MIGRACIÓN · ADCS Y NDES
Apaga el último servidor de certificados.
ADCS suele sobrevivir por tres motivos: NDES para Intune, la autoinscripción en equipos unidos al dominio y los certificados Kerberos de los controladores de dominio. SCEPman cubre los tres desde tu tenant de Azure, de modo que la CA, el servidor web CDP y el servidor NDES pueden eliminarse, un caso de uso a la vez.
- Sin NDES
- Autoinscripción por directiva de grupo sin software en el cliente
- Certificados para controladores de dominio
- CA intermedia bajo tu raíz existente
COMPARATIVA
Lo que implica ejecutar ADCS, NDES y SCEPman
El esfuerzo que requiere cada opción, tal como lo recoge nuestra documentación.
| CA de Microsoft con conector PKCS | NDES con SCEP | SCEPman | |
|---|---|---|---|
| Configuración | 2 to 3 days and more: puntos de distribución de CRL, plantillas, GPOs, cuentas de servicio, versiones del conector | 2 more days and more: servidores NDES, uno por tipo de certificado, dos plantillas adicionales, difícil de depurar | under 30 minutes para el servicio principal |
| Mantenimiento | Monitorización del CDP, monitorización del conector, actualizaciones del sistema operativo | Todo lo anterior, más la renovación manual del certificado del agente de inscripción | Monitorización de salud en Azure; App Service actualiza la plataforma |
| Revocación | Manual; buscar en la base de datos de la CA es complicado | Manual | Automática desde Entra ID, Intune y Jamf; manual en Certificate Master |
| Disponibilidad | Varios puntos de fallo: virtualización, SO, servidor web CDP, conector | Lo mismo, más NDES | App Service, opcionalmente en dos regiones detrás de Traffic Manager |
| Escalado | Requiere un clúster de CA, configurado a mano | Servidores NDES duplicados | Autoescalado o unos pocos clics |
| Copia de seguridad | Base de datos de la CA, clave y configuración de la CA, con regularidad | Lo mismo | Servicio principal sin estado; clave en Key Vault; copia de seguridad de almacenamiento opcional |
| Superficie de ataque | Un servidor de nivel 0 se comunica con internet a través del conector | Acceso entrante a NDES, un activo de nivel 0 | Endpoints autenticados con Entra ID, Key Vault y Storage detrás de endpoints privados |
| MDMs | Solo Intune | Varios, con una instancia NDES cada uno | Intune, Jamf Pro y otros MDMs |
ENTERPRISE EDITION · DESDE 3.0
Certificados para Windows unido al dominio sin ADCS
Los clientes Windows de tu dominio ya saben cómo inscribirse: la directiva de grupo los dirige a un servicio de inscripción, Kerberos verifica su identidad y la autoinscripción hace el resto. El endpoint de Active Directory de SCEPman es ese servicio. Registras una entidad de servicio en tu AD, apuntas la directiva de grupo a SCEPman, y equipos y usuarios se inscriben con las herramientas integradas en Windows. Sin nada que instalar en los clientes.
- Plantillas para user, computer, RDP server and domain controller, cada una activada por separado.
- Los clientes renuevan por sí solos cuando queda menos del 20% de validez.
- Limita la inscripción a los miembros de los grupos de AD que indiques.
- SCEPman añade la extensión SID, de modo que los certificados cumplen el mapeo estricto que los controladores de dominio aplican desde KB5014754.
KERBEROS
Certificados para tus controladores de dominio
Los controladores de dominio necesitan un certificado de autenticación Kerberos para que los dispositivos unidos a Entra ID y los unidos en modo híbrido puedan iniciar sesión en recursos locales, y Windows Hello for Business en modo de confianza de clave híbrida también lo requiere. SCEPman lo emite a través de la plantilla de controlador de dominio del endpoint de Active Directory, o mediante su endpoint dedicado para DC. El certificado incluye los usos de clave extendida Client Authentication, Server Authentication, Kerberos Authentication y Smart Card Logon.
COEXISTENCIA
Añade SCEPman como CA intermedia bajo tu raíz
No es necesario reemplazar tu raíz desde el primer día. En Enterprise Edition, SCEPman puede funcionar como CA intermedia: tu raíz existente firma el certificado de CA de SCEPman, que permanece en tu Key Vault. Los dispositivos que confían en tu raíz confían de inmediato en los certificados de SCEPman, y puedes ir migrando casos de uso mientras ADCS sigue emitiendo el resto.
Un plan de migración en cinco pasos
Planifica el orden con tu equipo de red: los servidores RADIUS y las puertas de enlace VPN deben confiar en la nueva raíz antes de que el primer dispositivo presente un certificado de SCEPman.
- Decide la raízDecide la raízUna nueva raíz de SCEPman, desplegada por tu MDM y directiva de grupo, o SCEPman como intermedia bajo tu raíz actual.
- Añade un perfil SCEPAñade un perfil SCEPCrea un nuevo perfil SCEP en tu MDM apuntando a SCEPman, junto al anterior; elimina el perfil NDES una vez que los dispositivos tengan sus nuevos certificados.
- Migra WindowsMigra WindowsActiva el endpoint de Active Directory y dirige la directiva de autoinscripción hacia él, plantilla a plantilla.
- Migra los servidoresMigra los servidoresCertificados de servidor a través de Certificate Master, EST o la API; controladores de dominio a través de su plantilla.
- Retira ADCSRetira ADCSRevoca lo que quede, publica una última CRL y da de baja la CA, el CDP y NDES.
Preguntas sobre cómo abandonar ADCS
01¿Pueden SCEPman y ADCS funcionar en paralelo?
Sí. Son CAs independientes; los dispositivos pueden tener certificados de ambas mientras realizas la migración.
02¿Necesitamos Enterprise Edition para esto?
Para el endpoint de Active Directory, los certificados de controlador de dominio, Certificate Master y la CA intermedia, sí.
03¿Qué pasa con los certificados de los usuarios que nunca usan tu MDM?
Los usuarios unidos al dominio los obtienen a través del endpoint de Active Directory; el resto, a través de Certificate Master o la inscripción en autoservicio.
04¿SCEPman necesita estar en nuestra red?
No. Los clientes se conectan mediante HTTPS; el endpoint de Active Directory los autentica con Kerberos a través de la entidad de servicio que registras.
Planifica tu migración desde ADCS.
Empieza por tu MDM y NDES, que es donde más duele, y mantén ADCS hasta que se haya migrado la última plantilla.