MIGRATION · ADCS OCH NDES

Stäng av den sista certifikatservern.

ADCS överlever ofta av tre skäl: NDES för Intune, autoenrollment för domänanslutna datorer och Kerberos-certifikaten för domänkontrollanterna. SCEPman täcker alla tre från din Azure-tenant, så CA:n, CDP-webbservern och NDES-servern kan avvecklas ett användningsfall i taget.

Ingen NDES
Grupprincip-autoenrollment utan klientprogramvara
Domänkontrollantcertifikat
Mellanliggande CA under din befintliga rot

Begär en provperiod Kontakta sälj

Idag: ADCS

CA:n, CDP-webbservern, NDES och Intune Certificate Connector – varje del en server att patcha

Under flytten

SCEPman under din befintliga rot, eller en ny rot vid sidan av; användningsfall flyttas ett i taget

Efter: SCEPman

Ditt MDM:s enheter, domänanslutna Windows och domänkontrollanterna, från din Azure-tenant

JÄMFÖRELSE

Vad som krävs för att driva ADCS, NDES och SCEPman

Arbetsinsatsen för respektive alternativ, enligt vår dokumentation.

Att köra en Microsoft CA med PKCS-connector, NDES med SCEP och SCEPman
	Microsoft CA med PKCS-connector	NDES med SCEP	SCEPman
Installation	2 to 3 days and more: CRL-distributionspunkter, mallar, GPO:er, tjänstkonton, connectorversioner	2 more days and more: NDES-servrar, en per certifikattyp, ytterligare två mallar, svårt att felsöka	under 30 minutes för kärntjänsten
Underhåll	CDP-övervakning, connectorövervakning, operativsystemsuppdateringar	Allt det ovanstående, plus manuell förnyelse av enrollment agent-certifikatet	Hälsoövervakning i Azure; App Service uppdaterar plattformen
Återkallning	Manuell; det är svårt att söka i CA-databasen	Manuell	Automatisk från Entra ID, Intune och Jamf; manuell i Certificate Master
Tillgänglighet	Flera felpunkter: virtualisering, OS, CDP-webbserver, connector	Samma, plus NDES	App Service, valfritt i två regioner bakom Traffic Manager
Skalning	Kräver ett CA-kluster, konfigurerat manuellt	Duplicerade NDES-servrar	Autoskalning eller några klick
Säkerhetskopiering	CA-databas, CA-nyckel och konfiguration, regelbundet	Samma	Kärntjänsten är tillståndslös; nyckeln i Key Vault; valfri lagringssäkerhetskopiering
Attackyta	En tier 0-server kommunicerar med internet via connectorn	Inkommande åtkomst till NDES, en tier 0-tillgång	Entra-autentiserade endpoints, Key Vault och Storage bakom privata endpoints
MDM:er	Endast Intune	Flera, med en NDES-instans vardera	Intune, Jamf Pro och andra MDM:er

ENTERPRISE EDITION · SEDAN 3.0

Certifikat för domänanslutna Windows utan ADCS

Windows-klienter i din domän vet redan hur enrollmentprocessen fungerar: gruppprincipen pekar dem mot en enrollment-tjänst, Kerberos verifierar identiteten och autoenrollment sköter resten. SCEPman:s Active Directory-endpoint är den tjänsten. Du registrerar ett tjänsthuvudnamn i din AD, pekar gruppprincipen mot SCEPman och datorer och användare enrollas med de verktyg som är inbyggda i Windows. Inget att installera på klienterna.

Mallar för user, computer, RDP server and domain controller, var och en aktiveras separat.
Klienter förnyar på egen hand när mindre än 20% av giltighetstiden återstår.
Begränsa enrollment till medlemmar i AD-grupper som du anger.
SCEPman lägger till SID-tillägget, så att certifikaten uppfyller den starka mappning som domänkontrollanter tillämpar sedan KB5014754.

Active Directory-guiden

KERBEROS

Certifikat för dina domänkontrollanter

Domänkontrollanter behöver ett Kerberos-autentiseringscertifikat för att Entra-anslutna och hybridanslutna enheter ska kunna logga in på lokala resurser, och Windows Hello for Business i hybrid key trust kräver det också. SCEPman utfärdar det via domänkontrollantmallen i Active Directory-endpoint:en, eller via dess dedikerade DC-endpoint. Certifikatet innehåller de utökade nyckelanvändningarna Client Authentication, Server Authentication, Kerberos Authentication och Smart Card Logon.

Domänkontrollantcertifikat i dokumentationen

SAMEXISTENS

Lägg till SCEPman som en mellanliggande CA under din rot

Du behöver inte ersätta din rot från dag ett. I Enterprise Edition kan SCEPman köra som en mellanliggande CA: din befintliga rot signerar SCEPman:s CA-certifikat, som förvaras i din Key Vault. Enheter som litar på din rot litar direkt på SCEPman:s certifikat, och du flyttar användningsfall över medan ADCS fortsätter utfärda resten.

Välj rot
Välj rot
En ny SCEPman-rot, distribuerad via ditt MDM och gruppprincipen, eller SCEPman som en mellanliggande CA under din nuvarande rot.
Lägg till en SCEP-profil
Lägg till en SCEP-profil
En ny SCEP-profil i ditt MDM som pekar mot SCEPman, vid sidan av den gamla; ta bort NDES-profilen när enheterna har fått sina nya certifikat.
Flytta Windows
Flytta Windows
Aktivera Active Directory-endpoint:en och peka autoenrollment-principen mot den, mall för mall.
Flytta servrar
Flytta servrar
Servercertifikat via Certificate Master, EST eller API:et; domänkontrollanter via sin mall.
Avveckla ADCS
Avveckla ADCS
Återkalla det som återstår, publicera en sista CRL och avveckla CA:n, CDP:n och NDES.

Frågor om att lämna ADCS

01Kan SCEPman och ADCS köra parallellt?

Ja. De är separata CA:er och enheter kan ha certifikat från båda under flytten.

02Behöver vi Enterprise Edition för det här?

För Active Directory-endpoint:en, domänkontrollantcertifikat, Certificate Master och den mellanliggande CA:n, ja.

03Vad gäller för certifikat till användare som aldrig använder ditt MDM?

Domänanslutna användare får sina certifikat via Active Directory-endpoint:en; alla andra via Certificate Master eller självbetjäningsenrollment.

04Måste SCEPman vara i vårt nätverk?

Nej. Klienter når det via HTTPS; Active Directory-endpoint:en autentiserar dem med Kerberos via det tjänsthuvudnamn du registrerar.

Planera din flytt från ADCS.

Börja med ditt MDM och NDES, den del som ställer till mest besvär, och behåll ADCS tills den sista mallen har flyttats.