Jamf Proを使用して、macOSの動的SCEPチャレンジを使用するCAとしてOktaを構成する
認証局（CA）を構成すると、対象のmacOSデバイスにクライアント証明書を発行できます。この手順では、OktaでSimple Certificate Enrollment Protocol（SCEP）URLを生成し、Jamf Proを使用して動的Simple Certificate Enrollment Protocol（SCEP）プロファイルを作成する方法について説明します。
はじめに
以下にアクセスできることを確認してください。
- 証明書がほかの目的（暗号化など）ではなく、デジタル署名用にデプロイされている
- Okta Admin Console
- Jamf Proダッシュボード
AirWatchを使用している場合は、静的SCEPを使用します。AirWatchには、動的SCEPに関する既知の問題があります。
この手順を開始する
- タスク1：SCEP URLを生成する
- タスク2：Jamf Proで動的SCEPプロファイルを作成する
- タスク3：Jamf ProでSCEPプロファイルのターゲットを構成する
- タスク4：Okta CAがデバイスにインストールされていることを確認する
タスク1：SCEP URLを生成する
- Okta Admin Consoleで、に移動します。
- ［Endpoint management（エンドポイント管理）］タブで、［Add Platform（プラットフォームを追加）］をクリックします。
- ［Desktop (Windows and macOS only)（デスクトップ（WindowsおよびmacOSのみ））］を選択して、［Next（次へ）］をクリックします。
- ［Add device management platform（デバイス管理プラットフォームを追加）］ページで、次のオプションを選択します。
目的 選択 認証局 ［Use Okta as Certificate Authority（認証局としてOktaを使用します）］。 SCEP URLチャレンジタイプ ［Dynamic SCEP URL（動的SCEP URL）］の［Generic（汎用）］が選択されていることを確認します。 - ［Generate（生成）］をクリックします。
- 次の値をコピーして保存します。
- SCEP URL
- チャレンジURL
- Username（ユーザー名）
- パスワード
パスワードを表示するには、［Show password（パスワードを表示）］
をクリックします。［Password（パスワード）］は安全な場所に保存してください。Admin Consoleに表示されるのはこのタイミングのみです。これらの値はJamf Proで必要になります。 - ［Save（保存）］をクリックします。
タスク2：Jamf Proで動的SCEPプロファイルを作成する
SCEPプロファイルでは、デバイスがSimple Certificate Enrollment Protocol（SCEP）を使用して認証局（CA）から証明書を取得できるようにする設定を指定します。SCEPをサポートする任意のデバイス管理ソリューションを使用して、プロファイルを構成できます。OktaではJamf Proを使用してSCEPプロファイルのデプロイメントをテストしたため、次の手順ではJamf Proを使用してプロファイルを作成する方法を説明します。
CAとしてのOktaは、更新リクエストをサポートしません。その代わりに、証明書の有効期限が切れる前にプロトコルを再配布して期限切れ証明書を交換します。プロトコルの再配布が許可されるには、すべてのMDM SCEPポリシーが構成されている必要があります。
Jamf ProでSCEPプロファイルを作成するには、次の操作を行います。
- Jamf Proで、に移動します。
- ［New（新規）］をクリックします。
- ［General（一般）］ページで、次の情報を入力します。
目的 以下を実施 Name（名前） このプロファイルの名前を入力します。 ［Description（説明）］ 任意。プロファイルの説明を入力します。 ［Level（レベル）］ 証明書の適切なレベルを選択します。Okta Verifyはこの証明書を使用して、管理対象デバイスと管理対象ユーザーを識別します。デバイスのすべてのユーザーが確実に管理されるようにするには、［Computer Level（コンピューターレベル）］を選択する必要があります。 デバイスの特定のユーザーのみを管理対象として識別したい場合は、［User Level（ユーザーレベル）］を選択する必要があります。
- ［SCEP］をクリックしてから、［Configure（構成）］をクリックします。
- ［SCEP profile（SCEPプロファイル）］に次の情報を入力します。
目的 以下を実施 URL タスク1で保存したSCEP URLを貼り付けます。 Name（名前） このSCEPプロファイルの名前を入力します。 Redistribute Profile（プロトコルの再配布） SCEP発行の証明書の有効期限が切れる何日前にプロファイルを再配布するか、時間枠を選択します。 Oktaは、証明書の自動更新をサポートしません。プロトコルを再配布して期限切れ証明書を交換する必要があります。
Subject（件名） 適切なサブジェクト名を入力します。たとえば、［Computer Level（コンピューターレベル）］を選択した場合、デバイス名を示すサブジェクトを設定します：CN=$COMPUTERNAME managementAttestation $UDID ［User Level（ユーザーレベル）］を選択した場合は、ユーザーを示すサブジェクト名を設定します：CN=$EMAIL managementAttestation $UDID
Oktaでは、件名を特定の形式にする必要はありません。証明書がOktaへのデバイス管理シグナルとして使用されることを示す名前を選択してください。ベストプラクティスとして、Jamf Proが提供するプロファイル変数を含めることで、デバイスID（UDID）とユーザー識別子を含めることもできます。サポートされている変数のリストについては、Jamf Proのドキュメント「Payload Variables for Computer Configuration Profiles」を参照してください。
［Challenge type（チャレンジタイプ）］ ［Dynamic-Microsoft CA（動的-Microsoft CA）］を選択します。 ［URL To SCEP Admin（SCEP管理者へのURL）］ タスク1で保存したチャレンジURLを入力します。 Username（ユーザー名） タスク1で保存したユーザー名を入力します。 ［Password（パスワード）］ タスク1で保存したパスワードを入力します。 ［Verify Password（パスワードの確認）］ タスク1で保存したパスワードを再入力します。 ［Key Size（キーサイズ）］ ［2048］を選択します。 ［Use as digital signature（デジタル署名として使用する）］ このオプションを選択します。 ［Allow export from keychain（キーチェーンからのエクスポートを許可する）］ このオプションの選択を解除します。セキュリティプラクティスとして、証明書にエクスポート不可のマークを付けることをお勧めします。 ［Allow all apps access（すべてのアプリのアクセスを許可する）］ このオプションを選択します。 - ［Save（保存）］をクリックします。
タスク3：Jamf ProでSCEPプロファイルのターゲットを構成する
Jamf Proを使用してデバイスを管理している場合、次のステップは、プロファイルがデプロイされるターゲットを構成することです。
Jamf Proでターゲットを構成するには、次の操作を行います。
- Jamf Proで、に移動します。
- 「タスク2：Jamf Proで動的SCEPプロファイルを作成する」で作成したSCEP構成プロファイル名を選択します。
- ［Scope（スコープ）］をクリックします。
- ［Edit（編集）］をクリックします。
- ［Add（追加）］をクリックします。
- デプロイメントターゲットを選択し、［Add（追加）］をクリックします。必要なすべてのターゲットに対して、この手順を繰り返します。
- ［Save（保存）］をクリックします。
タスク4：Okta CAがデバイスにインストールされていることを確認する
- Jamf Proによって管理されているmacOSデバイスで、に移動します。
- を開きます。
- クライアント証明書と関連する秘密鍵が存在することを確認します。