Sectigo 網誌
什麼是 SCEP（簡單證書註冊協議）？
SCEP（簡單證書註冊協議）透過簡化與證書頒發機構（CA）的通訊流程，實現公鑰基礎設施（PKI）證書的自動化簽發。該協議使用 URL 及共享密鑰進行身份驗證，盡量減少人為錯誤，可對裝置及伺服器進行安全、高效的證書管理。SCEP 獲得 Microsoft Intune、Apple MDM 等各類系統的廣泛支援，是管理流動裝置、路由器及企業應用、保障連線安全的關鍵支援。其自動化能力降低了人為證書管理的複雜度，可紓緩證書過期或數據外泄的風險，並可透過 Sectigo Certificate Manager 這類工具支援大規模部署場景。
什麼是 SCEP（簡單證書註冊協議）？
SCEP 即簡單證書註冊協議（Simple Certificate Enrollment Protocol），是一款可協助 IT 管理員自動簽發證書的證書管理協議。公鑰基礎設施（PKI）的證書簽發需要與 Sectigo 這類受信任的證書頒發機構（CA）完成資訊互動流程，讓 CA 在正式簽發證書前，驗證證書申請人確實有權代表該 PKI 證書關聯的身份及域名。SCEP 利用 URL 及共享密鑰實現了與 CA 互動流程的標準化，相比人手傳遞資訊的方式，可讓 IT 團隊更快速、便捷地完成裝置上的證書註冊操作。
SCEP 已推出較長時間，在企業中獲得廣泛應用。由於 SCEP 協議無許可費用，且 IT 團隊完成配置及執行所需的時間成本極低，它幾乎已成為企業安全體系中無處不在的組成部分。
它最常用於哪些使用場景？
SCEP 普遍應用於多種證書場景。特別值得一提的是，Microsoft Intune、Apple MDM 等流動裝置管理（MDM）系統使用 SCEP，為企業員工使用的數目不斷增長的流動裝置及智能手機完成 PKI 證書註冊。這一機制可讓流動裝置對應用與企業系統、資源之間的連線進行身份驗證。包括路由器、負載均衡器、Wi-Fi 接入點、VPN 裝置及防火牆在內的大多數網絡裝置，同樣支援透過 SCEP 協議完成證書註冊。
SCEP 透過流動裝置管理（MDM）系統，為流動裝置及智能手機自動完成 PKI 證書註冊，保障裝置與 VPN、Wi-Fi 及企業應用的連線安全
主流伺服器及裝置操作系統均支援該協議，包括 Microsoft Windows、Linux、Apple iOS 及 MacOS，同時也支援 Active Directory 這類目錄系統。您可借助 Sectigo 的 SCEP 伺服器，管理您機構內所有可能使用的裝置場景、操作系統及目錄環境中的證書。
為何要使用 SCEP？
儘管公鑰基礎設施能夠為數碼身份提供強安全性、易部署的身份驗證及加密解決方案，但對工作繁忙的 IT 團隊而言，多數企業的證書部署複雜度高、規模大，是一項頗具挑戰性的工作。人手部署及管理證書不僅耗時，還容易出錯。無論是為一台 Wi-Fi 路由器部署單張證書，還是為其支援的所有聯網裝置、用戶身份管理數百萬張證書，證書簽發、配置、部署的全流程都可能耗時數小時。這會讓企業面臨不必要的風險，包括突發服務中斷、關鍵業務系統故障，以及數據外泄、中間人（MITM）攻擊等安全問題。
此外，人手證書管理會讓企業面臨極高風險，因為這種模式會提升證書被遺忘直至過期、或是出現所有權管理空檔的概率。由於人手管理 PKI 證書存在諸多固有風險，企業需要簡單證書註冊協議提供的自動化證書註冊標準，在無需人為干預的情況下，確保大量裝置上的證書都能被正確簽發及配置。這種自動化能力有助於降低風險，同時協助 IT 部門控制營運成本。
SCEP 協定的運作原理是什麼？
SCEP 註冊流程將與證書頒發機構（CA）的資訊交換流程標準化，這類資訊交換是完成證書請求身份驗證、簽發證書所需的必要環節。該流程的核心要素包括：
- SCEP URL：該URL用於指定裝置與證書頒發機構（CA）通訊以註冊客戶端證書的地址。可將此URL配置到MDM中，實現流動裝置的大規模證書自動化註冊。
- SCEP共享密鑰：共享密鑰是SCEP伺服器與證書頒發機構（CA）之間交換的大小寫敏感的受信密碼，用於驗證用戶是否合法代表與公鑰基礎設施（PKI）證書關聯的身份及域名。
- SCEP證書簽名請求：當SCEP伺服器與證書頒發機構（CA）之間的連接建立完成、且共享密鑰通過驗證後，即可向CA提交證書簽名請求（CSR），即SCEP請求。該CSR包含允許受管裝置自動註冊證書的配置描述檔。
- SCEP證書配置描述檔：證書管理平台和MDM通常提供一組特定配置參數，用於定義證書配置檔，內容包括證書有效期、密鑰長度、SCEP配置名稱、使用者備用名稱類型及取值、失敗重試次數與重試間隔、額外質詢密碼類型及取值等。
- SCEP簽名證書：為確保使用有效證書，大多數MDM要求裝置同時使用經證書頒發機構（CA）簽名的簽名證書。該簽名證書包含完整證書鏈，涵蓋簽名證書、中繼CA和根CA。
SCEP註冊流程步驟
以下是在典型證書管理平台或MDM中配置證書自動註冊的SCEP流程步驟：
- 添加SCEP URL
- 添加SCEP共享密鑰
- 上傳SCEP簽名證書
- 定義下發至裝置的SCEP配置
- 定義特定應用場景的證書設定（例如Wi-Fi或VPN使用的證書）
- 指定接收證書的裝置範圍
隨後經證書頒發機構（CA）驗證通過後，已簽名的CA證書將部署到對應裝置上。
SCEP證書配置描述檔
搭建SCEP伺服器時，管理員可在證書配置描述檔中設定多項證書屬性，以自訂SCEP的實現方式，可配置的屬性包括：
- 證書範本名稱
- 證書類型（將部署到裝置還是終端用戶）
- 使用者名稱格式（伺服器生成證書請求使用者名稱的規則，例如面向用戶時使用電郵地址，面向裝置時使用伺服器名稱或IP地址）
- 證書有效期（指定距離證書過期或證書吊銷的有效時長）
- 哈希算法
- 根CA證書
- 密鑰用法。密鑰用法可包括密鑰加密（允許密鑰經加密後完成交換）或數碼簽署（允許密鑰受數碼簽署保護時完成交換）。
Sectigo對該協定的支援情況如何？
Sectigo深知多數企業證書需求的複雜性與規模。企業依賴公鑰基礎設施（PKI）證書對雲及本地環境中的Web伺服器、聯網裝置、流動裝置、用戶身份、郵件系統、網絡設備、IoT裝置、DevOps環境、數碼簽署等各類對象進行身份認證與加密。除SSL/TLS 證書、程式碼簽署、S/MIME及其他保護核心業務系統的X.509證書外，Sectigo還提供支援SCEP協定的裝置證書；同時，企業也需要能實現大規模端到端證書生命週期管理自動化的方案。Sectigo Certificate Manager支援SCEP協定，可提供自動化的證書生命週期管理能力.
如何在Sectigo Certificate Manager中配置SCEP
Sectigo Certificate Manager（SCM）提供統一管理介面，可與Microsoft Intune、Apple MDM等企業裝置架構無縫整合，加快並簡化所有證書的發現、簽發、部署和續期流程。您可在Sectigo Certificate Manager中透過建立下發至目標裝置的配置描述檔，使用SCEP簽發裝置證書。配置描述檔可透過Apple iOS配置實用工具等軟件建立。
若要透過SCEP簽發裝置證書，您需要新建裝置證書配置檔並為其啟用SCEP註冊。每個裝置證書配置檔都會被分配一個裝置Profile ID，以便在配置應用到裝置時進行唯一識別。
流程需滿足以下先決條件才可成功執行：
- 您的 Sectigo 帳戶必須至少配置了一個可用於裝置證書的證書配置檔。
- 需要為組織或部門啟用 SCEP 註冊功能，並指定訪問碼。該操作可在新增或編輯組織、部門時完成。
如何透過 Sectigo Certificate Manager 使用 SCEP——簡單證書註冊協議（Simple Certificate Enrollment Protocol）簽發證書
一般而言，該流程包含以下步驟：
- 您可以使用配置軟件生成用於 OTA 註冊的配置檔，再將該配置檔下發至目標裝置。為所屬組織或部門指定的 SCEP 註冊訪問碼會包含在配置檔中，因此裝置生成的證書請求會在 challengePassword 參數中攜帶相同的訪問碼。
- 配置檔應用完成後，裝置會生成證書請求並將其轉發至 Sectigo Certificate Manager。
- 證書請求會被添加至「裝置證書」區域等待審批，此時證書狀態顯示為「已申請（Requested）」。
- 擁有對應權限的 RAO 或 DRAO 審批該請求後，SCM 會將請求轉發至 Sectigo，此時證書狀態變更為「已提交（Applied）」。證書簽發完成後，SCM 會獲取簽發好的證書，證書狀態變更為「已簽發（Issued）」。
- SCEP 伺服器會將證書推送至目標裝置完成安裝。
如需了解使用 Sectigo Certificate Manager 配置 SCEP 的完整指南，請訪問 Sectigo 知識庫並參考《Sectigo Certificate Manager 管理指南》.
有關配置檔中需指定的各參數取值詳情，請聯絡我們