Windows SCEP

简单证书注册协议(SCEP)

简单证书注册协议(SCEP)是用于证书管理的一种协议标准。SCEP主要用于基于证书的身份验证，使用证书来实现对如WiFi、VPN和通过加密保护的电子邮件等服务的访问。

基于证书的认证的主要优点是:

零用户干预，因为用户是通过证书进行验证。

保护网络通信，因为使用证书可以加密和验证数据。

但是，对于大型组织中的IT管理员来说，手动分发证书是一项非常繁琐的任务。SCEP可以帮助网络管理员轻松地在设备上安装证书。SCEP提供了一种简化和可扩展的方法来处理大型组织中的证书。证书和SCEP的区别在于，SCEP策略用于向设备分发客户端证书，而证书策略将CA证书分发给设备。

先决条件

Windows服务器机器中必须安装NDES

配置证书模板

映射证书模板到SCEP

防止挑战密码过期

在MDM中配置SCEP

Info Message

主体的值应该是LDAP DN格式，请参阅这里。
您可以验证服务器详细信息，例如登记challenge password，通过http://<your-server>/CertSrv/mscep_admin和http://<Your-Server>/crtsrv/mscep/mscep.dll
允许完全控制权限 帐户用于运行NDES的HKEY_LOCAL_MACHINE\Microsoft\Cryptography\MSCEP注册表键。只有安装了NDES的KB959193 hotfix时，才需要执行此步骤。
如果SCEP服务器不可访问，请尝试从设备访问格式为http:///CertSrv/mscep/mscep.dll 的SCEP服务器URL。如果无法访问URL，请尝试连接本地WiFi后访问URL，然后分发配置文件。

配置文件说明	描述
SCEP配置名称	用户定义的配置名称，用于在其他配置如wifi、VPN等等中引用该配置
SCEP设置
服务器URL	从设备中指定的URL获得证书。如果SCEP服务器位于组织网络内，而不受外部网络的影响，请提供HTTP服务器URL。通过这个URL请求证书。对于NDES，服务器URL格式为：http://<your-server>/CertSrv/mscep/mscep.dll
主体	指定信息(%username%, %email%, %domainname%,%devicename%)映射设备的相关信息。
拇指指纹(Hash值)	如果将服务器URL指定为HTTPS，则使用拇指指纹值来验证CA标识。用于保护设备和CA之间的通信。拇指指纹的值通常在 https:///CertSrv/mscep_admin。
密钥用法	指定密钥是否用于数字签名、密钥加密或两者。
主体别名类型	主体别名类型信息(RFC 822名、DNS名、URI和UPN)。 RFC 822名: 电子邮件地址的形式定义。例如: user_name@domain.com 域名命名系统(DNS)名: 指系统、服务和/或其他资源使用的通用命名法。例如: server-name.domain.com 统一资源标识符(URI): 指用于标识资源的命名系统。包含URL和URN。例如: ftp://domain.com/user.txt 用户主体名称(UPN): 指活动目录中的系统用户名，其格式类似于电子邮件。例如: user_name@domain.com
主体别名值(只有配置了主体别名类型之后，才可以配置)	指定主体别名类型的值。
最大失败重试数	尝试从CA获得证书的次数。
每次尝试之间的间隔	下次尝试获得证书之前的等待时间
挑战类型	由CA提供的预先共享的秘密密钥，添加了额外的安全层
登记挑战密码(只有挑战类型设为静态，才可以输入)	提供要使用的挑战密码。点击识别挑战密码。
密钥大小	指定密钥是1024还是2048位

配置文件说明

描述

SCEP配置名称

用户定义的配置名称，用于在其他配置如wifi、VPN等等中引用该配置

SCEP设置

服务器URL

从设备中指定的URL获得证书。如果SCEP服务器位于组织网络内，而不受外部网络的影响，请提供HTTP服务器URL。通过这个URL请求证书。
对于NDES，服务器URL格式为：http://<your-server>/CertSrv/mscep/mscep.dll

主体

指定信息(%username%, %email%, %domainname%,%devicename%)映射设备的相关信息。

拇指指纹(Hash值)

如果将服务器URL指定为HTTPS，则使用拇指指纹值来验证CA标识。用于保护设备和CA之间的通信。拇指指纹的值通常在 https:///CertSrv/mscep_admin。

密钥用法

指定密钥是否用于数字签名、密钥加密或两者。

主体别名类型

主体别名类型信息(RFC 822名、DNS名、URI和UPN)。

RFC 822名: 电子邮件地址的形式定义。例如: user_name@domain.com
域名命名系统(DNS)名: 指系统、服务和/或其他资源使用的通用命名法。例如: server-name.domain.com
统一资源标识符(URI): 指用于标识资源的命名系统。包含URL和URN。例如: ftp://domain.com/user.txt
用户主体名称(UPN): 指活动目录中的系统用户名，其格式类似于电子邮件。例如: user_name@domain.com

主体别名值(只有配置了主体别名类型之后，才可以配置)

指定主体别名类型的值。

最大失败重试数

尝试从CA获得证书的次数。

每次尝试之间的间隔

下次尝试获得证书之前的等待时间

挑战类型

由CA提供的预先共享的秘密密钥，添加了额外的安全层

登记挑战密码(只有挑战类型设为静态，才可以输入)

提供要使用的挑战密码。点击识别挑战密码。

密钥大小

指定密钥是1024还是2048位