Migration d’ADCS vers Microsoft Cloud PKI dans Intune

By Mirko Peters · 2026-08-13

Découvrez comment migrer d’une infrastructure ADCS traditionnelle vers Microsoft Cloud PKI dans Intune. Simplifiez l’authentification des appareils, supprimez les serveurs NDES et sécurisez les réseaux Wi-Fi et les VPN.

Automatically translated with AI from the original post. Read the English original

Migrer depuis les Services de certificats Active Directory traditionnels vers Microsoft Cloud PKI supprime le besoin de connecteurs de certificats locaux, de serveurs NDES et de configurations complexes de proxy inverse. En plaçant l’infrastructure de l’autorité de certification directement dans Microsoft Intune, les administrateurs informatiques peuvent rationaliser l’authentification des appareils Windows, macOS et mobiles, sans maintenir de serveurs physiques locaux.

Points clés

• Microsoft Cloud PKI remplace l’infrastructure ADCS locale sous Windows Server par une autorité de certification native du cloud, gérée directement dans Intune.
• La migration élimine les goulets d’étranglement traditionnels, comme les serveurs NDES, les connecteurs de certificats internes et les proxys inverses exposés publiquement.
• L’authentification des appareils repose sur SCEP pour générer et sécuriser les clés privées locales sur les ordinateurs portables et appareils mobiles gérés.
• La migration permet aux organisations de supprimer les mots de passe Wi-Fi partagés et de sécuriser l’accès VPN distant à l’aide de certificats individuels par appareil.
• Une bonne planification exige de vérifier les droits de licence Intune et de valider les chaînes de confiance des autorités racine et émettrices avant le déploiement.

Les coûts cachés de l’infrastructure ADCS traditionnelle

Pendant des décennies, les organisations se sont appuyées sur Windows Server et les Services de certificats Active Directory pour gérer leur infrastructure à clés publiques interne. Si ADCS est robuste, il exige une charge de maintenance importante. Exploiter une autorité de certification locale implique de gérer les systèmes d’exploitation serveur, d’appliquer les correctifs, de configurer les sauvegardes matérielles et de surveiller les dates d’expiration afin d’éviter une panne catastrophique le lundi matin.

De plus, connecter des terminaux mobiles et distants gérés dans le cloud à une autorité de certification locale ajoute une complexité architecturale. Les administrateurs doivent déployer les connecteurs de certificats Intune, configurer les rôles Network Device Enrollment Service (NDES), mettre en place des proxys d’application web pour l’accès externe et ouvrir avec précaution des brèches dans les pare-feu de l’entreprise. Pour les équipes informatiques aux effectifs réduits, cette infrastructure tentaculaire transforme un besoin simple, comme un Wi-Fi basé sur des certificats, en une charge opérationnelle permanente.

Comment Microsoft Cloud PKI simplifie l’architecture d’entreprise

Microsoft Cloud PKI transfère la lourde charge de la gestion des certificats hors des datacenters locaux vers le cloud Microsoft. Au lieu de provisionner des machines virtuelles Windows Server, les administrateurs peuvent déployer directement, depuis le Centre d’administration Microsoft Intune, une hiérarchie entièrement gérée d’autorité racine et d’autorités émettrices. Microsoft sécurise les clés cryptographiques sous-jacentes à l’aide de modules de sécurité matériels (HSM), sans que les équipes informatiques de l’entreprise aient à installer ou à mettre à jour des appliances de sécurité physiques.

Dans ce modèle moderne, les responsabilités sont clairement réparties. Microsoft Entra ID gère les identités des utilisateurs, Intune gère la conformité des appareils et les profils de configuration, tandis que Cloud PKI émet les identifiants numériques de confiance nécessaires à un accès réseau sécurisé. Comme le service est intégré nativement à Intune, les appareils reçoivent automatiquement leurs certificats pendant le processus d’inscription, sans intervention manuelle des employés ou des administrateurs.

Élaborer votre stratégie de migration

Abandonner un environnement ADCS établi exige une approche méthodique, centrée sur des cas d’usage. Plutôt que de tenter une transformation complète de l’infrastructure PKI à l’échelle de l’entreprise du jour au lendemain, les migrations réussies se concentrent sur un objectif unique et concret.

1. Identifier votre première charge de travail

Choisissez un problème précis à résoudre lors de la phase pilote initiale. Les points de départ courants sont le remplacement des mots de passe Wi-Fi partagés par des certificats uniques par appareil, la configuration d’une authentification par certificat pour un VPN d’entreprise, ou la restriction de l’accès à une application web interne critique afin que seuls les ordinateurs portables gérés par l’entreprise puissent s’y connecter.

2. Configurer les chaînes de confiance et SCEP

Avant d’émettre des certificats d’appareil, Intune doit transmettre à vos terminaux les certificats de confiance nécessaires. Cela garantit que les appareils clients reconnaissent votre nouvelle racine Cloud PKI et vos autorités d’émission. Une fois la confiance établie, les appareils utilisent le protocole SCEP (Simple Certificate Enrollment Protocol) comme voie sécurisée de demande. Le terminal génère sa clé privée localement, ce qui garantit que le secret cryptographique sensible ne transite jamais sur le réseau, tandis que Cloud PKI valide la demande via Intune et signe le certificat de clé publique.

3. Valider les workflows de renouvellement et de révocation

Avant d’étendre votre déploiement à l’ensemble des utilisateurs, testez rigoureusement le comportement du renouvellement et de la révocation des certificats dans votre environnement. Cloud PKI et Intune automatisent les renouvellements de certificats en arrière-plan avant l’arrivée des dates d’expiration, ce qui évite des coupures d’accès inattendues. Assurez-vous également que les administrateurs savent révoquer rapidement un certificat si un appareil est perdu, volé ou attribué à un employé qui quitte l’organisation.

Conclusion

La migration depuis une infrastructure PKI Windows Server traditionnelle vers Microsoft Cloud PKI constitue une étape majeure dans la modernisation de la sécurité en entreprise. En supprimant les serveurs sur site, les connecteurs et les proxies, les équipes IT peuvent déployer une authentification par certificat fluide pour le Wi-Fi, les VPN et les applications internes, tout en réduisant considérablement la charge administrative. Pour une analyse plus approfondie du fonctionnement de ces composants cloud natifs, écoutez l’épisode complet : Écoutez l’épisode complet. Restez à l’écoute pour découvrir des stratégies pratiques permettant de simplifier l’espace de travail numérique de votre organisation.

Questions fréquentes

Microsoft Cloud PKI remplace-t-il complètement un environnement AD CS local existant ?

Non. Microsoft Cloud PKI est conçu spécifiquement pour émettre et gérer des certificats pour les appareils gérés par Intune. Il n’a pas vocation à remplacer toutes les charges de travail de certificats de l’entreprise, par exemple celles requises pour les ordinateurs non gérés, les systèmes isolés, les serveurs web exposés publiquement ou les appliances tierces.

Quelles plateformes d’appareils sont prises en charge par Microsoft Cloud PKI ?

Cloud PKI prend en charge les principaux écosystèmes d’appareils gérés via Microsoft Intune, notamment les ordinateurs portables et de bureau Windows, les appareils macOS, les appareils iOS/iPadOS et les terminaux Android pris en charge.

Comment les clés privées sont-elles protégées pendant l’inscription des certificats ?

Les terminaux génèrent leurs propres clés privées localement, sur le matériel de l’appareil, et les conservent de manière sécurisée. Avec SCEP, l’appareil ne soumet que les informations publiques nécessaires à la signature du certificat, ce qui garantit que la clé privée n’est jamais exposée ni transmise sur le réseau.

Ai-je besoin de connecteurs de certificats externes pour Cloud PKI ?

Non. Contrairement aux déploiements PKI traditionnels sur site, qui nécessitent des serveurs NDES et des connecteurs de certificats Intune, Microsoft Cloud PKI fonctionne entièrement comme un service géré dans le cloud au sein d’Intune, ce qui supprime le besoin de serveurs proxy ou de machines virtuelles de connecteur.