Jedes MDM, das einen festen SCEP-Challenge sendet, kann seine Zertifikate von SCEPman beziehen.
Intune und Jamf Pro haben eigene Endpunkte. Alle anderen MDMs nutzen Static, das bei übereinstimmendem Challenge ausstellt, oder Static-AAD, das den Benutzer zusätzlich in Microsoft Entra ID nachschlägt und das Zertifikat sperrt, wenn dieser Benutzer oder das Gerät deaktiviert oder gelöscht wurde.
- Static- und Static-AAD-Endpunkte
- Deaktiviert, bis du sie einschaltest
- Dieselbe Root wie Intune und Jamf Pro
Static und Static-AAD im Vergleich
Beide kommunizieren per SCEP mit deinem MDM und stellen unter deiner Root aus. Der Unterschied liegt darin, was SCEPman vor der Ausstellung und bei jeder späteren Prüfung kontrolliert.
| Static | Static-AAD | |
|---|---|---|
| Pfad | /static | /static/aad |
| Vor der Ausstellung | Der Challenge deines MDMs muss übereinstimmen | Der Challenge muss übereinstimmen, und SCEPman schlägt den Benutzer in Microsoft Entra ID nach |
| Bei jeder OCSP-Prüfung | Gültig, bis du es sperrst | SCEPman fragt Microsoft Entra ID zum Benutzer oder Gerät: ausgesetzt bei Deaktivierung, gesperrt bei Löschung |
| Manuelle Sperrung | Im Certificate Master oder über die Management API | Im Certificate Master oder über die Management API |
| Gültigkeit | Was dein MDM anfordert, bis zum eigenen Limit des Endpunkts oder dem globalen Maximum von 730 days | Was dein MDM anfordert, bis zum eigenen Limit des Endpunkts oder dem globalen Maximum von 730 days |
| Edition | Enterprise Edition | Enterprise Edition |
Jeder Endpunkt ist deaktiviert, bis du ihn einschaltest, und hat einen Challenge. Eine Instanz hat jeweils einen, daher teilen MDMs am selben Endpunkt dessen Challenge.
So erhält dein MDM Zertifikate von SCEPman
- Einen Endpunkt aktivieren.Einen Endpunkt aktivieren.Schalte Static, Static-AAD oder beide ein und lege den Challenge fest. SCEPman kann ihn in Azure Key Vault ablegen.
- Die Root ausrollen.Die Root ausrollen.Dein MDM installiert das Root-Zertifikat von SCEPman auf den Geräten, damit sie dem vertrauen, was SCEPman ausstellt.
- Ein SCEP-Profil zuweisen.Ein SCEP-Profil zuweisen.Das Profil enthält die URL des Endpunkts und den Challenge. SCEPman benötigt nichts MDM-Spezifisches, nur die Fähigkeit, einen festen Challenge zu senden.
- SCEPman stellt aus.SCEPman stellt aus.Stimmt der Challenge überein und ist der Benutzer bei Static-AAD in Microsoft Entra ID vorhanden, erhält das Gerät sein Zertifikat. Erneuerungen, sofern du sie erlaubst, werden mit dem Zertifikat signiert, das das Gerät bereits besitzt.
Was ein Zertifikat ungültig macht
Die automatische Sperrung erreicht Clients, die OCSP prüfen. Die CRL, sofern du sie aktivierst, enthält certificates revoked in Certificate Master or through the Management API.
Die Setup-Anleitung für dein MDM
Jede Karte öffnet eine Setup-Anleitung in der SCEPman-Dokumentation. Die Karte eines MDMs nennt außerdem dessen Plattformen und was ein Zertifikat ungültig macht.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Automatische Sperrung für Entra-synchronisierte Benutzer
Addigy
macOS, iOS, iPadOS
- Automatische Sperrung für Entra-synchronisierte Benutzer
Mosyle
macOS, iOS, iPadOS
- Sperrung im Certificate Master
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Sperrung im Certificate Master
Google Workspace
ChromeOS, Android
- Automatische Sperrung für Entra-synchronisierte Benutzer
Alle anderen MDMs
Jedes MDM, das einen festen SCEP-Challenge sendet: wie du die Static-Endpunkte einrichtest, in der SCEPman-Dokumentation.
Alle MDMs, die wir dokumentieren
Wie Zertifikate über die jeweiligen MDMs ausgeliefert, erneuert und widerrufen werden.
| MDM | Plattformen | Ausstellung und Erneuerung | Automatischer Widerruf | Manueller Widerruf |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | Ja | Ja | Ja |
| Jamf Pro | macOS, iOS, iPadOS | Ja | Ja | Ja |
| Google Workspace | ChromeOS, Android | Ja | Benutzerzertifikate aus Entra ID synchronisiert | Ja |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | Ja | Benutzerzertifikate aus Entra ID synchronisiert | Ja |
| Addigy | macOS, iOS, iPadOS | Ja | Benutzerzertifikate aus Entra ID synchronisiert | Ja |
| Mosyle | macOS, iOS, iPadOS | Ja | Nein | Ja |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | Ja | Nein | Ja |
| Active Directory (group policy) | Windows | Ja | Nein | — |
Der automatische Widerruf für „Benutzerzertifikate aus Entra ID synchronisiert" gilt für Benutzerzertifikate, deren Benutzer aus Microsoft Entra ID stammen.
Fragen zu SCEPman und anderen MDMs
01Welche Edition benötigen wir?
Enterprise Edition. Beide Endpunkte gehören dazu, und Static-AAD lehnt Anfragen ohne sie ab.
02Ist der Challenge ein Geheimnis?
Ja, behandle ihn entsprechend. Wer ihn kennt, kann Zertifikate von diesem Endpunkt anfordern, also gib ihn nur deinem MDM. SCEPman kann ihn in Azure Key Vault ablegen.
03Es gibt keine Setup-Anleitung für unser MDM. Funktioniert es trotzdem?
Ja, wenn es einen festen SCEP-Challenge senden kann. Die Endpunkte enthalten keine MDM-spezifische Logik; die MDMs mit Setup-Anleitungen sind schlicht die, für die wir Anleitungen geschrieben haben.
04Können zwei MDMs dasselbe SCEPman nutzen?
Teilweise. Static und Static-AAD nehmen mehrere MDMs auf, die sich dann den Challenge des jeweiligen Endpunkts teilen. Der Intune-Endpunkt bedient one Intune tenant und der Jamf Pro-Endpunkt one Jamf Pro instance, daher kann ein zweiter Intune-Tenant oder eine zweite Jamf Pro-Instanz nicht dasselbe SCEPman verwenden.
05Können wir ein anderes MDM und Intune parallel betreiben?
Ja. Intune hat einen eigenen Endpunkt, und alle Zertifikate stammen von derselben Root.
Verbinde dein MDM mit SCEPman.
Aktiviere einen Endpunkt, rolle die Root aus und weise ein SCEP-Profil zu.