# Déploiement en entreprise

Le déploiement de SCEPman 2.x est différent d'un déploiement SCEPman 1.x. Si vous souhaitez installer une nouvelle instance SCEPman 2.x ou mettre à niveau votre instance 1.x existante, continuez à lire.

## Nouvelle instance SCEPman 2.0

**Déployer les ressources Azure**

Connectez-vous avec un compte administrateur AAD et visitez ce site, choisissez et cliquez sur l'un des liens de déploiement suivants :

* [Canal production](https://portal.azure.com/#create/Microsoft.Template/uri/https%3A%2F%2Fraw.githubusercontent.com%2Fscepman%2Fdeploy%2Fprod%2Fazuredeploy.json)
* [Canal bêta](https://portal.azure.com/#create/Microsoft.Template/uri/https%3A%2F%2Fraw.githubusercontent.com%2Fscepman%2Fdeploy%2Fbeta%2Fazuredeploy.json)
* [Canal interne](https://portal.azure.com/#create/Microsoft.Template/uri/https%3A%2F%2Fraw.githubusercontent.com%2Fscepman%2Fdeploy%2Finternal%2Fazuredeploy.json)
* [Canal production dans le cloud national GCC High](https://portal.azure.us/#create/Microsoft.Template/uri/https%3A%2F%2Fraw.githubusercontent.com%2Fscepman%2Fdeploy%2Fgcchigh%2Fazuredeploy.json)
* [Canal production dans le cloud national 21Vianet](https://portal.azure.com/#create/Microsoft.Template/uri/https%3A%2F%2Fraw.githubusercontent.com%2Fscepman%2Fdeploy%2Fvianet%2Fazuredeploy.json) (Expérimental !)

Remplissez les valeurs dans le formulaire

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FhcigYeXwfJ2YNTDyNbQ1%2Fimage.png?alt=media&#x26;token=eb35d15e-631c-4ab7-8ca0-7b3c928b19ea" alt=""><figcaption></figcaption></figure>

* **Abonnement :** Sélectionnez votre abonnement, où vous avez les autorisations pour créer des App Services, un compte de stockage, un plan App Service et un Key Vault
* **Groupe de ressources :** Sélectionnez un groupe de ressources existant ou créez-en un nouveau. Les ressources SCEPman seront déployées dans ce groupe de ressources
* **Région :** Sélectionnez la région en fonction de votre emplacement
* **Nom de l'organisation :** Nom de votre entreprise ou organisation pour le nom du sujet du certificat CA (RDN O)

{% hint style="warning" %}
Pour maximiser la compatibilité, pour le **Nom de l'organisation** nous recommandons d'omettre

* les caractères spéciaux spécifiques à une langue (par ex. ö, ø, é, ...)

* un espace initial (les espaces entre les mots peuvent être utilisés)

* guillemets
  {% endhint %}

* **Licence :** laissez sur "trial" pour déployer une édition Communautaire ou collez votre clé de licence pour l'édition Entreprise de SCEPman.

* **Type de clé CA**:&#x20;
  * **RSA-HSM** (**recommandés**, CA racine prise en charge par HSM)
  * **RSA** (CA racine prise en charge par logiciel)

* Pour le **Nom du compte de stockage**, veuillez noter que le nom **doit** avoir une longueur comprise entre 3 et 24 caractères et peut contenir **uniquement des chiffres et des lettres minuscules**

* Définissez un **globalement** nom unique pour le **Nom du Key Vault, Nom du plan App Service,** **Nom principal de l'App Service**, **Nom du Log Analytics Workspace**, **Nom de l'App Service Certificate Master**, **Nom du réseau virtuel**, **Point de terminaison privé pour le nom du Key Vault** et **Point de terminaison privé pour le stockage de tables.** Remplacez *NOMUNIQUET* par une valeur qui évoque le nom de votre organisation.

{% hint style="warning" %}
Dans le cas où vous auriez précédemment déployé SCEPman avec le même **Nom du Key Vault**, et supprimé toutes les ressources du déploiement précédent, assurez-vous de [**récupérer**](https://learn.microsoft.com/en-gb/azure/key-vault/general/key-vault-recovery?tabs=azure-portal\&WT.mc_id=Portal-Microsoft_Azure_KeyVault#list-recover-or-purge-a-soft-deleted-key-vault) le Key Vault précédemment supprimé. Il réapparaîtra dans le groupe de ressources précédent. Le déploiement ARM - s'il pointe vers le même groupe de ressources - reconnaîtra le Key Vault existant et le réutilisera. Une suppression complète du Key Vault précédent n'est pas réalisable en raison de [**la protection contre la purge**](https://learn.microsoft.com/en-gb/azure/key-vault/general/key-vault-recovery?tabs=azure-portal\&WT.mc_id=Portal-Microsoft_Azure_KeyVault#what-are-soft-delete-and-purge-protection) pendant 90 jours.
{% endhint %}

* **ID du plan App Service existant :** Fournissez l'ID d'un plan App Service existant ou conservez la valeur par défaut 'none' si vous souhaitez en créer un nouveau

Pour trouver votre **ID de plan App Service existant :** naviguez vers votre plan App Service existant > Vue JSON > copiez l'ID de ressource (voir captures d'écran)

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9f8af9d1eaaf3712785803a213b65ac7c66f527a%2F2022-04-04%2012_51_33AppServicePlan.png?alt=media) ![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-a37930d03b41e67fbaba4d15f8dd6a45c77e58e4%2F2022-04-04%2012_54_04-Resource%20JSON.png?alt=media)

* **Déployer sur Linux :**
  * **true** (déploie SCEPman sur un plan App Service Linux)
  * **false** (déploie sur un plan App Service Windows)
* **Déployer un réseau privé**:&#x20;
  * **true** (**recommandés**, isole le key vault et le compte de stockage derrière des points de terminaison privés afin que seul SCEPman puisse y accéder d'un point de vue réseau)
  * **false** (le key vault et le compte de stockage peuvent être accédés depuis n'importe quelle adresse IP)
* **Emplacement :** de toutes les ressources, la valeur par défaut `[resourceGroup().location]` est la recommandation de Microsoft, vous pouvez simplement la laisser telle quelle
* **Vérifier + créer**, puis **Créer**

Après un déploiement réussi de SCEPman 2.x, veuillez suivre l'article[ Identités gérées ](https://docs.scepman.com/fr/deploiement-scepman/permissions/post-installation-config)article

## Migration de la version 1.x vers 2.x

SCEPman 2.0 comprend deux ressources Azure supplémentaires, un compte de stockage Azure et un App Service appelé "Cert Master". Ceux-ci sont utilisés pour émettre et gérer les certificats de serveur. Mais vous pouvez également exécuter SCEPman 2.0 sans eux si vous optez uniquement pour les certificats client comme auparavant.

Si vous utilisez encore SCEPman 1.x, assurez-vous que votre instance utilise les artefacts d'application 2.x comme décrit ici : [Artefacts d'application](https://docs.scepman.com/fr/configuration-scepman/application-artifacts).

**Veuillez redémarrer votre App Service ensuite.**

### Ajouter SCEPman Cert Master

{% hint style="warning" %}
**Avant** d'ajouter le composant Cert Master via le script PowerShell mentionné ci-dessous, le service SCEPman de base existant doit être mis à jour vers la version >= 2.0 comme décrit dans le paragraphe précédent.
{% endhint %}

Si vous souhaitez utiliser le nouveau composant SCEPman Cert Master pour émettre des certificats serveur, vous devez ajouter les ressources Azure supplémentaires et les configurer. Cela permettra l'authentification en tant qu'identité gérée ; un avantage est que vous n'aurez plus besoin d'aucun secret d'application. Ainsi, vous n'avez plus à vous soucier de l'expiration des secrets d'application ! Voici comment procéder :

Après avoir mis à niveau le composant principal, vous devez suivre le guide de [Configuration post-installation](https://docs.scepman.com/fr/deploiement-scepman/permissions/post-installation-config). Contrairement à une nouvelle installation, cela créera également les deux nouvelles ressources Azure.

## Rétrograder de 2.x à 1.x

Vous pouvez rétrograder vers n'importe quelle version antérieure de SCEPman en téléchargeant les anciens artefacts, en les hébergeant à votre emplacement, par ex. Azure Blob storage, puis en faisant référence aux binaires en utilisant la [WEBSITE\_RUN\_FROM\_PACKAGE](https://docs.scepman.com/fr/configuration-scepman/application-artifacts#change-artifacts) paramètre.

Cependant, si vous avez également utilisé le module PowerShell SCEPman pour mettre à niveau le câblage interne, il y a une mise en garde : la 2.x prend en charge une méthode d'authentification différente vers Graph et Intune en utilisant les identités gérées, qui est aussi la nouvelle valeur par défaut et qui est activée par le script. Si vous rétrogradez votre composant principal, il ne pourra pas utiliser la nouvelle méthode d'authentification et il lui manquera un paramètre pour l'ancienne méthode, donc il ne fonctionnera plus. Ainsi, après une rétrogradation, vous devez modifier manuellement les paramètres d'application [AppConfig:AuthConfig:ApplicationId](https://docs.scepman.com/fr/configuration-scepman/application-settings/dependencies-azure-services/azure-ad#appconfig-authconfig-applicationid) et [AppConfig:AuthConfig:ApplicationKey](https://docs.scepman.com/fr/configuration-scepman/application-settings/dependencies-azure-services/azure-ad#appconfig-authconfig-applicationkey). Le script crée des sauvegardes des paramètres en préfixant `Sauvegarde :`. Ainsi, vous devez renommer `Sauvegarde:AppConfig:AuthConfig:ApplicationKey` de retour en `AppConfig:AuthConfig:ApplicationKey` et copier l'ancienne valeur depuis `Sauvegarde:AppConfig:AuthConfig:ApplicationId` vers `AppConfig:AuthConfig:ApplicationId`. Ensuite, la 1.x fonctionnera de nouveau en utilisant l'authentification basée sur les enregistrements d'application.
