> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SCEP Library Item konfigurieren

> Richten Sie das SCEP Library Item in Iru Endpoint ein, um Gerätezertifikate von einem SCEP-Server an Apple-Geräte und Windows-Computer auszustellen.

<Callout icon="list-check" color="#B84A7A" iconType="regular">Dieses Library Item ist für Apple-Geräte und Windows-Computer verfügbar</Callout>
Mit dem Profil **Simple Certificate Enrollment Protocol (SCEP)** können Sie Zertifikate von einem SCEP-Server und einer Zertifizierungsstelle (CA) sicher an Ihre Geräte ausstellen. Sie können diese Zertifikate für Dienste wie 802.1x, VPN und Authentifizierung verwenden.
Die SCEP-Profilfunktion von Iru verteilt Zertifikate automatisch an **Apple-Geräte** und **Windows-Computer** und verteilt sie erneut. Zertifikate werden auf Geräteebene und nicht pro Benutzer bereitgestellt.

<Note>
  Mit dem SCEP Library Item können Sie nur statische Challenges verwenden.
</Note>

## SCEP-Profil-Library Item erstellen

Melden Sie sich an Ihrem Iru-Tenant an, bevor Sie beginnen.
Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, befolgen Sie die Schritte im Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview).

<Steps>
  <Step title="Zur Library navigieren">
    Navigieren Sie zur **Library** und wählen Sie **Library Item hinzufügen**.
  </Step>

  <Step title="SCEP auswählen">
    Suchen Sie nach **SCEP** und wählen Sie es aus.
  </Step>

  <Step title="Library Item benennen">
    Geben Sie Ihrem SCEP Library Item einen aussagekräftigen Namen.
  </Step>

  <Step title="Plattformen auswählen">
    Wählen Sie unter **Installieren auf** aus, welche Plattformen das Profil erhalten sollen.
  </Step>

  <Step title="Blueprints auswählen">
    Wählen Sie die [Blueprints](/de/endpoint/getting-started/blueprints-and-library/configuring-blueprints) aus, die Sie verwenden möchten.
  </Step>

  <Step title="SCEP-Server-URL eingeben">
    Geben Sie die Basis-URL Ihres SCEP-Servers ein.
  </Step>

  <Step title="Anzeigeeinstellungen konfigurieren">
    Fügen Sie optional einen Anzeigenamen (**Name**), eine **Challenge** und einen **Fingerprint** hinzu.
  </Step>

  <Step title="Subject-Einstellungen konfigurieren">
    Legen Sie den **Betreff** (optional) und den **Subject Alternative Name Type** fest.
  </Step>

  <Step title="Schlüsseleinstellungen konfigurieren">
    Legen Sie **Key Size** und **Key Usage** fest.
  </Step>

  <Step title="Zusätzliche Einstellungen konfigurieren">
    Fügen Sie optional Einstellungen für Wiederholungen, Zugriff, Export, Ablauf und Neuverteilung hinzu.
  </Step>
</Steps>

## Allgemeine Einstellungen

* **URL**
  Die Basis-URL Ihres SCEP-Servers (z. B. `scep.example.org`).
* **Name** (optional)
  Eine Bezeichnung, um diese CA zu unterscheiden, wenn Sie mehrere Zertifikate verwenden.
* **Challenge**
  Eine vorab vereinbarte geheime Zeichenfolge für die automatische Registrierung. Unter **Windows** sind nur bestimmte Zeichen zulässig. Siehe **SCEP Challenge characters** unter „Windows-spezifische Optionen“.
* **Fingerabdruck**
  Der Fingerabdruck der Zertifizierungsstelle als Hex-Zeichenfolge.

### Subject-Konfiguration

* **Antragsteller**
  Distinguished Name im X.500-Format. Sie können [globale Variablen](/de/endpoint/library/library-items-profiles/global-variables) verwenden, z. B.:
  * `CN=$SERIAL_NUMBER`
* **Alternative Antragstellernamen (SAN)**
  Fügen Sie alternative Kennungen hinzu, einschließlich [globaler Variablen](/de/endpoint/library/library-items-profiles/global-variables), z. B.:
  * `RFC 822 Name` = `$DEVICE_NAME`

## Schlüsseleinstellungen

* **Schlüsselgröße**
  Wählen Sie die Schlüsselgröße (1024, 2048 oder 4096 Bit).
* **Schlüsselverwendung**
  Optionen:
  * Signieren
  * Verschlüsselung
  * Signieren und Verschlüsselung

## Zusätzliche Optionen

* **Wiederholungen**
  Wie oft der Vorgang wiederholt werden soll, wenn der Server eine *PENDING*-Antwort sendet.
* **Automatische Profilneuverteilung**
  Wenn aktiviert, prüft Iru die Ablaufdaten der Zertifikate und stellt automatisch neue Zertifikate aus, wenn diese bald ablaufen.

<Note>
  Die Erneuerung beginnt erst, wenn sich das Zertifikat innerhalb des Neuverteilungszeitraums befindet, der mindestens 5 Tage vor dem Ablauf liegen muss. Dadurch wird verhindert, dass Zertifikate zu früh erneuert werden, etwa direkt nach ihrer Ausstellung.
</Note>

* Bei der Erneuerung hängt Iru die Variable `$PROFILE_UUID` an den Subject an.

## Plattformspezifische Optionen

<Tabs>
  <Tab title="Apple">
    ### Apple-spezifische Optionen

    * **Wiederholungsverzögerung**
      Wartezeit (in Sekunden) zwischen Wiederholungsversuchen.
    * **Allen Apps Zugriff auf den privaten Schlüssel erlauben**
      Gewährt allen Apps Zugriff auf den privaten Schlüssel im Schlüsselbund.
    * **Extrahieren des privaten Schlüssels verhindern**
      Verhindert den Export des privaten Schlüssels aus dem Schlüsselbund. Aktivieren Sie diese Einstellung für mehr Sicherheit.
    * **Benachrichtigung über Zertifikatsablauf**
      Sendet unter macOS Benachrichtigungen, wenn Zertifikate bald ablaufen.

    <Note>
      Wenn **Automatic profile redistribution** für Apple-Geräte aktiviert ist, geben Sie in den Subject Alternative Names (SAN) eine globale Benutzervariable an, falls Benutzerinformationen im Zertifikat erforderlich sind. Dies ist notwendig, da die ID des Wi-Fi Library Items zum Common Name im Subject des Zertifikats hinzugefügt wird, um die Zertifikatserneuerung nachzuverfolgen.
    </Note>
  </Tab>

  <Tab title="Windows">
    ### Windows-spezifische Optionen

    * **Hashalgorithmus**
      Wählen Sie den Algorithmus (z. B. SHA-256).
    * **Wartezeit zwischen Wiederholungen in Minuten**
      Wartezeit zwischen Wiederholungsversuchen bei *PENDING*-Antworten.

    <Note>
      Die maximale Anzahl an Wiederholungen unter Windows beträgt 30.
    </Note>

    * **Erweiterte Schlüsselverwendung**
      Fügen Sie zusätzliche Verwendungszwecke wie *Client authentication* hinzu.
    * **Schlüsselschutz**
      Wählen Sie, wo der private Schlüssel gespeichert werden soll. Sie sollten **Prevent the private key data from being extracted** für mehr Sicherheit aktivieren.
    * **Gültigkeitsdauer**
      Legen Sie fest, wie lange Zertifikate gültig bleiben.

    <Note>
      Der Gültigkeitszeitraum benötigt mindestens ein Erneuerungsfenster von 5 Tagen. Wenn Ihr Zertifikat beispielsweise 10 Tage gültig ist, können Sie die automatische Neuverteilung so einstellen, dass sie 5 Tage vor dem Ablauf beginnt. Ein kürzeres Fenster (z. B. 7 Tage bei einem 10-Tage-Zertifikat) ist nicht möglich, da dadurch zu früh nach der Ausstellung eine Erneuerung versucht würde.
    </Note>

    * **Zeichen der SCEP-Challenge**
      Unter Windows akzeptiert das Feld **Challenge** nur Buchstaben (A-Z und a-z), Ziffern (0-9), Leerzeichen und `' ( ) + , - . / : = ?`.

      Diese Zeichen sind **nicht** zulässig:

      ```
      @ # $ % & * _ ; < > " [ ] { } | \ ^ ~ `
      ```

      Nicht-ASCII- und Unicode-Zeichen sind ebenfalls nicht zulässig.

      Wenn die Registrierung fehlschlägt, prüfen Sie die Challenge auf unzulässige Zeichen, bevor Sie Server- oder Netzwerkeinstellungen ändern.
  </Tab>
</Tabs>

## Wichtige Überlegungen

### Profilneuverteilung

Die automatische Profilneuverteilung erneuert Zertifikate vor ihrem Ablauf, sodass Sie Ausfallzeiten vermeiden und die Authentifizierung reibungslos funktioniert.

### Schlüsselextraktion verhindern

Durch Aktivieren von **Prevent the private key data from being extracted** wird verhindert, dass Endbenutzer den privaten Schlüssel exportieren. Sie sollten dies für mehr Sicherheit aktivieren.

## Best Practices

<Steps>
  <Step title="Zertifikatslebenszyklus planen">
    Legen Sie Gültigkeitszeiträume und Erneuerungsfenster für Zertifikate so fest, dass Dienste ohne Unterbrechung weiterlaufen.
  </Step>

  <Step title="Challenge-Geheimnisse schützen">
    Verwenden Sie für jede SCEP-Konfiguration starke, eindeutige Challenge-Geheimnisse, um eine unbefugte Registrierung zu verhindern.
  </Step>

  <Step title="Zertifikatsstatus überwachen">
    Prüfen Sie den Status der Zertifikatsregistrierung und -erneuerung regelmäßig, damit Sie Probleme schnell erkennen und beheben können.
  </Step>

  <Step title="Konfigurationen testen">
    Testen Sie SCEP-Konfigurationen zunächst auf wenigen Geräten – so erkennen Sie Probleme, bevor sie Ihre gesamte Flotte betreffen.
  </Step>
</Steps>

## Fehlerbehebung

<AccordionGroup>
  <Accordion title="SCEP-Challenge schlägt unter Windows fehl (ungültige Zeichen)">
    **Mögliche Ursachen:**

    * Der Wert für **Challenge** enthält ein Zeichen, das Windows nicht zulässt (zum Beispiel `_`)
    * Die Challenge enthält Nicht-ASCII- oder Unicode-Zeichen

    **Lösungen:**

    * Vergleichen Sie Ihre **Challenge** mit der Liste zulässiger Zeichen unter **SCEP Challenge characters** in den Windows-spezifischen Optionen
    * Entfernen oder ersetzen Sie unzulässige Zeichen und speichern Sie dann das Library Item. Wir haben beobachtet, dass die Registrierung fehlschlug, wenn eine Challenge einen Unterstrich enthielt, bis die Challenge so geändert wurde, dass sie nur zulässige Zeichen verwendete
    * Lassen Sie die Geräte einchecken oder synchronisieren, damit das aktualisierte Profil angewendet wird
  </Accordion>

  <Accordion title="Zertifikatsregistrierung schlägt fehl">
    **Mögliche Ursachen:**

    * Falsche SCEP-Server-URL
    * Ungültiges Challenge-Geheimnis
    * Probleme mit der Netzwerkverbindung
    * Abweichender Fingerabdruck der Zertifizierungsstelle
      **Lösungen:**
    * SCEP-Server-URL und Erreichbarkeit überprüfen
    * Bestätigen, dass das Challenge-Geheimnis mit der Serverkonfiguration übereinstimmt
    * Netzwerkverbindung und Firewallregeln prüfen
    * Fingerabdruck der Zertifizierungsstelle validieren
  </Accordion>

  <Accordion title="Probleme bei der Zertifikatserneuerung">
    **Mögliche Ursachen:**

    * Erneuerungsfenster zu kurz
    * SCEP-Server antwortet nicht
    * Konflikte beim Gültigkeitszeitraum des Zertifikats
      **Lösungen:**
    * Sicherstellen, dass das Erneuerungsfenster mindestens 5 Tage vor dem Ablauf beginnt
    * Verfügbarkeit und Protokolle des SCEP-Servers prüfen
    * Konfiguration des Gültigkeitszeitraums überprüfen
  </Accordion>

  <Accordion title="Probleme beim Zugriff auf den privaten Schlüssel">
    **Mögliche Ursachen:**

    * Zu restriktive Schlüsselschutzeinstellungen
    * Zugriffsberechtigungen für den Schlüsselbund
    * Anwendungsspezifische Anforderungen an den Schlüsselzugriff
      **Lösungen:**
    * Schlüsselschutz- und Zugriffseinstellungen überprüfen
    * Schlüsselbundberechtigungen für Anwendungen prüfen
    * Geeigneten Schlüsselzugriff für erforderliche Anwendungen konfigurieren
  </Accordion>
</AccordionGroup>

## Sicherheitsüberlegungen

<CardGroup cols={2}>
  <Card title="Challenge-Sicherheit" icon="shield">
    Sie sollten starke, eindeutige Challenge-Geheimnisse verwenden und diese regelmäßig rotieren, um eine unbefugte Registrierung zu verhindern.
  </Card>

  <Card title="Schlüsselschutz" icon="lock">
    Aktivieren Sie die Verhinderung der Extraktion privater Schlüssel, um Ihre Zertifikate zu schützen.
  </Card>

  <Card title="Zertifikatsüberwachung" icon="eye">
    Überwachen Sie die Registrierung und Erneuerung von Zertifikaten, um Sicherheitsprobleme zu erkennen.
  </Card>

  <Card title="Zugriffskontrolle" icon="user">
    Legen Sie Berechtigungen für den Schlüsselzugriff entsprechend den Anforderungen Ihrer Anwendungen fest.
  </Card>
</CardGroup>