¶ Настройка SCEP профиля для SafeTech
В данной инструкции приведены шаги по настройке SafeTech CA для использования протокола SCEP и формированию MDM-профиля, который можно импортировать в MDM систему для распространения.
Перед настройкой профиля для работы с протоколом SCEP необходимо обеспечить доверие к сертификатам удостоверяющего центра (CA). Для этого сначала следует создать профиль, распространяющий и устанавливающий корневой сертификат CA на устройства.
¶ Профиль установки корневого сертификата удостоверяющего центра (CA)
¶ Корневой сертификат
- Откройте веб-интерфейс удостоверяющего центра (CA) по адресу в формате:
https://domain.example:7443/ui, гдеdomain.example- домен вашего SafeTech - Авторизуйтесь, используя ваши учетные данные. Если вы не меняли настройки по умолчанию, используйте следующие данные для входа:
- Логин:
ca-standalone-admin - Пароль:
techpass
- Перейдите в раздел «Управление УЦ» и скачайте корневой сертификат удостоверяющего центра (CA):
¶ Конфигурирование профиля
- Воспользуйтесь програмным обеспечением для конфигурирования профилей, можно использовать Imazing Profile Editor.
- В качестве содержимого профиля выберите тип Root Certificate. Программа предложит указать файл корневого сертификата, после чего откроется следующее окно:
- Укажите отображаемое название профиля в разделе General, к примеру safetech-root-ca.
Пример сгенерированного XML-профиля:
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<!-- Содержимое профиля -->
<key>PayloadContent</key>
<array>
<dict>
<!-- Имя файла сертификата -->
<key>PayloadCertificateFileName</key>
<string>root-ca-cert</string>
<!-- Бинарное содержимое сертификата (в формате base64) -->
<key>PayloadContent</key>
<data>
MIIC...обрезано для примера...TQ==
</data>
<!-- Название сертификата, отображаемое пользователю -->
<key>PayloadDisplayName</key>
<string>Root Certificate</string>
<!-- Уникальный идентификатор данного блока (Payload) -->
<key>PayloadIdentifier</key>
<string>com.example.ca.root-cert</string>
<!-- Тип payload: корневой сертификат -->
<key>PayloadType</key>
<string>com.apple.security.root</string>
<!-- UUID блока. Генерируется случайно. Должен быть уникальным -->
<key>PayloadUUID</key>
<string>11111111-2222-3333-4444-555555555555</string>
<!-- Версия payload-а (оставьте 1) -->
<key>PayloadVersion</key>
<integer>1</integer>
</dict>
</array>
<!-- Название всего профиля, отображаемое пользователю -->
<key>PayloadDisplayName</key>
<string>CA Root Certificate Profile</string>
<!-- Уникальный идентификатор профиля -->
<key>PayloadIdentifier</key>
<string>com.example.profile.root-cert</string>
<!-- Тип основного payload-а: конфигурационный профиль -->
<key>PayloadType</key>
<string>Configuration</string>
<!-- UUID профиля (генерируется случайно) -->
<key>PayloadUUID</key>
<string>AAAAAAAA-BBBB-CCCC-DDDD-EEEEEEEEEEEE</string>
<!-- Версия профиля (оставьте 1) -->
<key>PayloadVersion</key>
<integer>1</integer>
</dict>
</plist>
¶ Настройка KeyCloak для работы с SCEP HTTP.
- Откройте интерфейс Keycloak, связанный с вашим удостоверяющим центром SafeTech. Перейдите по адресу:
https://domain.example:8443/, гдеdomain.example- домен вашего SafeTech. Если вы не изменяли параметры по умолчанию, используйте следующие учетные данные для входа:
- Логин:
admin - Пароль:
techpass
- Перейдите в раздел Manage realms, выбирите st-ca:
- Перейдите в раздел Clients, выбирите ca-scep:
- Укажите следующий URL в поле Valid Redirect URIs:
http://domain.example:9081/*, гдеdomain.example— это домен вашего SafeTech CA, а в поле Web Origins укажите:http://domain.example:9081.
¶ Конфигурирование SCEP профиля
-
Настройте профиль по примеру, указав эндпоинт для SafeTech SCEP по адресу:
http://safetechca.shortcut.pvt:9081/pkiclient. Пароль Challenge по умолчанию — статический:techpass.<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <!-- Основной контейнер профиля --> <key>PayloadContent</key> <array> <dict> <!-- Настройки SCEP --> <key>PayloadContent</key> <dict> <!-- Отпечаток (Fingerprint) CA-сертификата --> <key>CAFingerprint</key> <string>$CAFINGERPRINT</string> <!-- Challenge пароль, используемый для SCEP --> <key>Challenge</key> <string>techpass</string> <!-- Тип ключа (RSA) --> <key>Key Type</key> <string>RSA</string> <!-- Использование ключа (Key Usage) --> <key>Key Usage</key> <integer>5</integer> <!-- Размер ключа --> <key>Keysize</key> <integer>4096</integer> <!-- Имя (например, удостоверяющего центра) --> <key>Name</key> <string>ADCS-CA</string> <!-- Количество повторных попыток при ошибке --> <key>Retries</key> <integer>3</integer> <!-- Задержка между повторными попытками (секунды) --> <key>RetryDelay</key> <integer>10</integer> <!-- Subject для сертификата: в данном примере используется UUID устройства --> <key>Subject</key> <array> <array> <array> <string>CN</string> <string>%HardwareUUID%</string> </array> </array> </array> <!-- Subject Alternative Name, в данном случае email-адрес устройства --> <key>SubjectAltName</key> <dict> <key>rfc822Name</key> <string>%ProductName%</string> </dict> <!-- URL сервера SCEP --> <key>URL</key> <string>http://safetechca.shortcut.pvt:9081/pkiclient</string> </dict> <!-- Описание и идентификаторы полезной нагрузки --> <key>PayloadDescription</key> <string>Configures SCEP settings</string> <key>PayloadDisplayName</key> <string>SCEP</string> <key>PayloadIdentifier</key> <string>com.apple.security.scep.B193C47D-02A3-4B1A-B595-C7567A60C5F4</string> <key>PayloadType</key> <string>com.apple.security.scep</string> <key>PayloadUUID</key> <string>B193C47D-02A3-4B1A-B595-C7567A60C5F4</string> <key>PayloadVersion</key> <integer>1</integer> </dict> </array> <!-- Основные метаданные профиля --> <key>PayloadDisplayName</key> <string>SCEP</string> <key>PayloadIdentifier</key> <string>FA6C8587-99B0-4A2F-89BE-27CE4E516BCB</string> <key>PayloadRemovalDisallowed</key> <false/> <key>PayloadType</key> <string>Configuration</string> <key>PayloadUUID</key> <string>A05D2A72-98DD-445A-8676-8001640342EC</string> <key>PayloadVersion</key> <integer>1</integer> </dict> </plist> -
Установите профиль «Установки корневого сертификата safetech CA», созданный ранее, а затем установите профиль SCEP для проверки его работоспособности.
¶ Что дальше?
После успешной установки и проверки профиля SCEP вы можете:
- Интегрировать созданые профили в вашу MDM-систему для автоматического распространения настроек SCEP и выдачи сертификатов устройствам.
Если возникнут вопросы или потребуется помощь, рекомендуем обратиться в в SafeTech или ознакомиться с их официальной документацией.