Denne artikkelen forklarer hvordan SCEP (Simple Certificate Enrollment Protocol) brukes i CapaOne Mobile Manager, og hvordan det integreres med kundens PKI-miljøer, NDES-servere og avanserte Wi-Fi-konfigurasjoner. Når du er ferdig, forstår du hvilken rolle SCEP spiller, hva som kreves for at det skal fungere, og hvilke utfordringer som er vanlige når det tas i bruk på mobile enheter.
Forutsetninger
Før du arbeider med SCEP, bør du ha oversikt over:
- Kundens PKI-infrastruktur
- Konfigurasjonen av SCEP-serveren («oppskriften»)
- Hvilke sertifikater som kreves (CA-sertifikat, mellomliggende sertifikater og utstedende sertifikater)
- Krav til nettverkstilgang til SCEP-serveren
- Plattformbegrensninger på Apple og Android
Konfigurasjon / trinn
1. Hva SCEP er
Med SCEP kan en klientenhet hente et sertifikat fra en sertifikatutsteder (CA) uten at verken brukeren eller en administrator må gjøre noe.
Simple Certificate Enrollment Protocol – Wikipedia
Administratorer konfigurerer SCEP-serveren til å godta sertifikatforespørsler fra klienter som oppgir riktig SCEP-konfigurasjon («oppskrift»). Denne er forskjellig fra kunde til kunde, avhengig av PKI-miljøet.
2. Bruk av SCEP
SCEP kan brukes i alle scenarier der det trengs sertifikater, men brukes oftest til å etablere tillit for enheter og brukere.
3. Prinsipper for oppsett av SCEP
- SCEP-servere og NDES
Microsoft PKI-miljøer bruker ofte NDES-servere, men det finnes også andre implementasjoner.
- Tillitsproblemer
Siden SCEP-servere utsteder sertifikater fra en intern PKI-infrastruktur, må enhetene stole på:
- CA-sertifikatet
- Mellomliggende sertifikater
- Utstedende sertifikater
Alle nødvendige sertifikater må inkluderes i konfigurasjonen.
- Tilgang til SCEP-serveren
SCEP-servere står ofte i kundens egne lokaler.
Vanlige tilgangsutfordringer:
- Ikke-klarerte enheter som må nå interne URL-er
- Innrulleringsnettverk med begrenset tilgang
- Nettverksveier basert på SIM/APN
- TLS-sertifikater som ikke er globalt klarert
Hvis SCEP-serveren bruker interne TLS-sertifikater, må hele tillitskjeden legges til i konfigurasjonen.
- Hvordan mobile enheter håndterer tillit
Mobile enheter laster ofte ikke ned sertifikatkjeder automatisk. Alle nødvendige tillitssertifikater må leveres i profilen.
4. Krav til SCEP-servere
SCEP-serveren må konfigureres med en statisk hemmelighet (static secret), fordi mobile enheter ikke støtter avansert forhandling.
5. Wi-Fi-oppsett med SCEP
Avanserte Wi-Fi-oppsett (EAP-TLS) kan bruke sertifikater som leveres via SCEP.
Et sertifikat kan enten være:
- Opprettet på forhånd og distribuert, eller
- Generert per enhet med SCEP
Når Wi-Fi-profilen inneholder SSID, WPA-innstillinger, EAP-TLS-parametere og tillitssertifikater, forsøker enheten å koble til.
- Apple-enheter
Apple-enheter fornyer ikke sertifikater automatisk. Profilene må brukes på nytt for å utløse en ny forhandling.
- Android-enheter
Android har ikke innebygd støtte for SCEP. Enhetene må bruke CapaOne Agent til å håndtere SCEP-forhandlingen.
Vanlige problemer og feilsøking
SCEP-miljøer kan være komplekse på grunn av kravene til tillit og PKI-kjeder.
- Krav til tillitskjeden
Enhetene må få hele sertifikatkjeden for:
- SCEP-serveren (TLS)
- Mellomliggende CA-er
- Rot-CA
- RADIUS-serveren (TLS)
Hvis kjeden er ufullstendig, blir brukeren bedt om å bekrefte tilliten manuelt før Wi-Fi kobler til.
- Forhåndsverifisering
Åpne nettverksstandarder krever forhåndsverifisering av sertifikater. Dette må konfigureres i Wi-Fi-profilen ved å knytte sertifikatnyttelastene (payloads) til de aktuelle CA-sertifikatene eller utstedende sertifikatene.
Vedlikehold og beste praksis
- Inkluder alltid hele sertifikatkjeden i SCEP- og Wi-Fi-profiler
- Sørg for at SCEP-serveren bruker en statisk hemmelighet
- Kontroller nettverkstilgangen tidlig
- Bruk SCEP- og Wi-Fi-profilene på nytt før sertifikatene utløper (Apple)
- Installer CapaOne Agent på Android-enheter som trenger SCEP