Configurer Jamf Pro for Connector pour SCEP

Pour générer une empreinte digitale pour votre autorité de certification privée

1. Obtenez le certificat CA privé depuis l'une des CA privée AWS consoles ou en utilisant le GetCertificateAuthorityCertificate. Enregistrez-le en tant que ca.pem fichier.

2. Installez les utilitaires de ligne de commande OpenSSL.

3. Dans OpenSSL, exécutez la commande suivante pour générer l'empreinte digitale :

   openssl x509 -in ca.pem -sha256 -fingerprint

Pour configurer CA privée AWS en tant qu'autorité de certification externe (CA) dans Jamf Pro

1. Dans la console Jamf Pro, accédez à la page des paramètres des certificats PKI en accédant à Paramètres > Global > Certificats PKI.

2. Sélectionnez l'onglet Modèle de certificat de gestion.

3. Sélectionnez External CA.

4. Tâche de sélection Modifier.

5. (Facultatif) Sélectionnez Activer Jamf Pro en tant que proxy SCEP pour les profils de configuration. Vous pouvez utiliser les profils de configuration Jamf Pro pour émettre différents certificats adaptés à des cas d'utilisation spécifiques. Pour savoir comment utiliser les profils de configuration dans Jamf Pro, consultez la section Activation de Jamf Pro en tant que proxy SCEP pour les profils de configuration dans la documentation Jamf Pro.

6. Sélectionnez Utiliser une autorité de certification SCEP-enabled externe pour l'inscription des ordinateurs et des appareils mobiles.

7. (Facultatif) Sélectionnez Utiliser Jamf Pro comme proxy SCEP pour l'inscription des ordinateurs et des appareils mobiles. Si vous rencontrez des échecs lors de l'installation du profil, consultezRésoudre les problèmes d'installation du profil.

8. Copiez et collez l'URL SCEP du connecteur pour SCEP depuis les détails du connecteur dans le champ URL de Jamf Pro. Pour afficher les détails d'un connecteur, sélectionnez-le dans la liste Connecteurs pour SCEP. Vous pouvez également obtenir l'URL en appelant GetConnector et en copiant la Endpoint valeur de la réponse.

9. (Facultatif) Entrez le nom de l'instance dans le champ Nom. Par exemple, vous pouvez lui donner un nom CA privée AWS.

10. Sélectionnez Statique pour le type de défi.

11. Copiez le mot de passe d'un challenge depuis votre connecteur et collez-le dans le champ Challenge. Un connecteur peut avoir plusieurs mots de passe de challenge. Pour afficher les mots de passe de défi de votre connecteur, accédez à la page des détails de votre connecteur dans la AWS console et sélectionnez le bouton Afficher le mot de passe. Vous pouvez également obtenir le ou les mots de passe de challenge d'un connecteur en appelant GetChallengePassword et en copiant une Password valeur de la réponse. Pour plus d'informations sur l'utilisation des mots de passe de challenge, consultezComprendre les considérations et les limites de Connector pour le SCEP.

12. Collez le mot de passe du challenge dans le champ Vérifier le challenge.

13. Choisissez une taille de clé. Nous recommandons une taille de clé de 2048 ou plus.

14. (Facultatif) Sélectionnez Utiliser comme signature numérique. Sélectionnez cette option à des fins d'authentification afin d'accorder aux appareils un accès sécurisé à des ressources telles que Wi-Fi le VPN.

15. (Facultatif) Sélectionnez Utiliser pour le chiffrement des clés.

16. (Facultatif - recommandé) Entrez une chaîne hexadécimale dans le champ Empreinte digitale. Nous vous recommandons d'ajouter une empreinte digitale de l'autorité de certification pour permettre aux appareils gérés de vérifier l'autorité de certification et de ne demander des certificats qu'à l'autorité de certification. Pour savoir comment générer une empreinte digitale pour votre autorité de certification privée, consultezÉtape 1 : (Facultatif - recommandé) Obtenez l'empreinte digitale de votre autorité de certification privée.

17. Cliquez sur Enregistrer.

1. L'exemple suivant utilise OpenSSL et AWS Certificate Manager, mais vous pouvez générer une demande de signature de certificat en utilisant la méthode de votre choix.

   AWS Certificate Manager console

   Pour créer un certificat de signature de profil à l'aide de la console ACM

   1. Utilisez ACM pour demander un certificat PKI privé. Incluez les éléments suivants :

      • Type  : utilisez le même type de CA privée que celui qui sert d'autorité de certification SCEP pour votre système MDM.

      • Dans la section Détails de l'autorité de certification, sélectionnez le menu Autorité de certification et choisissez l'autorité de certification privée qui fait office de CA pour Jamf Pro.

      • Nom de domaine  : indiquez un nom de domaine à intégrer au certificat. Vous pouvez utiliser un nom de domaine complet (FQDN), tel quewww.example.com, ou un nom de domaine nu ou apex tel que example.com (qui exclutwww.).

   2. Utilisez ACM pour exporter le certificat privé que vous avez créé à l'étape précédente. Choisissez Exporter un fichier pour le certificat, la chaîne de certificats et la clé chiffrée. Gardez le mot de passe à portée de main car vous en aurez besoin à l'étape suivante.

   3. Dans un terminal, exécutez la commande suivante dans un dossier contenant les fichiers exportés pour écrire le bundle PKCS #12 dans le output.p12 fichier codé par la phrase secrète que vous avez créée à l'étape précédente.

      openssl pkcs12 -export \
        -in "Exported Certificate.txt" \
        -certfile "Certificate Chain.txt" \
        -inkey "Exported Certificate Private Key.txt" \
        -name example \
        -out output.p12 \
        -passin pass:your-passphrase \
        -passout pass:your-passphrase
      

   AWS Certificate Manager CLI

   Pour créer un certificat de signature de profil à l'aide de l'ACM CLI

   • La commande suivante montre comment créer un certificat dans ACM, puis exporter les fichiers en tant que bundle PKCS #12.

     PCA=<Enter your Private CA ARN>
     
     CERTIFICATE=$(aws acm request-certificate \
         --certificate-authority-arn $PCA \
         --domain-name <any valid domain name, such as test.name> \
         | jq -r '.CertificateArn')
     
     while [[ $(aws acm describe-certificate \
       --certificate-arn $CERTIFICATE \
       | jq -r '.Certificate.Status') != "ISSUED" ]] do sleep 1; done
       
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.Certificate' > Certificate.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.CertificateChain' > CertificateChain.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.PrivateKey' > PrivateKey.pem
       
     openssl pkcs12 -export \
       -in "Certificate.pem" \
       -certfile "CertificateChain.pem" \
       -inkey "PrivateKey.pem" \
       -name example \
       -out output.p12 \
       -passin pass:passphrase \
       -passout pass:passphrase

   OpenSSL CLI

   Pour créer un certificat de signature de profil à l'aide de l'interface de ligne de commande OpenSSL

   1. À l'aide d'OpenSSL, générez une clé privée en exécutant la commande suivante.

      openssl genrsa -out local.key 2048

   2. Générez une demande de signature de certificat (CSR) :

      openssl req -new -key local.key -sha512 -out local.csr -subj "/CN=MySigningCertificate/O=MyOrganization" -addext keyUsage=critical,digitalSignature,nonRepudiation

   3. À l'aide du AWS CLI, émettez le certificat de signature en utilisant le CSR que vous avez généré à l'étape précédente. Exécutez la commande suivante et notez l'ARN du certificat dans la réponse.

      aws acm-pca issue-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --csr fileb://local.csr --signing-algorithm SHA512WITHRSA --validity Value=365,Type=DAYS

   4. Obtenez le certificat de signature en exécutant la commande suivante. Spécifiez l'ARN du certificat de l'étape précédente.

      aws acm-pca get-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --certificate-arn <ARN OF NEW CERTIFICATE> | jq -r '.Certificate' >local.crt

   5. Obtenez le certificat CA en exécutant la commande suivante.

      aws acm-pca get-certificate-authority-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> | jq -r '.Certificate' > ca.crt

   6. À l'aide d'OpenSSL, affichez le keystore du certificat de signature au format p12. Utilisez les fichiers CRT que vous avez générés aux étapes quatre et cinq.

      openssl pkcs12 -export -in local.crt -inkey local.key -certfile ca.crt -name "CA Chain" -out local.p12

   7. Lorsque vous y êtes invité, entrez un mot de passe d'exportation. Ce mot de passe est le mot de passe de votre keystore à fournir à Jamf Pro.

2. Dans Jamf Pro, accédez au modèle de certificat de gestion et accédez au volet External CA.

3. Au bas du volet Autorité de certification externe, sélectionnez Modifier la signature et les certificats CA.

4. Suivez les instructions qui s'affichent à l'écran pour télécharger la signature et les certificats CA pour l'autorité de certification externe.