Skip to main content
Este Library Item está disponible para dispositivos Apple y computadoras Windows
El perfil Simple Certificate Enrollment Protocol (SCEP) te permite emitir de forma segura certificados para tus dispositivos desde un servidor SCEP y una autoridad de certificación (CA). Puedes usar estos certificados para servicios como 802.1x, VPN y autenticación. La función de perfil SCEP de Iru distribuye y redistribuye automáticamente certificados a dispositivos Apple y computadoras Windows. Los certificados se entregan a nivel de máquina, no por usuario.
Con el Library Item SCEP solo puedes usar desafíos estáticos.

​
Crear un Library Item de perfil SCEP

Inicia sesión en tu tenant de Iru antes de empezar. Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos del artículo Descripción general de la Library.
1

Ir a la Library

Ve a la Library y selecciona Añadir Library Item.
2

Seleccionar SCEP

Busca y selecciona SCEP.
3

Asignar un nombre al Library Item

Asigna a tu Library Item SCEP un nombre descriptivo.
4

Seleccionar plataformas

Elige en Instalar en qué plataformas deben recibir el perfil.
5

Seleccionar Blueprints

Elige los Blueprints que quieres usar.
6

Introducir la URL del servidor SCEP

Introduce la URL base de tu servidor SCEP.
7

Configurar los ajustes de visualización

Opcionalmente, agrega un Nombre visible, un Challenge y un Fingerprint.
8

Configurar los ajustes del sujeto

Establece el Asunto (opcional) y el Subject Alternative Name Type.
9

Configurar los ajustes de la clave

Establece el Key Size y el Key Usage.
10

Configurar ajustes adicionales

Opcionalmente, agrega ajustes de reintentos, acceso, exportación, caducidad y redistribución.

​
Ajustes generales

  • URL La URL base de tu servidor SCEP (por ejemplo, scep.example.org).
  • Nombre (opcional) Una etiqueta para distinguir esta CA cuando usas varios certificados.
  • Desafío Una cadena secreta precompartida para la inscripción automática. En Windows, solo se permiten ciertos caracteres. Consulta SCEP Challenge characters en las opciones específicas de Windows.
  • Huella digital La huella digital de la autoridad de certificación como cadena hexadecimal.

​
Configuración del sujeto

  • Asunto Nombre distintivo en formato X.500. Puedes usar variables globales como:
    • CN=$SERIAL_NUMBER
  • Nombres alternativos del asunto (SAN) Agrega identificadores alternativos, incluidas variables globales, como:
    • RFC 822 Name = $DEVICE_NAME

​
Ajustes de la clave

  • Tamaño de la clave Elige el tamaño de la clave (1024, 2048 o 4096 bits).
  • Uso de la clave Opciones:
    • Firma
    • Cifrado
    • Firma y cifrado

​
Opciones adicionales

  • Reintentos Cuántas veces reintentar si el servidor envía una respuesta PENDING.
  • Redistribución automática del perfil Cuando está activado, Iru comprueba las fechas de caducidad de los certificados y vuelve a emitir automáticamente nuevos certificados cuando están a punto de caducar.
La renovación solo comienza cuando el certificado está dentro del período de redistribución, que debe ser de al menos 5 días antes de la caducidad. Esto evita que los certificados se renueven demasiado pronto, por ejemplo, justo después de emitirse.
  • Al renovar, Iru agrega la variable $PROFILE_UUID al Subject.

​
Opciones específicas de la plataforma

​
Opciones específicas de Apple

  • Retraso entre reintentos Cuánto tiempo esperar (en segundos) entre reintentos.
  • Permitir que todas las apps accedan a la clave privada Da a todas las apps acceso a la clave privada en el llavero.
  • Impedir la extracción de la clave privada Impide exportar la clave privada desde el llavero. Activa este ajuste para mejorar la seguridad.
  • Notificación de caducidad del certificado Envía notificaciones cuando los certificados están a punto de caducar en macOS.
Cuando Automatic profile redistribution está activado para dispositivos Apple, especifica una variable global de usuario en los Subject Alternative Names (SAN) si se requiere información del usuario en el certificado. Esto es necesario porque el ID del Library Item Wi-Fi se agrega al Common Name del sujeto del certificado para hacer un seguimiento de la renovación del certificado.

​
Consideraciones importantes

​
Redistribución del perfil

La redistribución automática del perfil renueva los certificados antes de que caduquen, de modo que evitas tiempos de inactividad y la autenticación sigue funcionando sin problemas.

​
Impedir la extracción de la clave

Activar Prevent the private key data from being extracted impide que los usuarios finales exporten la clave privada. Deberías activarlo para mejorar la seguridad.

​
Prácticas recomendadas

1

Planificar el ciclo de vida de los certificados

Establece los períodos de validez y los períodos de renovación de los certificados para que los servicios sigan funcionando sin interrupciones.
2

Proteger los secretos de desafío

Usa secretos de desafío sólidos y únicos para cada configuración SCEP para evitar inscripciones no autorizadas.
3

Supervisar el estado de los certificados

Comprueba periódicamente el estado de inscripción y renovación de los certificados para detectar y corregir problemas rápidamente.
4

Probar las configuraciones

Prueba primero las configuraciones SCEP en unos pocos dispositivos; esto te ayuda a detectar problemas antes de que afecten a toda tu flota.

​
Solución de problemas

Posibles causas:
  • El valor de Challenge incluye un carácter que Windows no permite (por ejemplo, _)
  • El desafío incluye caracteres no ASCII o Unicode
Soluciones:
  • Compara tu Challenge con la lista de caracteres permitidos en SCEP Challenge characters en las opciones específicas de Windows
  • Elimina o sustituye los caracteres no permitidos y, a continuación, guarda el Library Item. Hemos visto que la inscripción fallaba cuando un desafío contenía un guion bajo hasta que el desafío se actualizó para usar solo caracteres permitidos
  • Permite que los dispositivos realicen un check-in o se sincronicen para que se aplique el perfil actualizado
Posibles causas:
  • URL del servidor SCEP incorrecta
  • Secreto de desafío no válido
  • Problemas de conectividad de red
  • La huella digital de la autoridad de certificación no coincide Soluciones:
  • Verifica la URL del servidor SCEP y su accesibilidad
  • Confirma que el secreto de desafío coincide con la configuración del servidor
  • Comprueba la conectividad de red y las reglas del firewall
  • Valida la huella digital de la autoridad de certificación
Posibles causas:
  • Período de renovación demasiado corto
  • El servidor SCEP no responde
  • Conflictos con el período de validez del certificado Soluciones:
  • Asegúrate de que el período de renovación sea de al menos 5 días antes de la caducidad
  • Comprueba la disponibilidad y los registros del servidor SCEP
  • Verifica la configuración del período de validez del certificado
Posibles causas:
  • Ajustes de protección de la clave demasiado restrictivos
  • Permisos de acceso al llavero
  • Requisitos de acceso a la clave específicos de la aplicación Soluciones:
  • Revisa los ajustes de protección y acceso de la clave
  • Comprueba los permisos del llavero para las aplicaciones
  • Configura el acceso adecuado a la clave para las aplicaciones necesarias

​
Consideraciones de seguridad

Seguridad del desafío

Deberías usar secretos de desafío sólidos y únicos, y rotarlos periódicamente para evitar inscripciones no autorizadas.

Protección de la clave

Activa la prevención de extracción de la clave privada para mantener tus certificados seguros.

Supervisión de certificados

Supervisa las actividades de inscripción y renovación de certificados para detectar problemas de seguridad.

Control de acceso

Establece los permisos de acceso a la clave según lo que necesiten tus aplicaciones.