Kandji

Emita certificados no Kandji conectando o SCEPman como uma CA externa. Os dispositivos poderão obter certificados usando a interface estática do SCEPman e uma palavra-passe de desafio inscrita.

O SCEPman pode ser conectado a Kandji como uma CA Externa via a interface estática do SCEPman, e os dispositivos inscritos com uma palavra-passe de desafio poderão obter certificados.

Para mais informações gerais sobre outras soluções MDM e a integração do SCEPman, consulte aqui.

Ativar a integração com Kandji

A integração do SCEPman pode ser facilmente ativada através das seguintes variáveis de ambiente no App Service do SCEPman:

Você pode diferenciar entre o SCEPman App Service e o Certificate Master procurando o App Service sem o "-cm" em seu nome

Definição	Descrição	Valor
AppConfig:StaticValidation:Enabled	Ativar validação de terceiros	true para ativar, falso para desativar
AppConfig:StaticValidation:RequestPassword	As solicitações de assinatura de certificado enviadas ao SCEPman para assinatura são autenticadas com esta senha estática segura Recomendação: Armazene este segredo no Azure KeyVault.	gere uma senha de 32 caracteres
AppConfig:StaticValidation:ValidityPeriodDays (opcional)	Dias durante os quais os certificados emitidos via Kandji são válidos	365
AppConfig:StaticValidation:EnableCertificateStorage (opcional)	Armazene os certificados solicitados na Storage Account, para poder mostrá-los no SCEPman Certificate Master	true para ativar, falso para desativar

Depois de adicionar ou editar parâmetros de configuração do SCEPman, é necessário reiniciar o App Service.

Configuração do Kandji

Certificado Raiz do SCEPman

Como primeiro passo, deve implementar o certificado raiz do SCEPman. Descarregue este certificado CA através do site do SCEPman:

Site do SCEPman

No Kandji, navegue até Library na barra de navegação à esquerda e adicione um Certificate Library Item ao seu Blueprint.

Configurar uma carga de certificado

Para carregar o certificado, primeiro selecione certificado no formato PKCS #1 em Tipo de certificado, depois forneça um nome opcional, carregue o seu certificado CA do SCEPman e, por fim, guarde-o.

Adicionando o certificado Root CA do SCEPman

Perfil SCEP

O segundo passo é adicionar um Perfil SCEP ao seu Blueprint. Portanto, adicione um novo SCEP Library Item e configure-o como abaixo:

• URL: O endpoint SCEP estático do SCEPman que configurou acima

• Nome: Um atributo SAN opcional

• Desafio: É necessário para autenticar pedidos CSR enviados para a interface SCEP estática do SCEPman. Deve corresponder ao valor que configurou acima.

• Impressão digital: Impressão digital da CA opcional. É altamente recomendável configurar este valor, pois fornece um nível adicional de segurança. Pode encontrá-lo no site do SCEPman como CA Thumbprint.

• Assunto: Nome do assunto opcional. CN=$PROFILE_UUID será adicionado automaticamente pelo Kandji como nome comum predefinido. O Kandji permite adicionar vários CNs.

Observámos casos em que o macOS e o iOS tiveram problemas ao selecionar automaticamente certificados de cliente para fins de autenticação de rede quando foram adicionados mais de dois CNs.

• Tamanho da chave: 2048

• Utilização da chave: Ambos, assinatura e encriptação

Para mais informações, consulte a documentação do Kandji.

Adicionando um Perfil SCEP

Configuração do Perfil SCEP

Configuração do Perfil SCEP

Configuração do Perfil SCEP

Estado da implementação

Depois de guardar o certificado ou o perfil SCEP, mude para Status para verificar o estado da implementação em Blueprints dispositivos atribuídos.

Estado da implementação