为连接器配置 Jamf Pro SCEP

为您的私有 CA 生成指纹

1. 从 AWS Private CA 控制台或使用获取私有 CA 证书GetCertificateAuthorityCertificate。将其另存为ca.pem文件。

2. 安装打开SSL命令行实用程序。

3. 在 Open 中SSL，运行以下命令生成指纹：

   openssl x509 -in ca.pem -sha256 -fingerprint

在 Jamf Pro 中配置 AWS Private CA 为外部证书颁发机构 (CA)

1. 在 Jamf Pro 控制台中，前往 “设置” > “全局” > “PKI证书”，进入PKI证书设置页面。

2. 选择 “管理证书模板” 选项卡。

3. 选择外部 CA。

4. 选择编辑。

5. （可选）为配置文件选择 “启用 Jamf Pro 作为SCEP代理”。您可以使用 Jamf Pro 配置文件颁发针对特定用例量身定制的不同证书。有关如何在 Jamf Pro 中使用配置文件的指导，请参阅 Jamf Pr o 文档中的启用 Jamf Pro 作为配置配置文件的SCEP代理。

6. 选择 “使用SCEP已启用的外部 CA 注册计算机和移动设备”。

7. （可选）选择 “使用 Jamf Pro 作为SCEP代理进行计算机和移动设备注册”。如果您遇到配置文件安装失败的情况，请参阅解决配置文件安装失败的问题。

8. 将连接器SCEPURL从连接器的详细信息SCEP中复制并粘贴到 Jamf Pro 中的URL字段中。要查看连接器的详细信息，请从 “连接器” SCEP 列表中选择该连接器。或者，你可以URL通过调用来获取，GetConnector然后从响应中复制Endpoint值。

9. （可选）在名称字段中输入实例的名称。例如，你可以给它起个名字AWS Private CA。

10. 为挑战类型选择 “静态”。

11. 从连接器中复制质询密码，然后将其粘贴到 “质疑” 字段中。一个连接器可以有多个质询密码。要查看连接器的质询密码，请在 AWS 控制台中导航到连接器的详细信息页面，然后选择查看密码按钮。或者，您可以通过调用GetChallengePassword并复制响应中的Password值来获取连接器的质询密码。有关使用质询密码的信息，请参阅了解 Connecto SCEP r 的注意事项和限制。

12. 将质询密码粘贴到验证质询字段中。

13. 选择密钥大小。我们建议密钥大小为 2048 或更高。

14. （可选）选择 “用作数字签名”。选择此项进行身份验证，以授予设备安全访问诸如Wi-Fi和之类的资源的权限VPN。

15. （可选）选择 “用于密钥加密”。

16. （可选-推荐）在 “指纹” 字段中输入十六进制字符串。我们建议您添加 CA 指纹以允许托管设备验证 CA，并且仅向 CA 申请证书。有关如何为私有 CA 生成指纹的说明，请参阅第 1 步：（可选-推荐）获取您的私有 CA 的指纹。

17. 选择保存。

1. 以下示例使用 Open SSL 和 AWS Certificate Manager，但您可以使用首选方法生成证书签名请求。

   AWS Certificate Manager console

   使用ACM控制台创建配置文件签名证书

   1. ACM用于申请私有PKI证书。包括以下内容：

      • 类型-使用与MDM系统SCEP证书颁发机构相同的私有 CA 类型。

      • 在证书颁发机构详细信息部分，选择证书颁发机构菜单，然后选择用作 Jamf Pro CA 的私有 CA。

      • 域名-提供要嵌入到证书中的域名。您可以使用完全限定的域名 (FQDN)，例如www.example.com，也可以使用裸域名或顶点域名，例如example.com（不包括www.）。

   2. ACM用于导出您在上一步中创建的私有证书。选择导出证书、证书链和加密密钥的文件。请随身携带密码短语，因为下一步你将需要它。

   3. 在终端中，在包含导出文件的文件夹中运行以下命令，将 PKCS #12 bundle 写入由您在上一步中创建的密码编码output.p12的文件中。

      openssl pkcs12 -export \
        -in "Exported Certificate.txt" \
        -certfile "Certificate Chain.txt" \
        -inkey "Exported Certificate Private Key.txt" \
        -name example \
        -out output.p12 \
        -passin pass:your-passphrase \
        -passout pass:your-passphrase
      

   AWS Certificate Manager CLI

   要使用创建配置文件签名证书 ACM CLI

   • 以下命令显示如何在中创建证书ACM，然后将文件导出为 PKCS #12 捆绑包。

     PCA=<Enter your Private CA ARN>
     
     CERTIFICATE=$(aws acm request-certificate \
         --certificate-authority-arn $PCA \
         --domain-name <any valid domain name, such as test.name> \
         | jq -r '.CertificateArn')
     
     while [[ $(aws acm describe-certificate \
       --certificate-arn $CERTIFICATE \
       | jq -r '.Certificate.Status') != "ISSUED" ]] do sleep 1; done
       
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.Certificate' > Certificate.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.CertificateChain' > CertificateChain.pem
     aws acm export-certificate \
       --certificate-arn $CERTIFICATE \
       --passphrase password | jq -r '.PrivateKey' > PrivateKey.pem
       
     openssl pkcs12 -export \
       -in "Certificate.pem" \
       -certfile "CertificateChain.pem" \
       -inkey "PrivateKey.pem" \
       -name example \
       -out output.p12 \
       -passin pass:passphrase \
       -passout pass:passphrase

   OpenSSL CLI

   使用 Open 创建配置文件签名证书 SSL CLI

   1. 使用 OpenSSL，通过运行以下命令生成私钥。

      openssl genrsa -out local.key 2048

   2. 生成证书签名请求 (CSR)：

      openssl req -new -key local.key -sha512 -out local.csr -subj "/CN=MySigningCertificate/O=MyOrganization" -addext keyUsage=critical,digitalSignature,nonRepudiation

   3. 使用 AWS CLI，使用CSR您在上一步中生成的签名证书颁发签名证书。运行以下命令，并在响应ARN中记下证书。

      aws acm-pca issue-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --csr fileb://local.csr --signing-algorithm SHA512WITHRSA --validity Value=365,Type=DAYS

   4. 运行以下命令获取签名证书。指定上一步ARN中的证书。

      aws acm-pca get-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --certificate-arn <ARN OF NEW CERTIFICATE> | jq -r '.Certificate' >local.crt

   5. 通过运行以下命令获取 CA 证书。

      aws acm-pca get-certificate-authority-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> | jq -r '.Certificate' > ca.crt

   6. 使用 OpenSSL，以 p12 格式输出签名证书密钥库。使用您在步骤四和步骤五中生成的CRT文件。

      openssl pkcs12 -export -in local.crt -inkey local.key -certfile ca.crt -name "CA Chain" -out local.p12

   7. 出现提示时，输入导出密码。此密码是您提供给 Jamf Pro 的密钥库密码。

2. 在 Jamf Pro 中，导航到管理证书模板并转到外部 CA 窗格。

3. 在外部 CA 窗格的底部，选择更改签名和 CA 证书。

4. 按照屏幕上的说明上传外部 CA 的签名证书和 CA 证书。