Allgemeine Konfiguration
Damit SCEPman eingehende SOAP-Anfragen erfolgreich verarbeiten kann, müssen wir einige Schritte durchführen:
Benutzerdefinierte Domäne
Für eine erfolgreiche Authentifizierung mit SCEPman stellen Sie sicher, dass eine benutzerdefinierte Domäne mit einem A-Record auf den App Service verweist. Andernfalls kann der Client kein gültiges Kerberos-Ticket vom Domain Controller anfordern.
Die benutzerdefinierte Domäne muss dem FQDN Ihrer AD-Domäne nicht ähneln. Wenn Sie also eine Domäne haben ad.contoso.local bedeutet das nicht, dass Sie für SCEPman eine identische oder ähnliche benutzerdefinierte Domäne benötigen.
Siehe das unten beschriebene bekannte Problem bezüglich WS_E_ENDPOINT_ACCESS_DENIED für weitere Informationen.
Stellen Sie sicher, dass SCEPman so konfiguriert ist, dass es über eine benutzerdefinierte Domäne erreichbar ist:
BaseUrl
Damit Authentifizierungen erfolgreich sind, stellen Sie sicher, dass die AppConfig:BaseUrl Variable Ihrer benutzerdefinierten Domäne entspricht.
AppConfig:BaseUrl
Beispiel: scepman.contoso.com
Alternativ, wenn Sie auf den AD-Endpunkt lieber über eine andere URL als Ihre übrigen SCEPman-Endpunkte zugreifen, verwenden Sie die dedizierte AppConfig:ActiveDirectory:BaseUrl Einstellung.
AppConfig:ActiveDirectory:BaseUrl
Beispiel: adendpoint.contoso.com
Service Principal erstellen
Verwenden Sie das New-SCEPmanADPrincipal Cmdlet des SCEPman-PowerShell-Moduls, um den Service Principal in Ihrer lokalen Active Directory Domäne zu erstellen. Außerdem wird ein Keytab aus diesem Konto exportiert und mit dem CA-Zertifikat von SCEPman verschlüsselt.
Sie können diesen Befehl auf einem Domain Controller oder einem mit der Domäne verbundenen Server ausführen, auf dem das RSAT-AD-Tools Feature installiert ist. Sie benötigen außerdem die folgenden Berechtigungen in der OU, in der Sie den Principal erstellen möchten:
Direkt auf der OU:
Computerobjekte erstellen
Bei untergeordneten Computerobjekten:
Kennwort zurücksetzen
Schreiben
msDS-SupportedEncryptionTypesSchreiben
servicePrincipalNameSchreiben
userPrincipalName
Die unten beschriebene Variante erfordert ebenfalls ausgehenden HTTPS-Netzwerkzugriff auf Ihre SCEPman-Instanz.
Wenn Ihr Computer mit Zugriff auf einen Domain Controller keinen Netzwerkzugriff hat, gibt es Varianten des Cmdlets, die ohne ihn funktionieren, aber zusätzliche Vorbereitungen erfordern, z. B. das Herunterladen des SCEPman-CA-Zertifikats und das Kopieren der CA auf die Maschine, auf der das Cmdlet ausgeführt wird.
Install-Module SCEPman -Force
New-SCEPmanADPrincipal -Name "SCEPmanAD" -AppServiceUrl "scepman.contoso.com" -OU
"OU=Example,DC=contoso,DC=local"Beim Ausführen dieses Befehls wird Folgendes durchgeführt:
Erstellen Sie ein Computerobjekt in der
OU=Example,DC=contoso,DC=localOrganisationseinheit.Laden Sie SCEPmans CA-Zertifikat herunter, um den Keytab in Schritt 5 zu verschlüsseln.
Fügen Sie dem Computerobjekt einen Service-Principal-Namen (SPN) hinzu.
Erstellen Sie ein Keytab für das Computerkonto, das den Verschlüsselungsschlüssel auf Grundlage des Kennworts des Computers enthält.
Verschlüsseln Sie das Keytab mit dem CA-Zertifikat von SCEPman, sodass nur SCEPman es mithilfe des CA-Privatschlüssels wieder entschlüsseln kann.
Geben Sie das verschlüsselte Keytab aus, damit es in die Konfiguration von SCEPman übertragen werden kann.
Die Base64-kodierte Ausgabe muss dann der Umgebungsvariable hinzugefügt werden AppConfig:ActiveDirectory:Keytab auf Ihrem SCEPman App Service.
Keytab zu SCEPman hinzufügen
Die Integration kann einfach aktiviert werden, indem die folgenden Umgebungsvariablen im SCEPman App Service. Je nach Anwendungsfall aktivieren Sie eines oder mehrere der verfügbaren Zertifikatvorlagen:
Beispiel mit allen aktivierten Zertifikatvorlagen:
Base64-kodiertes Keytab für den Service Principal, erstellt in Schritt 3
Bekannte Probleme
WS_E_ENDPOINT_ACCESS_DENIED
Fehler: WS_E_ENDPOINT_ACCESS_DENIED
Hex: 0x803d0005
Dez: -2143485947Dieser Fehler tritt bekanntermaßen bei der Validierung des CEP-Servers auf, wenn Sie die Standard URIs des Azure App Service. Dieser Fehler wird dadurch verursacht, dass das Kerberos-Protokoll nach einem Service Principal Name des A-Record Dienstes fragt, auf den zugegriffen werden soll. Bei den Standard-App-Service-Domänen ist zum Beispiel contoso.azurewebsites.net ist ein CNAME und verweist auf einen A-Record ähnlich wie:
waws-prod-ab1-234-c56d.westeurope.cloudapp.azure.comDa dieser A-Record Name eines Infrastrukturhosts in Zukunft nicht garantiert konsistent bleibt, wird das Hinzufügen eines Service-Principal-Namens für diesen Host nicht empfohlen.
Fügen Sie Ihrem App Service unbedingt eine benutzerdefinierte Domäne hinzu und verwenden Sie einen A-Record innerhalb Ihres DNS-Anbieters, um sie auf den App Service zu verweisen, statt auf einen CNAME.
ERROR_INVALID_PARAMETER
Fehler: ERROR_INVALID_PARAMETER
Hex: 0x80070057
Dez: -2147024809Dieser Fehler tritt bei der Registrierung des CEP-Servers auf, wenn Sie eine URI eingeben, die mit http://. Stellen Sie sicher, dass Sie einen CEP-Server nur mit https:// .
ERROR_ACCESS_DENIED
Bei der Registrierung eines CEP-Servers im Maschinenkontext muss der handelnde Benutzer (das Konto, das gpmc.msc) gestartet hat) beim Bearbeiten des GPO Mitglied der lokalen Administratorengruppe auf dem Computer sein.
Stellen Sie sicher, dass Sie gpmc.msc in diesem Fall mit erhöhten Berechtigungen starten.
Zuletzt aktualisiert
War das hilfreich?