Configuração geral

SCEPman pode ser conectado ao Jamf Pro como uma CA externa através de um endpoint dedicado do Jamf do SCEPman, permitindo que utilizadores e dispositivos inscritos obtenham certificados. O Jamf Pro atua como um proxy SCEP, fazendo proxy da comunicação entre o SCEPman e os dispositivos Jamf Pro.

Ativar integração com Jamf

A integração do SCEPman com Jamf pode ser facilmente ativada através das seguintes variáveis de ambiente em serviço de aplicação SCEPman:

Definição	Descrição	Exemplo
AppConfig:JamfValidation:Enabled	Quer usar o SCEPman com o Jamf?	true
AppConfig:JamfValidation:RequestPassword	O Jamf autentica os seus pedidos de certificados no SCEPman com esta palavra-passe segura. Considere adicionar isto como um segredo no seu SCEPman KeyVault.	máx. palavra-passe de 32 caracteres
AppConfig:JamfValidation:ValidityPeriodDays (opcional)	Por quantos dias, no máximo, devem ser válidos os certificados emitidos via Jamf?	365
AppConfig:JamfValidation:EnableCertificateStorage (opcional)	Ative esta definição para guardar os certificados do Jamf no Certificate Master	verdadeiro ou falso (predefinição)

Ligação à API

O SCEPman precisa de estar ligado à API do Jamf para verificar o estado dos clientes integrados. Isto é usado para a revogação de certificados.

Consulte a documentação do Jamf sobre como criar uma função de API e um cliente de API. O cliente de API deve ter uma função com estas permissões:

• Ler dispositivos móveis
• Ler computadores
• Ler utilizador

Defina as seguintes variáveis de ambiente no seu SCEPman App Service:

Definição	Descrição	Exemplo
AppConfig:JamfValidation:URL	O URL da sua instância Jamf	https://contoso.jamfcloud.com
AppConfig:JamfValidation:ClientID	O identificador do cliente de API do Jamf	Ver ID do cliente Jamf
AppConfig:JamfValidation:ClientSecret	O valor do segredo do cliente para a configuração do cliente de API. Considere adicionar isto como um segredo no seu SCEPman KeyVault.	Ver Segredo do cliente Jamf

A API Clássica do Jamf Pro suporta Autenticação Bearer desde a versão 10.35.0. Existe uma definição para desativar o método de autenticação anterior, a Autenticação Básica, desde a versão 10.36.0. Uma futura versão do Jamf, prevista para agosto-dezembro de 2022, irá remover o suporte para a Autenticação Básica. O SCEPman 2.0 e inferiores suportam apenas a Autenticação Básica para a API Clássica, enquanto o SCEPman 2.1 e superiores usam Autenticação Bearer. Para usar a Autenticação Bearer, tem de atualizar para o SCEPman 2.1 ou superior.

Ligação à CA externa

Abra as definições do Jamf Pro e escolha "PKI Certificates" em "Global Management":

Mude para o separador "Management Certificate Template", "External CA" e ative o modo de edição. Ative o Jamf Pro como "SCEP Proxy for configuration profiles":

Preencha os seguintes campos e guarde a configuração:

Campo	Descrição	Exemplo/Valor
URL	URL para o SCEPman Faça NÃO Esqueça o /jamf no final	https://scepman.contoso.com/jamf
Nome	nome da instância	SCEPman Contoso
Assunto	entidades que seguem o padrão X.500	O=Contoso
Tipo de desafio	tipo de desafio para verificação da emissão de certificados	Static
(Verificar) Desafio	segredo pré-compartilhado (desafio)	definido no SCEPman através de AppConfig parâmetro
Tamanho da chave	tamanho da chave em bits	2048
Usar como assinatura digital		Sim (se necessário)
Usar para cifragem da chave		Sim (se necessário)
Impressão digital	Impressão digital do certificado CA do SCEPman (SHA-1)	visível no painel do SCEPman ("CA Thumbprint")

Certificado de assinatura

Ao usar uma CA externa, o Jamf requer que adicione o certificado da CA para que o Jamf possa comparar se os certificados estão corretamente assinados. No entanto, o Jamf só permite adicionar um certificado da CA se também adicionar um certificado de assinatura com uma chave privada correspondente. O Jamf usa este certificado de assinatura para assinar pedidos de certificados enviados ao SCEPman. No entanto, o SCEPman não avalia a assinatura nos pedidos e aceita até pedidos não assinados (por exemplo, do Intune), porque a validade do pedido decorre apenas do uso da palavra-passe correta do desafio do pedido configurada no Jamf.

OpenSSL

openssl req -x509 -newkey rsa:4096 -keyout tempKey.key -out tempCert.pem -sha256 -days 3650 -nodes -subj "/CN=JAMF Signer Certificate for SCEPman"
openssl pkcs12 -export -out SigningCert.pfx -inkey ./tempKey.key -in ./tempCert.pem -passout pass:password
# Remover ficheiros temporários
rm tempKey.key
rm tempCert.pem

PowerShell

$cert = New-SelfSignedCertificate -Subject "CN=JAMF Signer Certificate for SCEPman" -CertStoreLocation "Cert:\CurrentUser\My" -NotAfter (Get-Date).AddYears(10)
$pfxBytes = $cert.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pfx, "password")
[System.IO.File]::WriteAllBytes("c:\temp\jamf.pfx", $pfxBytes)

Depois clique em "Change Signing and CA Certificates" na configuração de CA externa do Jamf

No assistente, carregue o ficheiro PFX com o certificado de assinatura para o Jamf quando este o solicitar (Nota: Pkcs#12 e PFX são sinónimos). Nos passos seguintes, introduza a palavra-passe do ficheiro PFX e confirme a seleção do certificado de assinatura. No separador "Upload CA Certificate", tem de carregar o certificado CA do SCEPman. Pode obter o certificado CA do SCEPman clicando na ligação "Get CA Certificate" no canto superior direito da página inicial da sua instância SCEPman. Por fim, confirme as suas alterações.