Client Linux non géré
Applicable à la version 2.9 de SCEPman et aux versions ultérieures
Édition SCEPman Enterprise uniquement
Cette méthode peut être utilisée pour inscrire des certificats pour des utilisateurs et des appareils qui ne sont pas gérés ou qui sont gérés par un MDM autre qu’Intune.
Prérequis
1. Inscription en libre-service
Pour inscrire des certificats, les utilisateurs doivent être authentifiés afin de vérifier leur éligibilité. Suivez ce guide pour obtenir des instructions étape par étape sur la manière de configurer cela
2. Paramètres de l’App Service
Configuration
Requis pour le renouvellement du certificat
Configurez votre App Service SCEPman pour accepter les certificats client mTLS. Dans le volet Configuration de la section Paramètres, vérifiez que le mode de certificat client dans Certificats client entrants est défini sur Utilisateur interactif facultatif.
Ne définissez pas le mode de certificat client sur Require ou Allow, car cela perturberait le fonctionnement normal de SCEPman sur les points de terminaison SCEP !
Variables d’environnement
Afin d’utiliser ce scénario, vous devez définir les variables d’environnement suivantes sur l’App Service SCEPman.
Requis pour l’inscription et le renouvellement du certificat
Définissez cette variable sur true pour activer la validation des demandes de signature de certificat (CSR).
Requis pour le renouvellement du certificat
Définissez cette variable sur true pour activer les renouvellements de certificats.
Requis pour le renouvellement du certificat
Définissez cette variable sur une liste de types de certificats séparés par des virgules pour lesquels vous souhaitez autoriser le renouvellement. Consultez la documentation de la variable liée pour obtenir la liste des types de certificats possibles.
Exemple : Static,IntuneUser,IntuneDevice
Ce scénario inscrira des certificats du type IntuneUser.
Module PowerShell SCEPmanClient
Demandes initiales
Vous pouvez utiliser le module PowerShell SCEPmanClient pour demander des certificats sur votre appareil Linux :
L’utilisateur devra ensuite se connecter de manière interactive dans une session de navigateur et un certificat pour son compte connecté sera créé.
Renouvellement de certificat
Vous pouvez également utiliser le module PowerShell pour renouveler des certificats déjà existants. Cela évitera également d’avoir à utiliser un principal de service pour l’authentification :
Script d’inscription et de renouvellement
Si le module PowerShell n’est pas une option pour vous, le enrollrenewcertificate.sh script peut être utilisé pour obtenir initialement un certificat, ainsi que pour le vérifier et tenter un renouvellement au cas où il serait sur le point d’expirer.
Prérequis client
Les prérequis suivants doivent être présents sur le client/hôte d’exécution pour pouvoir utiliser l’API REST d’inscription.
Azure CLI (version 2.61 et supérieure)
Azure CLI est utilisé pour authentifier l’utilisateur procédant à l’inscription, vérifier son éligibilité et récupérer le jeton d’accès.
cURL
Utilisé pour envoyer le CSR créé au point de terminaison de l’API d’inscription de SCEPman et recevoir le certificat.
OpenSSL
OpenSSL est utilisé pour générer une clé privée et créer un CSR pour l’inscription ou le renouvellement d’un certificat.
Exemple :
1. Commande
Définit le comportement du script
Peut être l’un des éléments suivants :
-u pour un certificat utilisateur avec détection automatique s’il s’agit d’une inscription initiale ou d’un renouvellement
-d pour un certificat d’appareil avec détection automatique s’il s’agit d’une inscription initiale ou d’un renouvellement
-r pour le renouvellement
-w pour l’inscription initiale d’un utilisateur
-x pour l’inscription initiale d’un appareil
Si vous inscrivez ou renouvelez un certificat d’appareil, le DeviceId sera tenté d’être lu depuis ~/.config/intune/registration.toml par défaut et l’utilisateur authentifié devra correspondre au propriétaire de l’objet dans le DeviceDirectory
2. URL du service d’application
L’URL du service d’application SCEPman.
Exemple : "https://scepman.contoso.net/"
3. API_SCOPE
Il s’agit de la portée d’API que vous pouvez créer dans l’ SCEPman-api enregistrement d’application dans votre environnement.
L’utilisateur verra la boîte de dialogue de consentement souhaitée et pourra ensuite utiliser la fonctionnalité en libre-service.
Exemple : "api://b7d17d51-8b6d-45eb-b42b-3dae638cd5bc/Cert.Enroll"
4. Répertoire des certificats
Le répertoire dans lequel le certificat sera créé ou dont le renouvellement sera tenté.
Exemple : ~/certs/
5. Nom de fichier du certificat
Le nom de fichier (sans extension) du certificat qui sera créé ou lu pour le renouvellement.
Exemple : "myCertificate"
6. Nom de fichier de la clé privée
Le nom de fichier de la clé privée qui sera créée ou lue pour le renouvellement.
Exemple : "myKey"
7. Seuil de renouvellement
Le nombre de jours avant l’expiration du certificat à partir duquel le script commencera le processus de renouvellement.
Exemple : 30
Considérations
Ce script ne chiffre pas les clés générées (cela nécessite la saisie d’une phrase secrète, donc le chiffrement a été omis afin de permettre le renouvellement automatique.)
Si vous renouvelez des certificats protégés par phrase secrète provenant de Certificate Master, vous devrez saisir cette phrase secrète afin de les renouveler.
Configurer le renouvellement automatique
Lorsque le script bash ci-dessus est exécuté et détecte qu’un certificat a déjà été inscrit, il renouvellera le certificat (s’il est proche de son expiration) à l’aide de mTLS. Si le script est exécuté régulièrement, cela garantira que le certificat est renouvelé lorsqu’il approche de son expiration. Vous pouvez configurer une tâche cron pour y parvenir. La commande ci-dessous est un exemple de la façon dont cela pourrait être fait. Elle configurera une tâche cron pour exécuter la commande quotidiennement (si le système est allumé) et une tâche cron pour exécuter la commande au redémarrage.
Étant donné que les commandes exécutées par Cron ne seront pas nécessairement lancées depuis le répertoire où se trouvent le script/les certificats, il est important de fournir les chemins absolus vers le script/les certificats.
Mis à jour
Ce contenu vous a-t-il été utile ?