie außerdem, dass **Zertifikate unter macOS nur erneuert werden** von Intune, wenn das Gerät **entsperrt, online, synchronisiert und innerhalb des Bereichs des Erneuerungsschwellenwerts ist**. Wenn Zertifikate abgelaufen sind (z. B.: das Gerät war lange offline und/oder gesperrt), werden sie nicht mehr erneuert. Daher empfehlen wir, hier einen höheren Wert zu wählen.
Schlüsselverwendung: Digitale Signatur und Schlüsselverschlüsselung
Bitte aktivieren Sie beide kryptografischen Aktionen.
Schlüsselgröße (Bits): 2048
SCEPman unterstützt 2048 Bit.
Root-Zertifikat: Profil aus dem vorherigen Schritt
Bitte wählen Sie das Intune-Profil aus [#Root-Zertifikate](#root-certificate)
Erweiterte Schlüsselverwendung: Client Authentication, 1.3.6.1.5.5.7.3.2
Bitte wählen Sie **Client Authentication (1.3.6.1.5.5.7.3.2)** unter **Vordefinierte Werte**. Die anderen Felder werden automatisch ausgefüllt.
**Wichtig:** macOS-Geräte unterstützen keine anderen Extended Key Usages (EKUs) außer `Clientauthentifizierung` . Das bedeutet, dass alle anderen in diesem Profil konfigurierten EKUs ignoriert werden.
Erneuerungsschwelle (%): 50
Dieser Wert definiert, wann das Gerät sein Zertifikat erneuern darf (basierend auf der verbleibenden Laufzeit des vorhandenen Zertifikats). Bitte lesen Sie den Hinweis unter **Gültigkeitsdauer des Zertifikats** und wählen Sie einen geeigneten Wert, der es dem Gerät ermöglicht, das Zertifikat über einen langen Zeitraum zu erneuern. Ein Wert von 50 % würde es dem Gerät mit einem 1 Jahr gültigen Zertifikat ermöglichen, die Erneuerung 182 Tage vor Ablauf zu starten.
SCEP-Server-URLs: Öffnen Sie das SCEPman-Portal und kopieren Sie die URL von Intune MDM
**Beispiel**
```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```
{% hint style="info" %}
Mit unseren angegebenen Einstellungen erfüllen wir [die Zertifikatsanforderungen von Apple](https://support.apple.com/en-us/HT210176).
{% endhint %}
### Beispiel
* [ ] Jetzt können Sie dieses Profil auf Ihren Geräten bereitstellen. Bitte wählen Sie für die Zuweisung dieselbe(n) Gruppe(n) wie für das vertrauenswürdige Zertifikatsprofil.
## Benutzerzertifikate
Im folgenden Abschnitt wird gezeigt, wie Sie Benutzerzertifikate über ein Intune-Zertifikatsprofil auf macOS X 10.12 (oder höher) Geräten bereitstellen können.
{% hint style="warning" %}
Bitte beachten Sie: Über das SCEP-Protokoll bereitgestellte Zertifikate - unabhängig vom Typ (Benutzer oder Gerät) - werden immer im System-Schlüsselbund (Systemspeicher) des Geräts abgelegt.
Falls eine Drittanbieteranwendung Zugriff auf ein solches Zertifikat benötigt (z. B. ein Drittanbieter-VPN-Client), muss der Schieberegler für **Allen Apps Zugriff auf den privaten Schlüssel erlauben** im Schlüsselbund muss auf **aktiviert**.
{% endhint %}
Bitte folgen Sie den Anweisungen unter [#Gerätezertifikate](#device-certificates) und beachten Sie die folgenden Unterschiede:
Zertifikatstyp: Benutzer
In diesem Abschnitt richten wir ein Benutzerzertifikat ein.
Format des Subject-Namens: CN={{UserName}},E={{EmailAddress}}
Sie können RDNs nach Bedarf definieren. Unterstützte Variablen sind in der [Microsoft-Dokumentation](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Wir empfehlen, den Benutzernamen (z. B.: janedoe) und die E-Mail-Adresse (z. B.: ) als Grundeinstellung einzubeziehen.
Alternativer Betreffname: UPN Wert:{{UserPrincipalName}}
SCEPman verwendet die UPN im SAN, um den Benutzer zu identifizieren, und als Ausgangswert für die Generierung der Zertifikatsseriennummer (z. B.: ).\
\
Andere SAN-Werte wie die E-Mail-Adresse können bei Bedarf hinzugefügt werden.
{% hint style="info" %}
Mit unseren angegebenen Einstellungen erfüllen wir [die Zertifikatsanforderungen von Apple](https://support.apple.com/en-us/HT210176)
{% endhint %}
### Beispiel
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.scepman.com/de/zertifikatsverwaltung/microsoft-intune/macos.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
