Autres solutions MDM
Vous pouvez utiliser SCEPman pour émettre des certificats via des systèmes MDM autres qu’Intune. Vous devez configurer un mot de passe de défi statique (voir RFC 8894, Section 7.3 pour la spécification formelle) à la fois dans SCEPman et dans le système MDM. Presque tous les systèmes MDM prennent en charge ce mode d’authentification SCEP.
Notez toutefois que cela n’offre pas le même niveau de sécurité que le mode d’authentification utilisé avec Intune. Le mot de passe de défi authentifie les requêtes provenant du système MDM, de sorte que SCEPman sait qu’elles proviennent d’une source de confiance. Mais si des attaquants volent le mot de passe de défi, ils peuvent authentifier n’importe quelle demande de certificat et faire en sorte que SCEPman leur émette le certificat de leur choix.
Il est donc crucial de garder le mot de passe de défi en sécurité. Cela peut être réalisé lorsque le système MDM agit en tant que client SCEP et livre le package final comprenant le certificat et la clé privée aux appareils de l’utilisateur final. De cette façon, le mot de passe de défi n’est utilisé qu’entre SCEPman et le système MDM, mais pas sur les appareils de l’utilisateur final.
Configuration SCEPman
Il existe deux points de terminaison SCEP parmi lesquels choisir lors de la configuration de SCEPman pour des systèmes MDM autres qu’Intune et Jamf Pro :
Static-AAD
Statique
Le point de terminaison Static-AAD est recommandé pour les systèmes MDM avec intégration Entra ID, tels que Kandji et Google Workspace. Utilisateur les certificats distribués depuis le point de terminaison Static-AAD bénéficieront de Révocation automatique lorsque l’utilisateur concerné a été désactivé dans Entra ID.
Le point de terminaison Static est recommandé pour tous les autres systèmes MDM.
Ajoutez les paramètres suivants à votre App Service SCEPman > Variables d’environnement > Ajouter.
Une fois les paramètres ajoutés, enregistrez-les et redémarrez votre App Service SCEPman.
Activer la validation Static-AAD
true pour activer, faux pour désactiver
Les demandes de signature de certificat envoyées à SCEPman pour signature sont authentifiées avec ce mot de passe statique sécurisé Recommandation: Stockez ce secret dans Azure Key Vault.
générez un mot de passe de 32 caractères
(facultatif)
Nombre de jours pendant lesquels les certificats émis via le point de terminaison Static-AAD sont valides
365
Stockez les certificats demandés dans le Storage Account, afin de les afficher dans SCEPman Certificate Master
true pour activer, faux pour désactiver
Ajoutez les paramètres suivants à votre App Service SCEPman > Variables d’environnement > Ajouter.
Une fois les paramètres ajoutés, enregistrez-les et redémarrez votre App Service SCEPman.
Activer la validation par un tiers
true pour activer, faux pour désactiver
Les demandes de signature de certificat envoyées à SCEPman pour signature sont authentifiées avec ce mot de passe statique sécurisé Recommandation: Stockez ce secret dans Azure Key Vault.
générez un mot de passe de 32 caractères
AppConfig:StaticValidation:ValidityPeriodDays (facultatif)
Nombre de jours pendant lesquels les certificats émis via le point de terminaison Static sont valides
365
AppConfig:StaticValidation:EnableCertificateStorage (facultatif)
Stockez les certificats demandés dans le Storage Account, afin de les afficher dans SCEPman Certificate Master
true pour activer, faux pour désactiver
Configuration MDM
Les étapes spécifiques dépendent du système MDM que vous utilisez. Vous devez ajouter https://scepman.contoso.de/static comme URL SCEP quelque part et vous devez ajouter le mot de passe de défi à la configuration SCEP de votre système MDM. Pour des raisons de sécurité, veuillez faire de votre système MDM un proxy SCEP.
Notez qu’il existe deux variantes d’implémentations de proxy SCEP, dont une seule est sécurisée dans cette configuration :
Votre système MDM peut agir comme client SCEP, générer la paire de clés secrète et livrer le package complet composé du certificat et de la clé privée aux appareils de l’utilisateur final. C’est sécurisé, car le mot de passe de défi n’est utilisé qu’entre le système MDM et SCEPman.
Votre système MDM relaie les messages SCEP entre l’appareil de l’utilisateur final et SCEPman. L’appareil de l’utilisateur final génère la paire de clés secrète et ajoute le mot de passe de défi à la demande de certificat. C’est moins sécurisé, car un attaquant qui contrôle un seul appareil de l’utilisateur final peut voler le mot de passe de défi et demander toutes sortes de certificats à SCEPman. En outre, le système MDM ne peut pas contrôler si le client a correctement demandé un certificat ou si la demande de certificat est incorrecte, ce qui peut éventuellement permettre un vol d’identité ou d’autres menaces.
Mis à jour
Ce contenu vous a-t-il été utile ?