MIGRATION · ADCS ET NDES
Éteins le dernier serveur de certificats.
ADCS survit souvent pour trois raisons : NDES pour Intune, l'inscription automatique des PC joints au domaine et les certificats Kerberos des contrôleurs de domaine. SCEPman couvre les trois depuis ton tenant Azure : la CA, le serveur web du CDP et la machine NDES peuvent donc partir, un cas d'usage après l'autre.
- Pas de NDES
- Inscription automatique par stratégie de groupe sans logiciel client
- Certificats de contrôleur de domaine
- CA intermédiaire sous ta racine existante
COMPARAISON
Ce qu'exige l'exploitation d'ADCS, de NDES et de SCEPman
L'effort de chaque option, tel que notre documentation le décrit.
| CA Microsoft avec connecteur PKCS | NDES avec SCEP | SCEPman | |
|---|---|---|---|
| Mise en place | 2 to 3 days and more : points de distribution CRL, modèles, GPO, comptes de service, versions du connecteur | 2 more days and more : serveurs NDES, un par type de certificat, deux modèles de plus, difficile à déboguer | under 30 minutes pour le service principal |
| Maintenance | Surveillance du CDP, surveillance du connecteur, mises à jour du système d'exploitation | Tout cela, plus le renouvellement manuel du certificat de l'agent d'inscription | Surveillance de l'intégrité dans Azure ; App Service met à jour la plateforme |
| Révocation | Manuelle ; la recherche dans la base de données de la CA est difficile | Manuelle | Automatique depuis Entra ID, Intune et Jamf ; manuelle dans Certificate Master |
| Disponibilité | Plusieurs points de défaillance : virtualisation, système d'exploitation, serveur web du CDP, connecteur | Idem, plus NDES | App Service, en option dans deux régions derrière Traffic Manager |
| Montée en charge | Exige un cluster de CA, à la main | Serveurs NDES en double | Mise à l'échelle automatique ou quelques clics |
| Sauvegarde | Base de données, clé et configuration de la CA, régulièrement | Idem | Service principal sans état ; clé dans Key Vault ; sauvegarde du stockage en option |
| Surface d'attaque | Un serveur de niveau 0 communique avec Internet via le connecteur | Accès entrant à NDES, un actif de niveau 0 | Points de terminaison authentifiés par Entra, Key Vault et Storage derrière des points de terminaison privés |
| MDM | Intune uniquement | Plusieurs, avec une instance NDES chacun | Intune, Jamf Pro et d'autres MDM |
ENTERPRISE EDITION · DEPUIS 3.0
Des certificats pour Windows joint au domaine sans ADCS
Les clients Windows de ton domaine savent déjà s'inscrire : la stratégie de groupe les dirige vers un service d'inscription, Kerberos prouve leur identité, et l'inscription automatique fait le reste. Le point de terminaison Active Directory de SCEPman est ce service. Tu enregistres un principal de service dans ton AD, tu fais pointer la stratégie de groupe vers SCEPman, et les ordinateurs et les utilisateurs s'inscrivent avec les outils intégrés à Windows. Rien à installer sur les clients.
- Des modèles pour user, computer, RDP server and domain controller, chacun activé séparément.
- Les clients renouvellent d'eux-mêmes quand il reste moins de 20% de la durée de validité.
- Limite l'inscription aux membres des groupes AD que tu désignes.
- SCEPman ajoute l'extension SID : les certificats respectent ainsi le mappage fort qu'imposent les contrôleurs de domaine depuis KB5014754.
KERBEROS
Des certificats pour tes contrôleurs de domaine
Les contrôleurs de domaine ont besoin d'un certificat d'authentification Kerberos pour que les appareils joints à Entra et en jonction hybride puissent se connecter aux ressources locales, et Windows Hello for Business en approbation de clé hybride en a besoin lui aussi. SCEPman l'émet via le modèle de contrôleur de domaine du point de terminaison Active Directory, ou via son point de terminaison dédié aux DC. Le certificat porte les utilisations améliorées de la clé « authentification du client », « authentification du serveur », « authentification Kerberos » et « ouverture de session par carte à puce ».
Les certificats de contrôleur de domaine dans la documentation
COEXISTENCE
Ajouter SCEPman comme CA intermédiaire sous ta racine
Tu n'as pas à remplacer ta racine dès le premier jour. Dans Enterprise Edition, SCEPman peut fonctionner comme CA intermédiaire : ta racine existante signe le certificat de CA de SCEPman, qui reste dans ton Key Vault. Les appareils qui font confiance à ta racine font immédiatement confiance aux certificats de SCEPman, et tu fais migrer les cas d'usage pendant qu'ADCS émet encore le reste.
Une migration en cinq étapes
Planifie l'ordre avec ton équipe réseau : les serveurs RADIUS et les passerelles VPN doivent faire confiance à la nouvelle racine avant que le premier appareil ne présente un certificat SCEPman.
- Choisir la racineChoisir la racineUne nouvelle racine SCEPman, déployée par ton MDM et ta stratégie de groupe, ou SCEPman comme CA intermédiaire sous ta racine actuelle.
- Ajouter un profil SCEPAjouter un profil SCEPUn nouveau profil SCEP dans ton MDM pointant vers SCEPman, à côté de l'ancien ; supprime le profil NDES une fois que les appareils ont reçu leurs nouveaux certificats.
- Migrer WindowsMigrer WindowsActive le point de terminaison Active Directory et fais pointer la stratégie d'inscription automatique vers lui, modèle par modèle.
- Migrer les serveursMigrer les serveursLes certificats de serveur via Certificate Master, EST ou l'API ; les contrôleurs de domaine via leur modèle.
- Retirer ADCSRetirer ADCSRévoque ce qui reste, publie une dernière CRL et retire la CA, le CDP et NDES.
Questions sur l'abandon d'ADCS
01SCEPman et ADCS peuvent-ils fonctionner en parallèle ?
Oui. Ce sont des CA distinctes ; les appareils peuvent détenir des certificats des deux pendant la migration.
02Avons-nous besoin d'Enterprise Edition pour cela ?
Pour le point de terminaison Active Directory, les certificats de contrôleur de domaine, Certificate Master et la CA intermédiaire, oui.
03Qu'en est-il des certificats pour les utilisateurs qui ne passent jamais par ton MDM ?
Les utilisateurs joints au domaine obtiennent les leurs via le point de terminaison Active Directory ; tous les autres via Certificate Master ou l'enrôlement en libre-service.
04SCEPman doit-il se trouver dans notre réseau ?
Non. Les clients l'atteignent en HTTPS ; le point de terminaison Active Directory les authentifie avec Kerberos via le principal de service que tu enregistres.
Planifie ton abandon d'ADCS.
Commence par ton MDM et NDES, la partie la plus problématique, et garde ADCS jusqu'à ce que le dernier modèle ait migré.