الانتقال من ADCS إلى Microsoft Cloud PKI في Intune

By Mirko Peters · 2026-08-13

تعرّف على كيفية الانتقال من خدمات ADCS التقليدية إلى Microsoft Cloud PKI في Intune. بسّط مصادقة الأجهزة، واستغنِ عن خوادم NDES، وأمّن شبكات Wi-Fi وVPN.

Automatically translated with AI from the original post. Read the English original

يلغي الانتقال من Active Directory Certificate Services التقليدية إلى Microsoft Cloud PKI الحاجة إلى موصلات الشهادات المحلية وخوادم NDES وإعدادات الوكيل العكسي المعقدة. فبنقل البنية التحتية لسلطة الشهادات مباشرةً إلى Microsoft Intune، يستطيع مسؤولو تقنية المعلومات تبسيط مصادقة الأجهزة لأجهزة Windows وmacOS والأجهزة المحمولة، دون الحاجة إلى الاحتفاظ بأجهزة خوادم محلية.

النقاط الرئيسية

• يحل Microsoft Cloud PKI محل البنية التحتية المحلية لـ ADCS على Windows Server بسلطة شهادات أصيلة في السحابة تُدار مباشرةً داخل Intune.
• تزيل عملية الانتقال العوائق التقليدية، مثل خوادم NDES وموصلات الشهادات الداخلية والوكلاء العكسيين المواجهين للإنترنت.
• تعتمد مصادقة الأجهزة على SCEP لتوليد المفاتيح الخاصة المحلية وتأمينها على أجهزة الكمبيوتر المحمولة والأجهزة المحمولة المُدارة.
• يساعد الانتقال المؤسسات على التخلص من كلمات مرور Wi-Fi المشتركة، وتأمين الوصول عن بُعد عبر VPN باستخدام شهادات فردية لكل جهاز.
• يتطلب التخطيط السليم التحقق من أحقيات ترخيص Intune، والتحقق من سلاسل الثقة لسلطة الجذر وسلطات الإصدار قبل النشر.

التكاليف الخفية للبنية التحتية لـ ADCS التقليدية

لعقود، اعتمدت المؤسسات على Windows Server وActive Directory Certificate Services للتعامل مع البنية التحتية للمفاتيح العامة الداخلية. ورغم متانة ADCS، فإنها تتطلب عبئًا كبيرًا في الصيانة. فتشغيل سلطة شهادات محلية يعني إدارة أنظمة تشغيل الخوادم، ونشر التحديثات، وإعداد النسخ الاحتياطية للأجهزة، ومراقبة تواريخ انتهاء الصلاحية لتفادي أعطال كارثية صباح يوم الاثنين.

علاوةً على ذلك، فإن ربط نقاط النهاية المُدارة سحابيًا والأجهزة المحمولة والعن بُعد بسلطة شهادات محلية يُدخل تعقيدًا معماريًا. فيتعين على المسؤولين نشر موصلات شهادات Intune، وإعداد أدوار خدمة تسجيل أجهزة الشبكة (NDES)، وتهيئة وكلاء تطبيقات الويب للوصول الخارجي، وفتح ثغرات محسوبة في جدران الحماية المؤسسية. وبالنسبة لفرق تقنية المعلومات المحدودة الموارد، تحوّل هذه البنية المتشعبة متطلبًا بسيطًا كشبكة Wi-Fi القائمة على الشهادات إلى عبء تشغيلي مستمر.

كيف يبسّط Microsoft Cloud PKI بنية المؤسسة

ينقل Microsoft Cloud PKI العبء الأكبر في إدارة الشهادات من مراكز البيانات المحلية إلى سحابة Microsoft. فبدلًا من تجهيز أجهزة Windows Server الافتراضية، يستطيع المسؤولون إنشاء تسلسل هرمي كامل ومُدار لسلطة الجذر وسلطة الإصدار مباشرةً ضمن مركز إدارة Microsoft Intune. وتتولى Microsoft تأمين مفاتيح التشفير الأساسية باستخدام وحدات أمان الأجهزة (HSMs)، دون أن يُطلب من فرق تقنية المعلومات في المؤسسة تركيب أجهزة الأمان المادية أو تحديثها.

في هذا النموذج الحديث، تتضح تقسيم المسؤوليات: تتولى Microsoft Entra ID إدارة هويات المستخدمين، ويدير Intune امتثال الأجهزة وملفات الإعداد، ويصدر Cloud PKI الشهادات الرقمية الموثوقة اللازمة للوصول الآمن إلى الشبكة. ولأن الخدمة مدمجة بشكل أصيل مع Intune، تحصل الأجهزة على شهاداتها تلقائيًا أثناء عملية التسجيل، دون الحاجة إلى تدخل يدوي من الموظفين أو المسؤولين.

بناء استراتيجية الانتقال

يتطلب الابتعاد عن بيئة ADCS راسخة نهجًا منهجيًا يركّز على حالات الاستخدام. فبدلًا من محاولة إجراء تحول شامل لبنية PKI على مستوى المؤسسة بين عشية وضحاها، تركّز عمليات الانتقال الناجحة على هدف واحد محدد وملموس.

1. تحديد أول أحمال العمل

حدّد مشكلة واحدة محددة لحلها خلال مرحلة التجربة الأولية. من نقاط البداية الشائعة استبدال كلمات مرور Wi-Fi المشتركة بشهادات فريدة للأجهزة، أو تهيئة المصادقة القائمة على الشهادات لشبكة VPN الخاصة بالشركة، أو تقييد وصول التطبيقات الداخلية الحساسة على الويب بحيث لا يتمكن من الوصول إليها سوى أجهزة الكمبيوتر المحمولة المُدارة التابعة للشركة.

2. تهيئة سلاسل الثقة وSCEP

قبل إصدار شهادات الأجهزة، يجب أن تُسلّم Intune شهادات الثقة اللازمة إلى نقاط النهاية لديك. يضمن ذلك أن تتعرف أجهزة العملاء على جذر Cloud PKI الجديد والجهات المُصدِرة التابعة له. وبمجرد إرساء الثقة، تستخدم الأجهزة بروتوكول تسجيل الشهادات البسيط (SCEP) كمسار آمن لإرسال الطلبات. تُنشئ نقطة النهاية مفتاحها الخاص محلياً، بما يضمن عدم انتقال السر التشفيري الحساس عبر الشبكة أبداً، بينما يتحقق Cloud PKI من الطلب عبر Intune ويوقّع الشهادة العامة.

3. التحقق من سير عمل التجديد والإبطال

قبل توسيع النشر ليشمل جميع المستخدمين، اختبر بدقة كيفية تجديد الشهادات وإبطالها في بيئتك. يقوم Cloud PKI وIntune بأتمتة تجديد الشهادات في الخلفية قبل حلول تواريخ انتهاء صلاحيتها، مما يمنع انقطاع الوصول بشكل مفاجئ. كما تأكد من أن المسؤولين يعرفون كيفية إبطال الشهادة بسرعة إذا فُقد الجهاز أو سُرق، أو إذا خُصص لموظف يغادر المؤسسة.

الخاتمة

يمثل الانتقال من PKI التقليدي القائم على Windows Server إلى Microsoft Cloud PKI خطوة كبيرة نحو تحديث أمان المؤسسات. فمن خلال إزالة الخوادم المحلية والموصلات والوكلاء الوسيطة، يمكن لفرق تكنولوجيا المعلومات توفير مصادقة سلسة قائمة على الشهادات لشبكات Wi-Fi وVPN والتطبيقات الداخلية، مع تقليص العبء الإداري بشكل كبير. للاستماع إلى شرح أعمق لكيفية عمل هذه المكونات السحابية معاً، استمع إلى الحلقة كاملة: استمع إلى الحلقة كاملة. تابع لاكتشاف استراتيجيات عملية لتبسيط بيئة العمل الرقمية في مؤسستك.

الأسئلة المتداولة

هل يحل Microsoft Cloud PKI محل بيئة ADCS المحلية الحالية بالكامل؟

لا. صُمم Microsoft Cloud PKI خصيصاً لإصدار الشهادات وإدارتها للأجهزة المُدارة عبر Intune. وليس الهدف منه استبدال كل أحمال عمل الشهادات في مؤسستك، مثل تلك المطلوبة للحواسيب غير المُدارة، أو الأنظمة المعزولة، أو خوادم الويب المتاحة للإنترنت، أو الأجهزة التابعة لجهات خارجية.

ما منصات الأجهزة التي يدعمها Microsoft Cloud PKI؟

يدعم Cloud PKI منظومات الأجهزة الرئيسية المُدارة عبر Microsoft Intune، بما في ذلك أجهزة الكمبيوتر المحمولة والمكتبية التي تعمل بنظام Windows، وأجهزة macOS، وأجهزة iOS/iPadOS، وأجهزة Android المدعومة.

كيف تُحمى المفاتيح الخاصة أثناء تسجيل الشهادات؟

تُنشئ نقاط النهاية مفاتيحها الخاصة بنفسها محلياً على عتاد الجهاز، وتحتفظ بها هناك بشكل آمن. وباستخدام SCEP، يرسل الجهاز فقط المعلومات العامة اللازمة لتوقيع الشهادة، مما يضمن عدم كشف المفتاح الخاص أو إرساله عبر الشبكة أبداً.

هل يلزم استخدام موصلات شهادات خارجية مع Cloud PKI؟

لا. على خلاف عمليات نشر PKI التقليدية المحلية التي تتطلب خوادم NDES وموصلات Intune Certificate Connectors، يعمل Microsoft Cloud PKI بالكامل كخدمة تُدار في السحابة ضمن Intune، مما يلغي الحاجة إلى الخوادم الوسيطة أو الأجهزة الافتراضية للموصلات.