Comment activer le service SCEP dans PKI Trust Manager

Ce tutoriel explique comment activer le service SCEP dans PKI Trust Manager. Le service SCEP de PKI Trust Manager est destiné à remplacer Microsoft Network Device Enrollment Service (NDES). Il décrit la navigation dans l’interface et la configuration des modèles de certificats nécessaires.

1. Préparer les modèles sur la CA émettrice

Commencez par la CA émettrice déjà intégrée à PKI Trust Manager via CA Proxy Gateway. Dupliquez les modèles Enrollment Agent et CEP, puis accordez au compte de service CA Proxy Gateway les autorisations Read et Enroll. Dans cet exemple, les copies sont nommées `SCEP-Sign` et `SCEP-ENC`.

1. Dans Certificate Templates, cliquez avec le bouton droit et choisissez Manage.
2. Dupliquez le modèle CEP Encryption et le modèle Enrollment Agent, puis nommez-les `SCEP-ENC` et `SCEP-Sign`.
3. Sur les deux modèles, accordez au compte de service CA Proxy Gateway de PKI Trust Manager les autorisations Read et Enroll.

2. Ajouter et configurer les modèles dans PKI Trust Manager

1. Dans PKI Trust Manager Web Admin, ouvrez Certification Authorities.
2. Cliquez sur Details pour ouvrir la CA destinée à SCEP.
3. Sélectionnez View Templates pour consulter les modèles disponibles.
4. Après avoir publié `SCEP-ENC` et `SCEP-Sign`, cliquez sur NEW pour les configurer dans PKI Trust Manager.
5. Pour `SCEP-ENC`, définissez le nom affiché dans PKI Trust Manager, le nom du modèle CA (`SCEP-ENC`) et activez Agent Certificate. Enregistrez le modèle.
6. Répétez pour `SCEP-Sign`, avec son nom de modèle CA, et activez Agent Certificate.

3. Émettre les certificats CEP et de signature

Demandez les certificats CEP et de signature requis par le service SCEP :

1. Cliquez sur votre nom d’utilisateur en bas à gauche, puis ouvrez Certificates.
2. Cliquez sur New pour demander un certificat.
3. Sélectionnez CEP Encryption, générez le CSR sur le serveur, indiquez le common name et soumettez la demande.
4. Lorsque la demande est en attente, approuvez-la puis cliquez sur Get Certificate pour importer automatiquement le certificat dans PKI Trust Manager.
5. Répétez la procédure pour obtenir le certificat CEP Signing nécessaire au service SCEP.

4. Créer et configurer le listener SCEP

1. Accédez à la page Integrations et cliquez sur NEW.
2. Dans le formulaire, sélectionnez l’organisation (System Organization par défaut), puis le type SCEP.
3. Après le choix de SCEP, la configuration des certificats devrait se remplir automatiquement. Sinon, vérifiez que la CA et ses modèles sont associés à l’organisation choisie.
4. Attribuez un nom à l’interface et choisissez le modèle de certificat que le listener utilisera pour les demandes SCEP.
5. Saisissez une URL résoluble pour le conteneur CERT API. Elle doit être unique ; vous pouvez utiliser un CNAME ou un alias pointant vers ce conteneur.

5. Obtenir le mot de passe Challenge SCEP

Le mot de passe Challenge SCEP de PKI Trust Manager est associé à un utilisateur. Vous pouvez utiliser un administrateur de l’organisation ou un compte de service dédié à SCEP.

1. Dans le profil utilisateur, sélectionnez SCEP Password pour générer et consulter le mot de passe.
2. La fenêtre affiche le mot de passe Challenge et sa durée de validité, définie par une variable d’environnement du conteneur.

Utilisez ce mot de passe pour enrôler des appareils réseau, des solutions MDM ou tout autre service compatible avec SCEP standard.

Finalisation

Pour terminer la configuration, provisionnez les modèles Enrollment Agent et CEP, émettez les certificats requis et créez le listener SCEP avec ses paramètres. Pour plus d’informations, consultez la documentation ou contactez le support.