> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/pt/implementacao-do-scepman/deployment-guides/enterprise-guide-1.md).
# Guia estendido
Este guia irá acompanhá-lo por todas as etapas para implementar o SCEPman num ambiente de nível empresarial com requisitos avançados, por exemplo, convenções de nomenclatura, redundância ou dimensionamento automático.
{% hint style="warning" %}
Apenas a SCEPman Enterprise Edition
{% endhint %}
## Implantação do Azure
Vamos começar com os requisitos e uma visão geral dos recursos.\
Lembre-se de que você precisa planejar um design útil de recursos do Azure.
### Pré-requisitos
#### Obrigatório
* [ ] Convenção de nomenclatura de recursos do Azure.
* [ ] Assinatura do Azure (pelo menos permissões de Contributor nessa assinatura).
* [ ] Permissões de proprietário do Azure (pelo menos no nível do grupo de recursos).
* [ ] Microsoft Entra ID (Azure AD) "Administrador global" (consentimento para acessar a Graph API).
* [ ] Certifique-se de definir suas políticas do Azure [de acordo com os requisitos do SCEPman](/pt/outros/security-faq.md#azure-cis) (por exemplo, não impor TLS).
* [ ] CNAME de domínio público (*scepman.yourdomain.com*), somente se a geo-redundância for usada.
* [ ] Certificado SSL (ou use [Certificado Gerenciado do App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), somente se a geo-redundância for usada.
* [ ] Chave de licença da SCEPman Enterprise Edition.
#### Opcional
* [ ] CNAME de domínio público (*scepman.yourdomain.com*), somente se um domínio personalizado for usado.
* [ ] Certificado SSL (Wildcard-) (ou use [Certificado Gerenciado do App Service](https://docs.microsoft.com/en-us/azure/app-service/configure-ssl-certificate#create-a-free-certificate-preview)), somente se um domínio personalizado for usado.
### Visão Geral dos Recursos do Azure
Os recursos a seguir são recomendados para um ambiente de produção.
| Tipo | Descrição |
| ------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Serviço de Aplicativo (x2) | Um ambiente virtual Azure para executar as aplicações SCEPman Core e Cert Master e fornece uma interface de utilizador para configurar diferentes
definições específicas da aplicação, como CNAME, certificado SSL e configurações da aplicação.
|
| Plano do Serviço de Aplicativo | Um conjunto virtual de recursos de computação e configurações para os "Serviços de Aplicativo".
Aqui pode configurar o nível de preços e a escalabilidade dos recursos.
|
| Key Vault | Ferramenta para armazenar com segurança segredos e certificados. A aplicação SCEPman irá gerar e guardar o certificado raiz no seu Key Vault. |
| Storage Account | Plataforma de armazenamento usada pelo componente Certificate Master do SCEPman para armazenar atributos dos certificados para fins de revogação.
Opcional:
O "App Service" carregará os artefactos de um URI de armazenamento de blobs se as atualizações manuais estiverem configuradas.
|
| Log Analytics Workspace | Um armazenamento de registos centralizado e baseado na cloud. O "App Service" guardará todos
os registos e métricas da plataforma neste espaço de trabalho.
Desde a v3.0, o SCEPman escreve registos no Log Analytics Workspace usando a API de Ingestão de Registos da Microsoft.
|
Além disso, se estiver usando Private Endpoints, você terá [sete recursos adicionais do Azure.](/pt/configuracao-do-azure/private-endpoints.md#azure-resources-used-for-private-endpoints)
| Tipo | Descrição |
|---|
| Rede Virtual | Os App Services do SCEPman, o Key Vault e o Storage Account ligam-se através desta VNET. |
| Endpoint Privado (×2) | Um para o Key Vault e outro para o Storage Account. Torna-os acessíveis através da VNET. |
| Zona DNS privada (×2) | Um para o Key Vault e outro para o Storage Account. Ambos têm um endereço IP interno na VNET, para o qual têm um nome na respetiva zona DNS privada. |
| Interface de rede (×2) | Um para o Key Vault e outro para o Storage Account. Liga o Private Endpoint à VNET. |
## Etapas de configuração
{% stepper %}
{% step %}
### Implantar os Serviços Base do SCEPman
{% hint style="warning" %}
Esta é uma **obrigatória** etapa.
{% endhint %}
Escolha se você deseja implantar com um **Windows** ou **Linux** Plano do App Service. Ambos os métodos de implantação permitirão que você escolha seu sistema operacional.
Para iniciar a implantação, você precisa seguir nossas instruções de configuração usando um **template ARM**
{% content-ref url="/pages/0e8600f826f6256f28a81cb2a285fa2c168a29e3" %}
[Implementação empresarial](/pt/implementacao-do-scepman/deployment-options/enterprise-deployment.md)
{% endcontent-ref %}
ou, alternativamente, nosso **script Terraform:** Executar etapas pós-implantação (atribuições de permissões)
{% content-ref url="/pages/cedc75f39237f270ca01edf8dc89ab9fd6cbb029" %}
[Implementação com Terraform](/pt/implementacao-do-scepman/deployment-options/terraform-deployment.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Para vincular corretamente todos os componentes do SCEPman, várias permissões precisam ser atribuídas. Siga estas etapas para estabelecer as conexões relevantes:
{% hint style="warning" %}
Esta é uma **obrigatória** etapa.
{% endhint %}
Adicionar permissões do Certificate Master
{% content-ref url="/pages/63b463a0df27ee30bde18e8c998cb19b34870cc1" %}
[Identidades geridas](/pt/implementacao-do-scepman/permissions/post-installation-config.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### etapa para
{% hint style="success" %}
Esta é uma **obrigatória** etapa para **Enterprise** **Edition** clientes. **Community Edition** os usuários podem ignorar esta etapa.
{% endhint %}
O Certificate Master é um recurso da **Enterprise Edition** que permite aos administradores gerar e revogar certificados manualmente. Siga estas etapas para fornecer acesso ao Certificate Master.
{% content-ref url="/pages/c60c5861fbff048d3e0cf56287e24c090cfdcf8c" %}
[RBAC do Certificate Master](/pt/configuracao-do-scepman/rbac.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Criar Certificado Raiz
{% hint style="warning" %}
Esta é uma **obrigatória** etapa.
{% endhint %}
Após a conclusão da implantação e da atribuição de permissões, você precisa criar o certificado raiz para o SCEPman:
{% content-ref url="/pages/636c1f06fa608842ef9119b2a0408f574445a531" %}
[AC raiz](/pt/implementacao-do-scepman/first-run-root-cert.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar um Domínio Personalizado e um Certificado SSL
{% hint style="success" %}
Esta é uma **recomendada** etapa. No entanto, **pule** esta etapa se estiver implementando geo-redundância.
{% endhint %}
Para ter o SCEPman disponível em seu domínio específico, você precisa criar um **Domínio Personalizado** no **App Service.**
{% content-ref url="/pages/39608d06863bc8258e26ef9ccc7a89eee0d00765" %}
[Domínio personalizado](/pt/configuracao-do-azure/custom-domain.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Atualizações manuais
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
Por padrão, o SCEPman adota uma abordagem evergreen [em relação às atualizações. Caso você precise de controle total sobre as atualizações do SCEPman, configure um slot de implantação conforme descrito no guia a seguir, na seção](/pt/configuracao-do-azure/update-strategy.md#evergreen-approach) Configuração do slot de implantação **Configuração do slot de implantação**.
{% content-ref url="/pages/6b7531d4615f04592dd2fb9ef661cc2c5fd60488" %}
[Estratégia de atualização](/pt/configuracao-do-azure/update-strategy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar alertas de verificação de integridade
{% hint style="success" %}
Esta é uma **recomendada** etapa.
{% endhint %}
As verificações de integridade podem ser configuradas para notificar os administradores caso o App Service do SCEPman não responda.
Embora a verificação de integridade seja adicionada automaticamente durante a instalação, os alertas precisam ser configurados manualmente.
{% content-ref url="/pages/ad86c88e9c1f69221e52b5de14b69c92789aeef8" %}
[Verificação de estado](/pt/configuracao-do-azure/health-check.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Garanta que o SCEPman tenha recursos suficientes
{% hint style="warning" %}
Esta é uma **obrigatória** etapa.
{% endhint %}
Ao mover o SCEPman para um ambiente de produção, você deve garantir que ele esteja equipado com poder de computação suficiente. Portanto, revise nosso guia de dimensionamento do Azure e atualize o nível do seu Plano do App Service, se necessário. Você pode adiar isso até depois da sua fase de PoC ou de teste.
{% content-ref url="/pages/3760f40fcbdc30811cbb6d692b24dee34188389a" %}
[Dimensionamento do App Service](/pt/configuracao-do-azure/azure-sizing.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar escalonamento automático
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
A solução SCEPman tem duas tarefas diferentes e requisitos de desempenho.\
Uma tarefa é o processo de emissão de certificados: após a configuração da solução SCEPman, precisamos implantar certificados em todos os dispositivos (certificados de usuário e/ou de dispositivo), mas isso é uma tarefa única e, após a implantação inicial, isso só acontece quando um novo dispositivo é inscrito ou quando os certificados precisam ser renovados. Nessas situações, o SCEPman enfrentará um pico de solicitações SCEP.
A segunda tarefa é a validação de certificados: após implantarmos certificados nos dispositivos, esses certificados precisam ser validados cada vez que os usamos. Para cada autenticação baseada em certificado, os clientes, gateways ou o sistema RADIUS (depende do que você usa) enviarão uma solicitação OCSP para o App Service do SCEPman. Isso causará uma carga permanente de solicitações no App Service.
Para obter um desempenho otimizado e controlar os custos, recomendamos configurar a funcionalidade de escalonamento automático do App Service. Com esse recurso, sua aplicação pode aumentar e reduzir a escala com base em métricas.
{% content-ref url="/pages/7fe3a37e768bcc6bed30dd14e46b3b57522aafe6" %}
[Dimensionamento automático](/pt/configuracao-do-azure/azure-sizing/autoscaling.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configurar Geo-redundância
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
Configurar uma instância geo-redundante para o SCEPman pode aumentar a disponibilidade e a resiliência do serviço ao distribuir cargas de trabalho entre várias regiões do Azure.
No entanto, é importante observar que essa configuração pode levar a custos maiores do Azure devido aos recursos adicionais e à replicação de dados envolvidos. A Microsoft fornece um SLA de 99,95% para os Azure App Services, o que é adequado na maioria dos cenários.
{% content-ref url="/pages/5aca5784c853f70b039ebf1d3765ad99e860dd34" %}
[Geo-redundância](/pt/configuracao-do-azure/geo-redundancy.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Configure os seus perfis de implantação do MDM
{% hint style="success" %}
Esta é uma **recomendada** etapa.
{% endhint %}
Com a conclusão das etapas acima, temos uma implementação funcional do SCEPman e agora podemos implantar certificados nos dispositivos.
Use um (ou mais) dos artigos a seguir para implantar certificados com a sua solução MDM preferida:
{% content-ref url="/pages/81663f29b3cd6bdd6e3e821715f3f8e0c22872d6" %}
[Microsoft Intune](/pt/gestao-de-certificados/microsoft-intune.md)
{% endcontent-ref %}
{% content-ref url="/pages/b1dbaf9364ba1fd4f9eebf97d3507220cb5d15df" %}
[Jamf Pro](/pt/gestao-de-certificados/jamf.md)
{% endcontent-ref %}
{% content-ref url="/pages/4c4993d96763dcf7bd2691320fcdb2327a542fdb" %}
[Outras soluções MDM](/pt/gestao-de-certificados/static-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Emitir certificados manualmente ou assinar CSRs usando o Certificate Master
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
Siga o link abaixo para aprender como emitir certificados TLS de servidor com base em uma lista de FQDNs ou assinar qualquer CSR usando o componente Certificate Master.
{% content-ref url="/pages/a1b23d27808692068efbb1385a3ed013c0093535" %}
[Certificate Master](/pt/gestao-de-certificados/certificate-master.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Emitir certificados usando a API REST de inscrição
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
O SCEPman inclui uma API REST para inscrever certificados. Esta é uma alternativa aos endpoints SCEP que exigem autenticação no estilo SCEP, enquanto a API REST usa Identidades da Microsoft para autenticação. O protocolo também é muito mais simples do que o SCEP.
{% content-ref url="/pages/739600e75b7d88c923986e80f4a8b67dbab501e6" %}
[API REST de registo](/pt/gestao-de-certificados/api-certificates.md)
{% endcontent-ref %}
{% endstep %}
{% step %}
### Criar bloqueios nos recursos Azure do SCEPman
{% hint style="info" %}
Esta é uma **opcional** etapa.
{% endhint %}
Por padrão, o SCEPman não aplica nenhum bloqueio aos recursos do Azure. Se você usa bloqueios de recursos e deseja configurá-los, a lista a seguir descreve quais tipos de bloqueio podem ser aplicados a cada recurso do SCEPman.
* **Key Vault:** O Soft Delete e a Proteção contra Purga já fornecem proteção contra exclusão acidental. O SCEPman não modifica o recurso após a criação da chave da CA, então um **ReadOnlyLock** é tecnicamente possível.
* **Storage Account:** Apenas um **DeleteLock** é possível, pois o SCEPman precisa gravar as informações do certificado na tabela. Se um Storage Account for excluído acidentalmente, você perderá as informações dos certificados já emitidos.
* **Serviços de Aplicativo:** Um ReadOnlyLock **ReadOnlyLock** é teoricamente possível, mas ele precisa ser removido cada vez que você modificar a configuração do SCEPman. Um App Service excluído pode ser reinstalado facilmente, mas ele só terá a configuração padrão, então todas as alterações manuais precisarão ser reconfiguradas manualmente. Uma combinação de **DeleteLock** e **ReadOnlyLock** ajuda a mitigar esse risco.
* **Log Analytics Workspace:** Um ReadOnlyLock **DeleteLock** é tecnicamente possível, mas você só perderia os logs coletados durante o período de retenção, o que não afeta a disponibilidade do serviço SCEPman.
* **Outros recursos do Azure:** Esses não armazenam dados e podem ser recriados sem perda de informação. Um **DeleteLock** e **ReadOnlyLock** DeleteLock pode ser útil para alguns deles. Alguns não podem ser excluídos de forma alguma porque dependem de um dos serviços principais mencionados acima.
{% endstep %}
{% endstepper %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/pt/implementacao-do-scepman/deployment-guides/enterprise-guide-1.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.