在 PKI Trust Manager 中启用 SCEP 服务

本教程介绍如何在 PKI Trust Manager 中启用 SCEP 服务。应使用 PKI Trust Manager 的 SCEP 服务，而不是 Microsoft Network Device Enrollment Service。本指南将介绍界面操作方式，以及如何配置所需的证书模板。

1. 简介#

首先进入已通过 CA Proxy Gateway 集成到 PKI Trust Manager 的 ISSUING 证书颁发机构。复制 "Enrollment Agent" 和 "CEP" 模板，并为 CA Proxy Gateway 服务账户授予 Read 和 Enroll 权限。本演示中的复制模板命名为 SCEP-Sign 和 SCEP-ENC。

2. 管理模板#

右键点击 Certificate Templates，然后点击 Manage。

3. 复制模板#

复制 CEP Encryption 模板和 Enrollment Agent 模板，并分别命名为 SCEP-ENC 和 SCEP-Sign。

4. 证书模板权限#

确保两个复制的模板均向 PKI Trust Manager CA Proxy Gateway 服务账户授予 Read 和 Enroll 权限。

5. 将 Enrollment 和 CEP 模板添加到 PKI Trust Manager#

在 PKI Trust Manager Web Admin 中，点击 Certification Authorities。

6. Certification Authorities 详情#

点击 Details，打开将用于 SCEP 的证书颁发机构。

7. 访问证书模板#

点击 View Templates，查看可供配置的证书模板。

8. SCEP 模板#

如图所示，我们已在 PKI Trust Manager 中发布 SCEP-ENC 和 SCEP-Sign 模板。点击右上角的 "NEW" 按钮，然后按以下步骤配置新模板。

9. SCEP-ENC 模板配置#

SCEP-ENC 需要配置三项：PKI Trust Manager 中显示的模板名称、证书颁发机构中配置的模板名称（SCEP-ENC），以及启用 Agent Certificate。请参照截图填写，然后保存模板。

10. SCEP-Sign 模板配置#

SCEP-Sign 也需要配置三项：PKI Trust Manager 中显示的模板名称、证书颁发机构中配置的模板名称（SCEP-Sign），以及启用 Agent Certificate。

11. CEP 和 SIGNING 证书 - 01#

现在为 PKI Trust Manager 签发 CEP 和 Signing 证书。点击屏幕左下角的用户名。

12. CEP 和 SIGNING 证书 - 02#

点击 Certificates 按钮。

13. CEP 和 SIGNING 证书 - 03#

点击 New 按钮申请新证书。

14. CEP 和 SIGNING 证书 - 04#

从下拉菜单选择 CEP Encryption，再选择在服务器上生成 CSR。输入 Common Name，然后提交申请。

15. CEP 和 SIGNING 证书 - 05#

申请处于待审批状态。请继续审批该申请。

16. CEP 和 SIGNING 证书 - 06#

最后获取证书，以便自动导入 PKI Trust Manager。SCEP Signing 证书也需要重复这些步骤。

17. CEP 和 SIGNING 证书 - 07#

重复前六个步骤，获取 SCEP 服务所需的 CEP Signing 证书。

18. 新建 SCEP Listener#

配置 Enrollment Agent 和 CEP 模板并签发相应证书后，创建 SCEP Listener Endpoint。进入 Integrations 页面并点击 "NEW"。

19. 新建 "SCEP" 集成#

在新集成表单中选择对应的组织。默认情况下是 System Organization。在 Type 下拉菜单中选择 SCEP。

20. SCEP 集成配置#

从下拉菜单选择 SCEP 后，Certificate Configuration 应自动填充。如果没有，请确认已将证书颁发机构及其模板关联到上一步所选组织。

21. SCEP 接口名称#

输入名称，并选择 SCEP 接口使用的证书模板。

22. SCEP 证书模板#

选择用于处理证书申请的模板。本演示使用之前配置的用户模板。

23. SCEP URL#

请提供 CERT API 容器可解析的 URL。此 URL 必须唯一，可以使用指向 CERT API 容器的 CNAME 或别名。

24. SCEP Challenge Password#

配置好 SCEP 接口后，获取 SCEP Challenge Password。PKI Trust Manager 中的 SCEP Challenge Password 与用户关联。您可以使用组织管理员账户，或专门用于 SCEP 的服务账户。本演示使用现有用户获取其 SCEP Challenge Password。

25. 生成 SCEP Challenge Password#

在 User Profile 中点击 SCEP Password，生成并查看 SCEP 服务密码。

26. SCEP Challenge Password — 一次性代码#

窗口会显示 Challenge Password 及其有效期，该有效期由容器环境变量指定。使用此密码为网络设备、MDM 或其他采用标准 SCEP 的服务注册证书。

恭喜！您已通过配置所需证书模板和设置，在 PKI Trust Manager 中成功启用 SCEP 服务。更多信息请参阅文档或联系支持团队。