如何在 PKI Trust Manager 中启用 SCEP 服务

本指南介绍如何在 PKI Trust Manager 中启用 SCEP 服务。PKI Trust Manager 的 SCEP 服务旨在替代 Microsoft Network Device Enrollment Service (NDES)。内容包括界面导航和必要证书模板的配置。

1. 在签发 CA 上准备模板

首先使用已通过 CA Proxy Gateway 集成到 PKI Trust Manager 的签发 CA。复制 Enrollment Agent 和 CEP 模板，并向 CA Proxy Gateway 服务帐户授予 Read 和 Enroll 权限。本示例将复制的模板命名为 `SCEP-Sign` 和 `SCEP-ENC`。

1. 在 Certificate Templates 中右键单击并选择 Manage。
2. 复制 CEP Encryption 模板和 Enrollment Agent 模板，分别命名为 `SCEP-ENC` 和 `SCEP-Sign`。
3. 确保两个复制的模板都授予 PKI Trust Manager CA Proxy Gateway 服务帐户 Read 和 Enroll 权限。

2. 在 PKI Trust Manager 中添加并配置模板

1. 在 PKI Trust Manager Web Admin 中打开 Certification Authorities。
2. 单击 Details，打开要用于 SCEP 的 CA。
3. 单击 View Templates 查看可用模板。
4. 发布 `SCEP-ENC` 和 `SCEP-Sign` 后，单击 NEW 在 PKI Trust Manager 中配置模板。
5. 配置 `SCEP-ENC`：填写 PKI Trust Manager 中显示的名称、CA 模板名称 (`SCEP-ENC`)，并启用 Agent Certificate。保存模板。
6. 对 `SCEP-Sign` 执行相同配置，使用对应 CA 模板名称并启用 Agent Certificate。

3. 签发 CEP 和签名证书

申请 SCEP 服务所需的 CEP 和签名证书：

1. 单击左下角的用户名，然后打开 Certificates。
2. 单击 New 申请证书。
3. 选择 CEP Encryption，在服务器上生成 CSR，填写 common name 并提交申请。
4. 申请进入待批准状态后，批准该申请，再单击 Get Certificate 自动将证书导入 PKI Trust Manager。
5. 重复此流程，获取 SCEP 服务所需的 CEP Signing 证书。

4. 创建并配置 SCEP listener

1. 转到 Integrations 页面，单击 NEW。
2. 在新集成表单中选择相应组织（默认是 System Organization），并在类型下拉菜单中选择 SCEP。
3. 选择 SCEP 后，证书配置通常会自动填充。如未填充，请确认所选组织已关联证书颁发机构及其模板。
4. 为接口命名，并选择 SCEP 接口处理证书请求时使用的证书模板。
5. 填写可解析的 CERT API 容器 URL。URL 必须唯一，可以使用指向 CERT API 容器的 CNAME 或别名。

5. 获取 SCEP Challenge Password

PKI Trust Manager 的 SCEP Challenge Password 与用户关联。可使用组织管理员帐户，或专门为 SCEP 指定的服务帐户。

1. 在用户配置文件中单击 SCEP Password，生成并查看密码。
2. 弹窗会显示 Challenge Password 及其有效期，有效期由容器环境变量指定。

使用此密码为网络设备、MDM 或其他采用标准 SCEP 的服务注册证书。

完成设置

完成 Enrollment Agent 和 CEP 模板配置、签发所需证书并创建 SCEP listener 后，SCEP 服务即已配置完成。如需更多信息，请参阅文档或联系支持团队。