> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/enterprise-guide-1.md).
# Guide étendu
Cela vous guidera à travers toutes les étapes pour déployer SCEPman dans un environnement de niveau entreprise avec des exigences avancées, par ex. des conventions de nommage, de la redondance ou de l'auto-scalage.
{% hint style="warning" %}
SCEPman Enterprise Edition uniquement
{% endhint %}
## Déploiement Azure
Commençons par les prérequis et un aperçu des ressources.\
Gardez à l'esprit que vous devez planifier une conception pertinente des ressources Azure.
### Prérequis
#### Obligatoire
* [ ] Convention de nommage des ressources Azure.
* [ ] Abonnement Azure (au moins les droits Contributeur sur cet abonnement).
* [ ] Droits de propriétaire Azure (au moins au niveau du groupe de ressources).
* [ ] Microsoft Entra ID (Azure AD) « Administrateur général » (consentement à l'accès à l'API Graph).
* [ ] Veillez à définir vos stratégies Azure [conformément aux exigences de SCEPman](/fr/autres/security-faq.md#azure-cis) (par exemple, n'imposez pas TLS).
* [ ] CNAME du domaine public (*scepman.yourdomain.com*), uniquement si la redondance géographique est utilisée.
* [ ] Certificat SSL (ou utilisez [Certificat géré App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), uniquement si la redondance géographique est utilisée.
* [ ] Clé de licence SCEPman Enterprise Edition.
#### Facultatif
* [ ] CNAME du domaine public (*scepman.yourdomain.com*), uniquement si un domaine personnalisé est utilisé.
* [ ] Certificat SSL (Wildcard-) (ou utilisez [Certificat géré App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), uniquement si un domaine personnalisé est utilisé.
### Vue d’ensemble des ressources Azure
Les ressources suivantes sont recommandées pour un environnement de production.
| Type | Description |
| ------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| App Service (x2) | Un environnement virtuel Azure pour exécuter les applications SCEPman Core et Cert Master et fournit une interface utilisateur pour configurer différents
paramètres spécifiques à l'application, tels que le CNAME, le certificat SSL et les paramètres de l'application.
|
| Plan App Service | Un ensemble virtuel de ressources de calcul et de configurations pour les « App Service(s) ».
Ici, vous pouvez configurer le niveau tarifaire et la mise à l’échelle des ressources.
|
| Key Vault | Outil permettant de stocker en toute sécurité les secrets et les certificats. L'application SCEPman générera et enregistrera le certificat racine dans votre Key Vault. |
| compte de stockage | Plateforme de stockage utilisée par le composant Certificate Master de SCEPman pour stocker les attributs des certificats à des fins de révocation.
Facultatif :
L'« App Service » chargera les artefacts depuis un URI de stockage d’objets blob si des mises à jour manuelles sont configurées.
|
| espace de travail Log Analytics | Un stockage de journaux centralisé et basé sur le cloud. L'« App Service » enregistrera tous
les journaux et les métriques de la plateforme dans cet espace de travail.
Depuis la v3.0, SCEPman écrit les journaux dans le Log Analytics Workspace en utilisant l'API Log Ingestion de Microsoft.
|
De plus, si vous utilisez des points de terminaison privés, vous avez [sept ressources Azure supplémentaires.](/fr/configuration-azure/private-endpoints.md#azure-resources-used-for-private-endpoints)
| Type | Description |
|---|
| Réseau virtuel | Les App Services de SCEPman, le Key Vault et le Storage Account se connectent via ce VNET. |
| Point de terminaison privé (×2) | Un pour le Key Vault et un pour le Storage Account. Cela les rend accessibles via le VNET. |
| zone DNS privée (×2) | Un pour le Key Vault et un pour le Storage Account. Ils ont tous les deux une adresse IP interne dans le VNET, pour laquelle ils ont un nom dans leur zone DNS privée respective. |
| Interface réseau (×2) | Un pour le Key Vault et un pour le Storage Account. Il connecte le point de terminaison privé au VNET. |
## Étapes de configuration
{% stepper %}
{% step %}
### Déployer les services de base SCEPman
{% hint style="warning" %}
C'est une **obligatoire** étape.
{% endhint %}
Faites votre choix quant à un déploiement avec un **Windows** ou **Linux** Plan App Service. Les deux méthodes de déploiement vous permettront de choisir votre système d'exploitation.
Pour commencer le déploiement, vous devez suivre nos instructions de configuration en utilisant un **Modèle ARM**
{% content-ref url="/pages/86f1f511b9da26254c6f72e17ea430e7b357268a" %}
[Déploiement en entreprise](/fr/deploiement-de-scepman/deployment-options/enterprise-deployment.md)
{% endcontent-ref %}
ou, à défaut, notre **Terraform** script :
{% content-ref url="/pages/8a17f6dcaf81d71cb59add73b61d51725ba00a6f" %}
[Déploiement Terraform](/fr/deploiement-de-scepman/deployment-options/terraform-deployment.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Effectuer les étapes post-déploiement (attributions d'autorisations)
{% hint style="warning" %}
C'est une **obligatoire** étape.
{% endhint %}
Pour relier correctement tous les composants de SCEPman, plusieurs autorisations doivent être attribuées. Veuillez suivre ces étapes pour établir les connexions appropriées :
{% content-ref url="/pages/10d65cc96c9ba2c592c761fb79f2d9636a6b7314" %}
[Identités gérées](/fr/deploiement-de-scepman/permissions/post-installation-config.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Ajouter les autorisations du Certificate Master
{% hint style="success" %}
C'est une **obligatoire** étape pour **Enterprise** **Edition** les clients. **Édition Community** les utilisateurs peuvent ignorer cette étape.
{% endhint %}
Le Certificate Master est une **édition Entreprise** fonctionnalité qui permet aux administrateurs de générer et de révoquer manuellement des certificats. Veuillez suivre ces étapes pour donner accès au Certificate Master.
{% content-ref url="/pages/915e7a19db256e87ca71bac063e2c03449462cd0" %}
[RBAC de Certificate Master](/fr/configuration-de-scepman/rbac.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Créer un certificat racine
{% hint style="warning" %}
C'est une **obligatoire** étape.
{% endhint %}
Une fois le déploiement et l'attribution des autorisations terminés, vous devez créer le certificat racine pour SCEPman :
{% content-ref url="/pages/1862b966bcf8be8581f2ffef7d900a02dbb8ea66" %}
[AC racine](/fr/deploiement-de-scepman/first-run-root-cert.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurer un domaine personnalisé et un certificat SSL
{% hint style="success" %}
C'est une **recommandé** étape. Cependant, **ignorez** cette étape si vous mettez en œuvre la redondance géographique.
{% endhint %}
Pour rendre SCEPman disponible sous votre domaine spécifique, vous devez créer un **domaine personnalisé** dans le **App Service.**
{% content-ref url="/pages/f31c495f6240f0291e0e5220178c329553030d6b" %}
[Domaine personnalisé](/fr/configuration-azure/custom-domain.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Mises à jour manuelles
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
Par défaut, SCEPman adopte une [approche de mise à jour continue](/fr/configuration-azure/update-strategy.md#evergreen-approach) pour les mises à jour. Si vous avez besoin d'un contrôle total sur vos mises à jour SCEPman, veuillez configurer un slot de déploiement comme décrit dans le guide suivant, à la section **Configuration du slot de déploiement**.
{% content-ref url="/pages/bc63b88c38160b1aea0d1f1ea09fcc624ed72eeb" %}
[Stratégie de mise à jour](/fr/configuration-azure/update-strategy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurer les alertes de vérification d'état
{% hint style="success" %}
C'est une **recommandé** étape.
{% endhint %}
Les vérifications d'état peuvent être configurées pour avertir les administrateurs si l'App Service SCEPman ne répond pas.
Bien que la vérification d'état soit ajoutée automatiquement lors de l'installation, les alertes doivent être configurées manuellement.
{% content-ref url="/pages/e0833b07a4a0f41cb7759257802c4d8bea5c6ce3" %}
[Vérification d'intégrité](/fr/configuration-azure/health-check.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Veillez à ce que SCEPman dispose de ressources suffisantes
{% hint style="warning" %}
C'est une **obligatoire** étape.
{% endhint %}
Une fois SCEPman déployé dans un environnement de production, vous devez vous assurer qu'il dispose d'une capacité de calcul suffisante. Veuillez donc consulter notre guide de dimensionnement Azure et mettre à niveau le niveau de votre plan App Service si nécessaire. Vous pouvez reporter cela à après votre phase de PoC ou d'essai.
{% content-ref url="/pages/eaa1d1697d6a250546392d24e19d6d89743439e4" %}
[Dimensionnement d'App Service](/fr/configuration-azure/azure-sizing.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurer la mise à l'échelle automatique
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
La solution SCEPman comporte deux tâches différentes et exigences de performance.\
L'une des tâches est le processus d'émission des certificats : après la configuration de la solution SCEPman, nous devons déployer des certificats sur tous les appareils (certificats utilisateur et/ou appareil), mais il s'agit d'une tâche ponctuelle et, après le déploiement initial, cela ne se produit que lorsqu'un nouvel appareil est inscrit ou que les certificats doivent être renouvelés. Dans ces situations, SCEPman fera face à un pic de requêtes SCEP.
La seconde tâche est la validation des certificats : après avoir déployé des certificats sur les appareils, ceux-ci doivent être validés à chaque utilisation. Pour chaque authentification basée sur des certificats, les clients, les passerelles ou le système RADIUS (selon ce que vous utilisez) enverront une requête OCSP au service d'application SCEPman. Cela entraînera une charge de requêtes permanente sur le service d'application.
Pour obtenir des performances optimisées et maîtriser les coûts, nous recommandons de configurer la fonctionnalité de mise à l'échelle automatique de l'App Service. Grâce à cette fonctionnalité, votre application peut augmenter et réduire sa capacité en fonction des métriques.
{% content-ref url="/pages/9ef7557cd530615c4ca71645ee496c69dc3426fd" %}
[Mise à l'échelle automatique](/fr/configuration-azure/azure-sizing/autoscaling.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurer la redondance géographique
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
La configuration d’une instance géoredondante pour SCEPman peut améliorer la disponibilité et la résilience du service en répartissant les charges de travail sur plusieurs régions Azure.
Cependant, il est important de noter que cette configuration peut entraîner une augmentation des coûts Azure en raison des ressources supplémentaires et de la réplication des données impliquées. Microsoft fournit un SLA de 99,95 % pour les Azure App Services, ce qui est suffisant dans la plupart des scénarios.
{% content-ref url="/pages/98ba18cff1e4235a0acf59548f1b633a7b78b1e3" %}
[Géo-redondance](/fr/configuration-azure/geo-redundancy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurez vos profils de déploiement MDM
{% hint style="success" %}
C'est une **recommandé** étape.
{% endhint %}
Une fois les étapes ci-dessus terminées, nous disposons d'une implémentation SCEPman fonctionnelle et pouvons désormais déployer des certificats sur les appareils.
Veuillez utiliser un ou plusieurs des articles suivants pour déployer des certificats avec votre solution MDM préférée :
{% content-ref url="/pages/3155b13449f4bc0c564e924ff7ad44b1d952d22f" %}
[Microsoft Intune](/fr/gestion-des-certificats/microsoft-intune.md)
{% endcontent-ref %}
{% content-ref url="/pages/879b8e592424ee154fab66446a36e1596558ad8b" %}
[Jamf Pro](/fr/gestion-des-certificats/jamf.md)
{% endcontent-ref %}
{% content-ref url="/pages/1eae8810c9928e0c4ee640e3b4d0bd32af8316b1" %}
[Autres solutions MDM](/fr/gestion-des-certificats/static-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Émettre manuellement des certificats ou signer des CSR à l'aide du Certificate Master
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
Veuillez suivre le lien ci-dessous pour apprendre à émettre des certificats serveur TLS à partir d’une liste de FQDN ou à signer n’importe quelle CSR à l’aide du composant Certificate Master.
{% content-ref url="/pages/e4620725f03a9d6f34577c3aa44abbdf9a17bf0a" %}
[Certificate Master](/fr/gestion-des-certificats/certificate-master.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Émettre des certificats à l’aide de l’API REST d’inscription
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
SCEPman propose une API REST pour inscrire des certificats. Il s'agit d'une alternative aux points de terminaison SCEP qui nécessitent l'authentification de type SCEP, tandis que l'API REST utilise Microsoft Identities pour l'authentification. Le protocole est également beaucoup plus simple que SCEP.
{% content-ref url="/pages/46e3a930d37411caaa3ebb5013d2832fa609c34b" %}
[API REST d'inscription](/fr/gestion-des-certificats/api-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Créer des verrous sur les ressources Azure de SCEPman
{% hint style="info" %}
C'est un **facultatif** étape.
{% endhint %}
Par défaut, SCEPman n’applique aucun verrou aux ressources Azure. Si vous utilisez des verrous de ressources et souhaitez les configurer, la liste suivante indique quels types de verrou peuvent être appliqués à chaque ressource SCEPman.
* **Key Vault :** La suppression réversible et la protection contre la purge offrent déjà une protection contre les suppressions accidentelles. SCEPman ne modifie pas la ressource après la création de la clé de l’AC, donc un **ReadOnlyLock** est techniquement possible.
* **Storage Account :** Seul un **DeleteLock** est possible, car SCEPman doit écrire les informations de certificat dans la table. Si un Storage Account est supprimé accidentellement, vous perdez les informations sur les certificats déjà émis.
* **App Services :** Un **ReadOnlyLock** est théoriquement possible, mais il doit être supprimé chaque fois que vous modifiez la configuration de SCEPman. Un App Service supprimé peut facilement être réinstallé, mais il n’aura que la configuration par défaut, donc toutes les modifications manuelles devront être reconfigurées manuellement. Une combinaison de **DeleteLock** et **ReadOnlyLock** aide à atténuer ce risque.
* **Log Analytics Workspace :** Un **DeleteLock** est techniquement possible, mais vous ne perdriez que les journaux collectés pendant la période de rétention, ce qui n’a pas d’incidence sur la disponibilité du service SCEPman.
* **Autres ressources Azure :** Elles ne stockent pas de données et peuvent être recréées sans perte d’informations. Un **DeleteLock** et **ReadOnlyLock** peut être utile pour certaines d’entre elles. Certaines ne peuvent pas être supprimées du tout car elles ont des dépendances vis-à-vis de l’un des services principaux mentionnés ci-dessus.
{% endstep %}
{% endstepper %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/enterprise-guide-1.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.