Apple 裝置的「自動證書管理環境」（ACME）MDM 承載資料設定

你可以配置已註冊流動裝置管理（MDM）解決方案之 Apple 裝置的「ACME 證書」承載資料，以取得證書授權管理中心（CA）發出的證書。 ACME 是 SCEP 的新式替代品。它是要求和安裝證書的通訊協定。使用「受管理裝置證明」時需要使用 ACME。

「ACME 證書」承載資料支援以下項目。如需更多資料，請參閲：承載資料的資料。

支援的承載資料識別碼： com.apple.security.acme
支援的作業系統和頻道： iOS、iPadOS、「共用的 iPad」裝置、macOS 裝置、macOS 用户、tvOS、watchOS 10、visionOS 1.1。
支援的註冊類型： 「用户註冊」、「裝置註冊」、「自動裝置註冊」。
允許製作副本： True：一個以上的「ACME 證書」承載資料可以傳送到裝置。

你可以配搭「ACME 證書」承載資料使用下列表格中的設定。

設定	説明	必須
用户端識別碼	識別指定裝置的唯一字串。伺服器可能會將此用作反重播值來防止發出多個證書。此識別碼也會對 ACME 伺服器表示裝置可取用企業基礎架構發出的有效用户端識別碼。這可協助 ACME 伺服器決定是否信任裝置。不過這是相對較弱的指示，因為有攻擊者可以攔截用户端識別碼的風險。	是
URL	ACME 伺服器的地址，包括 https://。	是
延伸密鑰用途	值為字串的陣列。每個字串都是點陣表示法中的 OID。例如，[”1.3.6.1.5.5.7.3.2”, “1.3.6.1.5.5.7.3.4”] 表示用户端認證和電郵保護。	否
HardwareBound	如加入，專用密鑰會綁定至裝置。「安全隔離區」會產生密鑰配對，而且專用密鑰會以加密編譯的方式與系統密鑰纏結。這可避免系統輸出專用密鑰。如加入，KeyType 必須為 ECSECPrimeRandom 而 KeySize 必須為 256 或 384。	是
密鑰類型	要產生的密鑰配對類型： RSA：指定 RSA 密鑰配對。 RSA 密鑰配對的 KeySize 必須在 [1024…4096] 的範圍內（包含最大和最小值）、必須是 8 的倍數，且 HardwareBound 必須是 False。 ECSECPrimeRandom：指出 P-192、P-256、P-384 或 P-521 曲線上如 FIPS Pub 186-4中所定義的密鑰配對。 KeySize 會定義特定曲線，其必須為 192、256、384 或 521。硬件綁定密鑰只支援 256 和 384 的值。請注意密鑰大小為 521，非 512，即使其他密鑰大小皆為 64 的倍數。	是
密鑰大小	KeySize 的有效值取決於 KeyType 和 HardwareBound 的值。	是
主題	裝置會要求 ACME 伺服器發出的這個證書主題。 ACME 伺服器可能會覆蓋或忽略其所發出的證書中的此欄位。 X.500 名稱的表示方式為一串 OID 和值的陣列。例如，/C=US/O=Apple Inc./CN=foo/1.2.5.3=bar 便會翻譯為： [ [ [“C”, “US”] ], [ [“O”, “Apple Inc.”] ], ..., [ [ “1.2.5.3”, “bar” ] ] ]	否
主題替用名稱類型	指定 ACME 伺服器的替用名稱類型。類型有 RFC 822 名稱、DNS 名稱以及「統一資源識別碼」（URI）。這可以是統一資源定位碼（URL）、統一資源名稱（URN），或包含兩者。	否
使用方式旗標	此值為位元欄。 Bit 0x01 表示數碼簽名。 Bit 0x10 表示密鑰協定。裝置會要求 ACME 伺服器發出的這個證書密鑰。 ACME 伺服器可能會覆蓋或忽略其所發出的證書中的此欄位。	否
證明	如為 true，裝置會向 ACME 伺服器提供說明裝置的證明以及產生的密鑰。伺服器可使用該證明作為強力證據，證明密鑰已與裝置綁定，且裝置具有證明中列出的屬性。伺服器可使用其作為信任分數，以決定是否要發出所要求的證書。當「Attest」為 true，「HardwareBound」亦必須為 true。	否

附註：每個 MDM 供應商都會以不同的方式套用這些設定。如要了解各項「ACME 證書」設定套用到你的裝置之方式，請參閲 MDM 供應商的文件。

也請參閲流動裝置管理描述檔簡介為 Apple 裝置計劃你的設定描述檔 Apple 開發者網站：ACMECertificate

有幫助？

Apple 平台部署

Apple 裝置的「自動證書管理環境」（ACME）MDM 承載資料設定