Configura Jamf Pro for Connector for SCEP

Per generare un'impronta digitale per la tua CA privata

1. Ottieni il certificato CA privato dalla AWS Private CA console o utilizzando. GetCertificateAuthorityCertificate Salvalo come ca.pem file.

2. Installa le utilità della riga di comando OpenSSL.

3. In OpenSSL, esegui il seguente comando per generare l'impronta digitale:

   openssl x509 -in ca.pem -sha256 -fingerprint

Per configurare AWS Private CA come autorità di certificazione (CA) esterna in Jamf Pro

1. Nella console Jamf Pro, vai alla pagina delle impostazioni dei certificati PKI andando su Impostazioni > Globali > Certificati PKI.

2. Seleziona la scheda Modello di certificato di gestione.

3. Seleziona CA esterna.

4. Seleziona Edit (Modifica).

5. (Facoltativo) Seleziona Abilita Jamf Pro come proxy SCEP per i profili di configurazione. È possibile utilizzare i profili di configurazione Jamf Pro per emettere diversi certificati personalizzati per casi d'uso specifici. Per indicazioni su come utilizzare i profili di configurazione in Jamf Pro, vedi Abilitazione di Jamf Pro come proxy SCEP per i profili di configurazione nella documentazione di Jamf Pro.

6. Seleziona Usa una CA SCEP-enabled esterna per la registrazione di computer e dispositivi mobili.

7. (Facoltativo) Seleziona Usa Jamf Pro come proxy SCEP per la registrazione di computer e dispositivi mobili. Se si verificano errori di installazione del profilo, consulta. Risolvi i problemi relativi agli errori di installazione del profilo

8. Copia e incolla l'URL SCEP del connettore per SCEP dai dettagli del connettore nel campo URL in Jamf Pro. Per visualizzare i dettagli di un connettore, scegliete il connettore dall'elenco Connettori per SCEP. In alternativa, puoi ottenere l'URL chiamando GetConnector e copiando il Endpoint valore dalla risposta.

9. (Facoltativo) Immettete il nome dell'istanza nel campo Nome. Ad esempio, puoi assegnargli un nome AWS Private CA.

10. Seleziona Statico per il tipo di sfida.

11. Copia una password di sfida dal connettore e incollala nel campo Challenge. Un connettore può avere più password di sfida. Per visualizzare le password di sfida del connettore, accedi alla pagina dei dettagli del connettore nella AWS console e seleziona il pulsante Visualizza password. In alternativa, puoi ottenere le password di verifica di un connettore chiamando GetChallengePassword e copiando un Password valore dalla risposta. Per informazioni sull'utilizzo delle password di sfida, vedereComprendi le considerazioni e le limitazioni di Connector for SCEP.

12. Incolla la password della sfida nel campo Verifica sfida.

13. Scegli una dimensione della chiave. Consigliamo una chiave di dimensioni pari o superiori a 2048.

14. (Facoltativo) Seleziona Usa come firma digitale. Seleziona questa opzione per scopi di autenticazione per concedere ai dispositivi un accesso sicuro a risorse come Wi-Fi una VPN.

15. (Facoltativo) Seleziona Usa per la crittografia delle chiavi.

16. (Facoltativo - consigliato) Inserisci una stringa esadecimale nel campo Impronta digitale. Ti consigliamo di aggiungere un'impronta digitale della CA per consentire ai dispositivi gestiti di verificare la CA e richiedere solo i certificati alla CA. Per istruzioni su come generare un'impronta digitale per la tua CA privata, consulta. Fase 1: (Facoltativo - consigliato) Ottieni l'impronta digitale della tua CA privata

17. Seleziona Salva.

1. L'esempio seguente utilizza OpenSSL e AWS Certificate Manager, ma è possibile generare una richiesta di firma del certificato utilizzando il metodo preferito.

   AWS Certificate Manager console

   Per creare un certificato di firma del profilo utilizzando la console ACM

   1. Usa ACM per richiedere un certificato PKI privato. Includi quanto segue:

      • Tipo: utilizza lo stesso tipo di CA privata che funge da autorità di certificazione SCEP per il tuo sistema MDM.

      • Nella sezione dei dettagli dell'autorità di certificazione, seleziona il menu Autorità di certificazione e scegli la CA privata che funge da CA per Jamf Pro.

      • Nome di dominio: fornisci un nome di dominio da incorporare nel certificato. Puoi utilizzare un nome di dominio completo (FQDN), ad esempiowww.example.com, o un nome di dominio nudo o apex come example.com (che esclude). www.

   2. Usa ACM per esportare il certificato privato creato nel passaggio precedente. Scegli Esporta un file per il certificato, la catena di certificati e la chiave crittografata. Tieni la passphrase a portata di mano perché ti servirà nel passaggio successivo.

   3. In un terminale, esegui il comando seguente in una cartella contenente i file esportati per scrivere il pacchetto PKCS #12 nel output.p12 file codificato dalla passphrase creata nel passaggio precedente.

      openssl pkcs12 -export \
        -in "Exported Certificate.txt" \
        -certfile "Certificate Chain.txt" \
        -inkey "Exported Certificate Private Key.txt" \
        -name example \
        -out output.p12 \
        -passin pass:your-passphrase \
        -passout pass:your-passphrase
      

   AWS Certificate Manager CLI

   Per creare un certificato di firma del profilo utilizzando l'ACM CLI

   • Il comando seguente mostra come creare un certificato in ACM e quindi esportare i file come pacchetto PKCS #12.

     PCA=<Enter your Private CA ARN>
     
     CERTIFICATE=$(aws acm request-certificate \
         --certificate-authority-arn $PCA \
         --domain-name <any valid domain name, such as test.name> \
         | jq -r '.CertificateArn')
     
     while [[ $(aws acm describe-certificate \
       --certificate-arn $CERTIFICATE \
       | jq -r '.Certificate.Status') != "ISSUED" ]] do sleep 1; done
       
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.Certificate' > Certificate.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.CertificateChain' > CertificateChain.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.PrivateKey' > PrivateKey.pem
       
     openssl pkcs12 -export \
       -in "Certificate.pem" \
       -certfile "CertificateChain.pem" \
       -inkey "PrivateKey.pem" \
       -name example \
       -out output.p12 \
       -passin pass:passphrase \
       -passout pass:passphrase

   OpenSSL CLI

   Per creare un certificato di firma del profilo utilizzando OpenSSL CLI

   1. Usando OpenSSL, genera una chiave privata eseguendo il seguente comando.

      openssl genrsa -out local.key 2048

   2. Genera una richiesta di firma del certificato (CSR):

      openssl req -new -key local.key -sha512 -out local.csr -subj "/CN=MySigningCertificate/O=MyOrganization" -addext keyUsage=critical,digitalSignature,nonRepudiation

   3. Utilizzando il AWS CLI, emetti il certificato di firma utilizzando il CSR generato nel passaggio precedente. Esegui il comando seguente e annota il certificato ARN nella risposta.

      aws acm-pca issue-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --csr fileb://local.csr --signing-algorithm SHA512WITHRSA --validity Value=365,Type=DAYS

   4. Ottieni il certificato di firma eseguendo il seguente comando. Specifica l'ARN del certificato indicato nel passaggio precedente.

      aws acm-pca get-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --certificate-arn <ARN OF NEW CERTIFICATE> | jq -r '.Certificate' >local.crt

   5. Ottieni il certificato CA eseguendo il comando seguente.

      aws acm-pca get-certificate-authority-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> | jq -r '.Certificate' > ca.crt

   6. Utilizzando OpenSSL, emetti il keystore del certificato di firma in formato p12. Usa i file CRT che hai generato nei passaggi quattro e cinque.

      openssl pkcs12 -export -in local.crt -inkey local.key -certfile ca.crt -name "CA Chain" -out local.p12

   7. Quando richiesto, inserisci una password di esportazione. Questa password è la password del keystore da fornire a Jamf Pro.

2. In Jamf Pro, vai al modello di certificato di gestione e vai al pannello CA esterna.

3. Nella parte inferiore del riquadro CA esterna, seleziona Modifica firma e certificati CA.

4. Segui le istruzioni sullo schermo per caricare la firma e i certificati CA per la CA esterna.