MIGRAATIO · ADCS JA NDES
Sammuta viimeinen sertifikaattipalvelin.
ADCS jää käyttöön yleensä kolmesta syystä: NDES Intunea varten, automaattinen rekisteröinti toimialueeseen liitetyille tietokoneille sekä toimialueohjainten Kerberos-sertifikaatit. SCEPman kattaa kaikki kolme Azure-tenantistasi käsin, joten CA, CDP-verkkopalvelin ja NDES-palvelin voidaan poistaa käytöstä yksi käyttötapaus kerrallaan.
- Ei NDES:ää
- Ryhmäkäytännön automaattinen rekisteröinti ilman asiakassovellusta
- Toimialueohjainten sertifikaatit
- Välitason CA olemassa olevan juuresi alle
VERTAILU
Mitä ADCS:n, NDES:n ja SCEPmanin ylläpito vaatii
Kunkin vaihtoehdon vaatima työmäärä dokumentaatiomme mukaan.
| Microsoft CA PKCS-connectorilla | NDES SCEP:llä | SCEPman | |
|---|---|---|---|
| Käyttöönotto | 2 to 3 days and more: CRL-jakelupisteet, mallit, GPO:t, palvelutilit, connector-versiot | 2 more days and more: NDES-palvelimet, yksi kutakin sertifikaattityyppiä kohden, kaksi lisämallia, vaikea debugata | under 30 minutes ydinpalvelulle |
| Ylläpito | CDP-valvonta, connector-valvonta, käyttöjärjestelmäpäivitykset | Kaikki edellä mainittu sekä enrollment agent -sertifikaatin manuaalinen uusiminen | Terveysvalvonta Azuressa; App Service päivittää alustan |
| Peruuttaminen | Manuaalinen; CA-tietokannan haku on hankalaa | Manuaalinen | Automaattinen Entra ID:stä, Intunesta ja Jamfista; manuaalinen Certificate Masterissa |
| Saatavuus | Useita vikakohteita: virtualisointi, käyttöjärjestelmä, CDP-verkkopalvelin, connector | Sama, lisäksi NDES | App Service, valinnaisesti kahdessa alueessa Traffic Managerin takana |
| Skaalaus | Vaatii CA-klusterin, manuaalisesti | NDES-palvelimien monistaminen | Automaattinen skaalaus tai muutama klikkaus |
| Varmuuskopiointi | CA-tietokanta, CA-avain ja konfiguraatio, säännöllisesti | Sama | Ydinpalvelu tilaton; avain Key Vaultissa; valinnainen tallennuksen varmuuskopiointi |
| Hyökkäyspinta | Tier 0 -palvelin kommunikoi internetin kanssa connectorin kautta | Saapuva liikenne NDES:ään, joka on tier 0 -resurssi | Entra-autentikoidut päätepisteet, Key Vault ja Storage yksityisten päätepisteiden takana |
| MDM:t | Vain Intune | Useita, kukin oma NDES-instanssinsa | Intune, Jamf Pro ja muut MDM:t |
ENTERPRISE EDITION · VERSIOSTA 3.0 LÄHTIEN
Sertifikaatit toimialueeseen liitetylle Windowsille ilman ADCS:ää
Toimialueesi Windows-asiakkaat osaavat jo rekisteröityä: ryhmäkäytäntö ohjaa ne rekisteröintipalveluun, Kerberos todentaa niiden henkilöllisyyden ja automaattinen rekisteröinti hoitaa loput. SCEPmanin Active Directory -päätepiste on juuri tämä palvelu. Rekisteröit palveluprincipalin AD:hen, osoitat ryhmäkäytännön SCEPmaniin, ja tietokoneet sekä käyttäjät rekisteröityvät Windowsin omilla työkaluilla. Asiakaskoneille ei tarvitse asentaa mitään.
- Mallit kohteelle user, computer, RDP server and domain controller, kukin otetaan käyttöön erikseen.
- Asiakkaat uusivat sertifikaattinsa automaattisesti, kun voimassaoloajasta on jäljellä alle 20%.
- Rajaa rekisteröinti nimeämiesi AD-ryhmien jäseniin.
- SCEPman lisää SID-laajennuksen, joten sertifikaatit täyttävät vahvan kartoituksen vaatimukset, joita toimialueohjaimet ovat vaatineet KB5014754:stä lähtien.
KERBEROS
Sertifikaatit toimialueohjaimillesi
Toimialueohjaimet tarvitsevat Kerberos-todennussertifikaatin, jotta Entra-liitetyt ja hybridiliitetyt laitteet voivat kirjautua paikallisiin resursseihin, ja myös Windows Hello for Business hybridinavainluottamuksessa vaatii sen. SCEPman myöntää sen Active Directory -päätepisteen toimialueohjainmallin kautta tai erillisen DC-päätepisteensä kautta. Sertifikaatti sisältää laajennetut avainten käyttötarkoitukset Client Authentication, Server Authentication, Kerberos Authentication ja Smart Card Logon.
RINNAKKAISELO
Lisää SCEPman välitason CA:ksi juuresi alle
Juurta ei tarvitse korvata heti ensimmäisenä päivänä. Enterprise Editionissa SCEPman voi toimia välitason CA:na: olemassa oleva juuresi allekirjoittaa SCEPmanin CA-sertifikaatin, joka pysyy Key Vaultissasi. Laitteet, jotka luottavat juuriisi, luottavat SCEPmanin sertifikaatteihin välittömästi, ja voit siirtää käyttötapaukset yksitellen ADCS:n myöntäessä vielä lopuille.
Migraatiopolku viidessä vaiheessa
Suunnittele järjestys verkostotiimisi kanssa: RADIUS-palvelimien ja VPN-yhdyskäytävien on luotettava uuteen juureen ennen kuin ensimmäinen laite esittää SCEPman-sertifikaatin.
- Päätä juuriPäätä juuriUusi SCEPman-juuri, jonka MDM ja ryhmäkäytäntö ottavat käyttöön, tai SCEPman välitason CA:na nykyisen juuresi alla.
- Lisää SCEP-profiiliLisää SCEP-profiiliLisää MDM:ään uusi SCEP-profiili, joka osoittaa SCEPmaniin, vanhan rinnalle; poista NDES-profiili, kun laitteilla on uudet sertifikaatit.
- Siirrä WindowsSiirrä WindowsOta Active Directory -päätepiste käyttöön ja osoita automaattisen rekisteröinnin käytäntö siihen, malli kerrallaan.
- Siirrä palvelimetSiirrä palvelimetPalvelinsertifikaatit Certificate Masterin, EST:n tai API:n kautta; toimialueohjaimet oman mallinsa kautta.
- Poista ADCS käytöstäPoista ADCS käytöstäPeruuta jäljellä olevat sertifikaatit, julkaise viimeinen CRL ja poista CA, CDP ja NDES käytöstä.
Kysymyksiä ADCS:stä luopumisesta
01Voivatko SCEPman ja ADCS toimia rinnakkain?
Kyllä. Ne ovat erillisiä CA:ita; laitteet voivat pitää molempien sertifikaatteja siirtymän ajan.
02Tarvitaanko tähän Enterprise Edition?
Active Directory -päätepisteen, toimialueohjainten sertifikaattien, Certificate Masterin ja välitason CA:n osalta kyllä.
03Entä käyttäjat, jotka eivät koskaan käytä MDM:ää?
Toimialueeseen liitetyt käyttäjät saavat sertifikaattinsa Active Directory -päätepisteen kautta; kaikki muut Certificate Masterin tai omatoimisen rekisteröinnin kautta.
04Täytyykö SCEPmanin olla verkossamme?
Ei. Asiakkaat tavoittavat sen HTTPS:n yli; Active Directory -päätepiste todentaa ne Kerberoksella rekisteröimäsi palveluprincipalin kautta.
Suunnittele siirtymäsi pois ADCS:ltä.
Aloita MDM:stä ja NDES:stä, sieltä missä kipu on suurin, ja pidä ADCS käytössä kunnes viimeinen malli on siirtynyt.