MIGRERING · ADCS OG NDES

Slå av den siste sertifikatserveren.

ADCS overlever ofte av tre grunner: NDES for Intune, autoenrollment for domenetilknyttede PC-er og Kerberos-sertifikatene til domenekontrollerne. SCEPman dekker alle tre fra Azure-tenanten din, slik at CA-en, CDP-webserveren og NDES-boksen kan avvikles, én brukstilfelle om gangen.

Ingen NDES
Gruppepolicy-autoenrollment uten klientprogramvare
Domenekontrollersertifikater
Intermediate CA under din eksisterende rot

Be om en prøveperiode Kontakt salg

I dag: ADCS

CA-en, CDP-webserveren, NDES og Intune Certificate Connector – hver en server som må patches

Under migreringen

SCEPman under din eksisterende rot, eller en ny rot ved siden av; brukstilfeller flyttes én om gangen

Etterpå: SCEPman

MDM-enhetene dine, domenetilknyttet Windows og domenekontrollerne, fra Azure-tenanten din

SAMMENLIGNING

Hva det krever å drifte ADCS, NDES og SCEPman

Arbeidsmengden for hvert alternativ, slik dokumentasjonen vår beskriver det.

Drift av en Microsoft CA med PKCS-connector, NDES med SCEP, og SCEPman
	Microsoft CA med PKCS-connector	NDES med SCEP	SCEPman
Oppsett	2 to 3 days and more: CRL-distribusjonspunkter, maler, GPO-er, tjenestekontoer, connector-versjoner	2 more days and more: NDES-servere, én per sertifikattype, to ekstra maler, vanskelig å feilsøke	under 30 minutes for kjernetjenesten
Vedlikehold	CDP-overvåking, connector-overvåking, oppdatering av operativsystemet	Alt det samme, pluss manuell fornyelse av enrollment agent-sertifikatet	Helseovervåking i Azure; App Service oppdaterer plattformen
Tilbakekalling	Manuelt; søk i CA-databasen er tungvint	Manuelt	Automatisk fra Entra ID, Intune og Jamf; manuelt i Certificate Master
Tilgjengelighet	Flere feilpunkter: virtualisering, OS, CDP-webserver, connector	Det samme, pluss NDES	App Service, valgfritt i to regioner bak Traffic Manager
Skalering	Krever et CA-cluster, manuelt	Dupliserte NDES-servere	Autoskalering eller noen få klikk
Backup	CA-database, CA-nøkkel og konfigurasjon, regelmessig	Det samme	Kjernetjenesten er tilstandsløs; nøkkel i Key Vault; valgfri backup av lagring
Angrepsflate	En tier 0-server kommuniserer med internett via connectoren	Inngående tilgang til NDES, en tier 0-ressurs	Entra-autentiserte endepunkter, Key Vault og Storage bak private endepunkter
MDM-er	Kun Intune	Flere, med én NDES-instans hver	Intune, Jamf Pro og andre MDM-er

ENTERPRISE EDITION · SIDEN 3.0

Sertifikater for domenetilknyttet Windows uten ADCS

Windows-klienter i domenet ditt vet allerede hvordan de skal enrolle: gruppepolicy peker dem mot en enrollment-tjeneste, Kerberos bekrefter identiteten, og autoenrollment tar seg av resten. SCEPman sitt Active Directory-endepunkt er denne tjenesten. Du registrerer en service principal i AD-et ditt, peker gruppepolicyen mot SCEPman, og maskiner og brukere enrolles med verktøyene som er innebygd i Windows. Ingenting å installere på klientene.

Maler for user, computer, RDP server and domain controller, hver aktivert separat.
Klienter fornyer på egen hånd når mindre enn 20% av gyldighetsperioden gjenstår.
Begrens enrollment til medlemmer av AD-grupper du angir.
SCEPman legger til SID-utvidelsen, slik at sertifikatene oppfyller kravene til sterk mapping som domenekontrollere håndhever siden KB5014754.

Active Directory-guiden

KERBEROS

Sertifikater for domenekontrollerne dine

Domenekontrollere trenger et Kerberos-autentiseringssertifikat for at Entra-tilknyttede og hybrid-tilknyttede enheter skal kunne logge på lokale ressurser, og Windows Hello for Business i hybrid key trust krever det også. SCEPman utsteder det via domenekontrollermalen til Active Directory-endepunktet, eller via sitt dedikerte DC-endepunkt. Sertifikatet inneholder de utvidede nøkkelbruksområdene Client Authentication, Server Authentication, Kerberos Authentication og Smart Card Logon.

Domenekontrollersertifikater i dokumentasjonen

SAMEKSISTENS

Legg til SCEPman som en intermediate CA under roten din

Du trenger ikke erstatte roten din fra dag én. I Enterprise Edition kan SCEPman kjøre som en intermediate CA: den eksisterende roten din signerer SCEPman sin CA-sertifikat, som lagres i Key Vault. Enheter som stoler på roten din, stoler umiddelbart på SCEPman sine sertifikater, og du flytter brukstilfeller over mens ADCS fortsatt utsteder resten.

Velg rot
Velg rot
En ny SCEPman-rot, distribuert av MDM-en og gruppepolicyen din, eller SCEPman som en intermediate under den gjeldende roten.
Legg til en SCEP-profil
Legg til en SCEP-profil
Opprett en ny SCEP-profil i MDM-en din som peker mot SCEPman, ved siden av den gamle; fjern NDES-profilen når enhetene har fått sine nye sertifikater.
Flytt Windows
Flytt Windows
Aktiver Active Directory-endepunktet og pek autoenrollment-policyen mot det, mal for mal.
Flytt servere
Flytt servere
Serversertifikater via Certificate Master, EST eller API-et; domenekontrollere via sin mal.
Avvikle ADCS
Avvikle ADCS
Tilbakekall det som gjenstår, publiser en siste CRL, og avvikle CA-en, CDP-en og NDES.

Spørsmål om å forlate ADCS

01Kan SCEPman og ADCS kjøre parallelt?

Ja. De er separate CA-er; enheter kan ha sertifikater fra begge mens du migrerer.

02Trenger vi Enterprise Edition for dette?

For Active Directory-endepunktet, domenekontrollersertifikater, Certificate Master og intermediate CA, ja.

03Hva med sertifikater for brukere som aldri bruker MDM-en din?

Domenetilknyttede brukere får sine via Active Directory-endepunktet; alle andre via Certificate Master eller selvbetjeningsenrollment.

04Må SCEPman være i nettverket vårt?

Nei. Klienter når det over HTTPS; Active Directory-endepunktet autentiserer dem med Kerberos via service principal-en du registrerer.

Planlegg overgangen fra ADCS.

Begynn med MDM-en og NDES, den delen som gjør mest vondt, og behold ADCS til den siste malen er flyttet over.