Relution Signet Customer Hub

SCEP

Die Konfiguration SCEP lässt ein Gerät über das Simple Certificate Enrollment Protocol ein Zertifikat bei einem SCEP-Server anfordern, z. B. bei Microsoft NDES oder einer anderen Zertifizierungsstelle mit SCEP-Schnittstelle. Das Gerät erzeugt das Schlüsselpaar selbst, der private Schlüssel verlässt das Gerät dabei nicht. Relution überträgt die Angaben als Profil mit dem Payload-Typ com.apple.security.scep.

Voraussetzungen

  • Ein SCEP-Server ist vom Gerät aus erreichbar.
  • Verlangt der SCEP-Server ein Challenge-Passwort, ist ein fester Wert bekannt, der für alle Geräte der Richtlinie gilt.
  • Eine Überwachung (Supervision) ist nicht erforderlich. Das Portal kennzeichnet die Konfiguration mit Unterstützt Benutzerregistrierung, sie steht also auch für Geräte mit Benutzer-Einschreibung → zur Verfügung.

Die Konfiguration kann mehrfach in einer Richtlinie angelegt werden, z. B. für Zertifikate unterschiedlicher Zertifizierungsstellen.

Plattformen

Die Konfiguration steht in iOS- und in macOS-Richtlinien mit demselben Formular zur Verfügung. iPadOS-Geräte werden über iOS-Richtlinien verwaltet. Für tvOS, watchOS und visionOS wird die Konfiguration nicht angeboten.

Konfiguration

Unter Geräte → Richtlinien wird die Konfiguration SCEP in einer iOS- oder macOS-Richtlinie über Hinzufügen angelegt. Alle Felder stehen im Abschnitt Allgemein.

FeldBeschreibung
NameOptional, höchstens 255 Zeichen. Name der CA-Instanz (CA-IDENT), den der SCEP-Server erwartet, etwa wenn er mehrere Zertifizierungsstellen bereitstellt. Ein leeres Feld wird nicht übertragen.
URLPflichtfeld. Basis-URL des SCEP-Servers, z. B. https://pki.example.com/certsrv/mscep/mscep.dll. Das Portal akzeptiert nur eine gültige URL.
InhaberOptional, höchstens 255 Zeichen. Subject des Zertifikats als X.500-Name, z. B. CN=iPhone-Vertrieb, OU=IT, O=Beispiel GmbH, C=DE. Die Bestandteile werden in der eingegebenen Reihenfolge übertragen.
Subject Alternative NameOptional. Beliebig viele zusätzliche Namen im Zertifikat, siehe Subject Alternative Name →.
WiederholungenOptional, 0 bis 999. Anzahl der Abfragen beim SCEP-Server, solange dieser die Anforderung als ausstehend meldet. Ein leeres Feld wird nicht übertragen.
WiederholungsverzögerungOptional, 0 bis 999. Wartezeit in Sekunden zwischen zwei Abfragen. Ein leeres Feld wird nicht übertragen.
HerausforderungOptional, höchstens 255 Zeichen. Challenge-Passwort (Pre-Shared Secret), mit dem sich das Gerät beim SCEP-Server ausweist.
SchlüssellängeLänge des RSA-Schlüssels: 1024, 2048 (Standardwert) oder 4096 Bit.
SignaturFingerabdruck des CA-Zertifikats als Hex-Zeichenkette, mit dem das Gerät das vom SCEP-Server gelieferte CA-Zertifikat prüft. Standardwert 0: Es wird kein Fingerabdruck übertragen.
Als digitale Signatur verwendenSchalter, standardmäßig deaktiviert. Siehe Schlüsselverwendung →.
Den Schlüssel verschlüsselnSchalter, standardmäßig deaktiviert. Siehe Schlüsselverwendung →.

Subject Alternative Name

Ein Eintrag besteht aus einem Typ und einem Wert. Neue Einträge sind mit dem Typ DNS vorbelegt. Zur Auswahl stehen:

Typ im PortalÜbertragen als
DNSdNSName
Benutzerprinzipalname (UPN)ntPrincipalName
E-Mailrfc822Name
URIuniformResourceIdentifier

Einträge ohne Wert werden nicht übertragen. Ein Eintrag mit gleichem Typ und Wert lässt sich nicht doppelt hinzufügen. Mehrere Einträge desselben Typs werden gemeinsam übertragen.

Schlüsselverwendung

Die beiden Schalter bestimmen die Schlüsselverwendung, die das Gerät in der Zertifikatsanforderung angibt:

Als digitale Signatur verwendenDen Schlüssel verschlüsselnÜbertragener Wert
ausaus0
einaus1 (Signatur)
ausein4 (Verschlüsselung)
einein5 (Signatur und Verschlüsselung)

Besonderheiten

  • Herausforderung: Ab Relution 26.5.5 wird eine gespeicherte Challenge im Formular nicht mehr angezeigt, sondern nur durch ***** angedeutet. Bleibt das Feld unverändert, behält Relution den gespeicherten Wert bei. Eine neue Eingabe ersetzt ihn. Zum Entfernen wird der Inhalt des Felds gelöscht, sodass der Platzhalter ***** nicht mehr angezeigt wird, und die Konfiguration gespeichert.
  • Feste Challenge: Der eingetragene Wert wird unverändert an alle Geräte der Richtlinie übertragen. Eine Challenge pro Gerät oder eine einmalig gültige Challenge erzeugt diese Konfiguration nicht.
  • Signatur: Erwartet wird eine Hex-Zeichenkette ohne Trennzeichen wie : oder Leerzeichen. Das Portal lässt zwar das Präfix 0x zu, ein Fingerabdruck in voller Länge (z. B. 40 Zeichen) wird aber ohne 0x eingetragen.
  • Feste Werte: Folgende Angaben überträgt Relution immer und sind im Formular nicht einstellbar: Schlüsseltyp RSA, kein Zugriff aller Apps auf den privaten Schlüssel (AllowAllAppsAccess = false) und Export des privaten Schlüssels erlaubt (KeyIsExtractable = true).
  • Platzhalter: Das Formular führt keine verfügbaren Platzhalter auf. Platzhalter wie ${user.email} oder ${device.serialnumber} in Textfeldern, z. B. in Inhaber oder Subject Alternative Name, werden beim Erzeugen des Profils dennoch für das jeweilige Gerät ersetzt. Vor dem Rollout empfiehlt sich ein Test an einem Testgerät. Weitere Informationen: Erweiterte Platzhalter →
  • Prüfung beim Speichern: Ohne URL lässt sich die Konfiguration nicht speichern. Ist Inhaber kein gültiger X.500-Name, zeigt das Portal LDAP Ausdruck ungültig, und der Server lehnt die Konfiguration ab.
  • Compliance: Meldet das Gerät einen Fehler bei der Installation, erscheint ein Compliance-Verstoß SCEP-Konfiguration.

Bezug zu Zertifizierungsstellen

Die Konfiguration SCEP arbeitet unabhängig von den unter Einstellungen → Zertifizierungsstellen hinterlegten Zertifizierungsstellen. Das Gerät wendet sich direkt an die eingetragene URL. Die so ausgestellten Zertifikate erscheinen deshalb nicht unter Einstellungen → Ausgestellte Zertifikate, und Relution kann sie weder verlängern noch widerrufen.

Für Zertifikate, die Relution selbst verwaltet, steht eine Zertifikatsvorlage mit dem Vorlagentyp SCEP auf dem Gerät zur Verfügung. Sie wird über die Konfiguration Zertifikat oder in WLAN- und VPN-Konfigurationen eingebunden. Relution erzeugt daraus die SCEP-Angaben pro Gerät, einschließlich der Challenge, und bietet dort zusätzlich Einstellungen wie die automatische Verlängerung und den Zugriff auf den privaten Schlüssel. Weitere Informationen: Built-In CA →

Verhalten auf dem Gerät

Das folgende Verhalten legt Apple bzw. die Zertifizierungsstelle fest, nicht Relution; die Angaben erfolgen ohne Gewähr:

  • Bleiben Wiederholungen und Wiederholungsverzögerung leer, verwendet das Gerät die Standardwerte des Betriebssystems.
  • Ob eine Schlüssellänge akzeptiert wird, entscheidet die Zertifizierungsstelle. 1024 Bit gilt als nicht mehr sicher und wird von vielen Zertifizierungsstellen abgelehnt.
  • Manche Zertifizierungsstellen stellen pro Zertifikat nur eine der beiden Schlüsselverwendungen aus, nicht beide gleichzeitig. Welche Verwendung das ausgestellte Zertifikat tatsächlich enthält, bestimmt die Vorlage auf der Zertifizierungsstelle.
  • Wird die Konfiguration aus der Richtlinie entfernt, entfernt das Gerät mit dem Profil auch das angeforderte Zertifikat.

Verwandte Themen