# Android

L’article suivant décrit comment déployer un certificat d’appareil ou d’utilisateur pour Android. Le déploiement de certificats Android est similaire aux déploiements de certificats sous Windows 10, macOS et iOS.

{% hint style="info" %}
Android propose deux ensembles de solutions distincts : l’un est le [profil professionnel](https://developers.google.com/android/work/requirements/work-profile) (appelé *Profil professionnel sur appareil personnel)* et l’autre est l’ [appareil entièrement géré](https://developers.google.com/android/work/requirements/fully-managed-device) (également appelé *Appareil entièrement géré, dédié et profil professionnel sur appareil appartenant à l’entreprise*). Dans les deux scénarios, les paramètres des profils de configuration de certificats restent identiques.
{% endhint %}

{% hint style="info" %}
La gestion par administrateur d’appareil Android a été publiée dans Android 2.2 comme un moyen de gérer les appareils Android. Puis, à partir d’Android 5, le cadre de gestion plus moderne d’Android Enterprise a été publié (pour les appareils pouvant se connecter de manière fiable aux services Google Mobile Services). **Google encourage la migration depuis la gestion par administrateur d’appareil en réduisant la prise en charge de celle-ci dans les nouvelles versions d’Android**. Pour plus d’informations, veuillez consulter [MS. Intune diminution de la prise en charge de l’administrateur d’appareil Android](https://techcommunity.microsoft.com/t5/intune-customer-success/decreasing-support-for-android-device-administrator/ba-p/1441935)
{% endhint %}

## Certificat racine

La base du déploiement des certificats SCEP (appareil ou utilisateur) consiste à faire confiance au certificat racine de SCEPman. Par conséquent, vous devez télécharger le certificat racine de l’AC et le déployer en tant que **profil de certificat approuvé** via Microsoft Intune :

* [ ] Télécharger le certificat de l’AC depuis le portail SCEPman

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Créer un profil pour Android Enterprise avec le type **profil de certificat approuvé** dans Microsoft Intune (en fonction de votre option d’inscription pour les appareils Android)

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F2DS8ORZGsIam5n30wm78%2F2024-01-09%2015_24_48-Create%20a%20profile.png?alt=media&#x26;token=1f67c895-0c97-4b18-9f2a-c5d9cde273df" alt=""><figcaption></figcaption></figure>

* [ ] Téléchargez votre **fichier .cer**.
* [ ] Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir Tous les utilisateurs et/ou Tous les appareils ou un groupe dédié pour l’affectation.

{% hint style="info" %}
Notez que vous devez utiliser le **même groupe pour attribuer** le **profil de certificat approuvé** et **profil SCEP**. Sinon, le déploiement Intune peut échouer.
{% endhint %}

## Certificats d’appareil

* [ ] Ouvrez le portail SCEPman et copiez l’URL sous **Intune MDM**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FaGrpTnexZ76xOot66Q8d%2F2024-01-09%2015_10_27.png?alt=media&#x26;token=105d39c4-50b8-4fa2-9dfe-6ee87059b1d1" alt=""><figcaption></figcaption></figure>

* [ ] Créer un profil pour Android Enterprise avec le type **certificat SCEP** dans Microsoft Intune (là encore, en fonction de votre option d’inscription pour les appareils Android)

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fd73QTNENVyCjfNXDRGVO%2F2024-01-09%2016_09_19-Create%20a%20SCEP%20profile.png?alt=media&#x26;token=79df117e-3e45-4a5f-9427-9b0b49da7738" alt=""><figcaption></figcaption></figure>

* [ ] Configurez le profil comme décrit

<details>

<summary>Type de certificat : <code>Appareil</code></summary>

Dans cette section, nous configurons un certificat d’appareil.

</details>

<details>

<summary>Format du nom du sujet : <code>CN={{DeviceId}}</code> ou <code>CN={{AAD_Device_ID}}</code></summary>

SCEPman utilise le champ CN du sujet pour identifier l’appareil et comme base pour la génération du numéro de série du certificat. Microsoft Entra ID (Azure AD) et Intune proposent deux identifiants différents :

* {{DeviceId}} : cet identifiant est généré et utilisé par Intune **(recommandé).** (Nécessite [#AppConfig:IntuneValidation:DeviceDirectory](https://docs.scepman.com/fr/configuration-scepman/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory) d’être défini sur **Intune** ou **AADAndIntune**
* {{AAD\_Device\_ID}} : cet identifiant est généré et utilisé par Microsoft Entra ID (Azure AD).

Vous pouvez ajouter d’autres RDN si nécessaire (par ex. : `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Les variables prises en charge sont répertoriées dans la [documentation Microsoft](https://learn.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Nom alternatif du sujet : <code>URI</code> Valeur :<code>IntuneDeviceId://{{DeviceId}}</code></summary>

```
IntuneDeviceId://{{DeviceId}}
```

Le champ URI est [recommandé par Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) pour les solutions NAC afin d’identifier les appareils à partir de leur identifiant d’appareil Intune :

D’autres valeurs SAN comme DNS peuvent être ajoutées si nécessaire.

</details>

<details>

<summary>Période de validité du certificat : <code>1 an</code></summary>

La durée restante avant l’expiration du certificat. La valeur par défaut est fixée à un an.

SCEPman limite la validité du certificat au maximum configuré dans le paramètre [***AppConfig:ValidityPeriodDays***](https://docs.scepman.com/fr/configuration-scepman/application-settings/certificates#appconfig-validityperioddays), mais utilise sinon la validité configurée dans la demande.

</details>

<details>

<summary>Utilisation de la clé : <code>Signature numérique</code> et <code>chiffrement de clé</code></summary>

Veuillez activer les deux actions cryptographiques.

</details>

<details>

<summary>Taille de la clé (bits) : <code>4096</code></summary>

SCEPman prend en charge 4096 bits.

</details>

<details>

<summary>Certificat racine : <code>Profil de l’étape précédente</code></summary>

Veuillez sélectionner le profil Intune à partir de \[[#root-certificate](#root-certificate "mention")]\(android.md#root-certificate).

Si vous utilisez une [AC intermédiaire](https://docs.scepman.com/fr/deploiement-scepman/intermediate-certificate), vous devez toujours sélectionner le profil de certificat approuvé pour l’AC racine, pas pour l’AC intermédiaire !

</details>

<details>

<summary>Utilisation étendue de la clé : <code>Authentification du client, 1.3.6.1.5.5.7.3.2</code></summary>

Veuillez choisir **Authentification du client (1.3.6.1.5.5.7.3.2)** sous **Valeurs prédéfinies**. Les autres champs seront remplis automatiquement.

</details>

<details>

<summary>Seuil de renouvellement (%) : <code>20</code></summary>

Cette valeur définit quand l’appareil est autorisé à renouveler son certificat (en fonction de la durée de vie restante d’un certificat existant). Veuillez lire la note sous **Période de validité du certificat** et sélectionner une valeur appropriée qui permet à l’appareil de renouveler le certificat sur une longue période. Une valeur de 20 % permettrait à un appareil disposant d’un certificat valide 1 an de commencer le renouvellement 73 jours avant l’expiration.

</details>

<details>

<summary>URL du serveur SCEP : ouvrez le portail SCEPman et copiez l’URL de <a href="#device-certificates">#Intune MDM</a></summary>

**Exemple**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

### **Exemple**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F6rhuZgf1t97jdoUukn7I%2F2024-01-11%2011_04_19-SCEP%20certificate%20-%20AndroidEnterpriseDeviceCert.png?alt=media&#x26;token=50626cb1-717f-40e0-a26d-efcfbf4ec526" alt=""><figcaption></figcaption></figure>

## Certificats utilisateur

Veuillez suivre les instructions de [#Certificats d’appareil](#device-certificates) et prenez en compte les différences suivantes :

<details>

<summary>Type de certificat : <code>Utilisateur</code></summary>

Dans cette section, nous configurons un certificat utilisateur.

</details>

<details>

<summary>Format du nom du sujet : <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

Vous pouvez définir des RDN selon vos besoins. Les variables prises en charge sont répertoriées dans la [documentation Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Nous recommandons d’inclure le nom d’utilisateur (par ex. : janedoe) et l’adresse e-mail (par ex. : <janedoe@contoso.com>) comme paramètres de base.

</details>

<details>

<summary>Nom alternatif du sujet : <code>(UPN)</code>Valeur : <code>{{UserPrincipalName}}</code></summary>

Vous **doit** ajoutez le nom principal de l’utilisateur comme nom alternatif du sujet. **Ajoutez « {{UserPrincipalName}} » comme nom alternatif du sujet de type nom principal de l’utilisateur (UPN).** Cela garantit que SCEPman peut lier les certificats aux objets utilisateur dans AAD.

D’autres valeurs SAN comme une adresse e-mail peuvent être ajoutées si nécessaire.

</details>

{% hint style="info" %}
Il est nécessaire d’avoir un **nom alternatif du sujet** dans le **Certificat SCEP, type utilisateur**. Sans SAN, vous n’avez pas accès au Wi‑Fi de votre entreprise.
{% endhint %}

### **Exemple**

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F7tlHRUVO5ebSmQjZ1uRu%2F2024-01-11%2010_59_48-SCEP%20certificate%20-%20AndroidEnterpriseUserCert.png?alt=media&#x26;token=6d860b78-8f70-4606-88ca-cf5f259cd560" alt=""><figcaption></figcaption></figure>

## Vérification du certificat

Pour garantir le déploiement correct des certificats sur votre appareil Android, deux options existent :

* Dans les versions Android plus récentes (par ex. 14), vous pouvez vérifier les certificats (utilisateur et certificats approuvés) depuis les **paramètres** > **sécurité et confidentialité**
* Via des applications tierces comme [X509 Certificate Viewer Tool](https://play.google.com/store/apps/details?id=com.rdupletlabs.certificateviewer)