Guía ampliada
Solo SCEPman Enterprise Edition
Esto le guiará a través de todos los pasos para implementar SCEPman en un entorno de nivel empresarial con requisitos avanzados, p. ej., convenciones de nomenclatura, redundancia o autoescalado.
Implementación en Azure
Empecemos con los requisitos y una vista general de los recursos. Ten en cuenta que debes planificar un diseño útil de recursos de Azure.
Requisitos previos
Obligatorio
Opcional
Resumen de recursos de Azure
Se recomiendan los siguientes recursos para un entorno de producción.
App Service (x2)
Un entorno virtual de Azure para ejecutar las aplicaciones SCEPman Core y Cert Master y proporciona una interfaz de usuario para configurar diferentes ajustes específicos de la aplicación como CNAME, certificado SSL y App Settings.
App Service Plan
Un conjunto virtual de recursos de cómputo y configuraciones para el "App Service(s)".
Aquí puede configurar el nivel de precios y la escalabilidad de recursos.
Key Vault
Herramienta para almacenar de forma segura secretos y certificados. La aplicación SCEPman generará y guardará el certificado raíz en su Key Vault.
Application Insights
Herramienta de gestión del rendimiento de aplicaciones (APM) para obtener información sobre las aplicaciones y solicitudes de SCEPman. Necesaria para medir el rendimiento y útil para la optimización del servicio.
Storage Account
Plataforma de almacenamiento utilizada por el componente Certificate Master de SCEPman para almacenar atributos de certificados con fines de revocación. Opcional:
El "App Service" cargará los artefactos desde un URI de blob storage si se configuran actualizaciones manuales.
Log Analytics Workspace
Un almacenamiento de registros centralizado y basado en la nube. El "App Service" guardará todos
los registros y métricas de la plataforma en este espacio de trabajo. Desde la versión 3.0, SCEPman escribe registros en el Log Analytics Workspace mediante la API de ingesta de registros de Microsoft.
Además, si usas puntos de conexión privados, tienes siete recursos adicionales de Azure.
Red virtual
Los App Services de SCEPman, el Key Vault y la Storage Account se conectan a través de esta VNET.
Punto de conexión privado (×2)
Uno para el Key Vault y otro para la Storage Account. Los hace accesibles a través de la VNET.
Zona DNS privada (×2)
Uno para el Key Vault y otro para la Storage Account. Ambos tienen una dirección IP interna en la VNET, para la que tienen un nombre en su respectiva zona DNS privada.
Interfaz de red (×2)
Uno para el Key Vault y otro para la Storage Account. Conecta el Punto de conexión privado a la VNET.
Pasos de configuración
Implementar los servicios base de SCEPman
Este es un obligatorio paso.
Decida si desea implementar con un Windows o Linux Plan de App Service. Ambos métodos de implementación le permitirán elegir su sistema operativo.
Para comenzar con la implementación, debe seguir nuestras instrucciones de configuración aprovechando una Plantilla ARM
o, alternativamente, nuestro Terraform script:
Realizar los pasos posteriores a la implementación (asignaciones de permisos)
Este es un obligatorio paso.
Para vincular correctamente todos los componentes de SCEPman, es necesario asignar varios permisos. Sigue estos pasos para establecer las conexiones correspondientes:
Agregar permisos de Certificate Master
Este es un obligatorio paso para Edición Enterprise clientes. Edición Community los usuarios pueden omitir este paso.
Certificate Master es una Edición Enterprise función que permite a los administradores generar y revocar certificados manualmente. Sigue estos pasos para proporcionar acceso a Certificate Master.
Crear certificado raíz
Este es un obligatorio paso.
Una vez que la implementación y la asignación de permisos se hayan completado, debes crear el certificado raíz para SCEPman:
Configurar un dominio personalizado y un certificado SSL
Este es un recomendado paso. Sin embargo, omita este paso si está implementando redundancia geográfica.
Para que SCEPman esté disponible bajo tu dominio específico, necesitas crear un Dominio personalizado en el App Service.
Actualizaciones manuales
De forma predeterminada, SCEPman adopta un enfoque continuo para las actualizaciones. En caso de que necesites control total sobre las actualizaciones de SCEPman, configura un slot de implementación como se describe en la siguiente guía, en la sección Configuración del slot de implementación.
Implementar Application Insights
Esto está recomendado paso.
Application Insights puede utilizarse para obtener una vista general del rendimiento de App Service y para profundizar en el procesamiento de solicitudes de SCEPman. Recomendamos configurar siempre Application Insights para supervisar, mantener y optimizar App Service.
Configurar comprobación de estado
Esto está recomendado paso.
Las comprobaciones de estado pueden configurarse para notificar a los administradores en caso de que el App Service de SCEPman no responda.
Asegúrese de que SCEPman tenga suficientes recursos
Este es un obligatorio paso.
Una vez que lleves SCEPman a un entorno de producción, debes asegurarte de que SCEPman cuente con suficiente capacidad de cómputo. Por lo tanto, revisa nuestra guía de dimensionamiento de Azure y actualiza el nivel de tu plan de App Service si es necesario. Puedes posponer esto hasta después de tu PoC o fase de prueba.
Configurar el autoescalado
La solución SCEPman tiene dos tareas y requisitos de rendimiento diferentes. Una tarea es el proceso de emisión de certificados: después de la configuración de la solución SCEPman, necesitamos desplegar certificados en todos los dispositivos (certificados de usuario y/o de dispositivo), pero esta es una tarea única y, después de la implementación inicial, esto solo ocurre cuando se inscribe un nuevo dispositivo o cuando los certificados deben renovarse. En esas situaciones, SCEPman se enfrentará a un pico de solicitudes SCEP.
La segunda tarea es la validación de certificados: después de haber desplegado certificados en los dispositivos, esos certificados deben validarse cada vez que los usamos. Para cada autenticación basada en certificados, los clientes, las pasarelas o el sistema RADIUS (depende de lo que use) enviarán una solicitud OCSP al App Service de SCEPman. Esto provocará una carga permanente de solicitudes en el App Service.
Para obtener un rendimiento optimizado y controlar los costos, recomendamos configurar la funcionalidad de autoescalado del App Service. Con esta característica, su aplicación puede escalar hacia afuera y hacia adentro en función de las métricas.
Configurar la redundancia geográfica
Configurar una instancia georredundante para SCEPman puede mejorar la disponibilidad y la resiliencia del servicio al distribuir las cargas de trabajo entre varias regiones de Azure.
Sin embargo, es importante señalar que esta configuración puede conllevar mayores costos de Azure debido a los recursos adicionales y la replicación de datos implicados. Microsoft ofrece un SLA del 99,95 % para Azure App Services, que es adecuado en la mayoría de los escenarios.
Configura tus perfiles de implementación MDM
Este es un recomendado paso.
Con la finalización de los pasos anteriores, ya tenemos una implementación funcional de SCEPman y ahora podemos desplegar certificados en los dispositivos.
Utiliza uno (o más) de los siguientes artículos para desplegar certificados con tu solución MDM preferida:
Emitir certificados manualmente o firmar CSRs mediante Certificate Master
Siga el enlace a continuación para aprender a emitir certificados de servidor TLS basados en una lista de FQDN o a firmar cualquier CSR utilizando el componente Certificate Master.
Emitir certificados usando la API REST de inscripción
SCEPman cuenta con una API REST para inscribir certificados. Esta es una alternativa a los endpoints SCEP que requieren el estilo de autenticación SCEP, mientras que la API REST utiliza Microsoft Identities para la autenticación. El protocolo también es mucho más simple que SCEP.
Crear bloqueos en los recursos de Azure de SCEPman
De forma predeterminada, SCEPman no aplica ningún bloqueo a los recursos de Azure. Si usa bloqueos de recursos y desea configurarlos, la siguiente lista describe qué tipos de bloqueo pueden aplicarse a cada recurso de SCEPman.
Key Vault: Soft Delete y Purge Protection ya proporcionan protección contra eliminaciones accidentales. SCEPman no modifica el recurso después de la creación de la clave de la CA, por lo que un ReadOnlyLock es técnicamente posible.
Storage Account: Solo un DeleteLock es posible, ya que SCEPman necesita escribir información de certificados en la tabla. Si se elimina accidentalmente un Storage Account, perderá la información sobre los certificados ya emitidos.
App Services: A ReadOnlyLock es teóricamente posible, pero debe eliminarse cada vez que modifique la configuración de SCEPman. Un App Service eliminado puede reinstalarse fácilmente, pero solo tendrá la configuración predeterminada, por lo que todos los cambios manuales deberán volver a configurarse manualmente. Una combinación de DeleteLock y ReadOnlyLock ayuda a mitigar este riesgo.
Log Analytics Workspace: A DeleteLock es técnicamente posible, pero solo perdería los registros recopilados durante el período de retención, lo que no afecta la disponibilidad del servicio SCEPman.
Otros recursos de Azure: Estos no almacenan datos y pueden recrearse sin pérdida de información. Un DeleteLock y ReadOnlyLock puede ser útil para algunos de ellos. Algunos no pueden eliminarse en absoluto porque dependen de uno de los servicios principales mencionados anteriormente.
Última actualización
¿Te fue útil?