Cualquier MDM que envíe un SCEP challenge fijo puede obtener sus certificados de SCEPman.
Intune y Jamf Pro tienen sus propios endpoints. El resto de MDM usa Static, que emite certificados cuando el challenge coincide, o Static-AAD, que además busca al usuario en Microsoft Entra ID y bloquea el certificado si ese usuario o dispositivo está deshabilitado o eliminado.
- Endpoints Static y Static-AAD
- Desactivados hasta que los habilites
- La misma raíz que Intune y Jamf Pro
Static y Static-AAD cara a cara
Ambos se comunican con tu MDM mediante SCEP y emiten certificados bajo tu raíz. La diferencia está en lo que SCEPman comprueba antes de emitir y en cada verificación posterior.
| Static | Static-AAD | |
|---|---|---|
| Ruta | /static | /static/aad |
| Antes de emitir | El challenge que envía tu MDM tiene que coincidir | El challenge tiene que coincidir y SCEPman busca al usuario en Microsoft Entra ID |
| En cada comprobación OCSP | Válido hasta que lo revoques | SCEPman consulta a Microsoft Entra ID sobre el usuario o dispositivo: en espera si está deshabilitado, revocado si está eliminado |
| Revocación manual | En Certificate Master o a través de la Management API | En Certificate Master o a través de la Management API |
| Validez | Lo que solicite tu MDM, hasta el límite propio del endpoint o el máximo global de 730 days | Lo que solicite tu MDM, hasta el límite propio del endpoint o el máximo global de 730 days |
| Edición | Enterprise Edition | Enterprise Edition |
Cada endpoint está desactivado hasta que lo habilites y tiene un único challenge. Una instancia dispone de uno de cada tipo, por lo que los MDM que usen el mismo endpoint comparten su challenge.
Cómo obtiene tu MDM certificados de SCEPman
- Habilita un endpoint.Habilita un endpoint.Activa Static, Static-AAD o ambos, y configura el challenge. SCEPman puede guardarlo en Azure Key Vault.
- Despliega la raíz.Despliega la raíz.Tu MDM instala el certificado raíz de SCEPman en los dispositivos para que confíen en los certificados que emite SCEPman.
- Asigna un perfil SCEP.Asigna un perfil SCEP.El perfil incluye la URL del endpoint y el challenge. SCEPman no necesita ninguna configuración específica de tu MDM, solo que sea capaz de enviar un challenge fijo.
- SCEPman emite.SCEPman emite.Cuando el challenge coincide, y en Static-AAD además se encuentra al usuario en Microsoft Entra ID, el dispositivo recibe su certificado. Las renovaciones, donde las permitas, se firman con el certificado que el dispositivo ya tiene.
Qué retira un certificado
La revocación automática llega a los clientes que comprueban OCSP. La CRL, si la habilitas, incluye certificates revoked in Certificate Master or through the Management API.
La guía de configuración para tu MDM
Cada tarjeta abre una guía de configuración en la documentación de SCEPman. La tarjeta de cada MDM también indica sus plataformas y qué retira un certificado.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Revocación automática para usuarios sincronizados con Entra ID
Addigy
macOS, iOS, iPadOS
- Revocación automática para usuarios sincronizados con Entra ID
Mosyle
macOS, iOS, iPadOS
- Revocación en Certificate Master
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Revocación en Certificate Master
Google Workspace
ChromeOS, Android
- Revocación automática para usuarios sincronizados con Entra ID
Cualquier otro MDM
Cualquier MDM que envíe un SCEP challenge fijo: cómo configurar los endpoints estáticos, en la documentación de SCEPman.
Todos los MDM que documentamos
Cómo se distribuyen, renuevan y revocan los certificados emitidos a través de cada MDM.
| MDM | Plataformas | Emisión y renovación | Revocación automática | Revocación manual |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | Sí | Sí | Sí |
| Jamf Pro | macOS, iOS, iPadOS | Sí | Sí | Sí |
| Google Workspace | ChromeOS, Android | Sí | Certificados de usuario sincronizados desde Entra ID | Sí |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | Sí | Certificados de usuario sincronizados desde Entra ID | Sí |
| Addigy | macOS, iOS, iPadOS | Sí | Certificados de usuario sincronizados desde Entra ID | Sí |
| Mosyle | macOS, iOS, iPadOS | Sí | No | Sí |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | Sí | No | Sí |
| Active Directory (group policy) | Windows | Sí | No | — |
La revocación automática para "certificados de usuario sincronizados desde Entra ID" funciona con certificados de usuario cuyos usuarios provienen de Microsoft Entra ID.
Preguntas sobre SCEPman y otros MDM
01¿Qué edición necesitamos?
Enterprise Edition. Ambos endpoints forman parte de ella y Static-AAD rechaza las solicitudes sin ella.
02¿El challenge es un secreto?
Sí, trátalo como tal. Cualquiera que lo tenga puede solicitar certificados a ese endpoint, así que compártelo solo con tu MDM. SCEPman puede guardarlo en Azure Key Vault.
03No hay guía de configuración para nuestro MDM. ¿Funcionará igualmente?
Sí, siempre que pueda enviar un SCEP challenge fijo. Los endpoints no tienen ninguna lógica específica de un MDM; las guías de configuración solo cubren los MDM para los que hemos redactado una.
04¿Pueden dos MDM usar el mismo SCEPman?
En parte. Static y Static-AAD admiten varios MDM, que entonces comparten el challenge de ese endpoint. El endpoint de Intune sirve a one Intune tenant y el de Jamf Pro a one Jamf Pro instance, por lo que un segundo tenant de Intune o una segunda instancia de Jamf Pro no pueden usar el mismo SCEPman.
05¿Podemos usar otro MDM e Intune al mismo tiempo?
Sí. Intune tiene su propio endpoint y todos los certificados provienen de la misma raíz.
Conecta tu MDM a SCEPman.
Habilita un endpoint, despliega la raíz y asigna un perfil SCEP.