MIGRERING · ADCS OG NDES

Sluk den sidste certifikatserver.

ADCS overlever typisk af tre grunde: NDES til Intune, autoenrollment for domænetilsluttede pc'er og Kerberos-certifikaterne til domænecontrollerne. SCEPman dækker alle tre fra din Azure-tenant, så CA'en, CDP-webserveren og NDES-boksen kan nedlægges, ét use case ad gangen.

Ingen NDES
Gruppepolitik-autoenrollment uden klientsoftware
Domænecontrollercertifikater
Intermediate CA under din eksisterende rod

Anmod om en prøveperiode Kontakt salg

I dag: ADCS

CA'en, CDP-webserveren, NDES og Intune Certificate Connector – hver en server, der skal patches

Under flytningen

SCEPman under din eksisterende rod eller en ny rod ved siden af den; use cases flyttes ét ad gangen

Bagefter: SCEPman

Dit MDM's enheder, domænetilsluttede Windows og domænecontrollere, fra din Azure-tenant

SAMMENLIGNING

Hvad det kræver at drive ADCS, NDES og SCEPman

Indsatsen for hver løsning, som vores dokumentation beskriver den.

Drift af en Microsoft CA med PKCS-connector, NDES med SCEP og SCEPman
	Microsoft CA med PKCS-connector	NDES med SCEP	SCEPman
Opsætning	2 to 3 days and more: CRL-distributionspunkter, skabeloner, GPO'er, servicekonti, connectorversioner	2 more days and more: NDES-servere, én per certifikattype, to ekstra skabeloner, svært at fejlfinde	under 30 minutes for kernetjenesten
Vedligeholdelse	CDP-overvågning, connector-overvågning, opdateringer af operativsystemet	Alt det ovenstående, plus manuel fornyelse af enrollment agent-certifikatet	Sundhedsovervågning i Azure; App Service opdaterer platformen
Tilbagekaldelse	Manuel; det er besværligt at søge i CA-databasen	Manuel	Automatisk fra Entra ID, Intune og Jamf; manuel i Certificate Master
Tilgængelighed	Flere fejlpunkter: virtualisering, OS, CDP-webserver, connector	Det samme, plus NDES	App Service, valgfrit i to regioner bag Traffic Manager
Skalering	Kræver et CA-cluster, manuelt	Duplikerede NDES-servere	Autoskalering eller få klik
Backup	CA-database, CA-nøgle og konfiguration, regelmæssigt	Det samme	Kernetjenesten er tilstandsløs; nøgle i Key Vault; valgfri lagerbackup
Angrebsflade	En tier 0-server kommunikerer med internettet via connectoren	Indgående adgang til NDES, et tier 0-aktiv	Entra-autentificerede endpoints, Key Vault og Storage bag private endpoints
MDM'er	Kun Intune	Flere, med én NDES-instans hver	Intune, Jamf Pro og andre MDM'er

ENTERPRISE EDITION · SIDEN 3.0

Certifikater til domænetilsluttede Windows uden ADCS

Windows-klienter i dit domæne ved allerede, hvordan man enrollerer: gruppepolitikken peger dem mod en enrolleringstjeneste, Kerberos beviser, hvem de er, og autoenrollment klarer resten. SCEPman's Active Directory-endpoint er den tjeneste. Du registrerer en serviceprincipal i dit AD, peger gruppepolitikken på SCEPman, og computere og brugere enrollerer med de værktøjer, der er indbygget i Windows. Intet at installere på klienterne.

Skabeloner til user, computer, RDP server and domain controller, hver aktiveret separat.
Klienter fornyer på egen hånd, når der er mindre end 20% af gyldigheden tilbage.
Begræns enrollment til medlemmer af AD-grupper, du angiver.
SCEPman tilføjer SID-udvidelsen, så certifikaterne opfylder den stærke mapping, som domænecontrollere håndhæver siden KB5014754.

Active Directory-guiden

KERBEROS

Certifikater til dine domænecontrollere

Domænecontrollere har brug for et Kerberos-autentificeringscertifikat, så Entra-tilsluttede og hybrid-tilsluttede enheder kan logge på lokale ressourcer, og Windows Hello for Business i hybrid key trust kræver det ligeledes. SCEPman udsteder det via domænecontrollerskabelonen i Active Directory-endpointet eller via dets dedikerede DC-endpoint. Certifikatet indeholder de udvidede nøglebrug Client Authentication, Server Authentication, Kerberos Authentication og Smart Card Logon.

Domænecontrollercertifikater i dokumentationen

SAMEKSISTENS

Tilføj SCEPman som en intermediate CA under din rod

Du behøver ikke erstatte din rod fra dag ét. I Enterprise Edition kan SCEPman køre som en intermediate CA: din eksisterende rod signerer SCEPman's CA-certifikat, som forbliver i dit Key Vault. Enheder, der stoler på din rod, stoler straks på SCEPman's certifikater, og du flytter use cases over, mens ADCS stadig udsteder resten.

Vælg roden
Vælg roden
En ny SCEPman-rod, udrullet af dit MDM og gruppepolitik, eller SCEPman som en intermediate under din nuværende rod.
Tilføj en SCEP-profil
Tilføj en SCEP-profil
Et nyt SCEP-profil i dit MDM, der peger på SCEPman, ved siden af det gamle; fjern NDES-profilen, når enhederne har deres nye certifikater.
Flyt Windows
Flyt Windows
Aktivér Active Directory-endpointet, og peg autoenrollment-politikken på det, skabelon for skabelon.
Flyt servere
Flyt servere
Servercertifikater via Certificate Master, EST eller API'et; domænecontrollere via deres skabelon.
Pensionér ADCS
Pensionér ADCS
Tilbagekald det tilbageværende, udgiv en sidste CRL, og pensionér CA'en, CDP'en og NDES.

Spørgsmål om at forlade ADCS

01Kan SCEPman og ADCS køre parallelt?

Ja. De er separate CA'er; enheder kan have certifikater fra begge, mens du migrerer.

02Kræver det Enterprise Edition?

Til Active Directory-endpointet, domænecontrollercertifikater, Certificate Master og intermediate CA, ja.

03Hvad med certifikater til brugere, der aldrig bruger dit MDM?

Domænetilsluttede brugere får deres via Active Directory-endpointet; alle andre via Certificate Master eller self-service enrollment.

04Skal SCEPman være i vores netværk?

Nej. Klienter når det via HTTPS; Active Directory-endpointet autentificerer dem med Kerberos via den serviceprincipal, du registrerer.

Planlæg din flytning fra ADCS.

Start med dit MDM og NDES, den del, der giver mest besvær, og behold ADCS, indtil den sidste skabelon er flyttet.