Qualsiasi MDM che invia una SCEP challenge fissa può ottenere i propri certificati da SCEPman.
Intune e Jamf Pro dispongono di endpoint dedicati. Tutti gli altri MDM utilizzano Static, che emette il certificato quando la challenge corrisponde, oppure Static-AAD, che verifica anche l'utente in Microsoft Entra ID e blocca il certificato se quell'utente o dispositivo è disabilitato o eliminato.
- Endpoint Static e Static-AAD
- Disattivati finché non li abiliti
- La stessa root di Intune e Jamf Pro
Static e Static-AAD a confronto
Entrambi comunicano via SCEP con il tuo MDM ed emettono certificati sotto la tua root. La differenza sta in cosa verifica SCEPman prima di emettere e a ogni controllo successivo.
| Static | Static-AAD | |
|---|---|---|
| Percorso | /static | /static/aad |
| Prima dell'emissione | La challenge inviata dal tuo MDM deve corrispondere | La challenge deve corrispondere e SCEPman verifica l'utente in Microsoft Entra ID |
| A ogni controllo OCSP | Valido fino alla revoca esplicita | SCEPman interroga Microsoft Entra ID sull'utente o sul dispositivo: sospeso se disabilitato, revocato se eliminato |
| Revoca manuale | In Certificate Master o tramite la Management API | In Certificate Master o tramite la Management API |
| Validità | Quanto richiesto dal tuo MDM, nel rispetto del limite specifico dell'endpoint o del massimo globale di 730 days | Quanto richiesto dal tuo MDM, nel rispetto del limite specifico dell'endpoint o del massimo globale di 730 days |
| Edizione | Enterprise Edition | Enterprise Edition |
Ogni endpoint è disattivato finché non lo abiliti e dispone di un'unica challenge. Un'istanza ne ha uno per tipo, quindi gli MDM sullo stesso endpoint condividono la sua challenge.
Come il tuo MDM ottiene i certificati da SCEPman
- Abilita un endpoint.Abilita un endpoint.Attiva Static, Static-AAD o entrambi, e imposta la challenge. SCEPman può conservarla in Azure Key Vault.
- Distribuisci la root.Distribuisci la root.Il tuo MDM installa il certificato root di SCEPman sui dispositivi, in modo che considerino attendibili i certificati emessi da SCEPman.
- Assegna un profilo SCEP.Assegna un profilo SCEP.Il profilo contiene l'URL dell'endpoint e la challenge. SCEPman non richiede nulla di specifico per il tuo MDM: è sufficiente che possa inviare una challenge fissa.
- SCEPman emette il certificato.SCEPman emette il certificato.Quando la challenge corrisponde e, su Static-AAD, l'utente viene trovato in Microsoft Entra ID, il dispositivo riceve il proprio certificato. I rinnovi, dove consentiti, vengono firmati con il certificato già in possesso del dispositivo.
Cosa comporta la revoca di un certificato
La revoca automatica raggiunge i client che verificano OCSP. La CRL, se abilitata, elenca certificates revoked in Certificate Master or through the Management API.
La guida di configurazione per il tuo MDM
Ogni scheda apre una guida di configurazione nella documentazione di SCEPman. La scheda di ciascun MDM indica anche le piattaforme supportate e le modalità di revoca dei certificati.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Revoca automatica per gli utenti sincronizzati con Entra
Addigy
macOS, iOS, iPadOS
- Revoca automatica per gli utenti sincronizzati con Entra
Mosyle
macOS, iOS, iPadOS
- Revoca in Certificate Master
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Revoca in Certificate Master
Google Workspace
ChromeOS, Android
- Revoca automatica per gli utenti sincronizzati con Entra
Tutti gli altri MDM
Qualsiasi MDM che invia una SCEP challenge fissa: come configurare gli endpoint static nella documentazione di SCEPman.
Tutti gli MDM che documentiamo
Come i certificati emessi tramite ciascun MDM vengono distribuiti, rinnovati e revocati.
| MDM | Piattaforme | Emissione e rinnovo | Revoca automatica | Revoca manuale |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | Sì | Sì | Sì |
| Jamf Pro | macOS, iOS, iPadOS | Sì | Sì | Sì |
| Google Workspace | ChromeOS, Android | Sì | Certificati utente sincronizzati da Entra ID | Sì |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | Sì | Certificati utente sincronizzati da Entra ID | Sì |
| Addigy | macOS, iOS, iPadOS | Sì | Certificati utente sincronizzati da Entra ID | Sì |
| Mosyle | macOS, iOS, iPadOS | Sì | No | Sì |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | Sì | No | Sì |
| Active Directory (group policy) | Windows | Sì | No | — |
La revoca automatica per i "certificati utente sincronizzati da Entra ID" si applica ai certificati utente i cui titolari provengono da Microsoft Entra ID.
Domande su SCEPman e gli altri MDM
01Di quale edizione abbiamo bisogno?
Enterprise Edition. Entrambi gli endpoint ne fanno parte, e Static-AAD rifiuta le richieste senza di essa.
02La challenge è un segreto?
Sì, trattala come tale. Chiunque la possieda può richiedere certificati a quell'endpoint, quindi condividila solo con il tuo MDM. SCEPman può conservarla in Azure Key Vault.
03Non esiste una guida di configurazione per il nostro MDM. Funzionerà comunque?
Sì, purché possa inviare una SCEP challenge fissa. Gli endpoint non contengono logica specifica per nessun MDM; quelli coperti dalle guide sono semplicemente quelli per cui abbiamo scritto una documentazione.
04Due MDM possono usare lo stesso SCEPman?
In parte. Static e Static-AAD supportano più MDM, che condividono la challenge dell'endpoint. L'endpoint Intune serve one Intune tenant e l'endpoint Jamf Pro serve one Jamf Pro instance, quindi un secondo tenant Intune o una seconda istanza Jamf Pro non possono usare lo stesso SCEPman.
05Possiamo usare un altro MDM e Intune in parallelo?
Sì. Intune dispone di un endpoint dedicato e tutti i certificati provengono dalla stessa root.
Collega il tuo MDM a SCEPman.
Abilita un endpoint, distribuisci la root e assegna un profilo SCEP.