简单证书注册协议（SCEP）

简单证书注册协议（SCEP）是用于证书管理的协议标准。SCEP主要用于基于证书的身份验证，即，使用证书访问WiFi、VPN和通过加密保护电子邮件等服务。

基于证书的认证的主要优点是：

• 零用户干预，因为用户通过证书进行身份验证。
• 安全的网络通信，因为数据被加密和使用证书进行身份验证。

然而，对于大型组织中的IT管理员来说，手动分发证书是一项繁琐的任务。SCEP帮助网络管理员轻松地在设备中安装证书。SCEP为在大型组织中处理证书提供了一种简化的、可扩展的方法。证书和SCEP的区别在于，SCEP策略用于将客户端证书分发到设备，而证书策略用于将CA证书分发到设备。

先决条件

• NDES必须安装在Windows服务器机器上
• 配置证书模板
1. 点击开始菜单，选择运行，输入mmc并点击确定。
2. 点击文件并选择添加/删除管理单元...选择证书模板，点击添加，点击确定。

    

3. 右键单击证书模板并选择管理。
4. 点击用户并选择复制模板。



5. 指定模板显示名称并点击确定保存。



6. 点击扩展，选择应用策略。点击编辑并选择客户端认证，添加到应用策略。

      

7. 点击Cryptography并指定最小密钥大小。推荐的密钥大小是2048，可增强安全性。密钥的大小在MDM中配置SCEP时指定。



8. 点击安全并选择策略要应用到的组。确保在所选域中允许注册。



9. 点击主体名并选择按要求提供，用于证书请求中指定的主体名。



• 将证书模板映射到SCEP
1. 在Microsoft管理控制台（MMC）中添加证书颁发机构作为管理单元。

    

2. 展开证书颁发机构并右键单击证书模板。点击新建并选择要发布的证书模板。



3. 选择之前创建的证书模板并点击确定。

    

要更改Microsoft NDES使用的默认证书模板，需要更改Windows注册表值。

4. 点击开始菜单，选择运行，输入regedit并点击确定。
5. 展开HKEY_LOCAL_MACHINE -> 软件 -> Microsoft -> Cryptography -> MSCEP。
6. 右键单击加密模板并点击修改。



7. 为Value date指定创建的证书模板的名称。GeneralPurposeTemplate和SignatureTemplate重复操作。重启服务器机器以使更改生效。



• 防止挑战密码过期
如果您正在使用挑战密码（推荐），那么必须修改注册表值以防止挑战密码过期。

1. 打开注册表编辑器并展开HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Cryptography -> MSCEP -> UseSinglePassword。
2. 右键单击UseSinglePassword并更改数据的值为1。



配置完成后，重新启动NDES服务器。

在MDM中配置SCEP