Добавление профиля SCEP на iOS MDM-устройства
Чтобы пользователь iOS MDM-устройства мог автоматически получать сертификаты из Центра сертификации через интернет, следует добавить профиль SCEP. Профиль SCEP позволяет поддерживать протокол простой регистрации сертификатов.
По умолчанию добавляется профиль SCEP со следующими параметрами:
- Для регистрации сертификатов не используется альтернативное имя субъекта.
- Предпринимаются три попытки опроса SCEP-сервера с интервалом 10 секунд между попытками. Если все попытки подписать сертификат были неудачными, следует сформировать новый запрос на подписание сертификата.
- Полученный сертификат запрещено использовать для подписи или шифрования данных.
Вы можете изменить указанные параметры при добавлении профиля SCEP.
Чтобы добавить профиль SCEP, выполните следующие действия:
- В дереве консоли в папке Управляемые устройства выберите группу администрирования, в которую входят iOS MDM-устройства.
- В рабочей области группы выберите закладку Политики.
- Откройте окно свойств политики двойным щелчком мыши по любому столбцу.
В течение 15 минут выполните следующие действия. По истечении этого времени при сохранении изменений политики может возникнуть ошибка.
- В политике, в окне Свойства выберите раздел SCEP.
- В блоке Профили SCEP нажмите на кнопку Добавить.
Откроется окно Профиль SCEP.
- В поле Веб-адрес сервера введите веб-адрес SCEP-сервера, на котором развернут Центр сертификации.
Веб-адрес может содержать IP-адрес или полное доменное имя (FQDN). Например, http://10.10.10.10/certserver/companyscep.
- В поле Название введите название Центра сертификации, развернутого на SCEP-сервере.
- В поле Субъект введите строку с атрибутами пользователя iOS MDM-устройства, которые содержатся в сертификате X.500.
Атрибуты могут содержать сведения о стране (С), организации (O) и общем имени пользователя (CN). Например, /C=RU/O=MyCompany/CN=User/. Вы можете использовать и другие атрибуты, которые приведены в RFC 5280.
- В раскрывающемся списке Тип альтернативного имени субъекта выберите тип альтернативного имени субъекта SCEP-сервера:
- Не задан – идентификация по альтернативному имени не используется.
- RFC 822 имя – идентификация по адресу электронной почты. Адрес электронной почты должен быть представлен в соответствии с RFC 822.
- DNS-имя – идентификация по доменному имени.
- URI – идентификация по IP-адресу или адресу в формате FQDN.
Вы можете использовать альтернативное имя субъекта для идентификации пользователя iOS MDM-устройства.
- В поле Альтернативное имя субъекта введите альтернативное имя субъекта сертификата X.500. Значение альтернативного имени субъекта зависит от типа субъекта: адрес электронной почты пользователя, домен или веб-адрес.
- В поле Имя субъекта NT введите DNS-имя пользователя iOS MDM-устройства в сети Windows NT.
Имя субъекта NT содержится в запросе на сертификат в SCEP-сервер.
- В поле Количество попыток опроса SCEP-сервера укажите максимальное количество попыток опроса SCEP-сервера для подписания сертификата.
- В поле Интервал между попытками (сек) укажите период времени в секундах между попытками опроса SCEP-сервера для подписания сертификата.
- В поле Запрос регистрации введите предварительно опубликованный ключ регистрации.
Перед подписанием сертификата SCEP-сервер запрашивает у пользователя мобильного устройства ключ. Если оставить поле пустым, SCEP-сервер не будет запрашивать ключ.
- В раскрывающемся списке Размер ключа выберите размер ключа регистрации в битах: 1024 или 2048.
- Если вы хотите разрешить пользователю использовать сертификат, полученный от SCEP-сервера, в качестве сертификата подписи, установите флажок Использовать для подписи.
- Если вы хотите разрешить пользователю использовать сертификат, полученный от SCEP-сервера, для шифрования данных, установите флажок Использовать для шифрования.
Запрещено использовать сертификат SCEP-сервера в качестве сертификата подписи данных и сертификата шифрования данных одновременно.
- В поле Отпечаток сертификата введите уникальный отпечаток сертификата для проверки подлинности ответа от Центра сертификации. Вы можете использовать отпечатки сертификатов с алгоритмом хеширования SHA-1 или MD5. Вы можете скопировать отпечаток сертификата вручную или выбрать сертификат с помощью кнопки Создать из сертификата. При создании отпечатка с помощью кнопки Создать из сертификата отпечаток будет добавлен в поле автоматически.
Отпечаток сертификата требуется указать, если обмен данными между мобильным устройством и Центром сертификации осуществляется по протоколу HTTP.
- Нажмите кнопку OK.
Новый профиль SCEP отобразится в списке.
- Нажмите на кнопку Применить, чтобы сохранить внесенные изменения.
В результате после применения политики на мобильном устройстве пользователя будет настроено автоматическое получение сертификата из Центра сертификации через интернет.