Relution Signet Customer Hub

Configuration de confiance TLS

La configuration de confiance TLS regroupe les paramètres côté serveur pour l’établissement de connexions TLS de confiance. Elle se trouve sous Paramètres → Configuration de confiance TLS et se divise en deux zones : les certificats de confiance pour les connexions sortantes et l’épinglage de certificats pour l’inscription Apple. La configuration de confiance TLS n’est disponible que dans l’organisation globale et s’applique à l’ensemble du serveur, pour toutes les organisations. Les modifications des deux zones sont appliquées ensemble via Enregistrer dans la partie supérieure de la page.

Certificats de confiance

Relution accepte ces certificats CA en plus du magasin de confiance par défaut du système lors de l’établissement de connexions TLS sortantes. À partir de Relution 26.5.3, cela s’applique également au proxy SCEP et, à partir de Relution 26.5.5, également à la connexion au maître Salt ainsi qu’au stockage S3 avec chiffrement KMS côté client. Via Ajouter, des certificats CA préalablement téléversés sous Paramètres → Certificats sont sélectionnés (voir Gestion des certificats →). La boîte de dialogue de sélection n’affiche que les certificats identifiés comme autorité de certification (CA) ; les conteneurs de certificats tels que pfx/p12 ne peuvent pas être sélectionnés. L’aperçu indique pour chaque entrée le Nom, le Type et la date d’expiration (Expire le) ; les entrées sélectionnées sont retirées via Supprimer.

À partir de Relution 26.5.8, l’enregistrement est refusé si un certificat de confiance ne peut pas être chargé, n’appartient pas à l’organisation globale ou n’a pas été téléversé dans la gestion des certificats. Les certificats CA générés par Relution, comme le certificat racine de la Built-In CA →, ne sont pas admis comme certificats de confiance.

Les certificats utilisés ici comme certificat de confiance ou comme certificat d’ancrage ne peuvent pas être supprimés dans la gestion des certificats tant qu’ils sont référencés ; de même, le fichier et le mot de passe d’un tel certificat ne peuvent pas être remplacés. Pour échanger un certificat, le nouveau certificat est téléversé en plus et sélectionné ici, puis l’ancien certificat est retiré.

Actualisation et état

Relution reconstruit la liste des certificats de confiance au démarrage du serveur, après chaque enregistrement et en outre toutes les heures sur chaque nœud du serveur. Un certificat qui ne peut pas être chargé ou qui ne remplit pas les conditions ci-dessus est ignoré ; les autres restent de confiance. Cela concerne également les entrées enregistrées avant Relution 26.5.8.

L’état est signalé par l’indicateur de santé tlsTrust, dont les détails sont affichés par le point de terminaison de santé sur le port de gestion (/actuator/health, port 8099) :

  • state : IN_SYNC (tous les certificats configurés sont de confiance), CERTIFICATES_FAILED (certains certificats ont été ignorés) ou CLEARED (la reconstruction a échoué dans son ensemble, aucun des certificats configurés n’est de confiance),
  • failedCertificates : les UUID des certificats ignorés.

L’indicateur ne fait jamais passer l’état global à DOWN ; un répartiteur de charge ne retire donc pas un nœud du service pour cette raison. En cas de CERTIFICATES_FAILED ou de CLEARED, les certificats concernés sont vérifiés dans la gestion des certificats et remplacés si nécessaire par un certificat CA téléversé ; des informations complémentaires figurent dans le journal du serveur. L’indicateur peut être désactivé avec management.health.tlsTrust.enabled: false dans application.yml (par défaut : activé).

Épinglage de certificats (inscription Apple)

Nouveau dans 26.5

Lorsque le commutateur Activer l’épinglage de certificats de la zone Général est activé, la connexion TLS vers le serveur MDM est validée avec les certificats d’ancrage sélectionnés au lieu du magasin de confiance du système. Cela rend plus difficiles les attaques de type man-in-the-middle et l’utilisation d’autorités de certification non autorisées. Lors de l’inscription des appareils Apple, l’épinglage est repris dans le profil MDM et s’applique ensuite à l’ensemble de la communication de l’appareil avec le serveur MDM, y compris le check-in. Si l’épinglage est désactivé, l’appareil vérifie la connexion par rapport au magasin de confiance du système.

Les certificats à vérifier sont sélectionnés dans la zone Certificats d’ancrage via Ajouter parmi les certificats CA enregistrés dans la gestion des certificats ; l’aperçu indique pour chaque entrée le Nom, le Type et la date d’expiration (Expire le). Au moins un certificat d’ancrage est requis pour activer l’épinglage. Le commutateur Exiger la vérification de révocation des certificats impose en outre une vérification de l’état de révocation des certificats. Si Activer l’épinglage de certificats est désactivé, Relution vide la liste des certificats d’ancrage et réinitialise la vérification de révocation ; après réactivation, les certificats d’ancrage doivent être sélectionnés à nouveau.

L’épinglage est enregistré dans le profil MDM

L’épinglage est intégré au profil MDM au moment de l’inscription. Les modifications effectuées ici concernent les nouvelles inscriptions. Relution ne transmet la configuration modifiée aux appareils déjà inscrits que lors de la mise à jour de leur profil MDM (action Mettre à jour le profil MDM ou renouvellement automatique avant l’expiration du certificat d’identité). Une configuration erronée peut priver les appareils de toute communication MDM ; un appareil qui ne peut plus se connecter au serveur MDM en raison d’un épinglage erroné ne reçoit plus non plus de mise à jour de profil et doit être réinscrit. Seuls des certificats CA à longue durée de vie devraient être épinglés ; lors de la rotation d’une CA, l’ancien et le nouveau certificat d’ancrage restent sélectionnés.

N’activer la vérification de révocation qu’avec des informations de révocation

L’option Exiger la vérification de révocation des certificats ne doit être activée que si le certificat TLS du serveur fournit des informations de révocation (URL du répondeur OCSP). En l’absence de cette information, les appareils peuvent refuser la connexion.

Comportement lors de l’inscription

Lorsque l’épinglage est activé, la connexion de l’appareil au serveur MDM est vérifiée par rapport aux certificats d’ancrage sélectionnés pendant l’inscription. Si la chaîne de certificats TLS du serveur remonte à l’un des certificats d’ancrage, l’inscription réussit. Cette vérification s’applique également à la communication MDM ultérieure de l’appareil inscrit. En cas de divergence, la connexion est rejetée et l’inscription échoue.

Si l’épinglage est activé mais qu’aucun certificat d’ancrage n’est configuré ou ne peut être chargé, Relution génère les profils MDM sans épinglage.

Les appareils dont la version du système d’exploitation est inférieure à la version minimale requise pour l’épinglage continuent d’être inscrits sans épinglage ; l’inscription y reste fonctionnelle.

Notifications relatives aux certificats d’ancrage

Relution vérifie les certificats d’ancrage épinglés toutes les heures ainsi qu’après chaque enregistrement et signale les problèmes dans le centre de notifications afin d’éviter à temps le blocage des appareils. Les notifications sont reçues par les utilisateurs de l’organisation globale autorisés à consulter la configuration de confiance TLS. Sont notamment signalés :

  • un certificat d’ancrage qui expire dans moins de 90 jours ou qui a déjà expiré,
  • un certificat d’ancrage qui ne peut pas être chargé ou qui n’est pas un certificat CA,
  • un épinglage inefficace, par exemple lorsqu’aucun certificat d’ancrage n’est configuré ou qu’aucun ne correspond à la chaîne de certificats TLS du serveur.

Cet article a-t-il été utile ?