SCEPmanClient

SCEPmanClient est un module PowerShell destiné à interagir avec l'API REST de SCEPman. Étant indépendant de la plate-forme et compatible avec Windows PowerShell v5, vous pouvez utiliser ce module pour demander des certificats pour tous les cas d'utilisation pour lesquels l'API REST peut être utilisée :

• Émission automatique de certificats serveur

• Certificats client pour appareils non gérés

• Inscription de certificats sur des appareils Linux

Installation

Le module SCEPmanClient est disponible sur le PowerShell Gallery et peut être installé en utilisant la commande suivante :

Install-Module -Name SCEPmanClient

Suivez le guide de Microsoft sur la façon d'installer PowerShell sur Linux ou MacOS.

Prérequis

Pour que le module fonctionne comme prévu, vous devrez ajouter une petite modification à votre déploiement SCEPman :

1

Ajouter l'URL de la page d'accueil

Ajoutez l'URL du service d'application de SCEPman : Accédez à la section Branding & Properties de l'enregistrement d'application. Ajoutez l'URL du service d'application de SCEPman dans le champ URL de la page d'accueil :

Ceci est nécessaire pour que le module puisse automatiquement rechercher l'identifiant client (client id) de l'enregistrement d'application requis pour la récupération du jeton d'accès.

2

Permettre à Azure PowerShell d'interagir avec l'enregistrement d'application

Dans l'enregistrement d'application, accédez à Expose an API et créez une portée personnalisée qui peut être utilisée pour autoriser l'ID client 1950a258-227b-4e31-a9cf-717495945fc2 (Microsoft Azure PowerShell)

Exemple d'informations pour une portée d'API personnalisée

Après avoir créé une portée d'API, l'application Azure PowerShell peut être autorisée :

Application Microsoft Azure PowerShell autorisée

3

Activer le point de terminaison EST

Autorisations

SCEPman possède différents rôles qui permettront l'inscription de différents types de certificats. Vous pouvez les attribuer dans la SCEPman-api (nom par défaut) Application d'entreprise :

Demandeurs DB CSR

Ce rôle n'est par défaut attribuable qu'aux principaux de service (enregistrements d'application par exemple) et permet de demander des certificats avec des sujets et usages arbitraires.

Inscription via API

Self Service CSR

Ce rôle peut être attribué aux utilisateurs et permettra l'inscription de certificats avec les restrictions suivantes :

• Seulement EKU ClientAuth

• Les certificats utilisateur doivent correspondre au UPN de l'utilisateur soit dans le sujet soit dans le nom alternatif de sujet UPN

• Les certificats d'appareil doivent avoir un sujet ou SAN que SCEPman peut mapper à un objet appareil possédé par l'utilisateur authentifié

Inscription en libre-service

Exemples d'utilisation

Utiliser l'authentification Azure

Authentification interactive

Lors de la demande d'un nouveau certificat sans spécifier le mécanisme d'authentification, l'utilisateur sera authentifié de manière interactive par défaut. En utilisant le -SubjectFromUserContext paramètre, le sujet du certificat et le SAN UPN seront automatiquement remplis en fonction du contexte de l'utilisateur connecté :

New-SCEPmanCertificate -Url 'scepman.contoso.com' -SubjectFromUserContext -SaveToStore CurrentUser

Connexion d'appareil

Si vous souhaitez demander un nouveau certificat sur un système sans environnement de bureau, vous pouvez utiliser le -DeviceCode paramètre pour effectuer l'authentification réelle sur une autre session :

New-SCEPmanCertificate -Url 'scepman.contoso.com' -DeviceCode -SubjectFromUserContext -SaveToFolder /home/user/certificates

Authentification par principal de service

Dans des scénarios entièrement automatisés, un enregistrement d'application peut être utilisé pour l'authentification. Inférer le sujet à partir du contexte authentifié ne sera pas possible dans ce cas.

Le splatting de paramètres rendra également l'exécution plus lisible :

$Parameters = @{
    'Url'              = 'scepman.contoso.com'
    'ClientId'         = '569fbf51-aa63-4b5c-8b26-ebbcfcde2715'
    'TenantId'         = '8aa3123d-e76c-42e2-ba3c-190cabbec531'
    'ClientSecret'     = 'csa8Q~aVaWCLZTzswIBGvhxUiEvhptuqEyJugb70'
    'Subject'          = 'CN=WebServer'
    'DNSName'          = 'Webserver.domain.local'
    'ExtendedKeyUsage' = 'ServerAuth'
    'SaveToStore'      = 'LocalMachine'
}

New-SCEPmanCertificate @Parameters

S'authentifier en utilisant des certificats

Une fois qu'un certificat a été émis en utilisant un contexte authentifié, nous pouvons l'utiliser pour le renouveler sans fournir à nouveau de contexte.

CertificateBySubject

L'interaction avec les magasins de clés n'est possible que sur Windows

Lors de la fourniture du CertificateBySubject paramètre, le module tentera automatiquement de trouver un certificat approprié pour le renouvellement dans les CurrentUser et LocalMachine magasins de clés.

La valeur saisie sera comparée par expression régulière aux sujets de tous les certificats disponibles.

New-SCEPmanCertificate -CertificateBySubject 'WebServer' -SaveToStore 'LocalMachine'

Fournir un certificat spécifique

$Certificate = Get-ChildItem Cert:\LocalMachine\My | Where-Object Thumbprint -eq '9B08EA68B16773CEF3C49D5D95BE50B784638984'

New-SCEPmanCertificate -Certificate $Certificate -SaveToStore LocalMachine

CertificateFromFile

Sur les systèmes Linux, un renouvellement de certificat peut être effectué en passant les chemins d'un certificat existant et de sa clé privée.

New-SCEPmanCertificate -CertificateFromFile '~/certs/myCert.pem' -KeyFromFile '~/certs/myKey.key' -SaveToFolder '~/certs'

Lorsque vous utilisez une clé privée chiffrée, il vous sera demandé le mot de passe. Vous pouvez également passer directement le mot de passe de la clé en utilisant le PlainTextPassword paramètre.

Utiliser SCEPman avec un pare-feu d'application Web Azure

Avec les profils SSL activés, le WAF terminera les connexions TLS. Cela interrompra à son tour les renouvellements de certificats utilisant EST car la procédure repose sur le mTLS pour l'authentification. Dans ce cas, le UseSCEPRenewal paramètre peut être utilisé pour effectuer à la place un renouvellement de certificat conformément au protocole SCEP.

New-SCEPmanCertificate -CertificateBySubject 'WebServer' -SaveToStore 'LocalMachine' -UseSCEPRenewal

Veuillez noter que cela nécessite une configuration supplémentaire de SCEPman concernant le point de terminaison SCEP statique :

• AppConfig:StaticValidation:Enabled : true

• AppConfig:StaticValidation:AllowRenewals : true

• AppConfig:StaticValidation:ReenrollmentAllowedCertificateTypes: Static (En fonction des types destinés au renouvellement)