Activer le service SCEP dans PKI Trust Manager

Ce tutoriel explique comment activer le service SCEP dans PKI Trust Manager. Utilisez le service SCEP de PKI Trust Manager plutôt que Microsoft Network Device Enrollment Service. Vous apprendrez à naviguer dans l’interface et à configurer les modèles de certificats nécessaires.

1. Introduction#

Commençons par l’autorité de certification ISSUING, déjà intégrée à PKI Trust Manager via CA Proxy Gateway. Nous allons dupliquer les modèles "Enrollment Agent" et "CEP" et accorder les autorisations Read et Enroll au compte de service CA Proxy Gateway. Dans cette démonstration, les modèles dupliqués sont nommés SCEP-Sign et SCEP-ENC.

2. Gérer les modèles#

Faites un clic droit sur Certificate Templates, puis sélectionnez Manage.

3. Dupliquer les modèles#

Dupliquez le modèle CEP Encryption ainsi que le modèle Enrollment Agent, puis nommez-les respectivement SCEP-ENC et SCEP-Sign.

4. Autorisations des modèles de certificats#

Vérifiez que les deux modèles dupliqués accordent les autorisations Read et Enroll au compte de service CA Proxy Gateway de PKI Trust Manager.

5. Ajouter les modèles Enrollment et CEP à PKI Trust Manager#

Dans Web Admin de PKI Trust Manager, cliquez sur Certification Authorities.

6. Détails de Certification Authorities#

Cliquez sur Details pour ouvrir l’autorité de certification qui sera utilisée avec SCEP.

7. Accéder aux modèles de certificats#

Cliquez sur View Templates pour consulter les modèles de certificats disponibles.

8. Modèles SCEP#

Comme illustré, les modèles SCEP-ENC et SCEP-Sign sont déjà publiés dans PKI Trust Manager. Cliquez sur le bouton "NEW" en haut à droite pour configurer un nouveau modèle.

9. Configuration du modèle SCEP-ENC#

Trois éléments doivent être configurés pour SCEP-ENC : le nom affiché dans PKI Trust Manager, le nom du modèle défini sur l’autorité de certification (SCEP-ENC) et l’activation de Agent Certificate. Consultez la capture, puis enregistrez le modèle.

10. Configuration du modèle SCEP-Sign#

Trois éléments doivent également être configurés pour SCEP-Sign : le nom affiché dans PKI Trust Manager, le nom du modèle défini sur l’autorité de certification (SCEP-Sign) et l’activation de Agent Certificate.

11. Certificats CEP et SIGNING - 01#

Émettez les certificats CEP et Signing pour PKI Trust Manager. Cliquez sur votre nom d’utilisateur en bas à gauche de l’écran.

12. Certificats CEP et SIGNING - 02#

Cliquez sur le bouton Certificates.

13. Certificat CEP et SIGNING - 03#

Cliquez sur New pour demander un nouveau certificat.

14. Certificat CEP et SIGNING - 04#

Sélectionnez CEP Encryption dans la liste déroulante, puis choisissez de générer le CSR sur le serveur. Saisissez un nom commun et soumettez la demande.

15. Certificat CEP et SIGNING - 05#

La demande est en attente d’approbation. Procédez à son approbation.

16. Certificat CEP et SIGNING - 06#

Enfin, récupérez le certificat pour l’importer automatiquement dans PKI Trust Manager. Répétez ces étapes pour le certificat SCEP Signing.

17. Certificat CEP et SIGNING - 07#

Répétez les six étapes précédentes pour obtenir également le certificat CEP Signing nécessaire au service SCEP.

18. Nouveau listener SCEP#

Une fois les modèles Enrollment Agent et CEP provisionnés et les certificats émis, créez un endpoint listener SCEP. Accédez à Integrations et cliquez sur "NEW".

19. Nouvelle intégration "SCEP"#

Dans le formulaire d’intégration, sélectionnez l’organisation appropriée. Par défaut, il s’agit de System Organization. Dans la liste Type, sélectionnez SCEP.

20. Configuration de l’intégration SCEP#

Après la sélection de SCEP, Certificate Configuration doit se remplir automatiquement. Sinon, vérifiez que l’autorité de certification et ses modèles sont associés à l’organisation sélectionnée.

21. Nom de l’interface SCEP#

Indiquez un nom et sélectionnez le modèle de certificats utilisé par l’interface SCEP.

22. Modèle de certificat SCEP#

Sélectionnez un modèle pour traiter les demandes de certificat. Dans cette démonstration, nous utiliserons le modèle utilisateur provisionné précédemment.

23. URL SCEP#

Saisissez une URL résolvable pour le conteneur CERT API. Elle doit être unique ; il peut s’agir d’un CNAME ou d’un alias pointant vers le conteneur CERT API.

24. Mot de passe de challenge SCEP#

Après avoir configuré l’interface SCEP, récupérez le mot de passe de challenge SCEP. Dans PKI Trust Manager, il est associé à un utilisateur. Vous pouvez utiliser un administrateur de l’organisation ou un compte de service dédié à SCEP. Dans cette démonstration, nous récupérons le mot de passe d’un utilisateur existant.

25. Générer le mot de passe de challenge SCEP#

Dans User Profile, cliquez sur SCEP Password pour générer et récupérer le mot de passe du service SCEP.

26. Mot de passe de challenge SCEP — code à usage unique#

Une fenêtre affiche le mot de passe de challenge et sa durée de validité, définie par une variable d’environnement du conteneur. Utilisez-le pour inscrire des équipements réseau, MDM ou tout autre service utilisant le SCEP standard.

Félicitations ! Vous avez activé le service SCEP dans PKI Trust Manager en configurant les modèles de certificats nécessaires. Pour plus d’informations, consultez la documentation ou contactez l’assistance.