macOS

Déployez des certificats sur des appareils macOS via SCEP dans Intune à l'aide de SCEPman.

L'article suivant décrit comment déployer un certificat d'appareil et/ou d'utilisateur pour les appareils macOS. Le déploiement du certificat racine SCEPman est obligatoire. Ensuite, vous pouvez choisir de déployer uniquement des certificats d'appareil, d'utilisateur ou les deux types de certificats.

Veuillez noter que macOS inscrit un ou plusieurs certificat(s) d'authentification client distinct(s) pour chaque profil de configuration d'appareil dans lequel un profil SCEP est référencé, en plus du véritable profil de certificat SCEP. Voir la note ici

Certificat racine

La base du déploiement des certificats SCEP consiste à faire confiance au certificat racine de SCEPman. Par conséquent, vous devez télécharger le certificat racine de l'AC et le déployer en tant que certificat de confiance profil via Microsoft Intune :

• Téléchargez le certificat de l'AC depuis votre portail SCEPman :

• Créez un profil pour macOS avec le type certificat de confiance dans Microsoft Intune :

• Téléversez votre .cer téléchargé précédemment.
• Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir Tous les utilisateurs et/ou Tous les appareils ou un groupe dédié pour l'attribution.

Remarque : vous devez utiliser le même groupe pour l'affectation le certificat de confiance et profil SCEP. Sinon, le déploiement Intune pourrait échouer.

Certificats d'appareil

• Ouvrez le portail SCEPman et copiez l'URL sous Intune MDM:

• Créez un profil pour macOS avec le type certificat SCEP dans Microsoft Intune :

• Configurez le profil comme décrit :

Type de certificat : Appareil

Dans cette section, nous configurons un certificat d'appareil.

Format du nom du sujet : CN={{DeviceName}} ou CN={{DeviceId}} ou CN={{AAD_Device_ID}}

Recommandé : Utilisez {{DeviceName}}pour le RDN CN afin d'avoir un nom de certificat significatif sur l'appareil ou lors de la recherche du certificat.

Facultatif : Si configuré sur CN={{DeviceId}} ou CN={{AAD_Device_ID}}, SCEPman utilise le champ CN du nom du sujet pour identifier l'appareil et comme base pour la génération du numéro de série du certificat. Microsoft Entra ID (Azure AD) et Intune proposent deux identifiants différents :

• {{DeviceId}} : cet identifiant est généré et utilisé par Intune. (requiert AppConfig:IntuneValidation:DeviceDirectory être défini sur Intune ou AADAndIntune)
• {{AAD_Device_ID}} : cet identifiant est généré et utilisé par Microsoft Entra ID (Azure AD).

Si ni CN={{DeviceId}} ni CN={{AAD_Device_ID}} n'est utilisé pour le champ CN (par ex. CN={{DeviceName}}), SCEPman identifiera l'appareil sur la base de l'ID d'appareil Intune ((URI)Valeur : IntuneDeviceId://{{DeviceId}}) fourni dans le nom alternatif du sujet (SAN).

Important : Le choix du champ CN affecte le comportement de révocation automatique des certificats émis pour vos appareils gérés par Intune.

Vous pouvez ajouter d'autres RDN si nécessaire (par ex. : CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}). Les variables prises en charge sont répertoriées dans la documentation Microsoft.

Nom alternatif du sujet : URI Valeur :IntuneDeviceId://{{DeviceId}}

Le champ URI est recommandé par Microsoft pour permettre aux solutions NAC d'identifier les appareils à partir de leur ID d'appareil Intune.

IntuneDeviceId://{{DeviceId}}

Le champ URI est obligatoire si ni CN={{DeviceId}} ni CN={{AAD_Device_ID}} n'est utilisé dans le champ Format du nom du sujet .

D'autres valeurs SAN comme DNS peuvent être ajoutées si nécessaire.

Période de validité du certificat : 1 an

Important : Les appareils macOS ignorent la configuration de la période de validité via Intune. Veillez à configurer AppConfig:ValidityPeriodDays sur une valeur fixe. Vous pouvez laisser le paramètre de période de validité du certificat à 1 an, car il sera de toute façon ignoré. Important : Notez également que les certificats sur macOS ne sont renouvelés par Intune que lorsque l'appareil est déverrouillé, en ligne, synchronisé et dans la plage du seuil de renouvellement. Si les certificats ont expiré (par ex. : l'appareil était hors ligne et/ou verrouillé pendant longtemps), ils ne seront plus renouvelés. Nous recommandons donc de choisir une valeur plus élevée ici.

Utilisation de la clé : Signature numérique et chiffrement de clé

Veuillez activer les deux actions cryptographiques.

Taille de la clé (bits) : 2048

SCEPman prend en charge 2048 bits.

Certificat racine : Profil de l'étape précédente

Veuillez sélectionner le profil Intune à partir de #Certificats racine

Utilisation étendue de la clé : Authentification client, 1.3.6.1.5.5.7.3.2

Veuillez choisir Authentification client (1.3.6.1.5.5.7.3.2) sous Valeurs prédéfinies. Les autres champs seront remplis automatiquement.

Important : Les appareils macOS ne prennent en charge aucun usage de clé étendu (EKU) autre que Authentification client . Cela signifie que tous les autres EKU configurés dans ce profil seront ignorés.

Seuil de renouvellement (%) : 50

Cette valeur définit à partir de quand l'appareil est autorisé à renouveler son certificat (sur la base de la durée de vie restante du certificat existant). Veuillez lire la note sous Période de validité du certificat et sélectionnez une valeur appropriée qui permet à l'appareil de renouveler le certificat sur une longue période. Une valeur de 50 % permettrait à l'appareil disposant d'un certificat valide pendant 1 an d'entamer le renouvellement 182 jours avant l'expiration.

URLs du serveur SCEP : Ouvrez le portail SCEPman et copiez l'URL de Intune MDM

Exemple

https://scepman.contoso.com/certsrv/mscep/mscep.dll

Avec les paramètres indiqués, nous satisfaisons les exigences d'Apple en matière de certificats.

Exemple

• Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir le ou les mêmes groupes pour l'affectation que pour le profil de certificat de confiance.

Certificats utilisateur

La section suivante vous montrera comment déployer des certificats utilisateur via un profil de certificat Intune sur des appareils macOS X 10.12 (ou version ultérieure).

Veuillez noter : les certificats provisionnés via le protocole SCEP - quel que soit leur type (utilisateur ou appareil) - sont toujours placés dans le trousseau système (magasin système) de l'appareil.

Si une application tierce nécessite l'accès à un tel certificat (par ex. un client VPN tiers), le curseur permettant de Autoriser toutes les applications à accéder à la clé privée dans le trousseau doit être réglé sur activé.

Veuillez suivre les instructions de #Certificats de l'appareil et tenez compte des différences suivantes :

Type de certificat : Utilisateur

Dans cette section, nous configurons un certificat utilisateur.

Format du nom du sujet : CN={{UserName}},E={{EmailAddress}}

Vous pouvez définir des RDN selon vos besoins. Les variables prises en charge sont répertoriées dans la documentation Microsoft. Nous recommandons d'inclure le nom d'utilisateur (par ex. : janedoe) et l'adresse e-mail (par ex. : [e-mail]) comme paramètre de base.

Nom alternatif du sujet : UPN Valeur :{{UserPrincipalName}}

SCEPman utilise le UPN dans le SAN pour identifier l'utilisateur et comme base pour la génération du numéro de série du certificat (par ex. : [e-mail]). D'autres valeurs SAN, comme l'adresse e-mail, peuvent être ajoutées si nécessaire.

Avec les paramètres indiqués, nous satisfaisons les exigences d'Apple en matière de certificats

Exemple