Révocation
Révocation automatique des certificats dans Microsoft Intune ou Jamf Pro via OCSP à l'aide de SCEPman.
SCEPman propose plusieurs façons de gérer et de révoquer un certificat. Les options disponibles dépendent de
si le certificat a été inscrit automatiquement via une solution MDM ou s'il a été généré via le interface utilisateur Certificate Master / API REST d’enrôlement,
le système MDM utilisé pour l’inscription (automatique), et
la configuration de SCEPman.
La section ci-dessous donne un aperçu des différentes options de gestion et des mécanismes de révocation, ainsi que des circonstances dans lesquelles ils sont disponibles.
Révocation automatique
Pris en charge sur OCSP.
Contexte
La révocation automatique est toujours active et permet une gestion pratique du cycle de vie des certificats en reliant chaque certificat à un objet d’annuaire tel qu’une identité utilisateur ou appareil. Grâce à ce mécanisme de liaison à un objet, SCEPman peut déduire l’état de révocation en fonction de certaines caractéristiques du cycle de vie de l’objet auquel il a été lié. La correspondance entre l’état du cycle de vie de l’objet et l’état de révocation du certificat est mise en œuvre conformément aux meilleures pratiques issues de nombreuses années d’expérience en sécurité et en gestion des terminaux.
La liaison entre l’objet d’annuaire (utilisateur ou appareil) et le certificat est établie en introduisant les variables appropriées dans le profil SCEP pour les propriétés Subject Name ou Subject Alternative Name. Lors de la réception d’une demande de signature de certificat (CSR) provenant d’un client géré par MDM, SCEPman identifie l’objet lié et encode cette information dans le numéro de série du certificat avant de la renvoyer au client. C’est le numéro de série qui est transmis au répondeur OCSP de SCEPman lors de la validation du certificat, ce qui permet à SCEPman de décoder les informations de l’objet, d’effectuer une recherche dans l’annuaire approprié et, enfin, de prendre une décision sur l’état de révocation.
Comportement de révocation
Dans l’un des scénarios ci-dessous, la révocation peut être considérée comme prenant effet immédiatement une fois que l’état de l’objet lié a changé. Veuillez noter que la mise en cache locale des réponses OCSP sur le client peut laisser penser le contraire.
Lors des tests, veuillez tenir compte du fait que la suppression/retrait d’un appareil de l’annuaire ou de la solution MDM concerné(e) est une opération irréversible qui vous obligera à réinscrire l’appareil par la suite.
Appareil Intune {{DeviceId}}
Non disponible
Conformité de l’appareil Intune: révocation réversible
Liste des terminaux: révocation permanente
Appareil Entra (Azure AD)
{{AAD_Device_ID}}
Supprimer: révocation permanente
Désactiver: révocation réversible
Conformité de l’appareil Entra (Azure AD): révocation réversible
Liste des terminaux: révocation permanente
Utilisateur Entra (Azure AD)
{{UserPrincipalName}}
Supprimer: révocation permanente
Désactiver: révocation réversible
Risque utilisateur: révocation réversible
Liste des terminaux: révocation permanente
Utilisateur Jamf sur ordinateur
CN=$JSSID,OU=users-on-computers
Supprimer (ordinateur): révocation permanente
Supprimer (utilisateur): révocation permanente
Non disponible
Non disponible
Utilisateur Jamf sur appareil
CN=$JSSID,OU=users-on-devices
Supprimer (appareil): révocation permanente
Supprimer (utilisateur): révocation permanente
Non disponible
Non disponible
*: Lors de la sélection de Wipe, assurez-vous que « effacer l’appareil, mais conserver l’état d’inscription et le compte utilisateur associé » est désactivé. La révocation n’est immédiate que si AppConfig:IntuneValidation:RevokeCertificatesOnWipe est défini sur true (par défaut).
Révocation manuelle
SCEPman Enterprise Edition uniquement
Pris en charge sur OCSP et CRL.
Contexte
La révocation manuelle est disponible pour tout certificat émis par SCEPman, qu’il ait été inscrit automatiquement via MDM, émis manuellement via Certificate Master ou déployé via l’API REST d’inscription. La révocation manuelle est utile lorsque la révocation automatique n’est pas disponible ou lorsque les voies de révocation automatique ne suffisent pas à satisfaire des exigences spécifiques.
Pour faciliter la révocation manuelle, SCEPman doit stocker certaines métadonnées des certificats qu’il émet. Si c’est le cas par défaut pour les certificats émis via l’interface utilisateur Certificate Master et l’API REST d’inscription, ce n’est pas le cas pour les autres types de certificats. Par conséquent, veuillez vous assurer de passer en revue les paramètres pertinents en fonction de vos besoins.
Poursuivez votre lecture pour découvrir comment la révocation manuelle est prise en charge en s’appuyant sur Certificate Master et ses options de recherche et de filtrage.
Certificate Master
SCEPman Certificate Master vous permet de rechercher, d’examiner et de gérer les certificats émis par votre PKI SCEPman :
Révocation automatique ou manuelle
SCEPman utilise différentes sources d’informations de révocation pour déterminer si un certificat est valide lorsqu’une requête OCSP arrive. De plus, la logique de révocation de SCEPman suit une approche basée sur un OU logique, ce qui signifie que si une source de révocation estime que le certificat est invalide, il sera signalé comme révoqué, que la révocation ait été automatique ou manuelle.
Veuillez noter que les tableaux dans Certificate Master n’affichent que l’état de la révocation manuelle et non les autres sources. Par conséquent, un certificat peut apparaître comme valide dans le tableau, alors qu’il est en réalité considéré comme révoqué, par exemple parce que l’appareil correspondant a été supprimé dans Intune (révocation automatique).
Pour aller plus loin
Mis à jour
Ce contenu vous a-t-il été utile ?