SCEP hoặc Simple Certificate Enrollment Protocol (Giao thức đăng ký chứng chỉ đơn giản), là giao thức cho phép thiết bị đăng ký chứng chỉ bằng URL và khóa bí mật. Trên thiết bị Windows 10, bạn có thể dùng Intune để triển khai chứng chỉ SCEP cho thiết bị Windows 10.
Tuy nhiên, sau khi gia hạn chứng chỉ của bất kỳ Root Certification Authority (CA) hoặc Issuing CA nào, triển khai chứng chỉ SCEP thất bại, bài viết này sẽ giúp khắc phục.
Có nhiều cách xác định lỗi đã xảy ra:
- Trạng thái triển khai trong cổng Intune
- Trên thiết bị Windows 10, sự kiện 32 và 307 được ghi trong nhật ký Admin.
- Sự kiện 30 được ghi trong nhật ký CAPI2,
Nguyên nhân là vì các chứng chỉ do CA cấp vẫn tham chiếu đến chứng chỉ CA cũ. Điều này dẫn đến lỗi vì chúng không còn được tin cậy.
Triển khai SCEP cho thiết bị Windows 10 thất bại sau khi gia hạn chứng chỉ CA
NDES (Network Device Enrollment Service - Dịch vụ đăng ký thiết bị mạng) là dịch vụ Microsoft cho phép thiết bị chạy mà không cần thông tin xác thực miền để lấy chứng chỉ dựa trên SCEP. Theo Microsoft, bạn cần cài đặt lại cả vai trò NDES server và Microsoft Intune Connector trên NDES server. Trong quá trình cài đặt lại, chứng chỉ sẽ được cấp lại và sự cố sẽ được khắc phục.
Phương pháp cài đặt lại là quy trình 3 bước: cài đặt NDES server, cấu hình NDES server, và tạo hồ sơ SCEP trong cổng Intune. Trong quá trình cài đặt, NDES sẽ thực hiện các bước sau để lấy chứng chỉ.
- Tạo và cung cấp mật khẩu đăng ký một lần cho quản trị viên
- Gửi yêu cầu đăng ký đến CA
- Lấy chứng chỉ đã đăng ký từ CA và chuyển tiếp đến thiết bị mạng.
Thú vị là vấn đề chỉ dành riêng cho thiết bị Windows và không xảy ra trên Android và iOS.
Vì vậy nếu gặp vấn đề, bạn chỉ cần cài đặt lại, nó sẽ tự khắc phục.