Desinstalação
Como você desinstala o SCEPman depende de haver apenas uma instância do SCEPman em seu locatário e se a instância do SCEPman foi usada de forma produtiva ou não, por exemplo, como um PoC. Se certificados produtivos foram inscritos, você deve planejar se quer reduzir gradualmente o uso desta instância do SCEPman e manter algumas partes do SCEPman funcionando por algum tempo, ou se deseja encerrar de forma abrupta.
Se você tiver múltiplas instalações do SCEPman em um único locatário e quiser desinstalar apenas algumas delas, deve prestar atenção para manter os componentes usados pelas instâncias ativas. Isso é especialmente o caso para os Registros de Aplicativos, que por padrão são compartilhados por todas as instâncias.
Este guia não se destina a situações em que você possui uma configuração geo-redundante e deseja manter o SCEPman, mas remover uma instância para uma região específica. Por favor, entre em contato com nosso suporte nessa situação se tiver dúvidas.
Perfis de Configuração do Intune/Jamf/Outros
Para todas as plataformas em que você usou o SCEPman, provavelmente terá perfis de configuração para
A distribuição da CA raiz do SCEPman,
inscrição de certificados de cliente via SCEP, e
perfis de WiFi ou VPN que usam esse certificado de cliente.
Cada tipo de perfil na lista anterior depende dos que estão acima dele. Assim, você deve excluí-los de baixo para cima, para não deixar dependências abertas.
Observe que o Intune removerá os certificados inscritos do cliente assim que você remover os perfis de inscrição SCEP, portanto não há um descomissionamento suave do uso do certificado, mas sim um corte abrupto.
Recursos do Azure
Em muitos casos, há um Grupo de Recursos do Azure dedicado para todos os recursos relacionados ao SCEPman. Assim, você pode simplesmente excluir todo o Grupo de Recursos para se livrar de todos os recursos do SCEPman. No caso de uma instalação geo-redundante do SCEPman, pode haver grupos de recursos adicionais para os App Services extras e planos de App Service. Nesse caso, você também terá um Traffic Manager em algum lugar.
Para excluir os grupos de recursos, pode ser necessário remover Locks de Exclusão (Delete Locks) do Azure Key Vault e/ou da Conta de Armazenamento. Há casos em que excluir todo o grupo de recursos não funciona por causa das dependências entre recursos. Nesse caso, recomendamos excluir os recursos individualmente na seguinte ordem:
App Insights
App Services
Contas de Armazenamento
Key Vault
Plano de App Service
o próprio Grupo de Recursos
O SCEPman configura soft-delete e Proteção contra Purga por 90 dias por padrão para seu Azure Key Vault. Assim, mesmo que você exclua todo o Grupo de Recursos, a chave CA usada pelo SCEPman será recuperável pelo período configurado. Depois disso, a chave CA desaparece e você não poderá recuperá-la. Isso significa que não há como restaurar essa instância do SCEPman e, como não há instância para criar respostas OCSP válidas, todos os certificados emitidos são invariavelmente considerados inválidos.
Excluir a Conta de Armazenamento resulta na perda de informações sobre certificados mestre do SCEPman criados manualmente, especialmente informações de revogação. Como a exclusão de suas instâncias do SCEPman invalida todos os certificados emitidos devido às respostas OCSP falhadas de qualquer forma, isso pode não ser um problema.
Sua Conta de Armazenamento também pode conter os arquivos de log do SCEPman. Se você quiser mantê-los, ou mantenha a Conta de Armazenamento e exclua apenas os outros Recursos do Azure, ou copie os arquivos de log para outro local antes de excluir a Conta de Armazenamento.
Domínio Personalizado
Você pode ter registrado um domínio personalizado para o SCEPman como scepman.contoso.de. Remova essa entrada do DNS para deixar claro que ela não é mais necessária para nenhum serviço.
Registros de aplicativo
O SCEPman e o SCEPman Certificate Master usam cada um um registro de aplicativo. Por padrão, todas as instâncias do SCEPman em um locatário compartilham esses dois registros de aplicativo, então exclua-os apenas se esta for a única instância do SCEPman em seu locatário -- exceto quando você tiver usado os opcionais AzureADAppNameForSCEPman e AzureADAppNameForCertMaster parâmetros no módulo PowerShell do SCEPman para fazer suas outras instâncias do SCEPman usarem registros de aplicativo diferentes.
Os nomes padrão dos registros de aplicativo são SCEPman-api e SCEPman-CertMaster. Você pode encontrá-los e excluí-los navegando até Registros de aplicativos no Portal do Azure. Altere para "Todos os aplicativos" para pesquisá-los.
Last updated
Was this helpful?