JAMF管理対象デバイス向けのオンボードCAおよびSCEP統合
ジュニパーのオンボードCA設定 Mist Access Assuranceは、JAMFと直接統合してクライアント証明書の自動配布を行うクラウドネイティブのSCEPサービスを提供します。これにより、外部PKIが不要になり、EAP-TLS認証によりセキュアなWi-Fiオンボーディングが簡素化されます。
ジュニパー Mist Access Assuranceは、オンボード認証機関(CA)構成を提供し、フルマネージドのSCEP(簡易証明書登録プロトコル)インフラストラクチャを提供します。オンボード CA を有効にすると、Access アシュアランスは、Jamf SCEP URL、Jamf アクセストークン、Jamf Webhook URL など、シームレスな JAMF 統合に必要なすべての要素を自動的にプロビジョニングします。これらの値だけで、外部のPKIやオンプレミスのSCEPサービスを導入または保守することなく、JAMFをジュニパー Mist Access Assuranceと統合できます。Access アシュアランスが提供するオンボードCA証明書を使用して、JAMF内でSCEPプロファイルを設定し、登録済みデバイスへのセキュアなクライアント証明書の発行を可能にします。
Access アシュアランス SCEP インフラストラクチャを活用することで、JAMF が管理するエンドポイントへのクライアント証明書の配布を自動化し、EAP-TLS 認証用に Wi-Fi プロファイルにバインドできます。この機能により、ネットワークに接続するすべてのデバイスが、ジュニパー Mist Access Assurance クラウドから完全に管理されたまま、強力な証明書ベースの信頼を通じて認証されます。
JAMFがクライアント証明書配布のSCEPインフラストラクチャとしてジュニパー Mist Access Assuranceを活用できるようにするには、次の手順に従います。
オンボード CA 設定を有効にする
オンボード CA 設定を有効にするには:
-
ジュニパー Mistポータルの左側のメニューから、組織>アクセス>証明書を選択します。
認証局ページが表示されます。
-
ページの右上隅にある設定アイコンをクリックし、オン ボードCA設定を選択します。
-
アクティブを選択し、OKをクリックします。
オンボード認証機関サービスが有効になり、MDMごとにそれぞれのSCEPエンドポイントが生成されます。
オンボード CA 設定がアクティブになると、次のタブが表示されます。
-
外部—外部CAの詳細を表示します。
-
内部—NACポータルまたはMDMを介して組み込みのCAによって発行されたクライアント証明書の詳細を表示します。
-
-
ページの右上隅にある設定アイコンをもう一度クリックし、 MDM統合情報を選択します。
-
JAMFアクセストークン、JAMF Webhook URL、およびJAMF SCEP URLをコピーします。このURLをJAMF SCEPプロファイルで使用する必要があります。
オンボードCAおよびMist組織のCA証明書をダウンロードします
Mist Org CA 証明書は、JAMF マネージドクライアントが Mist Access Assurance サービスの RADIUS サーバー証明書を信頼するように設定するために必要です。オンボード CA 証明書は、JAMF で SCEP プロファイルを設定するために必要です。
-
証明書ページの右上隅にある設定アイコンをクリックし、 オンボードCA証明書のダウンロードを選択します。この証明書は、JamfのSCEP証明書として使用されます。
-
Organization>Access>Certificatesに移動します。Mist証明書を表示をクリックし、ダウンロードをクリックします。この証明書は、Jamf のルート証明書として使用されます。
注:カスタムRADIUSサーバー証明書を使用している場合、Mist組織CA証明書は必要ありません。カスタム RADIUS サーバー証明書発行者のルート CA 証明書が必要です。
JAMF Webhookを設定する
証明書登録リクエストごとに動的に生成されたSCEPチャレンジを受信するように、JAMF Webhookを設定する必要があります。
サードパーティ製アプリケーションのスクリーンショットは、公開時点のものです。スクリーンショットがいつ、または将来正確になるかを知る方法はありません。これらの画面の変更や関連するワークフローのガイダンスについては、サードパーティーのWebサイトを参照してください。
-
JAMF Pro ダッシュボードで、[ 設定]>[Webhooks] に移動し、[ 新規] をクリックします。
-
新しいWebhookページで、以下の情報を入力し、 保存をクリックします。
-
表示名—Webhookの名前
-
Webhook URL。—先ほどコピーしたJamf Webhook URL。
-
認証タイプ—ヘッダー認証
-
ヘッダーメタデータ—{"Authorization":"Bearer <Jamfアクセストークン"}
-
接続タイムアウト—5秒
-
読み取りタイムアウト—2秒
-
コンテンツタイプ—JSON
-
Webhookイベント—SCEPチャレンジ
-
設定プロファイルの作成
例として macOS デバイスを使用しましたが、手順は iOS デバイスでも同じです。
サードパーティ製アプリケーションのスクリーンショットは、公開時点のものです。スクリーンショットがいつ、または将来正確になるかを知る方法はありません。これらの画面の変更や関連するワークフローのガイダンスについては、サードパーティーのWebサイトを参照してください。
-
JAMF Pro ダッシュボードで、[ コンピューター ] > [構成プロファイル ] に移動し、[ 新規] をクリックします。
-
レベルがコンピューターレベルに設定されていることを確認します。
-
証明書タブを選択し、以下の情報を入力して保存をクリックします。
-
証明書名
-
証明書の アップロード をクリックし、先ほどダウンロードしたMist Org CA証明書をアップロードします。
カスタムRADIUSサーバー証明書を使用している場合、Mist組織CA証明書は必要ありません。カスタム RADIUS サーバー証明書発行者のルート CA 証明書が必要です。
-
-
SCEPタブを選択し、以下の情報を入力して保存をクリックします。
- URL—Jamf SCEP URL
- 名前—MIST-SCEP-CA
- プロファイルの再配布—証明書の有効期限が切れてから、プロファイルを再度プッシュするまでの日数
- 件名—CN=$COMPUTERNAME
- SANタイプ—値$UDIDとともにDNS名を追加します注:
NACがデバイスの識別とコンプライアンスチェックにこの値を使用するため、SAN:DNSフィールドにデバイスIDを含めることは必須です。
- チャレンジタイプ—動的
- 再試行回数—3
- 再試行の遅延—5
- 証明書有効期限通知しきい値—証明書有効期限通知を表示するための証明書有効期限日の前日数
- キーサイズ—2048
- デジタル署名として使用チェックボックスを選択します
- キー 暗号化に使用 チェックボックスを選択します
- 「 キーチェーンからのエクスポートを許可」 チェックボックスを選択しない
- 証明書—前の手順でダウンロードしたMistオンボードCA証明書をアップロードします。
-
ネットワークタブを選択し、設定をクリックしてWi-Fiプロファイルを有効にします。以下の情報を入力し、保存をクリックします。
- SSID - SSID 名
- セキュリティタイプ—WLAN設定によるWPA2またはWPA3エンタープライズ
- 受け入れられるEAPタイプ—TLS
- ID証明書—SCEP(MIST-SCEP-CA)
信頼 タブ を選択し、サーバー証明書の検証についてMist組織のCA証明書を確認します。
-
ス コープタブ を選択し、プロファイルをデバイスに割り当てます。
プロファイルがクライアントにプッシュされると、[ キーチェーンアクセス ]>[マイ証明書]の下にmacOSデバイスに発行された新しい証明書が表示されます。
ジュニパー Mistポータルに切り替えて、 クライアント証明書が証明書>内部で発行されていることを確認します。
Jamf用Mist SCEPでカスタムクライアント証明書の有効性を設定する
デフォルトでは、Mist SCEP を使用して Jamf を通じて発行されたクライアント証明書は 1 年間有効です。カスタム証明書の有効期間を設定するには、証明書プロファイルのサブジェクトの代替名(SAN)フィールドにUniform Resource Identifierエントリーを含めます。以下の情報を提供する必要があります。
-
SANタイプ—値$UDIDとともにDNS名を追加します
-
統一リソース識別子—以下を入力します。
tag:juniper.net,CertValidity:<validity-in-days>
例: tag:juniper.net,CertValidity:730。この例では、クライアント証明書の有効期間は、デフォルトの1年ではなく、証明書発行日から2年間有効です。
