Inscription en libre-service

Applicable à la version 2.9 de SCEPman et ultérieures

Pour que les clients puissent inscrire eux-mêmes des certificats sans SCEP, ils peuvent utiliser l'API REST SCEPman. Cependant, ils ne devraient pas pouvoir inscrire n'importe quel certificat arbitraire, seulement des certificats liés à leur propre identité. Par conséquent, l'API SCEPman dispose d'un rôle qui peut être attribué aux utilisateurs/groupes pour permettre cela.

Prérequis

• Ce rôle est inclus à partir de SCEPman 2.9. Si vous avez installé SCEPman avant cela, vous devez exécuter le script d'installation à nouveau pour que ce rôle apparaisse.

Attribution des autorisations de libre-service

Vous pouvez vérifier que le rôle Self Service existe dans l'inscription d'application SCEPman-api :

Vous pouvez créer des attributions de rôles pour les utilisateurs et les groupes dans l'application d'entreprise SCEPman-api.

Demandes d'inscription de certificats

Un utilisateur disposant du rôle de libre-service ne peut inscrire des certificats qu'avec les attributs suivants. (Ce sont les mêmes que les attributs que vous sélectionneriez lors de l'inscription de certificats via un profil SCEP dans Intune par exemple). La validité du certificat sera liée à l'objet d'appareil dans Intune ou dans Entra ID, ou à l'objet utilisateur dans Entra ID, de manière analogue aux certificats inscrits dans Intune.

Si vous utilisez le script d'inscription fourni par notre section Cas d'utilisation, il générera automatiquement une demande conformément à ces exigences.

Certificats de l'appareil

Soit le Subject Alternative Name (SAN) doit inclure IntuneDeviceID://<IntuneDeviceId> en tant qu'URI, où <IntuneDeviceId> sans les accolades, correspond à l'ID de l'appareil dans Intune. Ou le champ CN du Subject doit être l'ID de l'appareil Entra ID ou l'ID de l'appareil Intune.

Champ	Value
Sujet	CN=<AAD_Device_Id> ou CN=<DeviceId>, où l'appareil appartient à l'utilisateur.
SAN (URI)	IntuneDeviceId://<IntuneDeviceId>
Contraintes de base	Type de sujet=Entité finale
EKU	Authentification client, 1.3.6.1.5.5.7.3.2

Certificats utilisateur

Champ	Value
Sujet	CN=<DisplayName>
SAN (Autre nom/UPN)	<UserPrincipalName>
Contraintes de base	Type de sujet=Entité finale
EKU	Authentification client, 1.3.6.1.5.5.7.3.2