Configura Jamf Pro for Connector per SCEP

Per generare un'impronta digitale per la tua CA privata

1. Ottieni il certificato CA privato da una AWS Private CA console o utilizzando il GetCertificateAuthorityCertificate. Salvalo come ca.pem file.

2. Installa le utilità Open SSL Command Line.

3. In OpenSSL, esegui il seguente comando per generare l'impronta digitale:

   openssl x509 -in ca.pem -sha256 -fingerprint

Da configurare AWS Private CA come autorità di certificazione (CA) esterna in Jamf Pro

1. Nella console Jamf Pro, vai alla pagina delle impostazioni PKI dei certificati andando su Impostazioni > Globali > certificati. PKI

2. Seleziona la scheda Modello di certificato di gestione.

3. Seleziona CA esterna.

4. Seleziona Edit (Modifica).

5. (Facoltativo) Seleziona Abilita Jamf Pro come SCEP proxy per i profili di configurazione. Puoi utilizzare i profili di configurazione Jamf Pro per emettere diversi certificati personalizzati per casi d'uso specifici. Per indicazioni su come utilizzare i profili di configurazione in Jamf Pro, consulta Abilitazione di Jamf Pro come SCEP proxy per i profili di configurazione nella documentazione di Jamf Pro.

6. Seleziona Usa una CA esterna SCEP abilitata per la registrazione di computer e dispositivi mobili.

7. (Facoltativo) Seleziona Usa Jamf Pro come SCEP proxy per la registrazione di computer e dispositivi mobili. Se riscontri errori di installazione del profilo, consulta. Risolvi gli errori di installazione del profilo

8. Copia e incolla il Connector for SCEP public SCEP URL dai dettagli del connettore nel URLcampo di Jamf Pro. Per visualizzare i dettagli di un connettore, scegli il connettore dall'SCEPelenco Connettori per. In alternativa, puoi ottenerlo URL chiamando GetConnectore copiare il Endpoint valore dalla risposta.

9. (Facoltativo) Immettete il nome dell'istanza nel campo Nome. Ad esempio, è possibile assegnarle un nome AWS Private CA.

10. Seleziona Statico per il tipo di sfida.

11. Copia una password di sfida dal tuo connettore e incollala nel campo Sfida. Un connettore può avere più password di sfida. Per visualizzare le password di richiesta del connettore, accedi alla pagina dei dettagli del connettore nella AWS console e seleziona il pulsante Visualizza password. In alternativa, puoi ottenere una o più password di sfida del connettore chiamando GetChallengePassworde copiando un Password valore dalla risposta. Per informazioni sull'utilizzo delle password di sfida, consultaComprendi le SCEP considerazioni e le limitazioni di Connector.

12. Incolla la password della sfida nel campo Verifica sfida.

13. Scegli una dimensione della chiave. Consigliamo una dimensione della chiave pari o superiore a 2048.

14. (Facoltativo) Seleziona Usa come firma digitale. Seleziona questa opzione per scopi di autenticazione per garantire ai dispositivi un accesso sicuro a risorse come Wi-Fi eVPN.

15. (Facoltativo) Seleziona Usa per la cifratura delle chiavi.

16. (Facoltativo, consigliato) Inserisci una stringa esadecimale nel campo Impronta digitale. Si consiglia di aggiungere un'impronta digitale della CA per consentire ai dispositivi gestiti di verificare la CA e di richiedere solo i certificati alla CA. Per istruzioni su come generare un'impronta digitale per la tua CA privata, consulta. Passaggio 1: (Facoltativo, consigliato) Ottieni l'impronta digitale della tua CA privata

17. Seleziona Salva.

1. L'esempio seguente utilizza Open SSL and AWS Certificate Manager, ma puoi generare una richiesta di firma del certificato utilizzando il tuo metodo preferito.

   AWS Certificate Manager console

   Per creare un certificato di firma del profilo utilizzando la ACM console

   1. Utilizzare ACM per richiedere un PKI certificato privato. Includi quanto segue:

      • Tipo: utilizza lo stesso tipo di CA privata che funge da autorità di SCEP certificazione per il MDM sistema.

      • Nella sezione Dettagli dell'autorità di certificazione, seleziona il menu Autorità di certificazione e scegli la CA privata che funge da CA per Jamf Pro.

      • Nome di dominio: fornisci un nome di dominio da incorporare nel certificato. È possibile utilizzare un nome di dominio completo (FQDN), ad esempiowww.example.com, oppure un nome di dominio semplice o apex come example.com (che escludewww.).

   2. ACMUtilizzatelo per esportare il certificato privato creato nel passaggio precedente. Scegli Esporta un file per il certificato, la catena di certificati e la chiave crittografata. Tieni la passphrase a portata di mano perché ti servirà nel passaggio successivo.

   3. In un terminale, esegui il seguente comando in una cartella contenente i file esportati per scrivere il pacchetto PKCS #12 nel output.p12 file codificato dalla passphrase creata nel passaggio precedente.

      openssl pkcs12 -export \
        -in "Exported Certificate.txt" \
        -certfile "Certificate Chain.txt" \
        -inkey "Exported Certificate Private Key.txt" \
        -name example \
        -out output.p12 \
        -passin pass:your-passphrase \
        -passout pass:your-passphrase
      

   AWS Certificate Manager CLI

   Per creare un certificato di firma del profilo utilizzando il ACM CLI

   • Il comando seguente mostra come creare un certificato in ACM e quindi esportare i file come pacchetto PKCS #12.

     PCA=<Enter your Private CA ARN>
     
     CERTIFICATE=$(aws acm request-certificate \
         --certificate-authority-arn $PCA \
         --domain-name <any valid domain name, such as test.name> \
         | jq -r '.CertificateArn')
     
     while [[ $(aws acm describe-certificate \
       --certificate-arn $CERTIFICATE \
       | jq -r '.Certificate.Status') != "ISSUED" ]] do sleep 1; done
       
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.Certificate' > Certificate.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.CertificateChain' > CertificateChain.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.PrivateKey' > PrivateKey.pem
       
     openssl pkcs12 -export \
       -in "Certificate.pem" \
       -certfile "CertificateChain.pem" \
       -inkey "PrivateKey.pem" \
       -name example \
       -out output.p12 \
       -passin pass:passphrase \
       -passout pass:passphrase

   OpenSSL CLI

   Per creare un certificato di firma del profilo utilizzando Open SSL CLI

   1. Utilizzando OpenSSL, genera una chiave privata eseguendo il comando seguente.

      openssl genrsa -out local.key 2048

   2. Genera una richiesta di firma del certificato (CSR):

      openssl req -new -key local.key -sha512 -out local.csr -subj "/CN=MySigningCertificate/O=MyOrganization" -addext keyUsage=critical,digitalSignature,nonRepudiation

   3. Utilizzando AWS CLI, emetti il certificato di firma utilizzando CSR quello generato nel passaggio precedente. Esegui il comando seguente e annota il certificato ARN nella risposta.

      aws acm-pca issue-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --csr fileb://local.csr --signing-algorithm SHA512WITHRSA --validity Value=365,Type=DAYS

   4. Ottieni il certificato di firma eseguendo il comando seguente. Specificare il certificato ARN del passaggio precedente.

      aws acm-pca get-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --certificate-arn <ARN OF NEW CERTIFICATE> | jq -r '.Certificate' >local.crt

   5. Ottieni il certificato CA eseguendo il comando seguente.

      aws acm-pca get-certificate-authority-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> | jq -r '.Certificate' > ca.crt

   6. Utilizzando OpenSSL, emette il keystore del certificato di firma in formato p12. Utilizzate i CRT file generati nei passaggi quattro e cinque.

      openssl pkcs12 -export -in local.crt -inkey local.key -certfile ca.crt -name "CA Chain" -out local.p12

   7. Quando richiesto, inserisci una password di esportazione. Questa password è la password del keystore da fornire a Jamf Pro.

2. In Jamf Pro, vai al modello di certificato di gestione e vai al pannello CA esterna.

3. Nella parte inferiore del pannello CA esterna, seleziona Change Signing and CA Certificates.

4. Segui le istruzioni visualizzate sullo schermo per caricare i certificati di firma e CA per la CA esterna.