> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/gestion-des-certificats/microsoft-intune/android.md).

# Android

Déployez des certificats sur des appareils Android via SCEP à l'aide d'Intune et de SCEPman.

L'article suivant décrit comment déployer un certificat d'appareil ou d'utilisateur pour Android. Le déploiement de certificats Android est similaire aux déploiements de certificats Windows 10, macOS et iOS.

{% hint style="info" %}
Android propose deux ensembles de solutions distincts : l’un est le [profil professionnel](https://developers.google.com/android/work/requirements/work-profile) (connu sous le nom de *Profil professionnel sur appareil personnel)* et l’autre est le [appareil entièrement géré](https://developers.google.com/android/work/requirements/fully-managed-device) (également connu sous le nom de *Profil professionnel entièrement géré, dédié et appartenant à l’entreprise*). Dans les deux cas, les paramètres des profils de configuration de certificat restent identiques.
{% endhint %}

{% hint style="info" %}
La gestion par administrateur de l’appareil Android a été introduite dans Android 2.2 comme moyen de gérer les appareils Android. Puis, à partir d’Android 5, le framework de gestion plus moderne Android Enterprise a été lancé (pour les appareils pouvant se connecter de manière fiable à Google Mobile Services). **Google encourage la transition depuis la gestion par administrateur de l’appareil en réduisant la prise en charge de sa gestion dans les nouvelles versions d’Android**. Pour plus d’informations, veuillez consulter [MS. Intune Réduction de la prise en charge de l’administrateur de l’appareil Android](https://techcommunity.microsoft.com/t5/intune-customer-success/decreasing-support-for-android-device-administrator/ba-p/1441935)
{% endhint %}

## Certificat racine

La base du déploiement des certificats SCEP (appareil ou utilisateur) consiste à faire confiance au certificat racine de SCEPman. Vous devez donc télécharger le certificat racine de l’AC et le déployer en tant que **certificat de confiance** profil via Microsoft Intune :

* [ ] Téléchargez le certificat de l’AC depuis le portail SCEPman

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(2\).png?alt=media)

* [ ] Créez un profil pour Android Enterprise avec le type **certificat de confiance** dans Microsoft Intune (en fonction de votre option d’inscription pour les appareils Android)

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F2DS8ORZGsIam5n30wm78%2F2024-01-09%2015_24_48-Create%20a%20profile.png?alt=media&amp;token=1f67c895-0c97-4b18-9f2a-c5d9cde273df" alt=""><figcaption></figcaption></figure>

* [ ] Téléversez votre **.cer téléchargé précédemment**.
* [ ] Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir Tous les utilisateurs et/ou Tous les appareils, ou un groupe dédié pour l’affectation.

{% hint style="info" %}
Remarque : vous devez utiliser le **même groupe pour attribuer** le **certificat de confiance** et **profil SCEP**. Sinon, le déploiement Intune pourrait échouer.
{% endhint %}

{% hint style="warning" %}
Certains déploiements Android Enterprise nécessitent la chaîne complète de l’autorité de certification (AC racine + AC intermédiaire) dans le profil de certificat approuvé Intune. Cela est particulièrement pertinent après le renouvellement du certificat de l’AC intermédiaire, où le déploiement du seul AC racine peut entraîner des échecs de déploiement des certificats SCEP utilisateur ou WLAN.
{% endhint %}

## Certificats de l'appareil

* [ ] Ouvrez le portail SCEPman et copiez l’URL sous **Intune MDM**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FaGrpTnexZ76xOot66Q8d%2F2024-01-09%2015_10_27.png?alt=media&amp;token=105d39c4-50b8-4fa2-9dfe-6ee87059b1d1" alt=""><figcaption></figcaption></figure>

* [ ] Créez un profil pour Android Enterprise avec le type **certificat SCEP** dans Microsoft Intune (encore une fois, en fonction de votre option d’inscription pour les appareils Android)

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fd73QTNENVyCjfNXDRGVO%2F2024-01-09%2016_09_19-Create%20a%20SCEP%20profile.png?alt=media&amp;token=79df117e-3e45-4a5f-9427-9b0b49da7738" alt=""><figcaption></figcaption></figure>

* [ ] Configurez le profil comme décrit

<details>

<summary>Type de certificat : <code>Appareil</code></summary>

Dans cette section, nous configurons un certificat d’appareil.

</details>

<details>

<summary>Format du nom du sujet : <code>CN={{DeviceId}}</code> ou <code>CN={{AAD_Device_ID}}</code></summary>

SCEPman utilise le champ CN du sujet pour identifier l’appareil et comme base pour la génération du numéro de série du certificat. Microsoft Entra ID (Azure AD) et Intune proposent deux identifiants différents :

* {{DeviceId}} : cet identifiant est généré et utilisé par Intune **(Recommandé).** (Nécessite [#AppConfig:IntuneValidation:DeviceDirectory](/fr/configuration-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory) être défini sur **Intune** ou **AADAndIntune**
* {{AAD\_Device\_ID}} : cet identifiant est généré et utilisé par Microsoft Entra ID (Azure AD).

Vous pouvez ajouter d'autres RDN si nécessaire (par ex. : `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Les variables prises en charge sont répertoriées dans la [documentation Microsoft](https://learn.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Nom alternatif du sujet : <code>URI</code> Valeur :<code>IntuneDeviceId://{{DeviceId}}</code></summary>

```
IntuneDeviceId://{{DeviceId}}
```

Le champ URI est [recommandé par Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) pour que les solutions NAC identifient les appareils sur la base de leur ID d’appareil Intune :

D'autres valeurs SAN comme DNS peuvent être ajoutées si nécessaire.

</details>

<details>

<summary>Période de validité du certificat : <code>1 an</code></summary>

La durée restante avant l'expiration du certificat. La valeur par défaut est fixée à un an.

SCEPman limite la validité du certificat au maximum configuré dans le paramètre [***AppConfig:ValidityPeriodDays***](/fr/configuration-de-scepman/application-settings/certificates.md#appconfig-validityperioddays), mais utilise sinon la validité configurée dans la requête.

</details>

<details>

<summary>Utilisation de la clé : <code>Signature numérique</code> et <code>chiffrement de clé</code></summary>

Veuillez activer les deux actions cryptographiques.

</details>

<details>

<summary>Taille de la clé (bits) : <code>4096</code></summary>

SCEPman prend en charge 4096 bits.

</details>

<details>

<summary>Certificat racine : <code>Profil de l’étape précédente</code></summary>

Veuillez sélectionner le profil Intune depuis \[[#root-certificate](#root-certificate "mention")]\(android.md#root-certificate).

Si vous utilisez un [CA intermédiaire](/fr/deploiement-de-scepman/intermediate-certificate.md)une AC intermédiaire

</details>

<details>

<summary>Utilisation étendue de la clé : <code>Authentification client, 1.3.6.1.5.5.7.3.2</code></summary>

Veuillez choisir **Authentification client (1.3.6.1.5.5.7.3.2)** sous **Valeurs prédéfinies**. Les autres champs seront remplis automatiquement.

</details>

<details>

<summary>Seuil de renouvellement (%) : <code>20</code></summary>

Cette valeur définit à quel moment l'appareil est autorisé à renouveler son certificat (sur la base de la durée de vie restante d'un certificat existant). Veuillez lire la remarque sous **Période de validité du certificat** et sélectionnez une valeur appropriée permettant à l'appareil de renouveler le certificat sur une longue période. Une valeur de 20 % permettrait à un appareil disposant d'un certificat valide 1 an de commencer le renouvellement 73 jours avant l'expiration.

</details>

<details>

<summary>URLs du serveur SCEP : Ouvrez le portail SCEPman et copiez l'URL de <a href="#device-certificates">#Intune MDM</a></summary>

**Exemple**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

### **Exemple**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F6rhuZgf1t97jdoUukn7I%2F2024-01-11%2011_04_19-SCEP%20certificate%20-%20AndroidEnterpriseDeviceCert.png?alt=media&amp;token=50626cb1-717f-40e0-a26d-efcfbf4ec526" alt=""><figcaption></figcaption></figure>

## Certificats utilisateur

Veuillez suivre les instructions de [#Certificats de l'appareil](#device-certificates) et tenez compte des différences suivantes :

<details>

<summary>Type de certificat : <code>Utilisateur</code></summary>

Dans cette section, nous configurons un certificat utilisateur.

</details>

<details>

<summary>Format du nom du sujet : <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

Vous pouvez définir des RDN selon vos besoins. Les variables prises en charge sont répertoriées dans la [documentation Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Nous recommandons d'inclure le nom d'utilisateur (par ex. : janedoe) et l'adresse e-mail (par ex. : <janedoe@contoso.com>) comme paramètre de base.

</details>

<details>

<summary>Nom alternatif du sujet : <code>(UPN)</code>Valeur : <code>{{UserPrincipalName}}</code></summary>

Vous **doit** ajoutez le nom principal de l’utilisateur comme nom alternatif du sujet. **Ajoutez '{{UserPrincipalName}}' comme nom alternatif du sujet de type nom d'utilisateur principal (UPN).** Cela garantit que SCEPman peut lier les certificats aux objets utilisateur dans AAD.

D'autres valeurs SAN comme une adresse e-mail peuvent être ajoutées si nécessaire.

</details>

{% hint style="info" %}
Il est nécessaire d’avoir un **Nom alternatif du sujet** dans le **certificat SCEP, type utilisateur**. Sans SAN, vous n’avez pas accès au Wi-Fi de votre entreprise.
{% endhint %}

### **Exemple**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F7tlHRUVO5ebSmQjZ1uRu%2F2024-01-11%2010_59_48-SCEP%20certificate%20-%20AndroidEnterpriseUserCert.png?alt=media&amp;token=6d860b78-8f70-4606-88ca-cf5f259cd560" alt=""><figcaption></figcaption></figure>

## Vérification du certificat

Pour garantir le bon déploiement des certificats sur votre appareil Android, il existe deux options :

* Dans les versions plus récentes d’Android (par ex. 14), vous pouvez vérifier les certificats (utilisateur et certificats approuvés) depuis les **paramètres** > **sécurité et confidentialité**
* Via des applications tierces comme [X509 Certificate Viewer Tool](https://play.google.com/store/apps/details?id=com.rdupletlabs.certificateviewer)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/fr/gestion-des-certificats/microsoft-intune/android.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.