API 登録

SCEP スタイルの認証を必要とする SCEP エンドポイントの代替として、証明書を登録するために、認証に Microsoft ID を使用するこの REST API を使用します。

この機能にはバージョン 2.3.689 以上が必要です。

SCEPman Enterprise Edition のみ

SCEPman には、証明書を登録するための REST API があります。これは、SCEP 形式の認証を必要とする SCEP エンドポイントの代替であり、REST API は認証に Microsoft Identities を使用します。プロトコルも SCEP よりはるかにシンプルです。

前提条件

1. Service Principal

1

アプリ登録

新しい アプリ登録 を作成して、ユースケースを説明してください。あなたのアプリケーションは、このアプリケーションとして SCEPman に対して認証します。

2

API アクセス許可

CSR.Request.Db

次のものを実行して、必要なアクセス許可を割り当てます。 Register-SCEPmanApiClient SCEPman PowerShell モジュールの cmdlet。

例:

Register-SCEPmanApiClient -ServicePrincipalId xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

ServicePrincipalId

この オブジェクト ID を持つ対応する Enterprise Application 前の手順で作成した App Registration の。これは通常 SCEPman-api と呼ばれる Enterprise Application ではなく、SCEPman 自体を識別するものなので注意してください。

このアクセス許可を手動で割り当てるには、次の場所に移動できます。 API アクセス許可 そして、次の項目からアクセス許可を追加します。 組織で使用しているアクセス許可を使用して行えます。使用しているアカウントに CSR.Request.Db からのアクセス許可 SCEPman-api を アプリケーションのアクセス許可.

Application.Read.All (オプション)

Service Principals には、次の Graph のアクセス許可も必要です。 Application.Read.All 認証のために SCEPman の API スコープを自動的に取得できるようにするためです。

アクセス許可は次のように手動で追加できます。

3

クライアント シークレット

「Certificates & Secrets」 の下でクライアント シークレットを作成します。クライアント シークレットは、後でアプリケーションを認証するためのパスワードとして使用されます。

2. App Service Settings

Configuration

証明書更新に必要

SCEPman App Service を mTLS クライアント証明書を受け入れるように構成します。設定セクションの Configuration ブレードで、Incoming client certificates の Client certificate mode が次に設定されていることを確認してください。 任意の対話型ユーザー.

Client certificate mode を Require または Allow に設定しないでください。そうすると、SCEP エンドポイント上の SCEPman の通常動作が壊れてしまいます。

Environment Variables

このシナリオを利用するには、SCEPman app service に次の環境変数を設定する必要があります。

AppConfig:DbCSRValidation:Enabled

証明書の登録と更新に必要

この変数を次に設定します true 証明書署名要求（CSR）の検証を有効にします。

AppConfig:DbCSRValidation:AllowRenewals

証明書更新に必要

この変数を次に設定します true 証明書の更新を有効にします。

AppConfig:DbCSRValidation:ReenrollmentAllowedCertificateTypes

証明書更新に必要

更新を許可したい証明書の種類を、カンマ区切りの一覧でこの変数に設定します。使用可能な証明書の種類の一覧については、リンク先の変数ドキュメントを参照してください。

例: Static,IntuneUser,IntuneDevice

証明書の登録

前提条件を準備したら、HTTP パスを使用して PKCS#10/CMS を SCEPman に POST できます api/csr。HTTP レスポンスには、新しく発行された証明書が DER エンコードで返されます。

SCEPman は、発行されたすべての証明書を Storage Account に自動的に保存するため、Certificate Master コンポーネントを使って簡単に一覧表示したり失効させたりできます。

それらのリクエストを送信する便利な方法として、SCEPmanClient PowerShell モジュールがあります。

SCEPmanClient

その他の例

こちらをご覧ください GitHub 上の Open Source Sample Library SCEPman の REST API の使用方法を確認してください。