Tout MDM capable d'envoyer un challenge SCEP fixe peut obtenir ses certificats depuis SCEPman.
Intune et Jamf Pro disposent de leurs propres endpoints. Tous les autres MDM utilisent Static, qui émet le certificat si le challenge correspond, ou Static-AAD, qui vérifie en plus l'utilisateur dans Microsoft Entra ID et bloque le certificat si cet utilisateur ou cet appareil est désactivé ou supprimé.
- Endpoints Static et Static-AAD
- Désactivés jusqu'à ce que vous les activiez
- La même racine qu'Intune et Jamf Pro
Static et Static-AAD côte à côte
Les deux communiquent en SCEP avec votre MDM et émettent des certificats sous votre racine. Leur différence tient à ce que SCEPman vérifie avant d'émettre et à chaque vérification ultérieure.
| Static | Static-AAD | |
|---|---|---|
| Chemin | /static | /static/aad |
| Avant l'émission | Le challenge envoyé par votre MDM doit correspondre | Le challenge doit correspondre, et SCEPman vérifie l'utilisateur dans Microsoft Entra ID |
| À chaque vérification OCSP | Valide jusqu'à révocation manuelle | SCEPman interroge Microsoft Entra ID à propos de l'utilisateur ou de l'appareil : suspendu s'il est désactivé, révoqué s'il est supprimé |
| Révocation manuelle | Dans Certificate Master ou via la Management API | Dans Certificate Master ou via la Management API |
| Validité | Ce que votre MDM demande, dans la limite propre à l'endpoint ou du maximum global de 730 days | Ce que votre MDM demande, dans la limite propre à l'endpoint ou du maximum global de 730 days |
| Édition | Enterprise Edition | Enterprise Edition |
Chaque endpoint est désactivé jusqu'à ce que vous l'activiez et dispose d'un seul challenge. Une instance en possède un de chaque, donc les MDM sur le même endpoint partagent son challenge.
Comment votre MDM obtient des certificats depuis SCEPman
- Activer un endpoint.Activer un endpoint.Activez Static, Static-AAD ou les deux, et définissez le challenge. SCEPman peut le stocker dans Azure Key Vault.
- Déployer la racine.Déployer la racine.Votre MDM installe le certificat racine de SCEPman sur les appareils, afin qu'ils fassent confiance aux certificats émis par SCEPman.
- Attribuer un profil SCEP.Attribuer un profil SCEP.Le profil contient l'URL de l'endpoint et le challenge. SCEPman n'a besoin d'aucune configuration propre à votre MDM, seulement que celui-ci puisse envoyer un challenge fixe.
- SCEPman émet.SCEPman émet.Lorsque le challenge correspond, et que l'utilisateur est trouvé dans Microsoft Entra ID pour Static-AAD, l'appareil reçoit son certificat. Les renouvellements, là où vous les autorisez, sont signés avec le certificat déjà détenu par l'appareil.
Ce qui révoque un certificat
La révocation automatique s'applique aux clients qui vérifient l'OCSP. La CRL, si vous l'activez, répertorie certificates revoked in Certificate Master or through the Management API.
Le guide de configuration pour votre MDM
Chaque carte ouvre un guide de configuration dans la documentation SCEPman. Elle indique également les plateformes prises en charge par le MDM et ce qui entraîne la révocation d'un certificat.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Révocation automatique pour les utilisateurs synchronisés avec Entra ID
Addigy
macOS, iOS, iPadOS
- Révocation automatique pour les utilisateurs synchronisés avec Entra ID
Mosyle
macOS, iOS, iPadOS
- Révocation dans Certificate Master
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Révocation dans Certificate Master
Google Workspace
ChromeOS, Android
- Révocation automatique pour les utilisateurs synchronisés avec Entra ID
Tous les autres MDM
Tout MDM capable d'envoyer un challenge SCEP fixe : comment configurer les endpoints statiques, dans la documentation SCEPman.
Tous les MDM que nous documentons
Comment les certificats émis via chaque MDM sont distribués, renouvelés et révoqués.
| MDM | Plateformes | Émission et renouvellement | Révocation automatique | Révocation manuelle |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | Oui | Oui | Oui |
| Jamf Pro | macOS, iOS, iPadOS | Oui | Oui | Oui |
| Google Workspace | ChromeOS, Android | Oui | Certificats d'utilisateur synchronisés depuis Entra ID | Oui |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | Oui | Certificats d'utilisateur synchronisés depuis Entra ID | Oui |
| Addigy | macOS, iOS, iPadOS | Oui | Certificats d'utilisateur synchronisés depuis Entra ID | Oui |
| Mosyle | macOS, iOS, iPadOS | Oui | Non | Oui |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | Oui | Non | Oui |
| Active Directory (group policy) | Windows | Oui | Non | — |
La révocation automatique pour les « certificats d'utilisateur synchronisés depuis Entra ID » fonctionne pour les certificats d'utilisateur dont les utilisateurs viennent de Microsoft Entra ID.
Questions sur SCEPman et les autres MDM
01Quelle édition nous faut-il ?
Enterprise Edition. Les deux endpoints en font partie, et Static-AAD refuse les demandes sans elle.
02Le challenge est-il un secret ?
Oui, traitez-le comme tel. Quiconque le possède peut demander des certificats à cet endpoint, ne le communiquez donc qu'à votre MDM. SCEPman peut le stocker dans Azure Key Vault.
03Il n'existe pas de guide de configuration pour notre MDM. Cela fonctionnera-t-il quand même ?
Oui, s'il peut envoyer un challenge SCEP fixe. Les endpoints ne contiennent aucune logique propre à un MDM particulier ; les MDM couverts par des guides sont simplement ceux pour lesquels nous avons rédigé de la documentation.
04Deux MDM peuvent-ils utiliser le même SCEPman ?
En partie. Static et Static-AAD acceptent plusieurs MDM, qui partagent alors le challenge de cet endpoint. L'endpoint Intune sert one Intune tenant et l'endpoint Jamf Pro one Jamf Pro instance, donc un second tenant Intune ou une seconde instance Jamf Pro ne peut pas utiliser le même SCEPman.
05Peut-on faire coexister un autre MDM et Intune ?
Oui. Intune dispose de son propre endpoint, et tous les certificats sont émis depuis la même racine.
Connectez votre MDM à SCEPman.
Activez un endpoint, déployez la racine et attribuez un profil SCEP.