Kandji

Emita certificados no Kandji conectando o SCEPman como uma CA Externa. Os dispositivos poderão obter certificados usando a interface estática do SCEPman e uma senha de desafio cadastrada.

O SCEPman pode ser conectado a Kandji como uma CA Externa através da interface estática do SCEPman, e dispositivos registrados com senha de desafio poderão obter certificados.

Para informação geral sobre outras soluções MDM e integração com SCEPman, por favor consulte aqui.

Ativar Integração Kandji

A integração do SCEPman pode ser facilmente ativada através das seguintes variáveis de ambiente no App Service do SCEPman:

Você pode diferenciar entre o App Service do SCEPman e o Certificate Master procurando pelo App Service sem o "-cm" no seu nome

Configuração

Descrição

Valor

AppConfig:StaticValidation:Enabled

Habilitar validação de terceiros

true para habilitar, false para desabilitar

AppConfig:StaticValidation:RequestPassword

As solicitações de assinatura de certificado enviadas ao SCEPman para assinatura são autenticadas com esta senha estática segura Recomendação: Armazene este segredo em Azure KeyVault.

gere uma senha de 32 caracteres

AppConfig:StaticValidation:ValidityPeriodDays (opcional)

Dias de validade dos certificados emitidos via Kandji

365

AppConfig:StaticValidation:EnableCertificateStorage (opcional)

Armazenar certificados solicitados na Conta de Armazenamento, a fim de exibí‑los no SCEPman Certificate Master

true para habilitar, false para desabilitar

Após adicionar ou editar parâmetros de configuração do SCEPman, você precisa reiniciar o App Service.

Configuração Kandji

Certificado Raiz do SCEPman

Como primeiro passo, você deve implantar o certificado raiz do SCEPman. Baixe este certificado da CA via o site do SCEPman:

No Kandji, navegue até Biblioteca na barra de navegação à esquerda e adicione um Item de Biblioteca de Certificado ao seu Blueprint.

Para fazer o upload do certificado, primeiro selecione certificado no formato PKCS #1 em Tipo de certificado, em seguida forneça um nome opcional, carregue seu certificado CA do SCEPman e por fim salve-o.

Perfil SCEP

O segundo passo é adicionar um Perfil SCEP ao seu Blueprint. Portanto, adicione um novo Item de Biblioteca SCEP e configure-o como abaixo:

URL: O endpoint SCEP estático do SCEPman que você configurou acima
Nome: Um atributo SAN opcional
Desafio: É necessário para autenticar pedidos CSR enviados para a interface SCEP estática do SCEPman. Deve corresponder ao valor que você configurou acima.
Impressão digital: Impressão digital da CA opcional. É altamente recomendável configurar este valor pois fornece um nível adicional de segurança. Você pode encontrá-la no seu site do SCEPman como Impressão digital da CA.
Assunto: Nome de assunto opcional. CN=$PROFILE_UUID será adicionado automaticamente pelo Kandji como nome comum padrão. O Kandji permite que você adicione múltiplos CNs.

Observamos casos em que macOS e iOS tiveram problemas ao auto-selecionar certificados de cliente para fins de autenticação de rede quando mais de dois CNs foram adicionados.