Elke MDM die een vaste SCEP-challenge verstuurt, kan certificaten van SCEPman ontvangen.
Intune en Jamf Pro hebben hun eigen endpoints. Alle andere MDM's gebruiken Static, dat een certificaat uitgeeft zodra de challenge overeenkomt, of Static-AAD, dat bovendien de gebruiker opzoekt in Microsoft Entra ID en het certificaat weigert wanneer die gebruiker of dat apparaat is uitgeschakeld of verwijderd.
- Static en Static-AAD endpoints
- Uitgeschakeld totdat je ze inschakelt
- Dezelfde root als Intune en Jamf Pro
Static en Static-AAD naast elkaar
Beide communiceren via SCEP met jouw MDM en geven certificaten uit onder jouw root. Het verschil zit in wat SCEPman controleert vóór uitgifte en bij elke controle daarna.
| Static | Static-AAD | |
|---|---|---|
| Pad | /static | /static/aad |
| Vóór uitgifte | De challenge die jouw MDM verstuurt moet overeenkomen | De challenge moet overeenkomen en SCEPman zoekt de gebruiker op in Microsoft Entra ID |
| Bij elke OCSP-controle | Geldig totdat je het intrekt | SCEPman raadpleegt Microsoft Entra ID over de gebruiker of het apparaat: in de wacht bij uitschakeling, ingetrokken bij verwijdering |
| Handmatige intrekking | In Certificate Master of via de Management API | In Certificate Master of via de Management API |
| Geldigheid | Wat jouw MDM aanvraagt, tot aan de eigen limiet van het endpoint of het globale maximum van 730 days | Wat jouw MDM aanvraagt, tot aan de eigen limiet van het endpoint of het globale maximum van 730 days |
| Editie | Enterprise Edition | Enterprise Edition |
Elk endpoint is uitgeschakeld totdat je het inschakelt en heeft één challenge. Een instantie heeft er één van elk, dus MDM's op hetzelfde endpoint delen de challenge.
Hoe jouw MDM certificaten van SCEPman ontvangt
- Schakel een endpoint in.Schakel een endpoint in.Zet Static, Static-AAD of beide aan en stel de challenge in. SCEPman kan deze opslaan in Azure Key Vault.
- Implementeer de root.Implementeer de root.Jouw MDM installeert het rootcertificaat van SCEPman op de apparaten, zodat ze de door SCEPman uitgegeven certificaten vertrouwen.
- Wijs een SCEP-profiel toe.Wijs een SCEP-profiel toe.Het profiel bevat de URL van het endpoint en de challenge. SCEPman heeft niets MDM-specifieks nodig, alleen dat de MDM een vaste challenge kan versturen.
- SCEPman geeft het certificaat uit.SCEPman geeft het certificaat uit.Zodra de challenge overeenkomt en, bij Static-AAD, de gebruiker wordt gevonden in Microsoft Entra ID, ontvangt het apparaat zijn certificaat. Verlengingen, waar je ze toestaat, worden ondertekend met het certificaat dat het apparaat al heeft.
Wat een certificaat intrekt
Automatische intrekking bereikt clients die OCSP controleren. De CRL, als je die inschakelt, bevat certificates revoked in Certificate Master or through the Management API.
De installatiehandleiding voor jouw MDM
Elke kaart opent een installatiehandleiding in de SCEPman-documentatie. De kaart van een MDM vermeldt ook de ondersteunde platforms en wat een certificaat intrekt.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Automatische intrekking voor Entra-gesynchroniseerde gebruikers
Addigy
macOS, iOS, iPadOS
- Automatische intrekking voor Entra-gesynchroniseerde gebruikers
Mosyle
macOS, iOS, iPadOS
- Intrekking in Certificate Master
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Intrekking in Certificate Master
Google Workspace
ChromeOS, Android
- Automatische intrekking voor Entra-gesynchroniseerde gebruikers
Elke andere MDM
Elke MDM die een vaste SCEP-challenge verstuurt: hoe je de static endpoints instelt, in de SCEPman-documentatie.
Elke MDM die we documenteren
Hoe certificaten die via elke MDM worden uitgegeven, worden afgeleverd, vernieuwd en ingetrokken.
| MDM | Platformen | Uitgifte en vernieuwing | Automatische intrekking | Handmatige intrekking |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | Ja | Ja | Ja |
| Jamf Pro | macOS, iOS, iPadOS | Ja | Ja | Ja |
| Google Workspace | ChromeOS, Android | Ja | Gebruikerscertificaten gesynchroniseerd vanuit Entra ID | Ja |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | Ja | Gebruikerscertificaten gesynchroniseerd vanuit Entra ID | Ja |
| Addigy | macOS, iOS, iPadOS | Ja | Gebruikerscertificaten gesynchroniseerd vanuit Entra ID | Ja |
| Mosyle | macOS, iOS, iPadOS | Ja | Nee | Ja |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | Ja | Nee | Ja |
| Active Directory (group policy) | Windows | Ja | Nee | — |
Automatische intrekking voor "gebruikerscertificaten gesynchroniseerd vanuit Entra ID" werkt voor gebruikerscertificaten waarvan de gebruikers afkomstig zijn uit Microsoft Entra ID.
Vragen over SCEPman en andere MDM's
01Welke editie hebben we nodig?
Enterprise Edition. Beide endpoints maken daar deel van uit en Static-AAD weigert aanvragen zonder deze editie.
02Is de challenge een geheim?
Ja, behandel hem ook zo. Iedereen die hem heeft, kan certificaten opvragen bij dat endpoint, dus geef hem alleen door aan jouw MDM. SCEPman kan hem opslaan in Azure Key Vault.
03Er is geen installatiehandleiding voor onze MDM. Werkt het toch?
Ja, als de MDM een vaste SCEP-challenge kan versturen. De endpoints bevatten geen MDM-specifieke logica; de MDM's met een installatiehandleiding zijn simpelweg degene waarvoor we handleidingen hebben geschreven.
04Kunnen twee MDM's dezelfde SCEPman gebruiken?
Gedeeltelijk. Static en Static-AAD ondersteunen meerdere MDM's, die dan de challenge van dat endpoint delen. Het Intune-endpoint bedient one Intune tenant en het Jamf Pro-endpoint one Jamf Pro instance, dus een tweede Intune-tenant of Jamf Pro-instantie kan niet dezelfde SCEPman gebruiken.
05Kunnen we een andere MDM en Intune naast elkaar gebruiken?
Ja. Intune heeft zijn eigen endpoint en elk certificaat komt van dezelfde root.
Verbind jouw MDM met SCEPman.
Schakel een endpoint in, implementeer de root en wijs één SCEP-profiel toe.