Cómo habilitar el servicio SCEP en PKI Trust Manager

Este tutorial explica cómo habilitar el servicio SCEP en PKI Trust Manager. El servicio SCEP de PKI Trust Manager está diseñado para utilizarse en lugar de Microsoft Network Device Enrollment Service (NDES). Se describe la navegación por la interfaz y la configuración de las plantillas de certificado necesarias.

1. Preparar las plantillas en la CA emisora

Comience en la CA emisora que ya se integró con PKI Trust Manager mediante CA Proxy Gateway. Duplique las plantillas Enrollment Agent y CEP, y conceda a la cuenta de servicio de CA Proxy Gateway los permisos Read y Enroll. En esta demostración, las copias se llaman `SCEP-Sign` y `SCEP-ENC`.

1. En Certificate Templates, haga clic con el botón derecho y seleccione Manage.
2. Duplique la plantilla CEP Encryption y la plantilla Enrollment Agent; asígneles los nombres `SCEP-ENC` y `SCEP-Sign`, respectivamente.
3. En ambas plantillas, conceda a la cuenta de servicio de CA Proxy Gateway de PKI Trust Manager los permisos Read y Enroll.

2. Añadir y configurar las plantillas en PKI Trust Manager

1. En PKI Trust Manager Web Admin, abra Certification Authorities.
2. Haga clic en Details para abrir la CA que se utilizará para SCEP.
3. Seleccione View Templates para consultar las plantillas disponibles.
4. Si ya publicó `SCEP-ENC` y `SCEP-Sign`, haga clic en NEW para configurar las plantillas en PKI Trust Manager.
5. Para `SCEP-ENC`, configure el nombre visible en PKI Trust Manager, el nombre de plantilla de la CA (`SCEP-ENC`) y habilite Agent Certificate. Guarde la plantilla.
6. Repita la configuración para `SCEP-Sign`, usando el nombre de plantilla correspondiente y habilitando Agent Certificate.

3. Emitir los certificados CEP y de firma

Solicite los certificados CEP y de firma que necesita el servicio SCEP:

1. Haga clic en su nombre de usuario en la esquina inferior izquierda y abra Certificates.
2. Haga clic en New para solicitar un certificado.
3. Seleccione CEP Encryption, genere el CSR en el servidor, indique el common name y envíe la solicitud.
4. Cuando la solicitud quede pendiente, apruébela y seleccione Get Certificate para importarla automáticamente en PKI Trust Manager.
5. Repita el proceso para obtener el certificado CEP Signing requerido por el servicio SCEP.

4. Crear y configurar el listener SCEP

1. Abra la página Integrations y haga clic en NEW.
2. En el formulario, seleccione la organización correspondiente (de forma predeterminada, System Organization) y el tipo SCEP.
3. Al seleccionar SCEP, la configuración de certificados debería completarse automáticamente. Si no ocurre, compruebe que la CA y sus plantillas estén asociadas a la organización elegida.
4. Asigne un nombre a la interfaz y seleccione la plantilla de certificado que utilizará el listener para atender solicitudes SCEP.
5. Proporcione una URL resoluble para el contenedor CERT API. Debe ser única y puede ser un CNAME o alias que apunte al contenedor CERT API.

5. Obtener la contraseña de desafío SCEP

La contraseña de desafío SCEP de PKI Trust Manager está asociada a un usuario. Puede utilizar un usuario administrador de la organización o una cuenta de servicio designada para SCEP.

1. En el perfil del usuario, seleccione SCEP Password para generar y consultar la contraseña.
2. La ventana muestra la contraseña de desafío y su periodo de validez, definido por una variable de entorno del contenedor.

Utilice esta contraseña para inscribir dispositivos de red, MDM u otros servicios compatibles con SCEP estándar.

Finalización

El servicio SCEP queda configurado tras aprovisionar las plantillas Enrollment Agent y CEP, emitir los certificados necesarios y crear el listener con sus ajustes. Para más información, consulte la documentación o contacte con soporte.