デバイスアクセスSCEP証明書

macOSにデバイスアクセス簡易証明書登録プロトコル（SCEP）証明書をセットアップできます。これらの証明書は、モバイルデバイス管理（MDM）ソフトウェアを使用してデプロイします。証明書を使用して、特定のAPIエンドポイントへのアクセスを付与し、呼び出しを行うデバイスを識別します。

デバイスアクセス用の証明書のセットアップは、デバイスの管理ステータスの証明には使用されません。管理証明の詳細については、「認証局を構成する」を参照してください。

macOS 14 Sonoma以降で動作しているデバイスにデスクトップパスワード同期を使用するには、デバイスアクセスSCEP証明書が必要です。「macOS 14向けのデスクトップパスワード同期を構成する」を参照してください。

デバイスアクセスSCEP証明書は管理対象デバイス構成証明に使用されるSCEP証明書とは別途のもので、Okta Device Accessの必須コンポーネントです。

このページ上

Oktaは次の３つの異なる方法でOkta Device Accessの認証局（CA）として構成できます。

各証明書を構成する際には、Oktaをデバイス管理のCAとして構成する場合と同じプロセスに従います。orgに適したプロセスに従いながら、CAをデバイスアクセスに使用できるようにするために次の2つの小さな変更を行います。

Admin Consoleで［Security（セキュリティ）］［Device integrations（デバイス統合）］に移動します。
［エンドポイント管理］タブではなく、［デバイスアクセス］タブをクリックします。
Jamf ProでSCEPプロファイルを作成する際に、SCEPプロファイルの［レベル］を［User Level（ユーザーレベル）］の代わりに［Computer Level（コンピューターレベル）］に設定します。

orgとオペレーティングシステムに適したプロセスに従います。

デバイスアクセスの認証局を構成するには、［デバイスアクセス］タブをクリックします。また、MDMでSCEPプロファイルを［コンピューターレベル］に設定することを忘れないでください。

デバイスアクセスに独自の認証局を使用できます。

Admin Consoleで［Security（セキュリティ）］［Device integrations（デバイス統合）］に移動します。
［Certificate Authority（認証局）］タブをクリックします。
［Add certificate authority（認証局を追加）］をクリックします。
［デバイスアクセス］ラジオボタンを選択します。
［Browse files（ファイルを参照）］をクリックし、アップロードする適切な証明書ファイルを選択します。証明書がOktaによって自動的にアップロードされ、アップロードが成功するとメッセージが表示されます。証明書の詳細を表示するには、［View root certificate chain details（ルート証明書チェーンの詳細を表示）］をクリックします。
［Save（保存）］をクリックします。

デバイスアクセスに独自の認証局を使用する場合は、デバイス管理に独自のCAを使用する場合と同じプロセスに従います。「管理対象デバイス向けに独自の認証局を使用する」で説明されているプロセスに従ってください。CAをデバイスアクセスに特定して使用するには、3つの小さな変更が必要です。

証明書がアップロードされたら、デバイスアクセスが適切な証明書を見つけて選択できるように、SCEPで発行されたクライアント証明書にカスタム証明書拡張機能を追加します。証明書拡張機能に次の値を追加します。

証明書拡張機能の形式はCAプロバイダーによって異なります。使用する適切な形式については、プロバイダーのドキュメントを参照してください。以下はDigiCertのカスタム拡張機能証明書プロファイルの例です。

コピー

  {
      "oid": "1.3.6.1.4.1.51150.13.1",
      "critical": true,
      "template": {
        "type": "INTEGER",
        "value": "1"
      }
  }

Oktaをデバイスアクセスの認証局として構成した場合、Oktaはユーザーの代わりにこのステップを完了します。

CAのセットアップと証明書のデプロイが完了したら、証明書が予想どおりにorgのデバイスにデプロイされていることを確認します。

Jamf Proによって管理されているmacOSデバイスで、［System Preferences（システム設定）］［Profiles（プロファイル）］を開きます。
［Keychain（キーチェーン）］をクリックして［System（システム）］をクリックします。
クライアント証明書および関連する秘密鍵が存在することを確認します。
OIDが「1.3.6.1.4.1.51150.13.1」であるカスタム拡張機能がクライアント証明書に存在することを確認します。

必要な設定で証明書がデプロイされたことを確認できない場合は、タスクの手順を見直してください。Okta Admin Consoleで［Device Access（デバイスアクセス）］が選択され、MDMで証明書がコンピュータレベルで設定されていることを確認してください。