AppleデバイスのSCEPデバイス管理ペイロードの設定

デバイス管理サービスに登録されているAppleデバイス用に認証局（CA）から証明書を取得するように、SCEP設定を構成できます。SCEPペイロードでは、デバイスがSCEP（Simple Certificate Enrollment Protocol）を使用して認証局（CA）から証明書を取得することを許可する設定を指定できます。

SCEPペイロードは、以下に対応しています。詳しくは、ペイロード情報を参照してください。SCEP変数のリストを確認するには、Appleデバイスのデバイス管理ペイロードの変数設定を参照してください。

利用可能なペイロード識別子: com.apple.security.scep
対応しているオペレーティングシステムおよびチャンネル: iOS、iPadOS、共有iPadデバイス、macOSデバイス、macOSユーザ、tvOS、watchOS 10、visionOS 1.1。
利用可能な登録方法: ユーザ登録、デバイス登録、自動デバイス登録。
重複を許可: True。SCEPペイロードはユーザまたはデバイスに複数配信できます。

SCEPペイロードでは以下の表の設定を使用できます。

設定	説明	必須
URL	SCEPサーバのアドレスを指定します。	はい
名前	認証局で解釈される任意の文字列を指定します。インスタンスを区別するために使用できます。	いいえ
サブジェクト	OIDおよび値の配列として表されるX.500名の表現。例えば、/C=US/O=Apple Inc./CN=foo/1.2.5.3=barは、次のように変換されます: [ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], ..., [ [ “1.2.5.3”, “bar” ] ] ]	いいえ
サブジェクト代替名のタイプ	SCEPサーバの代替名のタイプを指定します。タイプは、「RFC 822名」、「DNS名」、および「URI」（Uniform Resource Identifier）です。URL（Uniform Resource Locator）、URN（Uniform Resource Name）、またはその両方を指定できます。	いいえ
サブジェクト代替名の値	サブジェクト代替名の値です。	いいえ
NTプリンシパル名	証明書要求で使用されるプリンシパル名です。（オプション）	いいえ
再試行	署名済み証明書のためにSCEPサーバへのポーリングを中断するまでの時間。	いいえ
再試行間隔	ポーリング試行間隔（秒数）。	いいえ
チャレンジ	SCEPサーバが要求またはユーザを識別するために使用する事前共有シークレットです。	いいえ
証明書の有効期限切れ通知のしきい値（macOS）	証明書の有効期限切れ通知の表示が開始されるまでの日数です。	いいえ
鍵のサイズ	鍵のサイズ（ビット単位）を選択し、その下のチェックボックスで、受け入れ可能な鍵用途を選択します。1024、2048、4096のオプションがあります。	いいえ
鍵用途	鍵を以下のどちらに使用するかを選択します: デジタル署名として使用鍵の暗号化に使用	いいえ
フィンガープリント	CAがHTTPを使用している場合は、このフィールドにCAの証明書の指紋（フィンガープリント）を入力します。これは、登録時にCAの応答の真正性を確認するためにデバイスで使用されます。SHA1フィンガープリントまたはMD5フィンガープリントを入力するか、証明書を選択してその署名を読み込むことができます。	いいえ
キーチェーンからの書き出しを許可（macOS）	キーチェーンから秘密鍵を書き出すことができます。	いいえ
すべてのアプリへのアクセスを許可（macOS）	すべてのアプリにキーチェーン内の証明書へのアクセスを許可注記: 他社製のVPNエージェントが認証に証明書を使用できるようにするには、macOSでこのキーを使用する必要があります。この証明書ペイロードはACMEまたはSCEPペイロードと同じプロファイルに含まれている必要があります。	いいえ

注記: 各デバイス管理サービスデベロッパは、これらの設定を異なる方法で実装します。お使いのデバイスおよびユーザで適用されるSCEP設定については、デベロッパのデバイス管理サービスの資料を参照してください。

役に立ちましたか？

Appleプラットフォーム導入

AppleデバイスのSCEPデバイス管理ペイロードの設定