Répertoires des appareils

SCEPman propose deux options pour valider les certificats d’appareil (par exemple pour les requêtes OCSP). Les deux annuaires stockent des objets appareil avec des ID différents dont l’existence est vérifiée par SCEPman :

• ID d’appareil Microsoft Entra ID (Azure AD)
• Intune (ID d’appareil Intune)

Ces ID sont visibles dans Intune, par appareil, sous l’onglet « Matériel » :

Pour reconnaître l’appareil derrière un certificat émis, SCEPman a besoin de l’ ID dans le nom du sujet:

• Microsoft Entra ID (Azure AD) : CN={{AAD_Device_ID}}
• Intune : CN={{DeviceId}}

Lors de la configuration de SCEPman et des profils de certificats dans Intune, il est important de déterminer quel inventaire doit être utilisé.

Entra ID vs Intune

Les deux annuaires ont leurs avantages et leurs inconvénients. En général, nous recommandons Intune comme inventaire :

• L’ID d’appareil Entra peut changer pendant l’inscription (observé sur iOS/iPadOS/macOS) : L’ID d’appareil Entra est défini sur l’ID d’appareil Intune jusqu’à ce que l’appareil soit finalement enregistré dans Entra ID. Intune émet déjà le certificat avant que l’appareil n’obtienne son ID final. En conséquence, SCEPman ne peut pas trouver l’appareil dans Entra ID après ce changement d’ID.
• Intune est souvent mieux tenu à jour qu’Entra ID : En théorie, les objets d’appareil Entra ID et Intune sont indépendants les uns des autres. La suppression d’un appareil dans Intune ne supprime pas l’objet Entra ID correspondant. De plus, les appareils Autopilot ne peuvent être supprimés que dans Intune et non dans Microsoft Entra ID, de sorte que les certificats resteraient valides.

Configuration SCEPman

SCEPman doit savoir quel annuaire ou quels annuaires doivent être utilisés pour la validation. C’est pourquoi nous proposons l’option de configurationAppConfig:IntuneValidation:DeviceDirectory. Veuillez ajuster cette valeur selon vos besoins.

Profils de certificats

Veuillez également ajuster le nom du sujet selon vos besoins, comme indiqué sous Microsoft Intune.

Veuillez noter que CN={{DeviceId}} n’est actuellement pas pris en charge pour Android Enterprise Fully Managed, Dedicated et Corporate-Owned Work Profile, comme indiqué dans documentation Microsoft. Si ces types d’appareils sont utilisés, envisagez de vérifier les deux annuaires ou uniquement Microsoft Entra ID.

Pour Migration de Microsoft Entra ID vers l’ID Intune ou inversement, les certificats doivent être réémis sur tous les clients . Pendant ce changement, veuillez configurer SCEPman via AppConfig:IntuneValidation:DeviceDirectory pour vérifier les deux annuaires (afin que les deux ID soient valides). Après la migration, vous pouvez basculer vers Intune ou Entra ID comme seul annuaire.