Skip to main content
Dieses Library Item ist für Apple-Geräte und Windows-Computer verfügbar
Mit dem Profil Simple Certificate Enrollment Protocol (SCEP) können Sie Zertifikate von einem SCEP-Server und einer Zertifizierungsstelle (CA) sicher an Ihre Geräte ausstellen. Sie können diese Zertifikate für Dienste wie 802.1x, VPN und Authentifizierung verwenden. Die SCEP-Profilfunktion von Iru verteilt Zertifikate automatisch an Apple-Geräte und Windows-Computer und verteilt sie erneut. Zertifikate werden auf Geräteebene und nicht pro Benutzer bereitgestellt.
Mit dem SCEP Library Item können Sie nur statische Challenges verwenden.

​
SCEP-Profil-Library Item erstellen

Melden Sie sich an Ihrem Iru-Tenant an, bevor Sie beginnen. Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, befolgen Sie die Schritte im Artikel Library-Übersicht.
1

Zur Library navigieren

Navigieren Sie zur Library und wählen Sie Library Item hinzufügen.
2

SCEP auswählen

Suchen Sie nach SCEP und wählen Sie es aus.
3

Library Item benennen

Geben Sie Ihrem SCEP Library Item einen aussagekräftigen Namen.
4

Plattformen auswählen

Wählen Sie unter Installieren auf aus, welche Plattformen das Profil erhalten sollen.
5

Blueprints auswählen

Wählen Sie die Blueprints aus, die Sie verwenden möchten.
6

SCEP-Server-URL eingeben

Geben Sie die Basis-URL Ihres SCEP-Servers ein.
7

Anzeigeeinstellungen konfigurieren

Fügen Sie optional einen Anzeigenamen (Name), eine Challenge und einen Fingerprint hinzu.
8

Subject-Einstellungen konfigurieren

Legen Sie den Betreff (optional) und den Subject Alternative Name Type fest.
9

Schlüsseleinstellungen konfigurieren

Legen Sie Key Size und Key Usage fest.
10

Zusätzliche Einstellungen konfigurieren

Fügen Sie optional Einstellungen für Wiederholungen, Zugriff, Export, Ablauf und Neuverteilung hinzu.

​
Allgemeine Einstellungen

  • URL Die Basis-URL Ihres SCEP-Servers (z. B. scep.example.org).
  • Name (optional) Eine Bezeichnung, um diese CA zu unterscheiden, wenn Sie mehrere Zertifikate verwenden.
  • Challenge Eine vorab vereinbarte geheime Zeichenfolge für die automatische Registrierung. Unter Windows sind nur bestimmte Zeichen zulässig. Siehe SCEP Challenge characters unter „Windows-spezifische Optionen“.
  • Fingerabdruck Der Fingerabdruck der Zertifizierungsstelle als Hex-Zeichenfolge.

​
Subject-Konfiguration

  • Antragsteller Distinguished Name im X.500-Format. Sie können globale Variablen verwenden, z. B.:
    • CN=$SERIAL_NUMBER
  • Alternative Antragstellernamen (SAN) Fügen Sie alternative Kennungen hinzu, einschließlich globaler Variablen, z. B.:
    • RFC 822 Name = $DEVICE_NAME

​
Schlüsseleinstellungen

  • Schlüsselgröße Wählen Sie die Schlüsselgröße (1024, 2048 oder 4096 Bit).
  • Schlüsselverwendung Optionen:
    • Signieren
    • Verschlüsselung
    • Signieren und Verschlüsselung

​
Zusätzliche Optionen

  • Wiederholungen Wie oft der Vorgang wiederholt werden soll, wenn der Server eine PENDING-Antwort sendet.
  • Automatische Profilneuverteilung Wenn aktiviert, prüft Iru die Ablaufdaten der Zertifikate und stellt automatisch neue Zertifikate aus, wenn diese bald ablaufen.
Die Erneuerung beginnt erst, wenn sich das Zertifikat innerhalb des Neuverteilungszeitraums befindet, der mindestens 5 Tage vor dem Ablauf liegen muss. Dadurch wird verhindert, dass Zertifikate zu früh erneuert werden, etwa direkt nach ihrer Ausstellung.
  • Bei der Erneuerung hängt Iru die Variable $PROFILE_UUID an den Subject an.

​
Plattformspezifische Optionen

​
Apple-spezifische Optionen

  • Wiederholungsverzögerung Wartezeit (in Sekunden) zwischen Wiederholungsversuchen.
  • Allen Apps Zugriff auf den privaten Schlüssel erlauben Gewährt allen Apps Zugriff auf den privaten Schlüssel im Schlüsselbund.
  • Extrahieren des privaten Schlüssels verhindern Verhindert den Export des privaten Schlüssels aus dem Schlüsselbund. Aktivieren Sie diese Einstellung für mehr Sicherheit.
  • Benachrichtigung über Zertifikatsablauf Sendet unter macOS Benachrichtigungen, wenn Zertifikate bald ablaufen.
Wenn Automatic profile redistribution für Apple-Geräte aktiviert ist, geben Sie in den Subject Alternative Names (SAN) eine globale Benutzervariable an, falls Benutzerinformationen im Zertifikat erforderlich sind. Dies ist notwendig, da die ID des Wi-Fi Library Items zum Common Name im Subject des Zertifikats hinzugefügt wird, um die Zertifikatserneuerung nachzuverfolgen.

​
Wichtige Überlegungen

​
Profilneuverteilung

Die automatische Profilneuverteilung erneuert Zertifikate vor ihrem Ablauf, sodass Sie Ausfallzeiten vermeiden und die Authentifizierung reibungslos funktioniert.

​
Schlüsselextraktion verhindern

Durch Aktivieren von Prevent the private key data from being extracted wird verhindert, dass Endbenutzer den privaten Schlüssel exportieren. Sie sollten dies für mehr Sicherheit aktivieren.

​
Best Practices

1

Zertifikatslebenszyklus planen

Legen Sie Gültigkeitszeiträume und Erneuerungsfenster für Zertifikate so fest, dass Dienste ohne Unterbrechung weiterlaufen.
2

Challenge-Geheimnisse schützen

Verwenden Sie für jede SCEP-Konfiguration starke, eindeutige Challenge-Geheimnisse, um eine unbefugte Registrierung zu verhindern.
3

Zertifikatsstatus überwachen

Prüfen Sie den Status der Zertifikatsregistrierung und -erneuerung regelmäßig, damit Sie Probleme schnell erkennen und beheben können.
4

Konfigurationen testen

Testen Sie SCEP-Konfigurationen zunächst auf wenigen Geräten – so erkennen Sie Probleme, bevor sie Ihre gesamte Flotte betreffen.

​
Fehlerbehebung

Mögliche Ursachen:
  • Der Wert für Challenge enthält ein Zeichen, das Windows nicht zulässt (zum Beispiel _)
  • Die Challenge enthält Nicht-ASCII- oder Unicode-Zeichen
Lösungen:
  • Vergleichen Sie Ihre Challenge mit der Liste zulässiger Zeichen unter SCEP Challenge characters in den Windows-spezifischen Optionen
  • Entfernen oder ersetzen Sie unzulässige Zeichen und speichern Sie dann das Library Item. Wir haben beobachtet, dass die Registrierung fehlschlug, wenn eine Challenge einen Unterstrich enthielt, bis die Challenge so geändert wurde, dass sie nur zulässige Zeichen verwendete
  • Lassen Sie die Geräte einchecken oder synchronisieren, damit das aktualisierte Profil angewendet wird
Mögliche Ursachen:
  • Falsche SCEP-Server-URL
  • Ungültiges Challenge-Geheimnis
  • Probleme mit der Netzwerkverbindung
  • Abweichender Fingerabdruck der Zertifizierungsstelle Lösungen:
  • SCEP-Server-URL und Erreichbarkeit überprüfen
  • Bestätigen, dass das Challenge-Geheimnis mit der Serverkonfiguration übereinstimmt
  • Netzwerkverbindung und Firewallregeln prüfen
  • Fingerabdruck der Zertifizierungsstelle validieren
Mögliche Ursachen:
  • Erneuerungsfenster zu kurz
  • SCEP-Server antwortet nicht
  • Konflikte beim Gültigkeitszeitraum des Zertifikats Lösungen:
  • Sicherstellen, dass das Erneuerungsfenster mindestens 5 Tage vor dem Ablauf beginnt
  • Verfügbarkeit und Protokolle des SCEP-Servers prüfen
  • Konfiguration des Gültigkeitszeitraums überprüfen
Mögliche Ursachen:
  • Zu restriktive Schlüsselschutzeinstellungen
  • Zugriffsberechtigungen für den Schlüsselbund
  • Anwendungsspezifische Anforderungen an den Schlüsselzugriff Lösungen:
  • Schlüsselschutz- und Zugriffseinstellungen überprüfen
  • Schlüsselbundberechtigungen für Anwendungen prüfen
  • Geeigneten Schlüsselzugriff für erforderliche Anwendungen konfigurieren

​
Sicherheitsüberlegungen

Challenge-Sicherheit

Sie sollten starke, eindeutige Challenge-Geheimnisse verwenden und diese regelmäßig rotieren, um eine unbefugte Registrierung zu verhindern.

Schlüsselschutz

Aktivieren Sie die Verhinderung der Extraktion privater Schlüssel, um Ihre Zertifikate zu schützen.

Zertifikatsüberwachung

Überwachen Sie die Registrierung und Erneuerung von Zertifikaten, um Sicherheitsprobleme zu erkennen.

Zugriffskontrolle

Legen Sie Berechtigungen für den Schlüsselzugriff entsprechend den Anforderungen Ihrer Anwendungen fest.