MIGRATIE · ADCS EN NDES

Zet de laatste certificaatserver uit.

ADCS blijft vaak om drie redenen bestaan: NDES voor Intune, automatische inschrijving voor domein-joined pc's en de Kerberos-certificaten van de domeincontrollers. SCEPman dekt alle drie vanuit je Azure-tenant, zodat de CA, de CDP-webserver en de NDES-server één voor één kunnen verdwijnen.

Geen NDES
Groepsbeleid-autoenrollment zonder clientsoftware
Domeincontrollercertificaten
Intermediate CA onder je bestaande root

Vraag een proefversie aan Contact opnemen met sales

Vandaag: ADCS

De CA, de CDP-webserver, NDES en de Intune Certificate Connector, elk een server die gepatcht moet worden

Tijdens de migratie

SCEPman onder je bestaande root, of een nieuwe root ernaast; use cases verhuizen één voor één

Daarna: SCEPman

De apparaten van je MDM, domein-joined Windows en de domeincontrollers, vanuit je Azure-tenant

VERGELIJKING

Wat het kost om ADCS, NDES en SCEPman te draaien

De inspanning per optie, zoals onze documentatie die beschrijft.

Een Microsoft CA met de PKCS-connector, NDES met SCEP, en SCEPman
	Microsoft CA met PKCS-connector	NDES met SCEP	SCEPman
Setup	2 to 3 days and more: CRL-distributiepunten, sjablonen, GPO's, serviceaccounts, connectorversies	2 more days and more: NDES-servers, één per certificaattype, twee extra sjablonen, lastig te debuggen	under 30 minutes voor de kernservice
Onderhoud	CDP-monitoring, connectormonitoring, besturingssysteemupdates	Dit alles, plus het handmatig vernieuwen van het enrollment agent-certificaat	Healthmonitoring in Azure; App Service werkt het platform bij
Intrekking	Handmatig; zoeken in de CA-database is omslachtig	Handmatig	Automatisch vanuit Entra ID, Intune en Jamf; handmatig in Certificate Master
Beschikbaarheid	Meerdere storingspunten: virtualisatie, OS, CDP-webserver, connector	Hetzelfde, plus NDES	App Service, optioneel in twee regio's achter Traffic Manager
Schaalbaarheid	Vereist een CA-cluster, handmatig in te richten	Dubbele NDES-servers	Automatisch schalen of een paar klikken
Back-up	CA-database, CA-sleutel en configuratie, regelmatig	Hetzelfde	Kernservice stateless; sleutel in Key Vault; optionele opslagback-up
Aanvalsoppervlak	Een tier 0-server communiceert via de connector met het internet	Inkomende toegang tot NDES, een tier 0-asset	Entra-geauthenticeerde endpoints, Key Vault en Storage achter private endpoints
MDM's	Alleen Intune	Meerdere, elk met een eigen NDES-instantie	Intune, Jamf Pro en andere MDM's

ENTERPRISE EDITION · SINDS 3.0

Certificaten voor domein-joined Windows zonder ADCS

Windows-clients in je domein weten al hoe ze zich moeten inschrijven: groepsbeleid wijst ze naar een inschrijvingsservice, Kerberos bewijst wie ze zijn en autoenrollment doet de rest. Het Active Directory-endpoint van SCEPman is die service. Je registreert een service principal in je AD, wijst het groepsbeleid naar SCEPman en computers en gebruikers schrijven zich in met de tools die al in Windows zitten. Er hoeft niets op de clients geïnstalleerd te worden.

Sjablonen voor user, computer, RDP server and domain controller, elk afzonderlijk in te schakelen.
Clients vernieuwen zelf wanneer minder dan 20% van de geldigheidsduur over is.
Beperk inschrijving tot leden van AD-groepen die je opgeeft.
SCEPman voegt de SID-extensie toe, zodat de certificaten voldoen aan de sterke koppeling die domeincontrollers afdwingen sinds KB5014754.

De Active Directory-handleiding

KERBEROS

Certificaten voor je domeincontrollers

Domeincontrollers hebben een Kerberos-authenticatiecertificaat nodig zodat Entra-joined en hybrid-joined apparaten kunnen inloggen op on-premises resources, en Windows Hello for Business in hybrid key trust heeft het ook nodig. SCEPman geeft het uit via het domeincontrollersjabloon van het Active Directory-endpoint, of via het speciale DC-endpoint. Het certificaat bevat de extended key usages Client Authentication, Server Authentication, Kerberos Authentication en Smart Card Logon.

Domeincontrollercertificaten in de documentatie

COËXISTENTIE

Voeg SCEPman toe als intermediate CA onder je root

Je hoeft je root niet op dag één te vervangen. In Enterprise Edition kan SCEPman als intermediate CA draaien: je bestaande root ondertekent het CA-certificaat van SCEPman, dat in je Key Vault blijft. Apparaten die je root vertrouwen vertrouwen de certificaten van SCEPman direct, en je verplaatst use cases terwijl ADCS de rest nog uitgeeft.

Kies de root
Kies de root
Een nieuwe SCEPman-root, uitgerold via je MDM en groepsbeleid, of SCEPman als intermediate onder je huidige root.
Voeg een SCEP-profiel toe
Voeg een SCEP-profiel toe
Een nieuw SCEP-profiel in je MDM dat naar SCEPman wijst, naast het oude; verwijder het NDES-profiel zodra de apparaten hun nieuwe certificaten hebben.
Migreer Windows
Migreer Windows
Schakel het Active Directory-endpoint in en wijs het autoenrollment-beleid er per sjabloon op.
Migreer servers
Migreer servers
Servercertificaten via Certificate Master, EST of de API; domeincontrollers via hun sjabloon.
Zet ADCS buiten gebruik
Zet ADCS buiten gebruik
Trek de resterende certificaten in, publiceer een laatste CRL en zet de CA, de CDP en NDES buiten gebruik.

Vragen over het verlaten van ADCS

01Kunnen SCEPman en ADCS tegelijk draaien?

Ja. Het zijn afzonderlijke CA's; apparaten kunnen certificaten van beide hebben terwijl je migreert.

02Hebben we Enterprise Edition nodig?

Voor het Active Directory-endpoint, domeincontrollercertificaten, Certificate Master en de intermediate CA wel.

03Hoe zit het met certificaten voor gebruikers die je MDM nooit gebruiken?

Domein-joined gebruikers krijgen hun certificaten via het Active Directory-endpoint; alle anderen via Certificate Master of self-service enrollment.

04Moet SCEPman in ons netwerk staan?

Nee. Clients bereiken het via HTTPS; het Active Directory-endpoint authenticeert ze met Kerberos via de service principal die je registreert.

Plan je overstap van ADCS.

Begin met je MDM en NDES, het deel dat het meeste pijn doet, en houd ADCS in de lucht totdat het laatste sjabloon is gemigreerd.