# macOS

L’article suivant décrit comment déployer des certificats d’appareil et/ou d’utilisateur pour des appareils macOS. Le déploiement du certificat racine SCEPman est obligatoire. Ensuite, vous pouvez choisir de déployer uniquement des certificats d’appareil, d’utilisateur, ou même les deux types de certificats.

{% hint style="warning" %}
Veuillez noter que macOS inscrit un ou plusieurs certificats d’authentification client distincts pour chaque profil de configuration d’appareil dans lequel un profil SCEP est référencé, en plus du profil de certificat SCEP proprement dit. Voir la note [ici](https://learn.microsoft.com/en-us/intune/intune-service/protect/certificates-profile-scep#assign-the-certificate-profile)
{% endhint %}

## Certificat racine

La base du déploiement des certificats SCEP est de faire confiance au certificat racine de SCEPman. Par conséquent, vous devez télécharger le certificat racine de l’AC et le déployer comme un **certificat de confiance** profil via Microsoft Intune :

* [ ] Téléchargez le certificat de l’AC depuis le portail SCEPman :

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] Créez un profil pour macOS avec le type **certificat de confiance** dans Microsoft Intune :

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-31826810c8866a5b99ff139fd2ca755251fbb502%2FmacOSRootCrt.png?alt=media)

* [ ] Téléversez votre **fichier .cer**.
* [ ] que vous avez téléchargé précédemment. Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir Tous les utilisateurs et/ou Tous les appareils ou un groupe dédié pour l’affectation.

{% hint style="info" %}
Notez que vous devez utiliser le **même groupe pour affecter** le **certificat de confiance** et **profil SCEP**. Sinon, le déploiement Intune pourrait échouer.
{% endhint %}

## Certificats d’appareil

* [ ] Ouvrez le portail SCEPman et copiez l’URL sous **Intune MDM**:

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e72dec344ae0106207cac3c5039842bea56f2558%2FSCEPmanMDMURL.png?alt=media)

* [ ] Créez un profil pour macOS avec le type **certificat SCEP** dans Microsoft Intune :

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9fd63fc224dbcef7b5ea7eea7f0bdf8b4b895d02%2FmacOSDeviceCert.png?alt=media)

* [ ] Configurez le profil comme décrit :

<details>

<summary>Type de certificat : <code>Appareil</code></summary>

Dans cette section, nous configurons un certificat d’appareil.

</details>

<details>

<summary>Format du nom de sujet : <code>CN={{DeviceName}}</code> ou <code>CN={{DeviceId}}</code> ou <code>CN={{AAD_Device_ID}}</code></summary>

**Recommandé :** Utilisez `{{DeviceName}}`pour le RDN CN afin d’avoir un nom de certificat significatif sur l’appareil ou lors d’une recherche du certificat.

**Optionnel :** Si configuré sur `CN={{DeviceId}}` ou `CN={{AAD_Device_ID}}`, SCEPman utilise le champ CN du nom de sujet pour identifier l’appareil et comme base pour la génération du numéro de série du certificat. Microsoft Entra ID (Azure AD) et Intune proposent deux identifiants différents :

* `{{DeviceId}}`: Cet identifiant est généré et utilisé par Intune.\
  \
  (nécessite que [#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/fr/configuration-scepman/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory "mention") soit défini sur **Intune** ou **AADAndIntune**)
* `{{AAD_Device_ID}}`: Cet identifiant est généré et utilisé par Microsoft Entra ID (Azure AD).

Si ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` n’est utilisé pour le champ CN (par ex. `CN={{DeviceName}})`, SCEPman identifiera l’appareil à partir de l’ID d’appareil Intune (`Valeur (URI) :` `IntuneDeviceId://{{DeviceId}}`) fourni dans le nom alternatif du sujet (SAN).

**Important :** Le choix du champ CN affecte le [comportement de révocation automatique](https://docs.scepman.com/fr/manage-certificates#automatic-revocation) des certificats émis pour vos appareils gérés par Intune.

Vous pouvez ajouter d’autres RDN si nécessaire (par ex. : `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`). Les variables prises en charge sont सूचीes dans les [docs Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>Nom alternatif du sujet : <code>URI</code> Valeur :<code>IntuneDeviceId://{{DeviceId}}</code></summary>

Le champ URI est [recommandé par Microsoft](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) pour que les solutions NAC identifient les appareils à partir de leur ID d’appareil Intune.

Le **champ URI est obligatoire** si ni `CN={{DeviceId}}` ni `CN={{AAD_Device_ID}}` n’est utilisé dans le **champ Format du nom de sujet** .

D’autres valeurs SAN comme DNS peuvent être ajoutées si nécessaire.

</details>

<details>

<summary>Période de validité du certificat : <code>1 ans</code></summary>

<mark style="color:orange;">**Important :**</mark> <mark style="color:orange;">Les appareils macOS ignorent la configuration de la période de validité via Intune. Veuillez vous assurer de configurer</mark> [#appconfig-validityperioddays](https://docs.scepman.com/fr/configuration-scepman/application-settings/certificates#appconfig-validityperioddays "mention") <mark style="color:orange;">sur une valeur fixe. Vous pouvez laisser le paramètre de période de validité du certificat sur 1 an, car il sera de toute façon ignoré.</mark>\
\ <mark style="color:orange;">**Important :**</mark> <mark style="color:orange;">Notez également que</mark> <mark style="color:orange;">**les certificats sur macOS ne sont renouvelés**</mark> <mark style="color:orange;">par Intune que lorsque l’appareil est</mark> <mark style="color:orange;">**déverrouillé, en ligne, en synchronisation et dans le périmètre du seuil de renouvellement**</mark><mark style="color:orange;">. Si les certificats ont expiré (par ex. : l’appareil est resté hors ligne et/ou verrouillé pendant longtemps), ils ne seront plus renouvelés. Nous recommandons donc de choisir ici une valeur plus élevée.</mark>

</details>

<details>

<summary>Utilisation de la clé : <code>Signature numérique</code> et <code>chiffrement de clé</code>t</summary>

Veuillez activer ces deux actions cryptographiques.

</details>

<details>

<summary>Taille de la clé (bits) : <code>2048</code></summary>

SCEPman prend en charge 2048 bits.

</details>

<details>

<summary>Certificat racine : <code>Profil de l’étape précédente</code></summary>

Veuillez sélectionner le profil Intune depuis [#Certificats racines](#root-certificate)

</details>

<details>

<summary>Utilisation étendue de la clé : <code>Authentification client, 1.3.6.1.5.5.7.3.2</code></summary>

Veuillez choisir **Authentification client (1.3.6.1.5.5.7.3.2)** sous **Valeurs prédéfinies**. Les autres champs seront remplis automatiquement.

<mark style="color:orange;">**Important :**</mark> <mark style="color:orange;">Les appareils macOS ne prennent pas en charge d’autres utilisations étendues de clé (EKU) que</mark> <mark style="color:orange;">`Authentification client`</mark> <mark style="color:orange;">. Cela signifie que toute autre EKU configurée dans ce profil sera ignorée.</mark>

</details>

<details>

<summary>Seuil de renouvellement (%) : <code>50</code></summary>

Cette valeur définit à quel moment l’appareil est autorisé à renouveler son certificat (sur la base de la durée de vie restante du certificat existant). Veuillez lire la note sous **Période de validité du certificat** et sélectionner une valeur appropriée qui permet à l’appareil de renouveler le certificat sur une longue période. Une valeur de 50 % permettrait à l’appareil disposant d’un certificat valide pendant 1 an de commencer le renouvellement 182 jours avant l’expiration.

</details>

<details>

<summary>URL du serveur SCEP : Ouvrez le portail SCEPman et copiez l’URL de <a href="#device-certificates"><strong>Intune MDM</strong></a></summary>

**Exemple**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

{% hint style="info" %}
Avec les paramètres indiqués, nous répondons aux [exigences de certificat d’Apple](https://support.apple.com/en-us/HT210176).
{% endhint %}

### Exemple

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FR8HuhELOGkyKH1Qg5VvC%2F2024-03-14%2015_39_42.png?alt=media&#x26;token=0d2b0d13-9804-4129-90e1-217dc8954229" alt=""><figcaption></figcaption></figure>

* [ ] Vous pouvez maintenant déployer ce profil sur vos appareils. Veuillez choisir les mêmes groupes pour l’affectation que pour le profil de certificat de confiance.

## Certificats d’utilisateur

La section suivante vous montrera comment vous pouvez déployer des certificats utilisateur via un profil de certificat Intune sur des appareils macOS X 10.12 (ou version ultérieure).

{% hint style="warning" %}
Veuillez noter : les certificats provisionnés via le protocole SCEP — quel que soit le type (utilisateur ou appareil) — sont toujours placés dans le trousseau système (magasin système) de l’appareil.

Dans le cas où une application tierce nécessite l’accès à un tel certificat (par ex. un client VPN tiers), le curseur pour **Autoriser toutes les applications à accéder à la clé privée** dans le trousseau doit être réglé sur **activé**.
{% endhint %}

Veuillez suivre les instructions de [#Certificats d’appareil](#device-certificates) et tenir compte des différences suivantes :

<details>

<summary>Type de certificat : <code>Utilisateur</code></summary>

Dans cette section, nous configurons un certificat utilisateur.

</details>

<details>

<summary>Format du nom de sujet : <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

Vous pouvez définir des RDN en fonction de vos besoins. Les variables prises en charge sont listées dans les [docs Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Nous recommandons d’inclure le nom d’utilisateur (par ex. : janedoe) et l’adresse e-mail (par ex. : <janedoe@contoso.com>) comme configuration de base.

</details>

<details>

<summary>Nom alternatif du sujet : <code>UPN</code> Valeur :<code>{{UserPrincipalName}}</code></summary>

SCEPman utilise l’UPN dans le SAN pour identifier l’utilisateur et comme base pour la génération du numéro de série du certificat (par ex. : <janedoe@contoso.com>).\
\
D’autres valeurs SAN comme l’adresse e-mail peuvent être ajoutées si nécessaire.

</details>

{% hint style="info" %}
Avec les paramètres indiqués, nous répondons aux [exigences de certificat d’Apple](https://support.apple.com/en-us/HT210176)
{% endhint %}

### Exemple

![](https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e2a63d43d7111534aeb580585a0937342a34cb89%2F2022-04-05%2018macOSUserCert.png?alt=media)