Validation Intune
AppConfig:IntuneValidation:ComplianceCheck
Linux: AppConfig__IntuneValidation__ComplianceCheck
Paramètre expérimental
SCEPman Enterprise Edition uniquement
Avant la version 1.9, en raison d’une évaluation retardée de l’état de conformité pendant l’inscription, cette fonctionnalité rompt l’inscription Windows Autopilot. Après le déploiement du certificat, la vérification OCSP immédiatement suivante renverra 'non valide' pendant l’inscription et le processus Autopilot n’aboutira pas.
Avec la version 1.9 et supérieure, les clients reçoivent un "Ephemeral Bootstrap Certificate" pendant la phase d’inscription, qui est ensuite remplacé par un certificat client classique dès que le client devient conforme.
Avec la version 2.5 et supérieure, vous pouvez également configurer une période de grâce pendant laquelle l’appareil est toujours considéré comme conforme avec le paramètre ComplianceGracePeriodMinutes.
Valeur : Always ou Never (par défaut)
Description : Lorsque SCEPman reçoit une requête OCSP, SCEPman peut éventuellement vérifier l’état de conformité de l’appareil. Lorsqu’il est défini sur Always SCEPman interrogera l’état de conformité de l’appareil et le résultat OCSP ne pourra être GOOD que si l’appareil est également marqué comme conforme dans Azure AD.
Le définir sur Never désactivera la vérification de conformité.
AppConfig:IntuneValidation:ComplianceGracePeriodMinutes
Linux: AppConfig__IntuneValidation__ComplianceGracePeriodMinutes
SCEPman Enterprise Edition uniquement
Applicable à la version 2.5 et supérieure
Valeur : Entier (par défaut : 0)
Description : Juste après l’inscription, les appareils ne sont souvent pas encore conformes dans Intune. Ce paramètre définit une période de grâce en minutes pendant laquelle l’appareil est considéré comme conforme, même s’il ne l’est pas encore. Si l’appareil n’est pas conforme après la période de grâce, le certificat est révoqué. Cela évite le problème d’un appareil Windows qui est en cours d’inscription et doit terminer avec succès le profil SCEP afin d’achever l’inscription Windows Autopilot, mais ne deviendra conforme dans Intune que plus tard.
Le paramètre vérifiera la propriété Intune EnrolledDateTime et commencera le décompte à partir de ce moment.
C’est une alternative à l’utilisation des certificats Ephemeral Bootstrap. Si vous configurez une valeur supérieure à 0, SCEPman n’émettra jamais de certificats Ephemeral Bootstrap.
Ce paramètre n’a d’effet que si ComplianceCheck est défini sur Always.
AppConfig:IntuneValidation:DeviceDirectory
Linux: AppConfig__IntuneValidation__DeviceDirectory
Valeur : Chaîne
Options disponibles :
AAD(valeur par défaut pour SCEPman 2.0)IntuneAADAndIntuneAADAndIntuneOpportunistic(valeur par défaut pour SCEPman 2.1 ou plus récent)AADAndIntuneAndEndpointlist(disponible dans SCEPman 2.2 et plus récent)
Si vous souhaitez modifier ce paramètre dans un déploiement existant qui a été installé avec une version antérieure de SCEPman, veuillez exécuter le script de configuration PowerShell de nouveau afin de vous assurer que SCEPman dispose des autorisations les plus récentes pour accéder aux répertoires d’appareils correspondants.
Description : Détermine où rechercher les appareils lors des requêtes OCSP pour les certificats d’appareil. Le répertoire correspondant est interrogé pour trouver un appareil correspondant à l’ID de l’appareil inscrit dans le champ CN du sujet du certificat. Le certificat n’est valide que si l’appareil existe. Pour AAD, il doit également être activé (Intune ne prend pas en charge la désactivation des appareils). Si ComplianceCheck est activé, l’appareil doit également être conforme. Si rien n’est configuré et pour SCEPman 1.9 et avant, AAD est utilisé.
Par conséquent, vous devez configurer le profil de configuration Intune pour les appareils en conséquence. {{AAD_Device_ID}} est l’ID de l’appareil Entra/AAD, tandis que {{DeviceID}} est l’ID de l’appareil Intune.
Pour AADAndIntune, les deux répertoires sont interrogés en parallèle. Dans ce cas, il suffit que l’appareil existe dans l’un des deux répertoires. Ce paramètre permet de migrer d’un paramètre à l’autre lorsqu’il existe encore des certificats valides pour les deux types de répertoires. Il prend également en charge les cas où vous configurez les plateformes différemment. Il peut aussi être utilisé comme solution de contournement pour les appareils iOS ou Android qui reçoivent un ID Intune au lieu d’un ID d’objet Entra ID, parce qu’ils ne sont pas entièrement joints à Entra au moment de l’inscription du certificat.
Si vous êtes passé de SCEPman 1.x à SCEPman 2.x et que vous utilisez encore une inscription d’application pour les autorisations SCEPman, SCEPman ne dispose pas des autorisations nécessaires pour interroger Intune sur les appareils. Vous êtes donc limité à l’ AAD option. L’option AADAndIntuneOpportunistic vérifie si les autorisations permettant d’interroger Intune ont été accordées à SCEPman. Si elles sont présentes, cela fonctionne comme AADAndIntune. Si elles ne sont pas présentes, cela se comporte comme AAD.
La valeur AADAndIntuneAndEndpointlist fonctionne exactement comme AADAndIntune, mais interroge en plus la liste des certificats émis par Intune. Si Intune a déclenché la révocation d’un certificat, le certificat sera révoqué dans SCEPman.
AppConfig:IntuneValidation:RevokeCertificatesOnWipe
Linux: AppConfig__IntuneValidation__RevokeCertificatesOnWipe
Valeur : true (par défaut) ou faux
Description : Ce paramètre étend la validation des appareils lors de l’utilisation de l’ID d’appareil Intune. Il ne fonctionne pas lors de l’utilisation de l’ID d’appareil Entra/AAD. S’il est activé, SCEPman évalue la propriété Management State d’un appareil Intune lorsque son certificat d’appareil est validé. Si l’état indique l’une des valeurs suivantes, le certificat est révoqué :
RetirePending
RetireFailed
WipePending
WipeFailed
Unhealthy
DeletePending
RetireIssued
WipeIssued
Notamment, cela signifie que lorsqu’un administrateur déclenche un Wipe ou un Retire pour un appareil, le certificat sera révoqué immédiatement. Même si l’appareil est éteint ou hors ligne et que l’action ne peut donc pas être exécutée sur l’appareil, le certificat n’est plus valide.
AppConfig:IntuneValidation:UntoleratedUserRisks
Linux: AppConfig__IntuneValidation__UntoleratedUserRisks
Paramètre expérimental - Applicable à la version 2.2 et supérieure. Nécessite l’autorisation IdentityRiskyUser.Read.All attribuée par le module PS SCEPman version 1.7 et supérieure.
SCEPman Enterprise Edition uniquement
Valeur : Liste des niveaux de risque utilisateur séparés par des virgules, par ex. Low, Medium, High.
Description : Ce paramètre n’a d’effet que si vous définissez UserRiskCheck à Always. Les certificats des utilisateurs dont le niveau de risque figure dans cette liste seront considérés comme non valides.
Exemple : vous définissez Medium,High pour ce paramètre. Un utilisateur a un niveau de risque Low. Le certificat de l’utilisateur est valide et peut être utilisé pour se connecter au VPN de l’entreprise. Puis, un événement de risque augmente le niveau de risque utilisateur à Medium. L’utilisateur essaie de se connecter au VPN, mais n’y parvient pas, car la passerelle VPN vérifie en temps réel la validité du certificat et SCEPman répond qu’il est révoqué.
AppConfig:IntuneValidation:UserRiskCheck
Linux: AppConfig__IntuneValidation__UserRiskCheck
Paramètre expérimental - Applicable à la version 2.2 et supérieure. Nécessite l’autorisation IdentityRiskyUser.Read.All attribuée par le module PS SCEPman version 1.7 et supérieure.
SCEPman Enterprise Edition uniquement
Valeur : Always ou Never (par défaut)
Description : Lorsque SCEPman reçoit une requête OCSP pour un certificat émis à un utilisateur Intune, SCEPman peut éventuellement vérifier le du niveau de risque de l'utilisateur. Lorsqu’il est défini sur Always SCEPman interrogera l’état de risque de l’utilisateur et le résultat OCSP ne pourra être GOOD que si le risque de l’utilisateur ne figure pas dans la liste des UntoleratedUserRisks.
Le définir sur Never désactivera la vérification du risque utilisateur.
AppConfig:IntuneValidation:WaitForSuccessNotificationResponse
Linux: AppConfig__IntuneValidation__WaitForSuccessNotificationResponse
Valeur : true (par défaut) ou faux
Description : Après qu’un certificat a été émis avec succès, SCEPman envoie une notification concernant le certificat à Intune. Microsoft recommande d’attendre la réponse dans sa spécification. Toutefois, certaines instances présentent de longs délais entraînant parfois des expirations. Par conséquent Vrai est la valeur par défaut.
Le définir sur Faux fait en sorte que SCEPman renvoie le certificat émis avant qu’Intune ne réponde à la notification. Cela va à l’encontre de la lettre de la spécification, mais améliore les performances et évite les expirations dans les cas où ce problème se produit.
AppConfig:IntuneValidation:ValidityPeriodDays
Linux: AppConfig__IntuneValidation__ValidityPeriodDays
Valeur : Positif Entier
Description : Ce paramètre réduit encore la valeur globale ValidityPeriodDays pour le point de terminaison Intune.
AppConfig:IntuneValidation:EnableCertificateStorage
Linux: AppConfig__IntuneValidation__EnableCertificateStorage
Valeur : true ou faux (par défaut)
Description : Lorsque des certificats sont demandés via le point de terminaison Intune, SCEPman stocke ces certificats demandés dans le Storage Account d’Azure si cette option est définie sur true. Cela fera apparaître les certificats émis dans SCEPman Certificate Master, où vous pourrez les consulter et les révoquer manuellement. De plus, les certificats sont révoqués automatiquement lorsque l’objet Entra ou Intune associé passe dans un état invalide, comme défini par les autres paramètres (par exemple s’il est désactivé ou supprimé). Si défini sur faux, SCEPman ne stockera pas les certificats émis et ceux-ci ne seront visibles que dans les journaux ou dans l’affichage Intune classique de Certificate Master ou dans le portail Intune. Si ce paramètre n’est pas défini, le comportement dépend du paramètre global AppConfig:EnableCertificateStorage.
AppConfig:IntuneValidation:AllowRenewals
Valeur : true ou faux (par défaut)
Description : Cela permet d’utiliser le RenewalReq opération sur ce point de terminaison SCEP. Elle fonctionne uniquement pour les types de certificat ajoutés à AppConfig:IntuneValidation:ReenrollmentAllowedCertificateTypes.
Cette opération peut être utilisée avec le SCEPmanClient module PowerShell.
Veuillez noter qu’Intune n’utilisera pas l’ RenewalReq opération et ce paramètre n’est pas requis pour le fonctionnement habituel.
AppConfig:IntuneValidation:AllowRequestedSidExtension
Valeur : true ou faux (par défaut)
Description : S’il existe une extension SID (OID 1.3.6.1.4.1.311.25.2) dans la requête de certificat, elle sera copiée dans le certificat émis si ce paramètre est défini sur true. S’il est défini sur false, elle sera filtrée. Le SID est important pour un mappage fort des certificats dans les scénarios d’authentification AD sur site. Cependant, Intune semble ne pas vérifier l’authenticité du SID demandé dans l’extension, de sorte qu’autoriser les extensions SID demandées peut constituer une vulnérabilité de sécurité.
Les extensions SID ajoutées via AppConfig:AddSidExtension ne sont pas affectées par ce paramètre. De plus, les SID ajoutés en tant qu’URI SAN contenant un SID ne sont pas non plus affectés si la version de SCEPman est 2.11.1460 ou plus récente — les anciennes versions de SCEPman ne copient le SID de l’URI SAN que si ce true, mais elles ont true comme valeur par défaut.
AppConfig:IntuneValidation:ReenrollmentAllowedCertificateTypes
Valeur : Liste séparée par des virgules des types de certificats figurant dans cette liste :
DomainController
Static
IntuneUser
IntuneDevice
JamfUser
JamfUserWithDevice
JamfUserWithComputer
JamfDevice
JamfComputer
Description : Vous pouvez utiliser le point de terminaison SCEP pour le renouvellement des certificats des types spécifiés dans ce paramètre. Si vous ne spécifiez aucune valeur, la valeur par défaut est aucun type.
Par exemple, si vous souhaitez renouveler des certificats émis manuellement via Certificate Master, vous spécifieriez Static. Si vous souhaitez également renouveler les certificats Domain Controller, vous spécifieriez DomainController,Static.
Veuillez noter qu’Intune n’utilisera pas l’ RenewalReq opération et ce paramètre n’est pas requis pour le fonctionnement habituel.
Mis à jour
Ce contenu vous a-t-il été utile ?