SCEP dynamique pour macOS avec Jamf Pro

La configuration d'une Autorité de certification (AC) vous permet d'émettre des certificats clients à vos appareils ciblés via votre logiciel Gestion des appareils mobiles (MDM). Ces certificats accordent l'accès à des points de terminaison d'API spécifiques qu'Okta Verify utilise pour établir l'identité de l'appareil.

Avant de commencer

Commencer cette tâche

1. Générer la configuration SCEP dans Okta

2. Créer un profil SCEP dynamique dans Jamf Pro

3. Configurer les cibles de déploiement pour le profil SCEP dans Jamf Pro

4. Vérifier que l'AC Okta a été installée sur vos appareils

Générer la configuration SCEP dans Okta

1. Dans l'Admin Console, accédez à Sécurité > Intégrations d'appareils.

2. Dans l'onglet Accès à l'appareil, cliquez sur Ajouter une configuration SCEP.

3. Sur la page de configuration Ajouter SCEP, sélectionnez l'option suivante :

   Type de défi d'URL SCEP : URL SCEP dynamique, puis Générique.

4. Cliquez sur Générer.

5. Copiez et enregistrez les valeurs suivantes en lieu sûr :

   • URL SCEP

   • URL du challenge

   • Nom d'utilisateur

   • Mot de passe

     C'est la seule fois où vous pouvez récupérer le mot de passe depuis l'Admin Console. Pour afficher le mot de passe en texte brut, cliquez sur l'icône d'affichage du mot de passe .

     Si vous devez réinitialiser le mot de passe, cliquez sur Réinitialiser le mot de passe dans le menu Actions de la page Accès à l'appareil.

6. Cliquez sur Enregistrer.

Créer un profil SCEP dynamique dans Jamf Pro

Le profil spécifie les paramètres qui permettent à un appareil d'obtenir des certificats de votre AC à l'aide de SCEP.

Pour créer le profil SCEP dans Jamf Pro :

1. Dans Jamf Pro, accédez à Ordinateurs > Profils de configuration.

2. Cliquez sur Nouveau.

3. Sur la page Général, saisissez les informations suivantes :

   • Nom : saisissez un nom pour le profil.

   • Description : facultatif. Saisissez une description du profil.

   • Niveau : sélectionnez le Niveau de l'ordinateur.

     Okta Verify utilise ce certificat pour identifier les appareils gérés et les utilisateurs pourAccès à l'appareil.

     Les certificats au niveau de l'ordinateur garantissent que chaque utilisateur de l'appareil est considéré comme géré.

4. Cliquez sur SCEP, puis sur Configurer.

5. Pour le Profil SCEP, saisissez les informations suivantes :

   • URL : collez l'URL SCEP que vous avez enregistrée à la Tâche 1.

   • Nom : saisissez un nom pour le profil SCEP.

   • Redistribuer le profil : choisissez une période pour redistribuer le profil lorsque son certificat émis par SCEP arrive dans le délai spécifié avant l'expiration (en nombre de jours).

     Okta ne prend pas en charge le renouvellement automatique des certificats. Redistribuez le profil pour remplacer un certificat qui arrive à expiration.

   • Objet : saisissez un nom pour identifier le certificat.

     Remarque :

     Ce champ est limité à 64 caractères.

     Jamf Pro ajoute automatiquement un identifiant $PROFILE_IDENTIFIER lors de la redistribution des profils, qui est pris en compte dans la limite de 64 caractères. Le dépassement de cette limite entraîne l'échec de la redistribution du profil et du renouvellement du certificat.

     Okta n'a pas d'exigences de format spécifiques pour le champ Objet. Vous pouvez utiliser ce champ pour indiquer l'objectif du certificat en tant que signal de gestion des appareils pour Okta, en incluant éventuellement des variables Jamf Pro comme $UDID ou $EMAIL. Par exemple :

     • Niveau Ordinateur : CN=$COMPUTERNAME ma $UDID

     • Niveau Utilisateur : CN=$EMAIL ma $UDID

     (ma représente l'attestation de gestion)

     Testez toujours vos configurations SCEP dans un environnement autre que celui de production pour vous assurer que les certificats sont correctement émis et renouvelés.

   • Type de défi : sélectionnez Dynamic-Microsoft CA.

   • URL vers administrateur SCEP : saisissez l'URL du défi que vous avez enregistrée à la Tâche 1.

   • Nom d'utilisateur : saisissez le nom d'utilisateur que vous avez enregistré à la Tâche 1.

   • Mot de passe : saisissez le mot de passe que vous avez enregistré à la Tâche 1.

   • Vérifier le mot de passe :

   • Taille de la clé : sélectionnez 2048.

   • Utiliser comme signature numérique : sélectionnez cette option.

   • Autoriser l'exportation depuis le trousseau de clés : laissez cette option vide. Une bonne pratique de sécurité consiste à marquer le certificat comme non exportable.

   • Autoriser l'accès à toutes les apps : sélectionnez cette option.

6. Cliquez sur Enregistrer.

Configurer les cibles pour le profil SCEP dans Jamf Pro

Vérifier que l'AC Okta a été installée sur vos appareils

1. Sur un appareil macOS géré par Jamf Pro, accédez à Paramètres système > Confidentialité et sécurité > Profils.

2. Ouvrez Trousseau > Connexion.

3. Confirmez que vous disposez du certificat client et de la clé privée associée.