> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/despliegue-de-scepman/deployment-guides/enterprise-guide-1.md).
# Guía extendida
Esto le guiará por todos los pasos para desplegar SCEPman en un entorno de nivel empresarial con requisitos avanzados, por ejemplo, convenciones de nomenclatura, redundancia o escalado automático.
{% hint style="warning" %}
Solo en SCEPman Enterprise Edition
{% endhint %}
## Implementación en Azure
Empecemos con los requisitos y una visión general de los recursos.\
Tenga en cuenta que necesita planificar un diseño útil de recursos de Azure.
### Requisitos previos
#### Obligatorio
* [ ] Convención de nomenclatura de recursos de Azure.
* [ ] Suscripción de Azure (al menos con permisos de Colaborador en esa suscripción).
* [ ] Permisos de propietario de Azure (al menos a nivel de grupo de recursos).
* [ ] Microsoft Entra ID (Azure AD) "Administrador global" (consentimiento para acceder a Graph API).
* [ ] Asegúrese de definir sus directivas de Azure [de acuerdo con los requisitos de SCEPman](/es/otros/security-faq.md#azure-cis) (por ejemplo, no exija TLS).
* [ ] CNAME de dominio público (*scepman.yourdomain.com*), solo si se utiliza redundancia geográfica.
* [ ] Certificado SSL (o use [Certificado administrado de App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), solo si se utiliza redundancia geográfica.
* [ ] la clave de licencia de SCEPman Enterprise Edition.
#### Opcional
* [ ] CNAME de dominio público (*scepman.yourdomain.com*), solo si se utiliza un dominio personalizado.
* [ ] Certificado SSL (comodín) (o use [Certificado administrado de App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), solo si se utiliza un dominio personalizado.
### Descripción general de recursos de Azure
Se recomiendan los siguientes recursos para un entorno de producción.
| Tipo | Descripción |
| ----------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| App Service (x2) | Un entorno virtual de Azure para ejecutar las aplicaciones SCEPman Core y Cert Master y proporciona una interfaz de usuario para configurar diferentes
ajustes específicos de la aplicación, como CNAME, certificado SSL y App Settings.
|
| Plan de App Service | Un conjunto virtual de recursos de cómputo y configuraciones para el "App Service(s)".
Aquí puede configurar el nivel de precios y el escalado de recursos.
|
| Key Vault | Herramienta para almacenar de forma segura secretos y certificados. La aplicación SCEPman generará y guardará el certificado raíz en su Key Vault. |
| Storage Account | Plataforma de almacenamiento utilizada por el componente Certificate Master de SCEPman para almacenar atributos de certificados con fines de revocación.
Opcional:
El "App Service" cargará los artefactos desde un URI de almacenamiento de blobs si las actualizaciones manuales están configuradas.
|
| Log Analytics Workspace | Un almacenamiento centralizado y basado en la nube de registros. El "App Service" guardará todo
los registros y métricas de la plataforma en este espacio de trabajo.
Desde v3.0, SCEPman escribe registros en el Log Analytics Workspace usando la API de ingesta de registros de Microsoft.
|
Además, si está usando puntos de conexión privados, tendrá [siete recursos adicionales de Azure.](/es/configuracion-de-azure/private-endpoints.md#azure-resources-used-for-private-endpoints)
| Tipo | Descripción |
|---|
| Red virtual | Los App Services de SCEPman, Key Vault y Storage Account se conectan a través de esta VNET. |
| Punto de conexión privado (×2) | Uno para Key Vault y otro para Storage Account. Los hace accesibles a través de la VNET. |
| Zona DNS privada (×2) | Uno para Key Vault y otro para Storage Account. Ambos tienen una dirección IP interna en la VNET, para la cual tienen un nombre en su respectiva zona DNS privada. |
| Interfaz de red (×2) | Uno para Key Vault y otro para Storage Account. Conecta el Private Endpoint a la VNET. |
## Pasos de configuración
{% stepper %}
{% step %}
### Implemente los servicios base de SCEPman
{% hint style="warning" %}
Este es un **paso** obligatorio.
{% endhint %}
Tome su decisión sobre si le gustaría implementar con un **Windows** o **Linux** App Service Plan. Ambos métodos de implementación le permitirán elegir su sistema operativo.
Para comenzar con la implementación, debe seguir nuestras instrucciones de configuración aprovechando una **plantilla ARM**
{% content-ref url="/pages/8e12aef145dd1be8214afb1bed3f0408c3be9035" %}
[Despliegue empresarial](/es/despliegue-de-scepman/deployment-options/enterprise-deployment.md)
{% endcontent-ref %}
o alternativamente nuestro **script de Terraform** :
{% content-ref url="/pages/dd91e76f0295241257c19f0a36e240dd96b808f2" %}
[Despliegue de Terraform](/es/despliegue-de-scepman/deployment-options/terraform-deployment.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Realice los pasos posteriores a la implementación (asignaciones de permisos)
{% hint style="warning" %}
Este es un **paso** obligatorio.
{% endhint %}
Para vincular correctamente todos los componentes de SCEPman, es necesario asignar varios permisos. Siga estos pasos para establecer las conexiones pertinentes:
{% content-ref url="/pages/905a35063220dbafef56375137dcf137521071f9" %}
[Identidades administradas](/es/despliegue-de-scepman/permissions/post-installation-config.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Agregar permisos de Certificate Master
{% hint style="success" %}
Este es un **paso** paso para **Enterprise** **Edición** clientes. **Edición Community** los usuarios pueden omitir este paso.
{% endhint %}
El Certificate Master es una **edición Enterprise** función que permite a los administradores generar y revocar certificados manualmente. Siga estos pasos para proporcionar acceso a Certificate Master.
{% content-ref url="/pages/3de9ff34dc8c409052a336142e4c28d3d3120707" %}
[RBAC de Maestro de certificados](/es/configuracion-de-scepman/rbac.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Crear certificado raíz
{% hint style="warning" %}
Este es un **paso** obligatorio.
{% endhint %}
Una vez completadas la implementación y la asignación de permisos, debe crear el certificado raíz para SCEPman:
{% content-ref url="/pages/67464b2a26d5f61d7466d18f163878a0610031f5" %}
[CA raíz](/es/despliegue-de-scepman/first-run-root-cert.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configure un dominio personalizado y un certificado SSL
{% hint style="success" %}
Este es un **recomendado** paso. Sin embargo, **omita** este paso si está implementando redundancia geográfica.
{% endhint %}
Para tener su SCEPman disponible bajo su dominio específico, debe crear un **dominio personalizado** en el **App Service.**
{% content-ref url="/pages/f95d8259cccc4f926cc78e47a0c8ee8643f454ef" %}
[Dominio personalizado](/es/configuracion-de-azure/custom-domain.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Actualizaciones manuales
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
De forma predeterminada, SCEPman adopta un [enfoque evergreen](/es/configuracion-de-azure/update-strategy.md#evergreen-approach) para las actualizaciones. En caso de que requiera control total sobre las actualizaciones de SCEPman, configure un slot de implementación como se describe en la siguiente guía en la sección **Configuración del slot de implementación**.
{% content-ref url="/pages/9bfebc9d1fe3bfad443cc34e4eb288336b64f4c2" %}
[Estrategia de actualización](/es/configuracion-de-azure/update-strategy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar alertas de comprobación de estado
{% hint style="success" %}
Este es un **recomendado** obligatorio.
{% endhint %}
Las comprobaciones de estado se pueden configurar para notificar a los administradores en caso de que el App Service de SCEPman no responda.
Aunque la comprobación de estado se agrega automáticamente durante la instalación, las alertas deben configurarse manualmente.
{% content-ref url="/pages/e02208c0ab344f97b0ed7e8998e0291f04016eaa" %}
[Comprobación de estado](/es/configuracion-de-azure/health-check.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Asegúrese de que SCEPman tenga suficientes recursos
{% hint style="warning" %}
Este es un **paso** obligatorio.
{% endhint %}
Una vez que traslade SCEPman a un entorno de producción, debe asegurarse de que SCEPman cuente con suficiente capacidad de procesamiento. Por lo tanto, revise nuestra guía de dimensionamiento de Azure y actualice el nivel de su plan de App Service si es necesario. Puede posponer esto hasta después de su PoC o fase de prueba.
{% content-ref url="/pages/6792d87bce2476ef5e2da86463affd4dd5d3b2b2" %}
[Dimensionamiento de App Service](/es/configuracion-de-azure/azure-sizing.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar escalado automático
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
La solución SCEPman tiene dos tareas diferentes y distintos requisitos de rendimiento.\
Una tarea es el proceso de emisión de certificados: después de la configuración de la solución SCEPman, necesitamos desplegar certificados en todos los dispositivos (certificados de usuario y/o de dispositivo), pero esta es una tarea única y, después del despliegue inicial, esto solo ocurre cuando se inscribe un nuevo dispositivo o cuando los certificados deben renovarse. En esas situaciones, SCEPman se enfrentará a un pico de solicitudes SCEP.
La segunda tarea es la validación de certificados: después de desplegar certificados en los dispositivos, esos certificados deben validarse cada vez que los usamos. Para cada autenticación basada en certificados, los clientes, las puertas de enlace o el sistema RADIUS (depende de lo que utilice) enviarán una solicitud OCSP al App Service de SCEPman. Esto provocará una carga permanente de solicitudes en el App Service.
Para optimizar el rendimiento y controlar los costos, recomendamos configurar la funcionalidad de escalado automático del App Service. Con esta característica, su aplicación puede escalar horizontalmente y reducirse en función de las métricas.
{% content-ref url="/pages/eeecf01711015c3acd5ea4a485eea28daf2fee51" %}
[Autoescalado](/es/configuracion-de-azure/azure-sizing/autoscaling.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar redundancia geográfica
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
Configurar una instancia con redundancia geográfica para SCEPman puede mejorar la disponibilidad y la resiliencia del servicio al distribuir las cargas de trabajo entre varias regiones de Azure.
Sin embargo, es importante tener en cuenta que esta configuración puede dar lugar a mayores costos de Azure debido a los recursos adicionales y a la replicación de datos involucrados. Microsoft proporciona un SLA del 99,95 % para Azure App Services, lo cual es adecuado en la mayoría de los escenarios.
{% content-ref url="/pages/f1b5947599c325d6ebb9baad7c35f637d5c1dc34" %}
[Geo-redundancia](/es/configuracion-de-azure/geo-redundancy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configure sus perfiles de implementación de MDM
{% hint style="success" %}
Este es un **recomendado** obligatorio.
{% endhint %}
Con la finalización de los pasos anteriores, tenemos una implementación de SCEPman funcional y ahora podemos implementar certificados en los dispositivos.
Utilice uno (o más) de los siguientes artículos para implementar certificados con su solución MDM preferida:
{% content-ref url="/pages/d34e4d6648524a4b22b7750f5257791331230b8c" %}
[Microsoft Intune](/es/administracion-de-certificados/microsoft-intune.md)
{% endcontent-ref %}
{% content-ref url="/pages/8f3523cb2cf7b0303dcea696479221b18a2a6134" %}
[Jamf Pro](/es/administracion-de-certificados/jamf.md)
{% endcontent-ref %}
{% content-ref url="/pages/678d077a011d5d9311161bc79df04b994cf2fdb6" %}
[Otras soluciones MDM](/es/administracion-de-certificados/static-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Emitir certificados manualmente o firmar CSR mediante Certificate Master
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
Siga el enlace a continuación para aprender cómo emitir certificados de servidor TLS basados en una lista de FQDN o firmar cualquier CSR usando el componente Certificate Master.
{% content-ref url="/pages/e45f8c563ae882632227954c32e86bda46aa4896" %}
[Maestro de certificados](/es/administracion-de-certificados/certificate-master.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Emitir certificados usando la API REST de inscripción
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
SCEPman cuenta con una API REST para inscribir certificados. Esta es una alternativa a los endpoints SCEP que requieren la autenticación al estilo SCEP, mientras que la API REST usa Microsoft Identities para la autenticación. El protocolo también es mucho más sencillo que SCEP.
{% content-ref url="/pages/e04fe448f378939f88ed8328d33e62021780a221" %}
[API REST de inscripción](/es/administracion-de-certificados/api-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Crear bloqueos en recursos de Azure de SCEPman
{% hint style="info" %}
Este es un **paso opcional** obligatorio.
{% endhint %}
De forma predeterminada, SCEPman no aplica ningún bloqueo a los recursos de Azure. Si usa bloqueos de recursos y desea configurarlos, la siguiente lista describe qué tipos de bloqueo se pueden aplicar a cada recurso de SCEPman.
* **Key Vault:** La eliminación temporal y la protección contra purga ya brindan protección contra eliminaciones accidentales. SCEPman no modifica el recurso después de la creación de la clave de CA, por lo que un **ReadOnlyLock** es técnicamente posible.
* **Storage Account:** Solo un **DeleteLock** es posible, ya que SCEPman necesita escribir la información del certificado en la tabla. Si un Storage Account se elimina accidentalmente, perderá la información sobre los certificados ya emitidos.
* **App Services:** Un **ReadOnlyLock** es teóricamente posible, pero debe eliminarse cada vez que modifique la configuración de SCEPman. Un App Service eliminado se puede reinstalar fácilmente, pero solo tendrá la configuración predeterminada, por lo que todos los cambios manuales deben reconfigurarse manualmente. Una combinación de **DeleteLock** y **ReadOnlyLock** ayuda a mitigar este riesgo.
* **Log Analytics Workspace:** Un **DeleteLock** es técnicamente posible, pero solo perdería los registros recopilados durante el período de retención, lo cual no afecta la disponibilidad del servicio SCEPman.
* **Otros recursos de Azure:** Estos no almacenan datos y se pueden recrear sin pérdida de información. Un **DeleteLock** y **ReadOnlyLock** puede ser útil para algunos de ellos. Algunos no se pueden eliminar en absoluto porque tienen dependencias de uno de los servicios principales mencionados anteriormente.
{% endstep %}
{% endstepper %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/es/despliegue-de-scepman/deployment-guides/enterprise-guide-1.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.