Guide étendu
SCEPman Édition Entreprise uniquement
Ceci vous guidera à travers toutes les étapes pour déployer SCEPman dans un environnement de niveau entreprise avec des exigences avancées, par ex. conventions de nommage, redondance ou mise à l'échelle automatique.
Déploiement Azure
Commençons par les prérequis et un aperçu des ressources. Gardez à l'esprit que vous devez planifier une conception utile des ressources Azure.
Prérequis
Obligatoire
Optionnel
Aperçu des ressources Azure
Toutes ces ressources sont recommandées pour un environnement de production.
De plus, si vous utilisez des points de terminaison privés, vous disposez de sept ressources Azure supplémentaires.
Étapes de configuration
Déployer les services de base SCEPman
Ceci est un obligatoire étape.
Faites votre choix quant au déploiement avec un Windows ou Linux Plan App Service. Les deux méthodes de déploiement vous permettront de choisir votre système d'exploitation.
Pour commencer le déploiement, vous devez suivre nos instructions d'installation en utilisant un Modèle ARM
Déploiement d'entrepriseou alternativement notre Terraform script :
Déploiement TerraformEffectuer les étapes post-déploiement (assignations de permissions)
Ceci est un obligatoire étape.
Pour lier correctement tous les composants de SCEPman, plusieurs permissions doivent être attribuées. Veuillez suivre ces étapes pour établir les connexions pertinentes :
Identités géréesAjouter les permissions du Certificate Master
Ceci est un obligatoire étape pour Entreprise Édition clients. Les utilisateurs de l'Édition Communautaire peuvent ignorer cette étape.
Le Certificate Master est une fonctionnalité de l'Édition Entreprise qui permet aux administrateurs de générer et révoquer des certificats manuellement. Veuillez suivre ces étapes pour fournir l'accès au Certificate Master.
RBAC du gestionnaire de certificatsCréer le certificat racine
Ceci est un obligatoire étape.
Après le déploiement et l'attribution des permissions, vous devez créer le certificat racine pour SCEPman :
CA racineConfigurer un domaine personnalisé et un certificat SSL
Ceci est un étape recommandée Cependant, ignorez cette étape si vous mettez en œuvre la géo-redondance / la haute disponibilité.
Pour rendre votre SCEPman disponible sous votre domaine spécifique, vous devez créer un Domaine personnalisé dans le App Service.
Domaine personnaliséMises à jour manuelles
Ceci est une optionnelle étape.
Par défaut, SCEPman adopte une approche evergreen à l'égard des mises à jour. Si vous exigez un contrôle total sur les mises à jour de SCEPman, configurez un slot de déploiement comme décrit dans le guide suivant sous la section Configuration du slot de déploiement.
Stratégie de mise à jourDéployer Application Insights
Ceci est étape recommandée étape.
Application Insights peut être utilisé pour obtenir un aperçu des performances de l'App Service et pour avoir des analyses approfondies du traitement des requêtes de SCEPman. Nous recommandons de toujours configurer Application Insights pour surveiller, maintenir et optimiser l'App Service.
Application InsightsConfigurer le contrôle d'intégrité
Ceci est étape recommandée étape.
Les contrôles d'intégrité peuvent être configurés pour avertir les administrateurs si l'App Service SCEPman ne répond plus.
Vérification de l'étatAssurez-vous que SCEPman dispose de ressources suffisantes
Ceci est un obligatoire étape.
Une fois que vous placez SCEPman en production, vous devez vous assurer que SCEPman dispose d'une puissance de calcul suffisante. Par conséquent, veuillez consulter notre guide de dimensionnement Azure et mettre à niveau votre niveau de Plan App Service si nécessaire. Vous pouvez reporter cela jusqu'après votre phase de PoC ou d'essai.
Dimensionnement App ServiceConfigurer la mise à l'échelle automatique
Ceci est une optionnelle étape.
La solution SCEPman a deux tâches et exigences de performance différentes. Une tâche est le processus d'émission de certificats : après la configuration de la solution SCEPman, nous devons déployer des certificats à tous les appareils (certificats utilisateur et/ou appareil), mais il s'agit d'une tâche ponctuelle et après le déploiement initial cela n'arrive que lorsqu'un nouvel appareil est inscrit, ou que les certificats doivent être renouvelés. Dans ces situations, SCEPman fera face à un pic de requêtes SCEP.
La seconde tâche est la validation des certificats : après avoir déployé des certificats sur les appareils, ces certificats doivent être validés chaque fois qu'ils sont utilisés. Pour chaque authentification basée sur certificat, les clients, gateways ou le système RADIUS (selon ce que vous utilisez) enverront une requête OCSP vers l'App Service SCEPman. Cela provoquera une charge de requêtes permanente sur l'App Service.
Pour obtenir des performances optimisées et maîtriser les coûts, nous recommandons de configurer la fonctionnalité de mise à l'échelle automatique de l'App Service. Avec cette fonctionnalité, votre application peut se déployer horizontalement et se rétracter en fonction des métriques.
Mise à l'échelle automatiqueConfigurer la géo-redondance
Ceci est une optionnelle étape.
La configuration d'une instance géo-redondante pour SCEPman peut améliorer la disponibilité et la résilience du service en répartissant les charges de travail entre plusieurs régions Azure.
Cependant, il est important de noter que cette configuration peut entraîner une augmentation des coûts Azure en raison des ressources supplémentaires et de la réplication des données impliquées. Microsoft fournit un SLA de 99,95 % pour les App Services Azure, ce qui est adéquat dans la plupart des scénarios.
Géo-redondanceConfigurer vos profils de déploiement MDM
Ceci est un étape recommandée étape.
Une fois les étapes ci-dessus terminées, nous disposons d'une implémentation SCEPman opérationnelle et pouvons maintenant déployer des certificats sur les appareils.
Veuillez utiliser un (ou plusieurs) des articles suivants pour déployer des certificats avec votre solution MDM préférée :
Microsoft IntuneJamf ProAutres solutions MDMÉmettre manuellement des certificats ou signer des CSR en utilisant le Certificate Master
Ceci est une optionnelle étape.
Veuillez suivre le lien ci-dessous pour apprendre comment émettre des certificats TLS serveur basés sur une liste de FQDNs ou signer n'importe quel CSR à l'aide du composant Certificate Master.
Gestionnaire de certificatsÉmettre des certificats en utilisant l'API REST d'enrôlement
Ceci est une optionnelle étape.
SCEPman dispose d'une API REST pour l'enrôlement des certificats. C'est une alternative aux points de terminaison SCEP qui nécessitent le type d'authentification SCEP, tandis que l'API REST utilise les identités Microsoft pour l'authentification. Le protocole est également beaucoup plus simple que SCEP.
API REST d'inscriptionCréer des verrous sur les ressources Azure de SCEPman
Ceci est une optionnelle étape.
Par défaut, SCEPman n'applique aucun verrou aux ressources Azure. Si vous utilisez des verrous de ressource et souhaitez les configurer, la liste suivante indique quels types de verrous peuvent être appliqués à chaque ressource SCEPman.
Key Vault : La suppression douce (Soft Delete) et la protection contre la purge fournissent déjà une protection contre la suppression accidentelle. SCEPman ne modifie pas la ressource après la création de la clé CA, donc un ReadOnlyLock est techniquement possible.
Compte de stockage : Seul un DeleteLock est possible, car SCEPman doit écrire des informations de certificat dans la table. Si un compte de stockage est supprimé accidentellement, vous perdez les informations sur les certificats déjà émis.
App Services : Un ReadOnlyLock est théoriquement possible, mais il doit être retiré chaque fois que vous modifiez la configuration de SCEPman. Un App Service supprimé peut être réinstallé facilement, mais il n'aura que la configuration par défaut, donc toutes les modifications manuelles devront être reconfigurées manuellement. Une combinaison de DeleteLock et ReadOnlyLock aide à atténuer ce risque.
Espace de travail Log Analytics : Un DeleteLock est techniquement possible, mais vous perdriez seulement les journaux collectés pendant la période de rétention, ce qui n'impacte pas la disponibilité du service SCEPman.
Autres ressources Azure : Celles-ci ne stockent pas de données et peuvent être recréées sans perte d'informations. Un DeleteLock et ReadOnlyLock peut être utile pour certaines d'entre elles. Certaines ne peuvent pas du tout être supprimées car elles ont des dépendances sur l'un des services principaux mentionnés ci-dessus.
Mis à jour
Ce contenu vous a-t-il été utile ?