SCEP-Geräterichtlinie

iOS-Einstellungen

• URL-Basis: Geben Sie die Adresse des SCEP-Servers ein, um zu definieren, wohin SCEP-Anfragen über HTTP oder HTTPS gesendet werden. Der private Schlüssel wird nicht mit der Zertifikatsignieranforderung (CSR) gesendet, daher kann es sicher sein, die Anfrage unverschlüsselt zu senden. Wenn das Einmalpasswort zur Wiederverwendung konfiguriert ist, verwenden Sie HTTPS, um das Passwort zu schützen. Dieser Schritt ist erforderlich.
• Instanzname: Geben Sie eine beliebige Zeichenfolge ein, die der SCEP-Server erkennt. Dies kann beispielsweise ein Domänenname wie example.org sein. Wenn eine CA mehrere CA-Zertifikate hat, können Sie dieses Feld verwenden, um die erforderliche Domäne zu unterscheiden. Dieser Schritt ist erforderlich.
• Subject X.500-Name (RFC 2253): Geben Sie die Darstellung eines X.500-Namens als Array von Objekt-ID (OID) und Wert ein. Zum Beispiel /C=US/O=Apple Inc./CN=foo/1.2.5.3=bar, was übersetzt wird zu: [ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], …, [ [“1.2.5.3”, “bar” ] ] ]. Sie können OIDs als gepunktete Zahlen mit Abkürzungen für Land (C), Ort (L), Bundesland (ST), Organisation (O), Organisationseinheit (OU) und allgemeinen Namen (CN) darstellen.
• Typ der alternativen Antragstellernamen: Wählen Sie einen alternativen Namenstyp aus. Ein optionaler alternativer Namenstyp kann die von der CA für die Ausstellung eines Zertifikats benötigten Werte bereitstellen. Sie können Keine, RFC 822-Name, DNS-Name oder URI auswählen.
• Maximale Wiederholungsversuche: Geben Sie die Anzahl der Wiederholungsversuche an, die ein Gerät unternehmen muss, wenn der SCEP-Server eine PENDING-Antwort sendet. Der Standardwert ist 3.
• Wiederholungsverzögerung: Geben Sie die Anzahl der Sekunden ein, die zwischen aufeinanderfolgenden Wiederholungsversuchen gewartet werden soll. Der erste Wiederholungsversuch wird ohne Verzögerung durchgeführt. Der Standardwert ist 10.
• Challenge-Passwort: Geben Sie ein vorab geteiltes Geheimnis ein.
• Schlüsselgröße (Bits): Wählen Sie 2048 oder höher als Schlüsselgröße in Bits aus.
• Als digitale Signatur verwenden: Wählen Sie, ob das Zertifikat als digitale Signatur verwendet werden soll. Der SCEP-Server überprüft die Verwendung des Zertifikats als digitale Signatur, bevor er den öffentlichen Schlüssel zum Entschlüsseln des Hashs verwendet.
• Für Schlüsselverschlüsselung verwenden: Wählen Sie, ob das Zertifikat für die Schlüsselverschlüsselung verwendet werden soll. Ein Server prüft zunächst, ob das von einem Client bereitgestellte Zertifikat für die Schlüsselverschlüsselung zugelassen ist. Anschließend verwendet der Server den öffentlichen Schlüssel in einem Zertifikat, um zu überprüfen, ob ein Datensatz mit dem privaten Schlüssel verschlüsselt wurde. Ist dies nicht der Fall, schlägt der Vorgang fehl.
• SHA-256-Fingerabdruck (hexadezimale Zeichenfolge): Wenn Ihre CA HTTP verwendet, geben Sie in diesem Feld den Fingerabdruck des CA-Zertifikats an. Das Gerät verwendet den Fingerabdruck, um die Authentizität der CA-Antwort während der Registrierung zu bestätigen. Sie können einen SHA-256-Fingerabdruck angeben oder ein Zertifikat auswählen, um dessen Signatur zu importieren.
• Richtlinieneinstellungen
  • Richtlinie entfernen: Wählen Sie eine Methode für die Planung der Richtlinienentfernung. Verfügbare Optionen sind Datum auswählen und Dauer bis zur Entfernung (in Stunden)
    • Datum auswählen: Klicken Sie auf den Kalender, um das spezifische Datum für die Entfernung auszuwählen.
    • Dauer bis zur Entfernung (in Stunden): Geben Sie eine Zahl (in Stunden) ein, bis die Richtlinie entfernt wird. Nur für iOS 6.0 und höher verfügbar.

macOS-Einstellungen

• URL-Basis: Geben Sie die Adresse des SCEP-Servers ein, um festzulegen, wohin SCEP-Anfragen über HTTP oder HTTPS gesendet werden. Der private Schlüssel wird nicht mit der Zertifikatsanforderung (CSR) gesendet, daher kann es sicher sein, die Anforderung unverschlüsselt zu senden. Wenn das Einmalpasswort zur Wiederverwendung konfiguriert ist, verwenden Sie HTTPS, um das Passwort zu schützen. Dieser Schritt ist erforderlich.
• Instanzname: Geben Sie eine beliebige Zeichenfolge ein, die der SCEP-Server erkennt. Zum Beispiel kann es ein Domänenname wie example.org sein. Wenn eine CA mehrere CA-Zertifikate hat, können Sie dieses Feld verwenden, um die erforderliche Domäne zu unterscheiden. Dieser Schritt ist erforderlich.
• X.500-Subjektname (RFC 2253): Geben Sie die Darstellung eines X.500-Namens als Array von Objektbezeichner (OID) und Wert ein. Zum Beispiel /C=US/O=Apple Inc./CN=foo/1.2.5.3=bar, was übersetzt bedeutet: [ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], …, [ [“1.2.5.3”, “bar” ] ] ]. Sie können OIDs als durch Punkte getrennte Zahlen mit Abkürzungen für Land (C), Ort (L), Bundesland (ST), Organisation (O), Organisationseinheit (OU) und allgemeinen Namen (CN) darstellen.
• Typ der alternativen Subjektnamen: Wählen Sie einen alternativen Namenstyp aus. Ein optionaler alternativer Namenstyp kann die von der CA benötigten Werte für die Ausstellung eines Zertifikats bereitstellen. Sie können Keine, RFC 822-Name, DNS-Name oder URI angeben.
• Maximale Wiederholungsversuche: Geben Sie an, wie oft ein Gerät einen erneuten Versuch unternehmen muss, wenn der SCEP-Server eine PENDING-Antwort sendet. Der Standardwert ist 3.
• Wiederholungsverzögerung: Geben Sie die Anzahl der Sekunden ein, die zwischen aufeinanderfolgenden Wiederholungsversuchen gewartet werden soll. Der erste Wiederholungsversuch erfolgt ohne Verzögerung. Der Standardwert ist 10.
• Challenge-Passwort: Geben Sie ein vorab freigegebenes Geheimnis ein.
• Schlüsselgröße (Bits): Wählen Sie 2048 oder höher als Schlüsselgröße in Bits aus.
• Als digitale Signatur verwenden: Wählen Sie, ob das Zertifikat als digitale Signatur verwendet werden soll. Der SCEP-Server überprüft die Verwendung des Zertifikats als digitale Signatur, bevor er den öffentlichen Schlüssel zum Entschlüsseln des Hashs verwendet.
• Für Schlüsselverschlüsselung verwenden: Wählen Sie, ob das Zertifikat für die Schlüsselverschlüsselung verwendet werden soll. Ein Server prüft zunächst, ob das vom Client bereitgestellte Zertifikat für die Schlüsselverschlüsselung zugelassen ist. Anschließend verwendet der Server den öffentlichen Schlüssel in einem Zertifikat, um zu überprüfen, ob ein Datensatz mit dem privaten Schlüssel verschlüsselt wurde. Andernfalls schlägt der Vorgang fehl.
• SHA-256-Fingerabdruck (hexadezimale Zeichenfolge): Wenn Ihre CA HTTP verwendet, geben Sie in diesem Feld den Fingerabdruck des CA-Zertifikats an. Das Gerät verwendet den Fingerabdruck, um die Authentizität der CA-Antwort während der Registrierung zu bestätigen. Sie können einen SHA-256-Fingerabdruck angeben oder ein Zertifikat auswählen, um dessen Signatur zu importieren.
• Richtlinieneinstellungen
  • Richtlinie entfernen: Wählen Sie eine Methode zum Planen der Richtlinienentfernung. Verfügbare Optionen sind Datum auswählen und Dauer bis zur Entfernung (in Stunden)
    • Datum auswählen: Klicken Sie auf den Kalender, um das spezifische Datum für die Entfernung auszuwählen.
    • Dauer bis zur Entfernung (in Stunden): Geben Sie eine Zahl (in Stunden) ein, bis die Richtlinienentfernung erfolgt.
  • Benutzer darf Richtlinie entfernen: Sie können auswählen, wann Benutzer die Richtlinie von ihrem Gerät entfernen dürfen. Wählen Sie im Menü Immer, Passcode erforderlich oder Nie aus. Wenn Sie Passcode erforderlich auswählen, geben Sie einen Passcode in das Feld Passcode für Entfernung ein.
  • Profilbereich: Wählen Sie, ob diese Richtlinie für einen Benutzer oder ein gesamtes System gilt. Die Standardeinstellung ist Benutzer. Diese Option ist nur unter macOS 10.7 und höher verfügbar.