Jamf Proを使用して、macOSの動的SCEPチャレンジを使用するCAとしてOktaを構成する

認証局（CA）を構成すると、対象のmacOSデバイスにクライアント証明書を発行できます。この手順では、OktaでSCEP URLを生成し、Jamf Proで動的Simple Certificate Enrollment Protocol（SCEP）プロファイルを作成する方法について説明します。

開始する前に

以下にアクセスできることを確認してください。

  • 証明書がほかの目的（暗号化など）ではなく、デジタル署名用にデプロイされている
  • Okta管理コンソール
  • Jamf Pro管理コンソール

この手順を開始する

タスク1：管理証明を構成し、SCEP URLを生成する

  1. Okta管理コンソールで、[セキュリティー] > [デバイス統合]に移動します。
  2. [エンドポイント管理]タブをクリックします。
  3. [プラットフォームを追加]をクリックします。
    注

    同じタイプのプラットフォームに複数の構成を追加した場合、「既知の問題」を参照してください。

  4. [デスクトップ（WindowsおよびmacOSのみ）]を選択します。
  5. [次へ]をクリックします。
  6. [デバイス管理プラットフォームを追加]ページで、次のように入力します。
    1. 認証局：[Oktaを認証局として使用する]を選択します。
    2. SCEP URLチャレンジ・タイプ：[静的SCEP URL]を選択し、[汎用]をクリックします。
    3. [生成]をクリックします。
    4. SCEP URL：値をコピーして保存します。この値はタスク2で必要になります。
    5. チャレンジURL：値をコピーして保存します。この値はタスク2で必要になります。
    6. ユーザー名：値をコピーして保存します。この値はタスク2で必要になります。
    7. パスワード：値をコピーして保存します。この値はタスク2で必要になります。
      8. 注

      パスワードは安全な場所に保存してください。Okta管理コンソールに表示されるのは今回だけです。

  7. [保存]をクリックします。

タスク2：Jamf Proで動的SCEPプロファイルを作成する

Apple SCEP MDMペイロードのプッシュをサポートする任意のデバイス管理ソリューションを使用できます。この手順は、Jamf Proを使用してmacOSデバイスを管理し、動的SCEPプロファイルを構成することを想定しています。

注

AirWatchを使用している場合は、静的SCEPを使用します。AirWatchには、動的SCEPに関する既知の問題があります。

  1. Jamf Proで、[コンピューター] > [構成プロファイル]に移動します。
  2. [+新規]をクリックします。
  3. [オプション]タブをクリックします。
  4. [一般]をクリックします。
  5. [一般プロファイル]ページで、次のように入力します。
    1. 名前：プロファイルの名前を入力します。
    2. 説明：オプションです。プロファイルの説明を入力します。
    3. レベル：[ユーザー・レベル]を選択します。
  6. [SCEP]をクリックします。
  7. [構成]をクリックします。
  8. [SCEPプロファイル]ページで、次のように入力します。
    1. URL：タスク1で保存したSCEP URLを入力します。
    2. 名前：SCEPプロファイルの名前を入力します。
    3. 件名：件名を入力します。
      注

      Oktaでは、件名を特定の形式にする必要はありません。証明書がOktaへのデバイス管理シグナルとして使用されることを示す名前を選択してください。ベスト・プラクティスとして、Jamf Proが提供するプロファイル変数を含めてデバイスID（UDID）を含めることもできます。サポートされている変数のリストについては、Jamf Proのドキュメント『コンピューター構成プロファイルのペイロード変数』を参照してください。

    4. チャレンジ・タイプ：[動的-Microsoft CA]を選択します。
      • SCEP管理者へのURL：タスク1で保存したチャレンジURLを入力します。
      • ユーザー名：タスク1で保存したユーザー名を入力します。
      • パスワード：タスク1で保存したパスワードを入力します。
      • パスワードの確認：タスク1で保存したパスワードを入力します。
    5. キー・サイズ：2048を選択し、[デジタル署名として使用する]を選択します。
    6. キーチェーンからのエクスポートを許可する：選択しないままにします。セキュリティー・プラクティスとして、証明書にエクスポート不可のマークを付けることをお勧めします。
    7. すべてのアプリのアクセスを許可する：選択します。
  9. [保存]をクリックします。
  10. プロファイルをデプロイする対象を構成します。
    1. [構成プロファイル]をクリックします。
    2. 適用する構成プロファイルの名前をクリックします。
    3. [スコープ]タブをクリックします。
    4. [編集]をクリックします。
    5. [+追加]をクリックします。
    6. 必要なデプロイ対象を見つけて、[追加]をクリックします。
  11. [保存]をクリックします。

タスク3：Okta CAがデバイスにインストールされていることを確認する

Jamf Proによって管理されるmacOSデバイスに、SCEPプロファイルがインストールされていることを確認します。

  1. [システム設定] > [プロファイル]に移動します。
  2. 動的SCEPプロファイルがインストールされていることを確認します。
  3. [キーチェーン] > [ログイン]を開きます。
  4. クライアント証明書と関連する秘密鍵が存在することを確認します。

次の手順