SCEP 设备策略

iOS 设置

• URL 基址： 键入 SCEP 服务器的地址，以定义 SCEP 请求通过 HTTP 或 HTTPS 发送的位置。私钥不会随证书签名请求 (CSR) 一起发送，因此发送未加密的请求可能是安全的。但是，如果允许重复使用一次性密码，则必须使用 HTTPS 来保护密码。此步骤是必需的。
• 实例名称： 键入 SCEP 服务器可识别的任何字符串。例如，它可以是 example.org 等域名。如果 CA 具有多个 CA 证书，则可以使用此字段来区分所需的域。此步骤是必需的。
• 主题 X.500 名称 (RFC 2253)： 键入表示为对象标识符 (OID) 和值数组的 X.500 名称。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar，这可能转换为：\[ \[ \["C", "US"\] \], \[ \["O", "Apple Inc."\] \], ..., \[ \["1.2.5.3", "bar" \] \] \]。您可以将 OID 表示为带有点的数字，并使用国家/地区 (C)、地区 (L)、省/市/自治区 (ST)、组织 (O)、组织单位 (OU) 和通用名称 (CN) 的快捷方式。
• 主题备用名称类型： 在下拉列表中单击备用名称类型。SCEP 策略可以指定一个可选的备用名称类型，该类型提供 CA 颁发证书所需的值。您可以指定无、RFC 822 名称、DNS 名称或 URI。
• 最大重试次数： 键入当 SCEP 服务器发送 PENDING 响应时设备可以重试的次数。默认值为 3。
• 重试延迟： 键入两次后续重试之间等待的秒数。第一次重试不延迟。默认值为 10。
• 质询密码： 输入预共享密钥。
• 密钥大小（位）： 选择 2048 或更高作为密钥大小（以位为单位）。
• 用作数字签名： 指定是否希望将证书用作数字签名。如果有人使用证书来验证数字签名（例如验证证书是否由 CA 颁发），SCEP 服务器将在使用公钥解密哈希之前验证证书是否可以以这种方式使用。
• 用于密钥加密： 指定是否希望将证书用于密钥加密。如果服务器使用客户端提供的证书中的公钥来验证数据是否使用私钥加密，则服务器将首先检查证书是否可以用于密钥加密。如果不能，则操作失败。
• SHA1/MD5 指纹（十六进制字符串）： 如果您的 CA 使用 HTTP，请使用此字段提供 CA 证书的指纹，设备在注册期间使用此指纹确认 CA 响应的真实性。您可以输入 SHA1 或 MD5 指纹，也可以选择证书以导入其签名。
• 策略设置
  • 删除策略： 选择一种方法来安排策略删除。可用选项为“选择日期”和“距离删除时长（小时）”
    • 选择日期： 单击日历以选择具体的删除日期。
    • 距离删除时长（小时）： 输入一个数字（以小时为单位），表示策略删除发生前的时长。仅适用于 iOS 6.0 及更高版本。

macOS 设置

• URL 基址： 键入 SCEP 服务器的地址，以定义通过 HTTP 或 HTTPS 发送 SCEP 请求的位置。私钥不会随证书签名请求 (CSR) 一起发送，因此可以安全地发送未加密的请求。但是，如果允许重复使用一次性密码，则必须使用 HTTPS 来保护密码。此步骤是必需的。
• 实例名称： 键入 SCEP 服务器可识别的任何字符串。例如，它可以是 example.org 这样的域名。如果 CA 具有多个 CA 证书，则可以使用此字段来区分所需的域。此步骤是必需的。
• 主题 X.500 名称 (RFC 2253)： 键入表示为对象标识符 (OID) 和值数组的 X.500 名称。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar，这将转换为：\[ \[ \["C", "US"\] \], \[ \["O", "Apple Inc."\] \], ..., \[ \["1.2.5.3", "bar" \] \] \]。您可以将 OID 表示为带有点的数字，并使用国家/地区 (C)、地区 (L)、省/市/自治区 (ST)、组织 (O)、组织单位 (OU) 和通用名称 (CN) 的快捷方式。
• 主题备用名称类型： 在下拉列表中单击备用名称类型。SCEP 策略可以指定一个可选的备用名称类型，该类型提供 CA 颁发证书所需的值。您可以指定“无”、“RFC 822 名称”、“DNS 名称”或“URI”。
• 最大重试次数： 键入当 SCEP 服务器发送 PENDING 响应时设备可以重试的次数。默认值为“3”。
• 重试延迟： 键入后续重试之间等待的秒数。第一次重试不延迟。默认值为“10”。
• 质询密码： 键入预共享密钥。
• 密钥大小（位）： 选择 2048 或更高作为密钥大小（以位为单位）。
• 用作数字签名： 指定是否要将证书用作数字签名。如果有人使用证书来验证数字签名，例如验证证书是否由 CA 颁发，则 SCEP 服务器将验证证书是否可以以这种方式使用，然后才使用公钥解密哈希。
• 用于密钥加密： 指定是否要将证书用于密钥加密。如果服务器使用客户端提供的证书中的公钥来验证数据是否已使用私钥加密，则服务器将首先检查证书是否可用于密钥加密。如果不能，则操作失败。
• SHA1/MD5 指纹（十六进制字符串）： 如果您的 CA 使用 HTTP，请使用此字段提供 CA 证书的指纹，设备在注册期间使用该指纹确认 CA 响应的真实性。您可以输入 SHA1 或 MD5 指纹，也可以选择证书以导入其签名。
• 策略设置
  • 删除策略： 选择一种计划策略删除的方法。可用选项包括选择日期和删除前持续时间（小时）
    • 选择日期： 单击日历以选择具体的删除日期。
    • 删除前持续时间（小时）： 输入一个数字（以小时为单位），直到策略删除发生。
  • 允许用户删除策略： 您可以选择用户何时可以从其设备中删除策略。从菜单中选择始终、需要密码或从不。如果选择需要密码，请在删除密码字段中键入密码。
  • 配置文件范围： 选择此策略是应用于用户还是整个系统。默认值为用户。此选项仅适用于 macOS 10.7 及更高版本。