Migración de ADCS a Microsoft Cloud PKI en Intune

By Mirko Peters · 2026-08-13

Aprende a migrar desde ADCS tradicional a Microsoft Cloud PKI en Intune. Simplifica la autenticación de dispositivos, elimina los servidores NDES y protege las redes Wi-Fi y las VPN.

Automatically translated with AI from the original post. Read the English original

Migrar desde Active Directory Certificate Services tradicional a Microsoft Cloud PKI elimina la necesidad de conectores de certificados locales, servidores NDES y configuraciones complejas de proxy inverso. Al trasladar la infraestructura de la autoridad de certificación directamente a Microsoft Intune, los administradores de TI pueden simplificar la autenticación de dispositivos Windows, macOS y móviles sin mantener hardware de servidor local.

Puntos clave

• Microsoft Cloud PKI reemplaza la infraestructura local de ADCS en Windows Server por una autoridad de certificación nativa de la nube, administrada directamente dentro de Intune.
• El proceso de migración elimina cuellos de botella tradicionales como los servidores NDES, los conectores de certificados internos y los proxies inversos expuestos a Internet.
• La autenticación de dispositivos se basa en SCEP para generar y proteger las claves privadas locales en portátiles y dispositivos móviles administrados.
• La migración ayuda a las organizaciones a eliminar las contraseñas Wi-Fi compartidas y a proteger el acceso remoto por VPN mediante certificados individuales por dispositivo.
• Una buena planificación requiere verificar las licencias de Intune disponibles y validar las cadenas de confianza de la CA raíz y de la CA emisora antes del despliegue.

Los costes ocultos de infraestructura de ADCS tradicional

Durante décadas, las organizaciones confiaron en Windows Server y Active Directory Certificate Services para gestionar su infraestructura de clave pública interna. Aunque ADCS es robusto, exige una sobrecarga de mantenimiento considerable. Ejecutar una CA local implica administrar los sistemas operativos de los servidores, aplicar parches, configurar copias de seguridad del hardware y vigilar las fechas de caducidad para evitar interrupciones catastróficas un lunes por la mañana.

Además, conectar endpoints móviles y remotos administrados en la nube con una CA local introduce complejidad arquitectónica. Los administradores deben desplegar conectores de certificados de Intune, configurar los roles del servicio de inscripción de dispositivos de red (NDES), configurar proxies de aplicaciones web para el acceso externo y abrir con cuidado excepciones en los firewalls corporativos. Para los equipos de TI con recursos limitados, esta infraestructura tan extensa convierte un requisito sencillo, como el Wi-Fi basado en certificados, en una carga operativa continua.

Cómo Microsoft Cloud PKI simplifica la arquitectura empresarial

Microsoft Cloud PKI traslada el trabajo pesado de la administración de certificados desde los centros de datos locales a la nube de Microsoft. En lugar de aprovisionar máquinas virtuales de Windows Server, los administradores pueden crear una jerarquía de CA raíz y CA emisora totalmente administrada directamente en el Centro de administración de Microsoft Intune. Microsoft protege las claves criptográficas subyacentes mediante módulos de seguridad de hardware (HSM), sin que los equipos de TI corporativos tengan que instalar o parchear dispositivos de seguridad físicos.

En este modelo moderno, las responsabilidades están claramente divididas. Microsoft Entra ID gobierna las identidades de usuario, Intune administra el cumplimiento y los perfiles de configuración de los dispositivos, y Cloud PKI emite las credenciales digitales de confianza necesarias para el acceso seguro a la red. Como el servicio se integra de forma nativa con Intune, los dispositivos reciben sus certificados automáticamente durante el proceso de inscripción, sin necesidad de intervención manual por parte de los empleados o los administradores.

Cómo construir tu estrategia de migración

Abandonar un entorno ADCS consolidado requiere un enfoque metódico y orientado a casos de uso concretos. En lugar de intentar una transformación completa de la PKI en toda la empresa de la noche a la mañana, las migraciones exitosas se centran en un único objetivo concreto.

1. Identifica tu primera carga de trabajo

Elige un problema concreto para resolver durante la fase piloto inicial. Los puntos de partida habituales incluyen sustituir las contraseñas compartidas de Wi-Fi por certificados únicos por dispositivo, configurar la autenticación basada en certificados para una VPN corporativa o restringir el acceso a una aplicación web interna crítica para que solo los portátiles corporativos gestionados puedan acceder a ella.

2. Configurar cadenas de confianza y SCEP

Antes de emitir certificados de dispositivo, Intune debe entregar a tus endpoints los certificados de confianza necesarios. Así, los dispositivos cliente reconocen tu nueva raíz y las autoridades emisoras de Cloud PKI. Una vez establecida la confianza, los dispositivos usan el Protocolo de inscripción simple de certificados (SCEP) como vía segura para las solicitudes. El endpoint genera su clave privada localmente, de modo que el secreto criptográfico sensible nunca atraviesa la red, mientras que Cloud PKI valida la solicitud a través de Intune y firma el certificado público.

3. Validar los flujos de renovación y revocación

Antes de extender el despliegue a todos los usuarios, prueba a fondo cómo se renuevan y revocan los certificados en tu entorno. Cloud PKI e Intune automatizan la renovación en segundo plano de los certificados antes de que llegue su fecha de caducidad, evitando cortes de acceso inesperados. Además, asegúrate de que los administradores saben revocar un certificado rápidamente si un dispositivo se pierde, se roba o se asigna a un empleado que abandona la organización.

Conclusión

Migrar desde una PKI tradicional de Windows Server a Microsoft Cloud PKI supone un gran avance en la modernización de la seguridad empresarial. Al eliminar servidores locales, conectores y proxies, los equipos de TI pueden ofrecer autenticación basada en certificados sin fisuras para Wi-Fi, VPN y aplicaciones internas, reduciendo de forma notable la carga administrativa. Para escuchar un análisis más detallado de cómo funcionan juntos estos componentes nativos de la nube, escucha el episodio completo: Escucha el episodio completo. Sintonízate para descubrir estrategias prácticas para simplificar el espacio de trabajo digital de tu organización.

Preguntas frecuentes

¿Microsoft Cloud PKI sustituye por completo un entorno de ADCS local existente?

No. Microsoft Cloud PKI está diseñado específicamente para emitir y gestionar certificados de los dispositivos administrados con Intune. No pretende sustituir todas las cargas de trabajo de certificados de tu empresa, como las que requieren equipos no administrados, sistemas aislados, servidores web de acceso público o dispositivos de terceros.

¿Qué plataformas de dispositivos admite Microsoft Cloud PKI?

Cloud PKI admite los principales ecosistemas de dispositivos gestionados mediante Microsoft Intune, incluidos portátiles y equipos de escritorio con Windows, dispositivos macOS, dispositivos iOS/iPadOS y endpoints Android compatibles.

¿Cómo se protegen las claves privadas durante la inscripción de certificados?

Los endpoints generan sus propias claves privadas localmente, en el hardware del dispositivo, y las almacenan de forma segura allí. Mediante SCEP, el dispositivo envía únicamente la información pública necesaria para la firma del certificado, de modo que la clave privada nunca se expone ni se transmite por la red.

¿Necesito conectores de certificados externos para Cloud PKI?

No. A diferencia de las implementaciones tradicionales de PKI locales, que requieren servidores NDES y conectores de certificados de Intune, Microsoft Cloud PKI funciona por completo como un servicio gestionado en la nube dentro de Intune, lo que elimina la necesidad de servidores proxy o máquinas virtuales de conector.