SCEP 伺服器

工具 > 現代化裝置管理 > MDM 組態 > 一般設定 > SCEP

連線到 SCEP 伺服器可讓您動態部署憑證。每次新增裝置時,SCEP 伺服器都會自動將憑證分發給裝置。這能夠有效保護貴公司網路和裝置,免於隨機 (非 SCEP) 裝置註冊和存取的發生。

使用此功能表示已安裝並完全設定下列服務:

Active Directory。

憑證服務,包括 Microsoft Network Device Enrollment Service (NDES)。強烈建議此服務執行 Windows Server 2012 R2 (含) 以上版本。

NDES 伺服器應該設定為允許每小時 5 組以上的密碼。建議透過登錄設定允許每小時 20 組密碼。

網路原則伺服器 (RADIUS)。

EAP 型無線基礎結構。

在 LDMS 控制台中,設定目錄連線到 Active Directory;通過使用者驗證並不足夠。

連線到 SCEP 伺服器時,Endpoint Manager 將透過 CSA 進行通訊。SCEP 伺服器接著應該會向憑證授權單位提出任何憑證要求,然後將憑證發佈到存取點。接著將逐一裝置分發憑證。

「SCEP 組態」對話方塊有下列欄位:

SCEP 伺服器 URL: NDES 伺服器主機名稱或 IP。支援 HTTP 和 HTTPS,不過建議使用 HTTPS。僅需要主機名稱或 IP 接著 HTTPS;不需要加入完整路徑。僅支援 Microsoft NDES,因此僅需要 URL 的第一個部份。

使用者名稱: 安裝 NDES 時建立的使用者名稱。

密碼: NDES 使用者的密碼。

網域: NDES 使用者的網域。

若要確保與 SCEP 伺服器確實連線,請按一下驗證。如果成功,則按一下套用

驗證按鈕的設計提供可在一小時內提交的查問 ID,用以驗證連線,由於數量有限,因此請謹慎使用。若要重設密碼計數器,請在 NDES 伺服器上重新啟動 IIS。

建立支援 SCEP 的 Apple 裝置設定檔

您可以部署 SCEP 裝載至 Apple 裝置。SCEP 裝載有需要您設定才能執行的多項元件。

  1. 如上所述,在工具 > 現代化裝置管理 > MDM 組態 > 一般設定 > SCEP 中設定 SCEP。
  2. 工具 > 組態 > 代理程式設定中,開啟您想要修改的 Apple 組態設定檔。
  3. 在組態設定檔編輯器中,按一下憑證裝載,若您並未看見組態選項,請按一下設定按鈕。
  4. 匯入 SCEP 伺服器 CA 根憑證。
  5. 在組態設定檔編輯器中,按一下 SCEP 裝載,若您並未看見組態選項,請按一下設定按鈕。
  6. 在第一個 URL 欄位中,您可以看到它接受了 ${SCEPURL}$ 資料庫變數。此變數將會在部署期間由您於步驟 1 輸入的 URL 取代。為 URL 輸入此變數。
  7. 名稱欄位中,指定 CA 根憑證的名稱。
  8. 主體別名類型清單中,選擇 RFC 822 名稱
  9. 主體別名值中,鍵入 ${EMAIL}$ 以擷取註冊至裝置的使用者電子郵件,或是手動指定使用者的電子郵件地址。
  10. 針對 NT 主要名稱,鍵入 ${UPN}$ 以擷取已註冊裝置之使用者的 UPN,或是手動鍵入使用者 UPN。
  11. 選取動態做為查問類型
  12. SCEP 查問伺服器 URL 欄位,鍵入 ${SCEPCHLGURL}$ 以從資料庫提取伺服器值。此為連至 SCEP 伺服器的 URL,如同步驟 1 所設。
  13. SCEP 查問伺服器使用者名稱欄位,鍵入 ${SCEPCHLGUSRNM}$ 以從資料庫提取使用者值。此為有存取權限連至 SCEP 伺服器的使用者名稱,如同步驟 1 所設。
  14. SCEP 查問伺服器密碼欄位,鍵入 ${SCEPCHLGPSWD}$ 以從資料庫提取使用者密碼。此為有存取權限連至 SCEP 伺服器之使用者名稱的密碼,如同步驟 1 所設。
  15. 金鑰大小清單中選擇 2048
  16. 用途清單中選擇數位簽章和加密
  17. 在組態設定檔編輯器中,按一下網路 (Wi-Fi) 裝載。
  18. 安全性類型選項中,選擇您想要的企業安全性選項。
  19. 選擇 TLS 驗證通訊協定。
  20. 識別憑證選項中,選擇於步驟 4 所新增的 CA 根憑證。
  21. 按一下信任 標籤並選擇 CA 根憑證。
  22. 按一下確定並儲存變更。
  23. 部署設定檔。

若您在憑證裝載頁面中附加了多個 X.509 憑證,則使用者初次連接至 Wi-Fi 時,會提示他們從可用的憑證清單中選擇憑證。若使用者選擇了不正確的憑證,連線將失敗。使用者在 Apple 裝置上應選擇的憑證並不那麼顯而易見,所以您可能需要提供操作說明。