# Diretórios de Dispositivo

O SCEPman oferece duas opções para validar certificados de dispositivos (por exemplo, para pedidos OCSP). Ambos os diretórios armazenam objetos de dispositivo com IDs diferentes que são verificados quanto à existência pelo SCEPman:

* ID de Dispositivo do Microsoft Entra ID (Azure AD)
* Intune (ID de Dispositivo do Intune)

Esses IDs são visíveis no Intune por dispositivo na aba "Hardware":

![](https://3802289327-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-d44ef355496196be88c70825db9d9249a4258254%2Fimage.png?alt=media)

Para reconhecer o dispositivo por trás de um certificado emitido, o SCEPman exige o correspondente **ID no nome do sujeito**:

* Microsoft Entra ID (Azure AD): `CN={{AAD_Device_ID}}`
* Intune: `CN={{DeviceId}}`

Ao configurar o SCEPman e perfis de certificado no Intune, é importante **decidir qual inventário deve ser usado**.

### Entra ID (AAD) vs. Intune

Ambos os diretórios têm prós e contras. Em geral, nós **recomendamos o Intune** como inventário desde o SCEPman 2.0:

* **O ID de Dispositivo do Entra pode mudar durante o registro (observado no iOS/iPadOS/macOS)**:\
  O ID de Dispositivo do Entra é definido para o ID de dispositivo do Intune até que o dispositivo seja finalmente registrado no AAD. O Intune já emite o certificado antes que o dispositivo obtenha seu ID final. Como resultado, o SCEPman não consegue encontrar o dispositivo no AAD após essa mudança de ID.
* **O Intune costuma ser mantido melhor do que o Entra ID (AAD)**:\
  Em teoria, os objetos de dispositivo do AAD e do Intune são independentes. Excluir um dispositivo no Intune não exclui o objeto correspondente no AAD. Além disso, dispositivos Autopilot só podem ser excluídos no Intune e não no Microsoft Entra ID (Azure AD). Portanto, os certificados ainda seriam válidos.

### Configuração do SCEPman

O SCEPman precisa saber qual(is) diretório(s) deve(m) ser usado(s) para validação. Portanto, oferecemos a opção de configuração[#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/pt/application-settings/endpoints-scep/intune-validation#appconfig-intunevalidation-devicedirectory "mention"). Por favor, ajuste esse valor conforme suas necessidades.

{% hint style="warning" %}
Observe que isso requer a versão 2.0 ou mais recente. O SCEPman 1.x suporta apenas o Microsoft Entra ID (Azure AD) como diretório.
{% endhint %}

### Perfis de Certificado

Por favor, também ajuste o nome do sujeito conforme suas necessidades, como indicado em [microsoft-intune](https://docs.scepman.com/pt/gerenciamento-de-certificados/microsoft-intune "mention").

Por favor, note que `CN={{DeviceId}}` atualmente não é compatível com Android Enterprise Fully Managed, Dedicated e Corporate-Owned Work Profile, conforme indicado em [documentação da Microsoft](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile). Se esses tipos de dispositivo estiverem em uso, considere verificar ambos os diretórios ou apenas o Microsoft Entra ID (Azure AD).

Para **migrando** do Microsoft Entra ID (Azure AD) para o ID do Intune ou vice-versa, **certificados** precisam ser **reemitidos em todos os clientes**. Durante essa mudança, por favor configure o SCEPman via [#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/pt/application-settings/endpoints-scep/intune-validation#appconfig-intunevalidation-devicedirectory "mention") para verificar ambos os diretórios (assim, ambos os IDs são válidos). Após a migração, você pode mudar para Intune ou AAD como único diretório.
