Diretórios de dispositivos

O SCEPman oferece duas opções para validar certificados de dispositivo (por exemplo, para pedidos OCSP). Ambos os diretórios armazenam objetos de dispositivo com IDs diferentes, cuja existência é verificada pelo SCEPman:

• ID de dispositivo do Microsoft Entra ID (Azure AD)
• Intune (ID de dispositivo do Intune)

Esses IDs são visíveis no Intune por dispositivo, na aba "Hardware":

Para reconhecer o dispositivo por trás de um certificado emitido, o SCEPman requer o correspondente ID no nome do assunto:

• Microsoft Entra ID (Azure AD): CN={{AAD_Device_ID}}
• Intune: CN={{DeviceId}}

Ao configurar o SCEPman e os perfis de certificado no Intune, é importante decidir qual inventário deve ser usado.

Entra ID (AAD) vs. Intune

Ambos os diretórios têm seus prós e contras. Em geral, nós recomendamos o Intune como inventário desde o SCEPman 2.0:

• O ID do dispositivo do Entra pode mudar durante o registo (observado no iOS/iPadOS/macOS): O ID do dispositivo do Entra é definido como o ID do dispositivo do Intune até que o dispositivo esteja finalmente registado no AAD. O Intune já emite o certificado antes de o dispositivo obter o seu ID final. Como resultado, o SCEPman não consegue encontrar o dispositivo no AAD após essa alteração de ID.
• O Intune é frequentemente mantido melhor do que o Entra ID (AAD): Em teoria, os objetos de dispositivo do AAD e do Intune são independentes entre si. Eliminar um dispositivo no Intune não elimina o objeto correspondente do AAD. Além disso, os dispositivos Autopilot só podem ser eliminados no Intune e não no Microsoft Entra ID (Azure AD). Portanto, os certificados continuariam válidos.

Configuração do SCEPman

O SCEPman precisa saber qual diretório/diretórios devem ser usados para validação. Por isso, oferecemos a opção de configuraçãoAppConfig:IntuneValidation:DeviceDirectory. Ajuste esse valor de acordo com as suas necessidades.

Note que isso requer a versão 2.0 ou mais recente. O SCEPman 1.x suporta apenas o Microsoft Entra ID (Azure AD) como diretório.

Perfis de Certificado

Ajuste também o nome do assunto de acordo com as suas necessidades, conforme indicado em Microsoft Intune.

Tenha em atenção que CN={{DeviceId}} atualmente não é suportado para Android Enterprise Fully Managed, Dedicated e Corporate-Owned Work Profile, conforme indicado em documentação da Microsoft. Se esses tipos de dispositivo estiverem em uso, considere verificar ambos os diretórios ou apenas o Microsoft Entra ID (Azure AD).

Para a migrar do Microsoft Entra ID (Azure AD) para o ID do Intune ou vice-versa, os certificados precisam de ser reemitidos em todos os clientes. Durante essa alteração, configure o SCEPman através de AppConfig:IntuneValidation:DeviceDirectory para verificar ambos os diretórios (ou seja, ambos os IDs são válidos). Após a migração, pode mudar para o Intune ou AAD como diretório único.