一般設定

SCEPman は、SCEPman 専用の Jamf エンドポイントを介して外部 CA として Jamf Pro に接続でき、登録済みのユーザーとデバイスが証明書を取得できるようにします。Jamf Pro は SCEP Proxy として動作し、SCEPman と Jamf Pro デバイス間の通信を中継します。

Jamf 連携を有効化

SCEPman の Jamf 連携は、次の環境変数を使って簡単に有効化できます SCEPman アプリ サービス:

設定	説明	例
AppConfig:JamfValidation:Enabled	SCEPman と Jamf を使用しますか？	true
AppConfig:JamfValidation:RequestPassword	この安全なパスワードで、Jamf は SCEPman への証明書要求を認証します。 これを SCEPman のシークレットとして KeyVault に追加することを検討してください KeyVault.	最大 32 文字のパスワード
AppConfig:JamfValidation:ValidityPeriodDays （任意）	Jamf 経由で発行された証明書は、最大何日間有効にしますか？	365
AppConfig:JamfValidation:EnableCertificateStorage （任意）	この設定を有効にすると、Jamf 証明書を Certificate Master に保存できます	true または false（既定）

API 接続

オンボード済みクライアントの状態を確認するために、SCEPman は Jamf API に接続されている必要があります。これは証明書の失効に使用されます。

Jamf のドキュメントを参照してください API ロールと API クライアントの作成方法については、Jamf のドキュメントを参照してください。API クライアントには、次の権限を持つロールが必要です:

• モバイルデバイスの読み取り
• コンピューターの読み取り
• ユーザーの読み取り

SCEPman の次の環境変数を定義してください SCEPman App Service:

設定	説明	例
AppConfig:JamfValidation:URL	Jamf インスタンスの URL	https://contoso.jamfcloud.com
AppConfig:JamfValidation:ClientID	Jamf API クライアントの識別子	参照 Jamf クライアント ID
AppConfig:JamfValidation:ClientSecret	API クライアント構成の Client Secret の値。 これを SCEPman のシークレットとして KeyVault に追加することを検討してください KeyVault.	参照 Jamf クライアント シークレット

Jamf Pro の Classic API は、10.35.0 以降で Bearer 認証をサポートします。10.36.0 以降には、以前の認証方式である Basic 認証を無効化する設定があります。2022 年 8 月〜12 月に予定されている将来の Jamf バージョンでは、Basic 認証のサポートが削除されます。SCEPman 2.0 以前は Classic API で Basic 認証のみをサポートし、SCEPman 2.1 以降は Bearer 認証を使用します。Bearer 認証を使用するには、SCEPman 2.1 以降にアップグレードする必要があります。

外部 CA への接続

Jamf Pro の設定を開き、「グローバル管理」で「PKI 証明書」を選択します:

「管理証明書テンプレート」「外部 CA」タブに切り替えて編集モードを有効にしてください。構成プロファイル用の「SCEP Proxy」を Jamf Pro で有効にしてください:

次の項目を入力して、設定を保存してください:

項目	説明	例/値
URL	SCEPman への URL 実行する しない 忘れずに /jamf 末尾に	https://scepman.contoso.com/jamf
名前	インスタンス名	SCEPman Contoso
サブジェクト	X.500 標準に従うエンティティ	O=Contoso
チャレンジ タイプ	証明書発行を検証するためのチャレンジ タイプ	Static
（検証）チャレンジ	事前共有シークレット（チャレンジ）	SCEPman で次の方法により定義されます: AppConfig パラメーター
キー サイズ	ビット単位のキー サイズ	2048
デジタル署名として使用		はい（必要に応じて）
鍵暗号化に使用		はい（必要に応じて）
フィンガープリント	SCEPman CA 証明書のサムプリント（SHA-1）	SCEPman ダッシュボード（「CA サムプリント」）で確認できます

署名証明書

外部 CA を使用する場合、Jamf は CA 証明書を追加して、証明書が正しく署名されているか比較できるようにすることを要求します。ただし、Jamf では、対応する秘密鍵を持つ署名証明書も追加した場合にのみ CA 証明書を追加できます。Jamf はこの署名証明書を使用して、SCEPman に送信される証明書要求に署名します。ただし、SCEPman は要求の署名を検証せず、要求の正当性は Jamf で構成された正しい要求チャレンジパスワードを使用していることのみに基づくため、署名されていない要求（たとえば Intune からの要求）であっても受け入れます。

OpenSSL

openssl req -x509 -newkey rsa:4096 -keyout tempKey.key -out tempCert.pem -sha256 -days 3650 -nodes -subj "/CN=JAMF Signer Certificate for SCEPman"
openssl pkcs12 -export -out SigningCert.pfx -inkey ./tempKey.key -in ./tempCert.pem -passout pass:password
# 一時ファイルを削除
rm tempKey.key
rm tempCert.pem

PowerShell

$cert = New-SelfSignedCertificate -Subject "CN=JAMF Signer Certificate for SCEPman" -CertStoreLocation "Cert:\\CurrentUser\\My" -NotAfter (Get-Date).AddYears(10)
$pfxBytes = $cert.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pfx, "password")
[System.IO.File]::WriteAllBytes("c:\\temp\\jamf.pfx", $pfxBytes)

その後、Jamf の外部 CA 設定で「署名証明書と CA 証明書の変更」をクリックします

ウィザードでは、求められたら署名証明書を含む PFX ファイルを Jamf にアップロードします（注: Pkcs#12 と PFX は同義です）。次の手順で、PFX ファイルのパスワードを入力し、署名証明書の選択を確認します。「CA 証明書のアップロード」タブでは、SCEPman CA 証明書をアップロードする必要があります。SCEPman CA 証明書は、SCEPman インスタンスのホームページ右上にある「CA 証明書を取得」リンクをクリックして取得できます。最後に、変更を確定します。