在 Jamf Pro 中使用适用于 SCEP 的连接器

在 Jamf Pro 中配置 Amazon Private CA 为外部 CA

1. 在 Jamf Pro 控制台中，前往 “设置” > “全局” > “PKI 证书”，进入 P KI 证书设置页面。

2. 选择 “管理证书模板” 选项卡。

3. 选择外部 CA。

4. 选择编辑。

5. （可选）为配置文件选择 “启用 Jamf Pro 作为 SCEP 代理”。您可以使用 Jamf Pro 配置文件颁发针对特定用例量身定制的不同证书。有关如何在 Jamf Pro 中使用配置文件的指导，请参阅 Jamf Pro 文档中的启用 Jamf Pro 作为配置文件的 SCEP 代理。

6. 选择 “使用支持 SCEP 的外部 CA 注册计算机和移动设备”。

7. （可选）选择使用 Jamf Pro 作为 SCEP 代理进行计算机和移动设备注册。如果您遇到配置文件安装失败的情况，请参阅解决配置文件安装失败的问题。

8. 将 SCEP 连接器公共 SCEP 网址从连接器的详细信息中复制并粘贴到 Jamf Pro 的 URL 字段。要查看连接器的详细信息，请从 SCEP 连接器列表中选择该连接器。或者，您可以通过调用GetConnector并复制响应中的Endpoint值来获取 URL。

9. （可选）在名称字段中输入实例的名称。例如，你可以给它起个名字Amazon Private CA。

10. 为挑战类型选择 “静态”。

11. 复制连接器的质询密码并将其粘贴到挑战字段中。要查看连接器的质询密码，请在 Amazon 控制台中导航到连接器的详细信息页面，然后选择查看密码按钮。或者，您可以通过调用 Password 来获取连接器的质询GetChallenge密码，然后从响应中复制该Password值。

12. 将质询密码粘贴到验证质询字段中。

13. 选择密钥大小。我们建议密钥大小为 2048 或更高。

14. （可选）选择 “用作数字签名”。选择此项进行身份验证，以授予设备对 Wi-Fi 和 VPN 等资源的安全访问权限。

15. （可选）选择 “用于密钥加密”。

16. （可选）在 “指纹” 字段中输入十六进制字符串。有关如何创建私有 CA 指纹的说明，请参阅（可选）添加 CA 指纹。

17. 选择保存。

1. 使用 OpenSSL，通过运行以下命令生成私钥：

   openssl genrsa -out local.key 2048

2. 生成证书签名请求 (CSR)：

   openssl req -new -key local.key -sha512 -out local.csr -subj "/CN=MySigningCertificate/O=MyOrganization" -addext keyUsage=critical,digitalSignature,nonRepudiation

3. 使用 Amazon CLI，使用您在第二步中生成的 CSR 颁发签名证书。运行以下命令并在响应中记下证书 ARN：

   aws acm-pca issue-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --csr fileb://local.csr --signing-algorithm SHA512WITHRSA --validity Value=365,Type=DAYS

4. 使用步骤 3 中的证书 ARN 运行以下命令来获取签名证书：

   aws acm-pca get-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> --certificate-arn <ARN OF NEW CERTIFICATE> | jq -r '.Certificate' >local.crt

5. 通过运行以下命令获取 CA 证书：

   aws acm-pca get-certificate-authority-certificate --certificate-authority-arn <SAME CA AS USED ABOVE, SO IT’S TRUSTED> | jq -r '.Certificate' > ca.crt

6. 使用 OpenSSL，以 p12 格式输出签名证书密钥库。您将使用在第四步和第五步中生成的crt文件。运行以下命令：

   openssl pkcs12 -export -in local.crt -inkey local.key -certfile ca.crt -name "CA Chain" -out local.p12

7. 出现提示时，输入导出密码。此密码是您的密钥库密码，您稍后需要使用它。

8. 在 Jamf Pro 中，导航到管理证书模板并转到外部 CA 窗格。

9. 在外部 CA 窗格的底部，选择更改签名和 CA 证书。

10. 按照屏幕上的说明上传外部 CA 的签名证书和 CA 证书。

1. 从 Amazon Private CA 控制台或使用获取私有 CA 证书GetCertificateAuthorityCertificate。将其另存为ca.pem文件。

2. 在 OpenSSL 中，运行以下命令：

   openssl x509 -in ca.pem -sha256 -fingerprint

3. 将输出复制并粘贴到前面步骤中提及的 “指纹” 字段中。