Eine verwaltete Zertifizierungsstelle im RADIUSaaS-Portal
SCEPman as a Service fügt deiner RADIUSaaS-Instanz eine verwaltete Zertifizierungsstelle hinzu. Dein MDM meldet Geräte über Standard-SCEP an, Linux-Geräte über die API, RADIUSaaS authentifiziert sie mit den ausgestellten Zertifikaten, und du musst weder einen CA-Server noch ein Key Vault noch einen App Service betreiben.
- Verwaltete CA pro Instanz
- Intune, Jamf Pro, Active Directory
- OCSP immer aktiv
- Allgemein verfügbar seit April 2026
So fügst du SCEPman as a Service hinzu
- Vertrieb ansprechenVertrieb ansprechenWir fügen SCEPman as a Service zu deiner Lizenz hinzu und richten eine CA für deine Instanz ein.
- Erscheint in deinem PortalErscheint in deinem PortalNeben deinen RADIUSaaS-Einstellungen erscheint ein SCEPman-Bereich: Status, ausgestellte Zertifikate, manuelle Anfragen, Aufgaben und Einstellungen.
- Geräte anmeldenGeräte anmeldenMelde die Root CA einmalig an, aktiviere die benötigten Endpoints und trage in deinem MDM die SCEP-URL ein, die auf der Statusseite angezeigt wird.
Auf welchen Wegen deine Geräte ein Zertifikat anfordern können
Jeder Weg, auf dem ein Gerät ein Zertifikat anfordern kann, ist ein Endpoint, den du aktivierst, mit eigenem Zertifikatprofil. Eine Anfrage muss mindestens einen davon passieren, so stellt SCEPman sicher, dass das Gerät tatsächlich existiert und verwaltet wird.
Microsoft Intune
Prüft das Gerät vor der Ausstellung gegen Intune oder Entra ID. Optional gilt ein Zertifikat nur so lange als gültig, wie Intune das zugehörige Gerät als konform einstuft.
Jamf Pro
Prüft Apple-Geräte gegen dein Jamf Pro-Inventar, mit einem Challenge für dein Jamf SCEP-Profil.
Active Directory
Prüft Computer- und Benutzerkonten in deinem lokalen AD über ein verschlüsseltes Kerberos-Keytab.
Domain Controller
Stellt die Zertifikate aus, die Domain Controller für LDAPS und Kerberos PKINIT benötigen.
Static challenge
Für andere MDMs, etwa Addigy, Iru, Mosyle, SOTI MobiControl mit den zugehörigen Anleitungen in der SCEPman-Dokumentation, sowie für Appliances, die kein MDM anmelden kann: ein gemeinsames Challenge-Passwort. Erneuerungen können ohne dieses funktionieren, indem der Besitz des aktuellen Zertifikats nachgewiesen wird.
Static challenge + Entra device check
Dasselbe, aber das Gerät muss zusätzlich in Entra ID vorhanden sein.
Enrollment REST API
Deine eigenen Tools fordern Zertifikate über HTTPS an, authentifiziert mit einem RADIUSaaS-Zugriffstoken. Linux-Geräte, ob über Intune verwaltet oder nicht, melden sich über REST oder EST an und erneuern ihr Zertifikat mit dem aktuellen, sobald du die Erneuerung aktivierst.
Eine Root CA unter deinem eigenen Namen
- Subject-Name wird vor dem Enrollment bestätigt
- Eigenes Key Vault optional, wird vor dem Enrollment getestet
- Entra-Mandantenverbindung per Admin Consent oder eigener App-Registrierung
Die CA beantwortet Sperrabfragen selbst
OCSP immer aktiv
Sperrabfragen werden live über OCSP durch ein dediziertes Responder-Zertifikat beantwortet, für jedes von der CA ausgestellte Zertifikat. Deaktivierst du ein Gerät in Entra ID oder leitest in Intune ein Retire oder Wipe ein, wird sein Zertifikat automatisch als gesperrt gemeldet, ohne dass jemand es manuell sperren muss.
CRL bei Bedarf
Aktiviere eine signierte Sperrliste für Clients, die kein OCSP unterstützen. Der Distribution Point wird in jedes danach ausgestellte Zertifikat eingetragen.
Dein RADIUS-Serverzertifikat stammt von derselben CA
SCEPman as a Service und SCEPman Enterprise im Vergleich
Dasselbe SCEPman mit denselben Funktionen. Was sich unterscheidet, ist der Betriebsort und wer es betreibt.
| Thema | SCEPman as a Service | SCEPman Enterprise |
|---|---|---|
| Wo es läuft | In deiner RADIUSaaS-Instanz, betrieben von glueckkanja | In deinem eigenen Azure-Abonnement, betrieben von dir |
| CA-Schlüssel | In einem von uns betriebenen Key Vault oder in deinem eigenen Azure Key Vault | In deinem eigenen Azure Key Vault |
| Hosting | Kein Hosting-Aufwand für dich | App Service und Key Vault auf deiner Azure-Rechnung |
| Wie du es kaufst | RADIUSaaS & SCEPman SaaS Bundle | RADIUSaaS & SCEPman Enterprise Bundle: RADIUSaaS plus eine SCEPman Enterprise-Lizenz |
| Intune, Jamf Pro und Active Directory-Enrollment | ✓ | ✓ |
| Automatischer Widerruf aus Entra ID und Intune | ✓ | ✓ |
| Intune-Compliance-Prüfung | ✓ | ✓ |
| Linux über die REST- und EST-API | ✓ | ✓ |
| RADIUS-Serverzertifikat über SCEPman erneuert | ✓ | ✓ |
Beide Editionen verwenden denselben SCEPman-Code; der Unterschied liegt im Hosting und im Key Store.
RADIUSaaS und SCEPman as a Service in einem Abonnement
RADIUSaaS & SCEPman SaaS Bundle
RADIUSaaS und SCEPman as a Service in einem Abonnement, erhältlich über Microsoft Marketplace oder cleverbridge.
RADIUSaaS & SCEPman Enterprise Bundle
RADIUSaaS kombiniert mit einer SCEPman Enterprise-Lizenz: SCEPman läuft in deinem eigenen Azure-Mandanten, die CA und ihr Schlüssel bleiben unter deiner Kontrolle, und die Azure-Kosten trägst du selbst.
CA zu deiner RADIUSaaS-Lizenz hinzufügen
Teile uns mit, wie viele Benutzer du hast, und wir richten die CA für deine Instanz ein.