FLUTNINGUR · ADCS OG NDES

Slökktu á síðasta vottorðaþjóninum.

ADCS lifir oft vegna þriggja hluta: NDES fyrir Intune, autoenrollment fyrir Windows á léni og Kerberos-vottorð lénsstjórnenda. SCEPman sér um alla þrjá frá Azure tenant þínum, þannig að CA, CDP-vefþjónninn og NDES-vélin geta farið, einn notkunarferill í einu.

Ekkert NDES
Group policy autoenrollment án hugbúnaðar á biðlarum
Vottorð lénsstjórnenda
Intermediate CA undir núverandi rót þinni

Óska eftir prufuaðgangi Hafðu samband við söluteymið

Í dag: ADCS

CA, CDP-vefþjónninn, NDES og Intune Certificate Connector, sérhver þeirra þjónn sem þarf að uppfæra

Meðan á flutningi stendur

SCEPman undir núverandi rót þinni, eða ný rót við hliðina; notkunarferlar flytjast einn í einu

Eftir: SCEPman

Tæki MDM þíns, Windows á léni og lénsstjórnendur, frá Azure tenant þínum

SAMANBURÐUR

Hvað þarf til að keyra ADCS, NDES og SCEPman

Vinna við hvert valkost, eins og skjölunin okkar lýsir því.

Keyrsla Microsoft CA með PKCS connector, NDES með SCEP og SCEPman
	Microsoft CA með PKCS connector	NDES með SCEP	SCEPman
Uppsetning	2 to 3 days and more: CRL distribution points, sniðmát, GPOs, þjónustulyklar, connector-útgáfur	2 more days and more: NDES-þjónar, einn fyrir hverja vottorðategund, tvö sniðmát til viðbótar, erfitt að kemba	under 30 minutes fyrir kjarnaþjónustuna
Viðhald	CDP-eftirlit, connector-eftirlit, uppfærslur á stýrikerfi	Allt þetta, auk þess að endurnýja enrollment agent-vottorðið handvirkt	Heilsueftirlit í Azure; App Service uppfærir verkvanginn
Afturköllun	Handvirkt; erfitt að leita í CA-gagnagrunninum	Handvirkt	Sjálfvirkt frá Entra ID, Intune og Jamf; handvirkt í Certificate Master
Framboð	Nokkrir bilunarstaðir: sýndarvæðing, stýrikerfi, CDP-vefþjónn, connector	Það sama, auk NDES	App Service, valfrjálst í tveimur svæðum á bak við Traffic Manager
Kvörðun	Þarfnast CA-þyrpingar, handvirkt	Afritaðir NDES-þjónar	Sjálfvirk kvörðun eða nokkur smellur
Öryggisafrit	CA-gagnagrunnur, CA-lykill og stillingar, reglulega	Það sama	Kjarnaþjónusta án ástands; lykill í Key Vault; valfrjálst öryggisafrit í geymslu
Árásarflötur	Tier 0-þjónn talar við internetið í gegnum connector	Innkomandi aðgangur að NDES, sem er tier 0-eign	Entra-auðkennd endapunkt, Key Vault og Storage á bak við private endpoints
MDMs	Intune eingöngu	Nokkur, með sitt NDES-tilvik hvert	Intune, Jamf Pro og aðrar MDMs

ENTERPRISE EDITION · FRÁ 3.0

Vottorð fyrir Windows á léni án ADCS

Windows-biðlarar í léni þínu vita nú þegar hvernig á að skrá sig: group policy vísar þeim á enrollment-þjónustu, Kerberos staðfestir deili á þeim og autoenrollment sér um restina. Active Directory-endapunktur SCEPman er sú þjónusta. Þú skráir service principal í AD þínu, vísar group policy á SCEPman, og tölvur og notendur skrá sig með innbyggðum verkfærum Windows. Ekkert þarf að setja upp á biðlarunum.

Sniðmát fyrir user, computer, RDP server and domain controller, hvert kveikt á sér.
Biðlarar endurnýja sjálfkrafa þegar minna en 20% af gildistímanum er eftir.
Takmarkaðu skráningu við meðlimi AD-hópa sem þú tilgreinir.
SCEPman bætir við SID-viðbótinni, þannig að vottorðin uppfylla kröfur um strong mapping sem lénsstjórnendur þvinga í gildi frá KB5014754.

Active Directory-leiðbeiningarnar

KERBEROS

Vottorð fyrir lénsstjórnendur þína

Lénsstjórnendur þurfa Kerberos-auðkenningarvottorð svo að Entra-tengd og hybrid-tengd tæki geti skráð sig inn á innanhúss tilföng, og Windows Hello for Business í hybrid key trust þarfnast þess líka. SCEPman gefur það út í gegnum domain controller-sniðmát Active Directory-endapunktsins, eða í gegnum sérstakan DC-endapunkt hans. Vottorðið ber extended key usages: Client Authentication, Server Authentication, Kerberos Authentication og Smart Card Logon.

Vottorð lénsstjórnenda í skjöluninni

SAMHLIÐA NOTKUN

Bættu SCEPman við sem intermediate CA undir rót þinni

Þú þarft ekki að skipta um rót á fyrsta degi. Í Enterprise Edition getur SCEPman keyrt sem intermediate CA: núverandi rót þín undirritaði CA-vottorð SCEPman, sem er geymt í Key Vault þínum. Tæki sem treysta rót þinni treysta vottorðum SCEPman samstundis, og þú færir notkunarferlana yfir á meðan ADCS gefur enn út þá sem eftir eru.

Ákveddu rótina
Ákveddu rótina
Ný SCEPman-rót, sett upp af MDM og group policy, eða SCEPman sem intermediate undir núverandi rót þinni.
Bættu við SCEP-prófíl
Bættu við SCEP-prófíl
Nýtt SCEP-prófíll í MDM þínu sem vísar á SCEPman, við hlið þess gamla; fjarlægðu NDES-prófílinn þegar tækin hafa fengið nýju vottorðin sín.
Flyttu Windows
Flyttu Windows
Kveiktu á Active Directory-endapunktinum og vísa autoenrollment-reglunni á hann, sniðmát fyrir sniðmát.
Flyttu þjóna
Flyttu þjóna
Þjónavottorð í gegnum Certificate Master, EST eða API-ið; lénsstjórnendur í gegnum sniðmát sitt.
Leggðu ADCS af
Leggðu ADCS af
Afturkallaðu það sem eftir er, birtu síðasta CRL og leggðu CA, CDP og NDES af.

Spurningar um að yfirgefa ADCS

01Geta SCEPman og ADCS keyrt samhliða?

Já. Þetta eru aðskildir CAs; tæki geta haldið vottorðum frá báðum á meðan þú flytur.

02Þurfum við Enterprise Edition fyrir þetta?

Fyrir Active Directory-endapunktinn, vottorð lénsstjórnenda, Certificate Master og intermediate CA, já.

03Hvað með vottorð fyrir notendur sem nota aldrei MDM þitt?

Notendur á léni fá sín í gegnum Active Directory-endapunktinn; allir aðrir í gegnum Certificate Master eða self-service enrollment.

04Þarf SCEPman að vera í netkerfi okkar?

Nei. Biðlarar ná til þess í gegnum HTTPS; Active Directory-endapunkturinn auðkennir þá með Kerberos í gegnum service principal sem þú skráir.

Skipuleggðu flutninginn frá ADCS.

Byrjaðu á MDM þínu og NDES, þeim hluta sem veldur mestum vanda, og haltu ADCS til að síðasta sniðmátið hafi flust yfir.