この記事は自動的に翻訳されています。翻訳には不正確な表現が含まれる場合があります。
英語の原文はこちらをご覧ください。
Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Intune 管理下の Linux クライアント

SCEPman バージョン 2.9 以降に適用されます

SCEPman Enterprise Edition のみ

この方法を使用すると、Intune によって管理されているユーザーおよびデバイスの証明書を登録できます。

この場合、Intune は SCEPman REST API を利用するスクリプトをプッシュします。これにより、新しい証明書が登録されるか、既存の証明書が更新されます。

当社の開発者 Christoph は、Workplace Ninja Usergroup Germany でこの機能といくつかの背景情報を紹介しました:

前提条件

1. セルフサービス登録

証明書を登録するには、ユーザーは自分の資格を確認するために認証されている必要があります。これを設定する方法については、このガイドの手順に従ってください

セルフサービス登録

2. App Service Settings

Configuration

証明書更新に必要

SCEPman App Service を mTLS クライアント証明書を受け入れるように構成します。設定セクションの Configuration ブレードで、Incoming client certificates の Client certificate mode が次に設定されていることを確認してください。 任意の対話型ユーザー.

Client certificate mode を Require または Allow に設定しないでください。そうすると、SCEP エンドポイント上の SCEPman の通常動作が壊れてしまいます。

Environment Variables

このシナリオを利用するには、SCEPman app service に次の環境変数を設定する必要があります。

AppConfig:DbCSRValidation:Enabled

証明書の登録と更新に必要

この変数を次に設定します true 証明書署名要求（CSR）の検証を有効にします。

AppConfig:DbCSRValidation:AllowRenewals

証明書更新に必要

この変数を次に設定します true 証明書の更新を有効にします。

AppConfig:DbCSRValidation:ReenrollmentAllowedCertificateTypes

証明書更新に必要

更新を許可したい証明書の種類を、カンマ区切りの一覧でこの変数に設定します。使用可能な証明書の種類の一覧については、リンク先の変数ドキュメントを参照してください。

例: Static,IntuneUser,IntuneDevice

このシナリオでは、次の種類の証明書を登録します IntuneUser および IntuneDevice 選択内容によって異なります。

3. クライアントの前提条件

Enrollment REST API を使用できるようにするには、実行クライアント/ホストに以下の前提条件が必要です。

Azure CLI （バージョン 2.61 以上）

Azure CLI は、登録するユーザーの認証、適格性の確認、およびアクセス トークンの取得に使用されます。

cURL

作成した CSR を SCEPman Enrollment API エンドポイントに送信し、証明書を受信するために使用されます。

OpenSSL

OpenSSL は、秘密鍵を生成し、証明書の登録または更新のための CSR を作成するために使用されます。

Intune 登録

リンク先のドキュメントに従って、Linux クライアントを Intune に登録してください。

登録および更新スクリプト

この enrollrenewcertificate.sh スクリプトは、最初に証明書を取得するためだけでなく、定期的に確認して、しきい値に達した場合は更新を試みるためにも使用されます。

通常、スクリプトはターミナルでパラメーターを指定して実行されますが、Intune 経由で展開するためにいくつかの部分を変更する必要があります。

ターミナルで渡された引数を変数に代入しているスクリプトの部分を見つけ、必要に応じて調整してください:

構成例:

APPSERVICE_URL

SCEPman アプリ サービスの URL です。

例: "https://scepman.contoso.net/"

API_SCOPE

これは、環境内の SCEPman-api アプリ登録で作成できる API スコープです。

ユーザーには希望する同意ダイアログが表示され、その後セルフサービス機能を使用できます。

例: "api://b7d17d51-8b6d-45eb-b42b-3dae638cd5bc/Cert.Enroll"

CERT_DIR

証明書が作成される、または更新が試行されるディレクトリです。秘密鍵とルート証明書もここに配置されます。

例: ~/certs/

CERT_NAME

作成または更新用に読み取られる証明書のファイル名（拡張子なし）です。

例: "myCertificate"

KEY_NAME

更新用に作成または読み取られる秘密キーのファイル名です。

例: "myKey"

RENEWAL_THRESHOLD_DAYS

スクリプトが更新処理を開始するために、証明書の有効期限が切れるまでの残り日数です。

例: 30

CERT_TYPE

登録される証明書の種類。

"user" または "device" のいずれかにできます

CERT_COMMAND

これは、登録および更新に関するスクリプトの動作を定義します:

"auto" 最初に証明書を作成するか、既に存在していて期限切れが近い場合は証明書を更新します。

"renewal" 期限切れが近い場合は証明書を更新しますが、最初に証明書を作成はしません。

"initial" 証明書を登録するだけで、既存の証明書は更新しません。

デバイス証明書を登録または更新する場合、DeviceId は次から取得されます ~/.config/intune/registration.toml また、認証済みユーザーは、構成済みのオブジェクトの所有者と一致している必要があります DeviceDirectory.

考慮事項

  • このスクリプトは生成されたキーを暗号化しません（これにはパスフレーズの入力が必要なため、自動更新を可能にするため暗号化は省略されています）。

  • Certificate Master からパスフレーズ保護された証明書を更新する場合は、更新のためにこのパスフレーズを入力する必要があります。

スクリプトの展開

Intune を使用すると、変更したスクリプトをスケジュールに従って展開し、指定されたパラメーターで最初に証明書を登録し、定期的に更新が必要かどうかを確認できます。

新しい Linux スクリプトの展開を追加し、必ず次を設定してください 実行コンテキスト から ユーザー そして、前のセクションで作成した変更済みの bash スクリプトの内容をアップロードまたは貼り付けます。

次を調整します 実行頻度 更新のしきい値に合わせて。

認証が必要なため、ユーザーは最初の実行時に Azure CLI アプリケーションへのログインを求められます。

最終更新

役に立ちましたか？