固定SCEPチャレンジを送信できるMDMであれば、SCEPmanから証明書を取得できます。
IntunおよびJamf ProはそれぞれのエンドポイントをIntune持ちますが、それ以外のMDMはStaticまたはStatic-AADを使用します。Staticはチャレンジが一致した場合に証明書を発行し、Static-AADはさらにMicrosoft Entra IDでユーザーを照合し、そのユーザーまたはデバイスが無効化または削除されている場合は証明書の発行をブロックします。
- StaticおよびStatic-AADエンドポイント
- 有効化するまで無効
- IntuneおよびJamf Proと同じルート証明書
StaticとStatic-AADの比較
どちらもSCEPでMDMと通信し、同じルート証明書のもとで証明書を発行します。違いは、SCEPmanが発行前および発行後の各チェックで何を確認するかという点です。
| Static | Static-AAD | |
|---|---|---|
| パス | /static | /static/aad |
| 発行前の条件 | MDMが送信するチャレンジが一致していること | チャレンジが一致していること、かつSCEPmanがMicrosoft Entra IDでユーザーを照合すること |
| OCSPチェックのたびに | 手動で失効させるまで有効 | SCEPmanがMicrosoft Entra IDにユーザーまたはデバイスの状態を照会します。無効化されている場合は一時停止、削除されている場合は失効 |
| 手動失効 | Certificate MasterまたはManagement API経由 | Certificate MasterまたはManagement API経由 |
| 有効期間 | MDMがリクエストした期間（エンドポイント固有の上限またはグローバル最大値の730 daysのいずれか短い方） | MDMがリクエストした期間（エンドポイント固有の上限またはグローバル最大値の730 daysのいずれか短い方） |
| エディション | Enterprise Edition | Enterprise Edition |
各エンドポイントは有効化するまで無効であり、チャレンジは1つです。インスタンスにはStaticとStatic-AADが1つずつあるため、同じエンドポイントを使用するMDMはそのチャレンジを共有します。
MDMがSCEPmanから証明書を取得する仕組み
- エンドポイントを有効化する。エンドポイントを有効化する。Static、Static-AAD、またはその両方を有効にしてチャレンジを設定します。SCEPmanはチャレンジをAzure Key Vaultに保存できます。
- ルート証明書を展開する。ルート証明書を展開する。MDMがSCEPmanのルート証明書をデバイスにインストールすることで、デバイスはSCEPmanが発行した証明書を信頼します。
- SCEPプロファイルを割り当てる。SCEPプロファイルを割り当てる。プロファイルにはエンドポイントのURLとチャレンジが含まれます。SCEPmanはMDM固有の設定を必要とせず、固定チャレンジを送信できることだけが条件です。
- SCEPmanが証明書を発行する。SCEPmanが証明書を発行する。チャレンジが一致し、Static-AADの場合はMicrosoft Entra IDでユーザーが確認されると、デバイスに証明書が発行されます。更新が許可されている場合、更新リクエストはデバイスがすでに保持している証明書で署名されます。
証明書が失効するケース
自動失効はOCSPを確認するクライアントに適用されます。CRLを有効にした場合は、certificates revoked in Certificate Master or through the Management APIが一覧に記載されます。
お使いのMDMのセットアップガイド
各カードからSCEPmanドキュメントのセットアップガイドを開けます。カードにはMDMが対応するプラットフォームと、証明書が失効するケースも記載されています。
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Entra同期ユーザーの自動失効
Addigy
macOS, iOS, iPadOS
- Entra同期ユーザーの自動失効
Mosyle
macOS, iOS, iPadOS
- Certificate Masterでの失効
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Certificate Masterでの失効
Google Workspace
ChromeOS, Android
- Entra同期ユーザーの自動失効
その他すべてのMDM
固定SCEPチャレンジを送信できるすべてのMDM向けに、SCEPmanドキュメントでStaticエンドポイントのセットアップ方法を説明しています。
ドキュメント対応のすべての MDM
各 MDM を通じて発行された証明書の配布、更新、失効の方法。
| MDM | プラットフォーム | 発行と更新 | 自動失効 | 手動失効 |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | あり | あり | あり |
| Jamf Pro | macOS, iOS, iPadOS | あり | あり | あり |
| Google Workspace | ChromeOS, Android | あり | Entra ID から同期されたユーザー証明書 | あり |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | あり | Entra ID から同期されたユーザー証明書 | あり |
| Addigy | macOS, iOS, iPadOS | あり | Entra ID から同期されたユーザー証明書 | あり |
| Mosyle | macOS, iOS, iPadOS | あり | なし | あり |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | あり | なし | あり |
| Active Directory (group policy) | Windows | あり | なし | — |
「Entra ID から同期されたユーザー証明書」の自動失効は、Microsoft Entra ID に由来するユーザーのユーザー証明書に対して機能します。
SCEPmanとその他のMDMに関するよくある質問
01どのエディションが必要ですか?
Enterprise Editionが必要です。両エンドポイントはEnterprise Editionに含まれており、Static-AADはEnterprise Editionなしではリクエストを受け付けません。
02チャレンジは秘密情報ですか?
はい、秘密情報として扱ってください。チャレンジを持っている人は誰でもそのエンドポイントから証明書をリクエストできるため、MDMにのみ渡してください。SCEPmanはチャレンジをAzure Key Vaultに保存できます。
03使用しているMDMのセットアップガイドがありません。動作しますか?
固定SCEPチャレンジを送信できるMDMであれば動作します。エンドポイントにはMDM固有のロジックはなく、セットアップガイドが用意されているMDMは、ガイドを作成済みのものに限られます。
042つのMDMで同じSCEPmanを使用できますか?
部分的には可能です。StaticおよびStatic-AADは複数のMDMを受け入れますが、それらのMDMはそのエンドポイントのチャレンジを共有します。IntuneエンドポイントはIntuneはone Intune tenantに、Jamf ProエンドポイントはIntuneはone Jamf Pro instanceにそれぞれ対応しているため、2つ目のIntuneテナントやJamf Proインスタンスは同じSCEPmanを使用できません。
05別のMDMとIntuneを並行して使用できますか?
はい。IntuneはIntuneは専用のエンドポイントを持っており、すべての証明書は同じルート証明書から発行されます。
お使いのMDMをSCEPmanに接続する。
エンドポイントを有効化し、ルート証明書を展開して、SCEPプロファイルを1つ割り当てるだけです。