Points de terminaison privés
Lors de l’installation de SCEPman 2.8 ou d’une version ultérieure, le Storage Account et le Key Vault seront connectés à un VNET via des points de terminaison privés. L’accès aux données de ces deux ressources Azure n’est possible qu’au travers de ce VNET, sauf si vous définissez des exceptions.
Ce VNET se trouve dans le même groupe de ressources que les autres composants SCEPman. Les App Services SCEPman et SCEPman Certificate Master sont connectés au VNET et, au niveau réseau, ont accès au Storage Account et au Key Vault.
Après l’installation, aucune exception n’est configurée, donc aucune autre entité ne peut accéder aux certificats et aux clés du Key Vault ni au Table Storage du Storage Account. Si nécessaire, par exemple lors de la génération d’une CA subordonnée ou lorsque interroger le Storage Account, vous devez ajouter des exceptions dans le volet Networking de la ressource Azure correspondante.
L’accès à l’interface de gestion du Key Vault et du Storage Account n’est pas affecté ; autrement dit, vous n’avez pas besoin d’ajouter vos machines d’administration à la liste des exceptions pour effectuer des actions telles que changer le SKU de votre Storage Account ou consulter les journaux d’accès de votre Key Vault.
Les App Services SCEPman et SCEPman Certificate Master n’ont pas de Private Endpoints, même si vous installez SCEPman 2.8 ou une version ultérieure. Ils restent accessibles depuis Internet sans restrictions réseau. Nous recommandons de ne pas restreindre l’accès à SCEPman au niveau réseau, car SCEPman fait généralement partie de l’infrastructure utilisée pour établir des connexions réseau et doit donc être disponible même si vous n’êtes pas encore connecté.
Si nécessaire, Conditional Access peut être utilisé pour limiter l’accès à SCEPman Certificate Master avec diverses restrictions, y compris des conditions réseau. SCEPman n’utilise généralement pas Conditional Access, car les deux points de terminaison SCEP et OCSP n’utilisent pas l’authentification Entra. Toutefois, vous pourriez utiliser Conditional Access pour restreindre l’accès à l’API REST de SCEPman.
Azure Resources utilisés pour les Private Endpoints
Réseau virtuel
Les App Services de SCEPman, le Key Vault et le Storage Account se connectent via ce VNET.
Point de terminaison privé (×2)
Un pour le Key Vault et un pour le Storage Account. Cela les rend accessibles via le VNET.
zone DNS privée (×2)
Un pour le Key Vault et un pour le Storage Account. Ils ont tous les deux une adresse IP interne dans le VNET, pour laquelle ils ont un nom dans leur zone DNS privée respective.
Interface réseau (×2)
Un pour le Key Vault et un pour le Storage Account. Il connecte le point de terminaison privé au VNET.
Ajout de Private Endpoints aux installations SCEPman existantes
Si vous avez installé SCEPman 2.7 ou une version antérieure, votre Key Vault et votre Storage Account n’auront pas automatiquement de Private Endpoints, même si vous effectuez une mise à jour vers SCEPman 2.8 ou une version ultérieure. Vous devez les ajouter manuellement après une décision réfléchie. Veuillez suivre ce guide pour ce faire :
Créer un réseau virtuel
Dans le groupe de ressources SCEPman, créez un nouveau réseau virtuel en utilisant les paramètres par défaut ou selon les exigences de votre organisation. Celui-ci doit inclure un sous-réseau par défaut.
Créez un sous-réseau supplémentaire dans le nouveau réseau virtuel avec les paramètres par défaut et définissez "Délégation du sous-réseau" comme Microsoft.Web/serverFarms
Créer un point de terminaison privé KeyVault
Accédez au groupe de ressources de SCEPman > Key Vault > Paramètres > Réseau > Connexions de points de terminaison privés, puis créez un point de terminaison privé
Sélectionnez le type de ressource : Microsoft.KeyVault/vaults
Sélectionnez votre Key Vault par ressource et coffre pour la sous-ressource cible
Choisissez le réseau virtuel et le sous-réseau par défaut (et non le sous-réseau créé à la première étape)
Activer Intégrer à la zone DNS privée pour créer et connecter automatiquement la zone DNS privée
Créer un point de terminaison privé pour Storage Account
Accédez au groupe de ressources de SCEPman > Storage Account > Sécurité + Réseau > Réseau > Points de terminaison privés, puis créez un point de terminaison privé
Par ressource, définissez la sous-ressource cible sur table
Choisissez votre réseau virtuel et le sous-réseau par défaut
Activer Intégrer à la zone DNS privée pour créer et connecter automatiquement la zone DNS privée
Intégrer l’App Service SCEPman
Accédez à App Service SCEPman > Réseau > Ajouter une intégration au réseau virtuel à Configuration du trafic sortant en cliquant sur "Non configuré"
Sélectionnez le réseau virtuel et le sous-réseau créé à la première étape.
Décochez l’option "trafic Internet sortant" et appliquez
Intégrer l’App Service Certificate Master
En ajoutant l’intégration au réseau virtuel au deuxième App Service, vous pouvez sélectionner la connexion précédente dans la liste ; vous n’avez pas besoin de créer une nouvelle connexion.
Si cette option est activée, décochez l’option "trafic Internet sortant" et appliquez
Tests et résultats
Une fois confirmé, vous pouvez désactiver l’accès public pour le Key Vault et le Storage Account.
Si la connexion est correcte, la page d’accueil de SCEPman doit afficher toutes ses connexions comme "Connecté"
Vérifiez que votre implémentation des points de terminaison privés est réussie en déployant des certificats à l’aide de votre MDM ou Certificate Master.
Mis à jour
Ce contenu vous a-t-il été utile ?