针对 Apple 设备的“自动化证书管理环境” (ACME) MDM 有效负载设置

你可以为移动设备管理 (MDM) 解决方案中注册的 Apple 设备配置“ACME 证书”有效负载以从证书颁发机构 (CA) 获取证书。ACME 是 SCEP 的新替代协议，是用于请求和安装证书的协议。使用“管理式设备证明”时要求使用 ACME。

“ACME 证书”有效负载支持以下选项。有关更多信息，请参阅有效负载信息。

支持的有效负载标识符：com.apple.security.acme
支持的操作系统和通道：iOS、iPadOS、“共享 iPad”设备、macOS 设备、macOS 用户、Apple tvOS、watchOS 10、visionOS 1.1。
支持的注册类型：用户注册、设备注册、自动设备注册。
允许的重复项：True：可将多个“ACME 证书”有效负载发送给某台设备。

你可以为“ACME 证书”有效负载使用下表中的设置。

设置	描述	必需
客户端标识符	识别一台特定设备的唯一字符串。服务器可能会将此标识符用作反重放值以防止签发多个证书。此标识符还会向 ACME 服务器指示，该设备可以访问由企业基础架构签发的有效客户端标识符。这可帮助 ACME 服务器确定是否信任该设备。不过这是一个相对弱的指示，因为存在攻击者截获客户端标识符的风险。	是
URL	ACME 服务器的地址，包括 https://。	是
扩展密钥使用	值为字符串数组。每个字符串为一个使用点分表示法的 OID（对象标识符）。例如，[“1.3.6.1.5.5.7.3.2”, “1.3.6.1.5.5.7.3.4”] 表示客户端认证和电子邮件保护。	否
HardwareBound	如果添加，专用密钥会与设备绑定。安全隔区会生成密钥对，专用密钥会与系统密钥以加密方式配合使用。这可防止系统导出专用密钥。如果添加，KeyType 必须是 ECSECPrimeRandom，KeySize 必须是 256 或 384。）	是
密钥类型	生成的密钥对类型： RSA：指定 RSA 密钥对。RSA 密钥对的 KeySize 必须在 [1024…4096] 范围内（包括 1024 和 4096）且是 8 的倍数，HardwareBound 必须是 false。 ECSECPrimeRandom：指定 FIPS Pub 186-4 中定义的 P-192、P-256、P-384 或 P-521 曲线上的密钥对。KeySize 定义了特定的曲线，且必须是 192、256、384 或 521。硬件绑定密钥仅支持值 256 和 384。请注意，密钥大小是 521 而不是 512，即使另一个密钥大小是 64 的倍数。	是
密钥大小	KeySize 的有效值取决于 KeyType 和 HardwareBound 的值。	是
主题	设备请求此主题以获取 ACME 服务器颁发的证书。ACME 服务器可能会在其颁发的证书中覆盖或忽略此字段。表示为 OID 数组和值的 X.500 名称的描述。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar，将被转换为：[ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], ..., [ [ “1.2.5.3”, “bar” ] ] ]	否
主题备用名称类型	指定 ACME 服务器备用名称的类型。类型包括“RFC 822 名称”、“DNS 名称”和“统一资源标识符 (URI)”。这可以是“统一资源定位符 (URL)”、“统一资源名称 (URN)”或两者。	否
用途旗标	此值为位域。 Bit 0x01 表示数字签名。 Bit 0x10 表示密钥协议。设备请求此密钥以获取 ACME 服务器签发的证书。ACME 服务器可能会在其颁发的证书中覆盖或忽略此字段。	否
证明	如果为 true，则设备会向 ACME 服务器提供描述设备和生成的密钥的证明。服务器可使用该证明来有力地证明密钥已与设备绑定，并且设备具有该证明中所列的属性。服务器可将该证明用作信任分的一部分，以决定是否要签发请求的证书。当“证明”为 true 时，HardwareBound 也一定为 true。	否

【注】每个 MDM 供应商对这些设置的执行情况不同。若要了解如何将“ACME 证书”各种设置应用到你的设备，请参阅 MDM 供应商文稿。

另请参阅移动设备管理描述文件介绍规划 Apple 设备的配置描述文件 Apple 开发者网站：ACMECertificate

有帮助?

Apple 平台部署

针对 Apple 设备的“自动化证书管理环境” (ACME) MDM 有效负载设置