Visão geral

O que é SCEP?

Normalmente, quando é necessário implantar certificados em dispositivos (móveis), Simple Certificate Enrollment Protocol (SCEP) é a primeira escolha. O SCEP é um rascunho da Internet protocolo padrão. Um rascunho da Internet contém especificações técnicas e informações. Os rascunhos da Internet são frequentemente publicados como uma Request for Comments.

O SCEP foi originalmente desenvolvido pela Cisco. O seu objetivo é implantar certificados em dispositivos de rede sem qualquer interação do usuário; os dispositivos podem solicitar certificados por conta própria.

O que é SCEPman?

Uma implantação tradicional de SCEP requer vários componentes locais. O Microsoft Intune e outras soluções de Mobile Device Management (MDM) soluções permitem que autoridades certificadoras (CA) de terceirosemita e valide certificados usando SCEP.

Desenvolvemos o SCEPman para ajudar organizações a migrar dessas infraestruturas locais para uma solução nativa da nuvem executada em Azure.

O SCEPman emite certificados que são destinados à autenticação e à criptografia de transporte. Dito isso, você pode implantar certificados de usuário e de dispositivo usados para autenticação de rede, WiFi, VPN, RADIUS e serviços semelhantes.

Você pode usar o SCEPman para assinaturas digitais transacionais ou seja, para assinatura S/MIME no Microsoft Outlook. Se você planeja usar os certificados para assinatura de mensagens, é necessário adicionar os usos estendidos de chave correspondentes na configuração do perfil do Intune. Tenha em mente que os certificados SCEPman são confiáveis apenas dentro da sua organização. O SCEPman não emite certificados de confiança pública.

Não use o SCEPman para criptografia de e-mail ou seja, para criptografia de e-mail S/MIME no Microsoft Outlook (sem uma tecnologia separada para gerenciamento de chaves). A natureza do protocolo SCEP não inclui um mecanismo para fazer backup ou arquivar material de chave privada. Se você usar SCEP para criptografia de e-mail, poderá perder as chaves para descriptografar as mensagens posteriormente.

Fluxo de trabalho do SCEPman

Aqui está uma visão geral do fluxo de trabalho do SCEPman ao usar o Intune como solução MDM (os fluxos são semelhantes para outras soluções MDM). A primeira figura mostra a emissão do certificado e a segunda figura mostra a validação do certificado.

Processo de emissão de certificado

Processo de validação de certificado durante a autenticação baseada em certificado

Funcionalidades do SCEPman

O SCEPman é um Azure Web App com as seguintes funcionalidades:

• Uma interface SCEP compatível com o Intune API SCEP.
• Suporte mais amplo a MDM: Jamf Pro, Iru (anteriormente Kandji), Mosyle, Addigy e mais.
• Um endpoint do Active Directory que lida com solicitações SOAP, permitindo que certificados sejam distribuídos por meio de Políticas de Grupo.
• O SCEPman fornece certificados assinados por uma chave raiz de CA armazenada em Azure Key Vault.
• O SCEPman contém um respondedor OCSP (veja abaixo) para fornecer validade do certificado / auto-revogação em tempo real.
• Redundância geográfica opcional, autoescala e capacidade de atender de 50 a 100.000+ usuários.

O SCEPman cria o certificado raiz da CA durante a instalação inicial. No entanto, você pode substituir essa chave e certificado da CA pelos seus próprios em Azure Key Vault, por exemplo, se quiser usar um certificado de Sub CA assinado por uma CA Raiz interna existente.

Certificate Master

O Certificate Master permite Enterprise Edition que clientes emitam certificados (manualmente) em cenários em que um cadastro automático via SCEP / MDM não é possível. Exemplos comuns são a emissão de certificados TLS de servidor ou certificados de usuário para smart cards / YubiKeys. Além disso, os administradores podem usar o Certificate Master para gerenciar qualquer certificado emitido pelo SCEPman, independentemente de ter sido inscrito automaticamente via SCEP (Intune, Jamf e outros MDMs), EST, a Enrollment REST API ou manualmente pela própria interface do Certificate Master.

Certificate Master

SCEPman OCSP (Online Certificate Status Protocol)

O Online Certificate Status Protocol (OCSP) é um protocolo da Internet usado para determinar o estado de um certificado. Um cliente OCSP envia uma solicitação de status a um respondedor OCSP, que verifica a validade de um certificado com base no estado de revogação ou em outros mecanismos.

Em comparação com uma Certificate Revocation List (CRL), que o SCEPman também suporta, uma resposta OCSP está sempre atualizada, e a resposta fica disponível em segundos. Uma CRL tem a desvantagem de ser baseada em um banco de dados que precisa ser atualizado manualmente e pode crescer bastante. Leia uma comparação detalhada desses mecanismos de revogação no nosso blog da empresa.

Primeiros passos

Siga as etapas da página a seguir para implantar o SCEPman e automatizar a emissão de certificados para cenários de usuários, dispositivos e autenticação de rede.