SCEP 设备策略

Last published : Oct 21, 2026
此策略允许您配置 iOS 和 macOS 设备，以通过简单证书注册协议 (SCEP) 从外部 SCEP 服务器检索证书。要使用 SCEP 从连接到 Citrix Endpoint Management 的 PKI 向设备分发证书，请在分布式模式下创建 PKI 实体和 PKI 提供程序。有关详细信息，请参阅 PKI 实体。
要添加或配置此策略，请转至 配置 > 设备策略。有关详细信息，请参阅 设备策略。
Related information
设备策略

iOS 设置

设备策略配置屏幕
  • URL 基址： 键入 SCEP 服务器的地址，以定义通过 HTTP 或 HTTPS 发送 SCEP 请求的位置。私钥不会随证书签名请求 (CSR) 一起发送，因此发送未加密的请求可能是安全的。如果一次性密码配置为可重用，请使用 HTTPS 保护密码。此步骤是必需的。
  • 实例名称： 键入 SCEP 服务器可识别的任何字符串。例如，它可以是 example.org 这样的域名。如果 CA 具有多个 CA 证书，则可以使用此字段来区分所需的域。此步骤是必需的。
  • 主题 X.500 名称 (RFC 2253)： 键入 X.500 名称的表示形式，作为对象标识符 (OID) 和值的数组。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar，它转换为：[ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], …, [ [“1.2.5.3”, “bar” ] ] ]。您可以将 OID 表示为带有点的数字，并使用国家/地区 (C)、地区 (L)、省/市/自治区 (ST)、组织 (O)、组织单位 (OU) 和公用名 (CN) 的快捷方式。
  • 主题备用名称类型： 选择一个备用名称类型。可选的备用名称类型可以提供 CA 颁发证书所需的值。您可以指定无、RFC 822 名称、DNS 名称或 URI。
  • 最大重试次数： 键入当 SCEP 服务器发送 PENDING 响应时设备必须重试的次数。默认值为 3。
  • 重试延迟： 键入后续重试之间等待的秒数。第一次重试不延迟。默认值为 10。
  • 质询密码： 输入预共享密钥。
  • 密钥大小（位）： 选择 2048 或更高的密钥大小（位）。
  • 用作数字签名： 选择是否将证书用作数字签名。SCEP 服务器在使用公钥解密哈希之前，会验证证书是否用作数字签名。
  • 用于密钥加密： 选择是否将证书用于密钥加密。服务器首先检查客户端提供的证书是否允许用于密钥加密。然后，服务器使用证书中的公钥来验证数据是否使用私钥加密。如果不是，则操作失败。
  • SHA-256 指纹（十六进制字符串）： 如果您的 CA 使用 HTTP，请使用此字段提供 CA 证书的指纹。设备使用指纹在注册期间确认 CA 响应的真实性。您可以提供 SHA-256 指纹，也可以选择证书以导入其签名。
  • 策略设置
    • 删除策略： 选择一种计划策略删除的方法。可用选项包括选择日期和删除前持续时间（小时）
      • 选择日期： 单击日历以选择具体的删除日期。
      • 删除前持续时间（小时）： 键入一个数字（以小时为单位），直到策略删除发生。仅适用于 iOS 6.0 及更高版本。

macOS 设置

设备策略配置屏幕
  • URL 基础： 键入 SCEP 服务器的地址，以定义 SCEP 请求通过 HTTP 或 HTTPS 发送的位置。私钥不会随证书签名请求 (CSR) 一起发送，因此未加密发送请求可能是安全的。如果一次性密码配置为可重用，请使用 HTTPS 保护密码。此步骤是必需的。
  • 实例名称： 键入 SCEP 服务器可识别的任何字符串。例如，它可以是 example.org 这样的域名。如果 CA 具有多个 CA 证书，则可以使用此字段来区分所需的域。此步骤是必需的。
  • 主题 X.500 名称 (RFC 2253)： 键入 X.500 名称的表示形式，作为对象标识符 (OID) 和值的数组。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar，其转换为：[ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], …, [ [“1.2.5.3”, “bar” ] ] ]。您可以将 OID 表示为带有点的数字，并使用国家/地区 (C)、地区 (L)、省/市/自治区 (ST)、组织 (O)、组织单位 (OU) 和通用名称 (CN) 的快捷方式。
  • 主题备用名称类型： 选择备用名称类型。可选的备用名称类型可以提供 CA 颁发证书所需的值。您可以指定无、RFC 822 名称、DNS 名称或 URI。
  • 最大重试次数： 键入当 SCEP 服务器发送 PENDING 响应时设备必须重试的次数。默认值为 3。
  • 重试延迟： 键入两次后续重试之间等待的秒数。第一次重试不延迟。默认值为 10。
  • 质询密码： 键入预共享密钥。
  • 密钥大小（位）： 选择 2048 或更高作为密钥大小（以位为单位）。
  • 用作数字签名： 选择是否将证书用作数字签名。SCEP 服务器在使用公钥解密哈希之前，会验证证书是否用作数字签名。
  • 用于密钥加密： 选择是否将证书用于密钥加密。服务器首先检查客户端提供的证书是否允许用于密钥加密。然后，服务器使用证书中的公钥来验证数据是否使用私钥加密。如果不是，则操作失败。
  • SHA-256 指纹（十六进制字符串）： 如果您的 CA 使用 HTTP，请使用此字段提供 CA 证书的指纹。设备使用指纹在注册期间确认 CA 响应的真实性。您可以提供 SHA-256 指纹，也可以选择证书以导入其签名。
  • 策略设置
    • 删除策略： 选择一种计划策略删除的方法。可用选项包括“选择日期”和“删除前持续时间（小时）”。
      • 选择日期： 单击日历以选择具体的删除日期。
      • 删除前持续时间（小时）： 键入一个数字（以小时为单位），直到策略删除发生。
    • 允许用户删除策略： 您可以选择用户何时可以从其设备中删除策略。从菜单中选择“始终”、“需要密码”或“从不”。如果选择“需要密码”，请在“删除密码”字段中键入密码。
    • 配置文件范围： 选择此策略是应用于“用户”还是整个“系统”。默认值为“用户”。此选项仅适用于 macOS 10.7 及更高版本。