RADIUSaaS ポータル内のマネージド認証局
SCEPman as a Service は、RADIUSaaS インスタンスにマネージド認証局を追加します。MDM は標準 SCEP でデバイスを登録し、Linux デバイスは API 経由で登録します。RADIUSaaS は発行した証明書でデバイスを認証するため、CA サーバー、Key Vault、App Service を自分で運用する必要はありません。
- インスタンスごとのマネージド CA
- Intune、Jamf Pro、Active Directory
- OCSP 常時有効
- 2026年4月 より一般提供開始
SCEPman as a Service の追加方法
- 営業に相談する営業に相談するライセンスに SCEPman as a Service を追加し、インスタンス用の CA をセットアップします。
- ポータルに表示されるポータルに表示されるRADIUSaaS の設定の隣に SCEPman セクションが追加されます。ステータス、発行済み証明書、手動リクエスト、タスク、設定を確認できます。
- デバイスを登録するデバイスを登録するルート CA を一度登録し、必要なエンドポイントを有効にして、ステータスページに表示された SCEP URL を MDM に設定します。
デバイスが証明書をリクエストする方法
デバイスが証明書をリクエストする方法はそれぞれ 1 つのエンドポイントに対応しており、独自の証明書プロファイルを持ちます。リクエストはいずれか 1 つを通過する必要があり、SCEPman はそれによってデバイスが実際に存在し、管理されているかどうかを確認します。
Microsoft Intune
発行前に Intune または Entra ID に対してデバイスを検証します。オプションで、Intune がデバイスをコンプライアントと判定している間のみ証明書を有効とすることもできます。
Jamf Pro
Jamf Pro インベントリに対して Apple デバイスを検証し、Jamf SCEP プロファイル用のチャレンジを使用します。
Active Directory
暗号化された Kerberos キータブを通じて、オンプレミス AD のコンピューターアカウントおよびユーザーアカウントを検証します。
ドメインコントローラー
LDAPS および Kerberos PKINIT に必要な証明書をドメインコントローラーに発行します。
スタティックチャレンジ
SCEPman ドキュメントにガイドが掲載されている Addigy, Iru, Mosyle, SOTI MobiControl などの他の MDM、および MDM で登録できないアプライアンス向けに、共有チャレンジパスワードを使用します。更新時は現在の証明書の所持を証明することで、チャレンジパスワードなしに実施できます。
スタティックチャレンジ + Entra デバイス確認
同様ですが、デバイスが Entra ID にも存在している必要があります。
Enrollment REST API
自社のツールが HTTPS 経由で証明書をリクエストし、RADIUSaaS アクセストークンで認証します。Intune で管理されているかどうかにかかわらず、Linux デバイスは REST または EST で登録し、更新を有効にすると現在の証明書を使って自動更新されます。
独自の名前を持つルート CA
- 登録前にサブジェクト名を確認
- 独自の Key Vault はオプションで、登録前にテスト可能
- 管理者の同意または独自のアプリ登録による Entra テナント接続
失効確認は CA が直接応答する
OCSP 常時有効
CA が発行したすべての証明書に対し、専用のレスポンダー証明書が OCSP でリアルタイムに失効応答を行います。Entra ID でデバイスを無効にしたり、Intune でリタイアまたはワイプを開始したりすると、手動で失効させることなく、その証明書は失効済みとして報告されます。
必要に応じた CRL
OCSP に対応していないクライアント向けに、署名済み失効リストを有効にできます。有効化以降に発行されるすべての証明書に、その配布ポイントが含まれます。
RADIUS サーバー証明書も同じ CA から発行される
SCEPman as a Service と SCEPman Enterprise の比較
同じ SCEPman、同じ機能。違いは動作場所と運用者です。
| 項目 | SCEPman as a Service | SCEPman Enterprise |
|---|---|---|
| 動作場所 | あなたの RADIUSaaS インスタンス内、glueckkanja が運用 | あなた自身の Azure サブスクリプション内、あなたが運用 |
| CA キー | glueckkanja が運用する Key Vault、またはあなた自身の Azure Key Vault | あなた自身の Azure Key Vault |
| ホスティング | ホスティング不要 | App Service と Key Vault の費用はあなたの Azure 請求に計上 |
| 購入方法 | RADIUSaaS & SCEPman SaaS Bundle | RADIUSaaS & SCEPman Enterprise Bundle: RADIUSaaS と SCEPman Enterprise ライセンスのセット |
| Intune、Jamf Pro および Active Directory への登録 | ✓ | ✓ |
| Entra ID と Intune による自動失効 | ✓ | ✓ |
| Intune コンプライアンスチェック | ✓ | ✓ |
| REST・EST API 経由の Linux | ✓ | ✓ |
| SCEPman による RADIUS サーバー証明書の自動更新 | ✓ | ✓ |
どちらのエディションも同じ SCEPman コードで動作します。違いはホスティング環境と鍵ストアのみです。
RADIUSaaS と SCEPman as a Service を 1 つのサブスクリプションで
RADIUSaaS & SCEPman SaaS Bundle
RADIUSaaS と SCEPman as a Service を 1 つのサブスクリプションにまとめたプランで、Microsoft Marketplace または cleverbridge からご購入いただけます。
RADIUSaaS & SCEPman Enterprise Bundle
RADIUSaaS と SCEPman Enterprise ライセンスをセットにしたプランです。SCEPman は自社の Azure テナントで動作するため、CA とそのキーは自社の管理下に置かれ、Azure のコストも自社負担となります。
RADIUSaaS ライセンスに CA を追加する
ユーザー数をお知らせいただければ、インスタンス用の CA をセットアップします。