Migrazione da ADCS a Microsoft Cloud PKI in Intune

By Mirko Peters · 2026-08-13

Scopri come migrare dalla tradizionale ADCS a Microsoft Cloud PKI in Intune. Semplifica l'autenticazione dei dispositivi, elimina i server NDES e proteggi Wi-Fi e VPN.

Automatically translated with AI from the original post. Read the English original

La migrazione dalla tradizionale Active Directory Certificate Services a Microsoft Cloud PKI elimina la necessità di connettori per i certificati on-premises, server NDES e configurazioni complesse di reverse proxy. Spostando l'infrastruttura della certification authority direttamente in Microsoft Intune, gli amministratori IT possono semplificare l'autenticazione dei dispositivi Windows, macOS e mobili senza dover mantenere hardware server locale.

Punti chiave

• Microsoft Cloud PKI sostituisce l'infrastruttura ADCS locale su Windows Server con una certification authority cloud-native gestita direttamente all'interno di Intune.
• La migrazione elimina colli di bottiglia tradizionali come i server NDES, i connettori per i certificati interni e i reverse proxy esposti pubblicamente.
• L'autenticazione dei dispositivi si basa su SCEP per generare e proteggere le chiavi private locali sui laptop e sui dispositivi mobili gestiti.
• La migrazione aiuta le organizzazioni a eliminare le password Wi-Fi condivise e a proteggere l'accesso VPN remoto tramite certificati individuali per dispositivo.
• Una pianificazione adeguata richiede di verificare le licenze Intune disponibili e di validare le catene di attendibilità della root CA e delle issuing CA prima dell'implementazione.

I costi nascosti dell'infrastruttura della tradizionale ADCS

Per decenni le organizzazioni hanno utilizzato Windows Server e Active Directory Certificate Services per gestire la public key infrastructure interna. Sebbene ADCS sia robusta, richiede un carico di manutenzione significativo. Gestire una CA on-premises significa occuparsi dei sistemi operativi dei server, installare le patch, configurare i backup dell'hardware e monitorare le date di scadenza per evitare interruzioni catastrofiche proprio il lunedì mattina.

Inoltre, collegare endpoint mobili e remoti gestiti nel cloud a una CA on-premises introduce complessità architetturale. Gli amministratori devono distribuire i Connettori per i certificati di Intune, configurare i ruoli Network Device Enrollment Service (NDES), impostare web application proxy per l'accesso esterno e aprire con cautela varchi nei firewall aziendali. Per i team IT ridotti, questa infrastruttura articolata trasforma un requisito semplice come il Wi-Fi basato su certificati in un onere operativo continuo.

Come Microsoft Cloud PKI semplifica l'architettura aziendale

Microsoft Cloud PKI sposta il grosso del lavoro di gestione dei certificati dai data center locali al cloud Microsoft. Invece di predisporre macchine virtuali Windows Server, gli amministratori possono attivare una gerarchia Root CA e Issuing CA completamente gestita direttamente nell'interfaccia di amministrazione di Microsoft Intune. Microsoft protegge le chiavi crittografiche sottostanti tramite hardware security module (HSM), senza che i team IT aziendali debbano installare o aggiornare fisicamente appliance di sicurezza.

In questo modello moderno le responsabilità sono chiaramente suddivise. Microsoft Entra ID gestisce le identità degli utenti, Intune gestisce la conformità dei dispositivi e i profili di configurazione, e Cloud PKI emette le credenziali digitali attendibili necessarie per l'accesso sicuro alla rete. Poiché il servizio si integra nativamente con Intune, i dispositivi ricevono automaticamente i certificati durante il processo di registrazione, senza interventi manuali da parte di dipendenti o amministratori.

Costruire la strategia di migrazione

Abbandonare un ambiente ADCS consolidato richiede un approccio metodico e orientato ai casi d'uso. Invece di tentare una trasformazione completa della PKI a livello aziendale in una notte, le migrazioni di successo si concentrano su un unico obiettivo concreto.

1. Individua il primo carico di lavoro

Scegli un problema specifico da risolvere durante la fase pilota iniziale. Punti di partenza comuni sono sostituire le password Wi-Fi condivise con certificati univoci per dispositivo, configurare l'autenticazione basata su certificato per una VPN aziendale oppure limitare l'accesso a un'applicazione web interna critica, in modo che possano raggiungerla solo i laptop aziendali gestiti.

2. Configurare catene di attendibilità e SCEP

Prima di emettere i certificati dei dispositivi, Intune deve distribuire agli endpoint i certificati di attendibilità necessari. In questo modo i dispositivi client riconoscono la nuova root e le autorità emittenti di Cloud PKI. Una volta stabilita l'attendibilità, i dispositivi usano il Simple Certificate Enrollment Protocol (SCEP) come canale sicuro per le richieste. L'endpoint genera localmente la propria chiave privata, così il segreto crittografico sensibile non attraversa mai la rete, mentre Cloud PKI convalida la richiesta tramite Intune e firma il certificato pubblico.

3. Verificare i flussi di rinnovo e revoca

Prima di estendere la distribuzione a tutti gli utenti, verifica con attenzione come i certificati vengono rinnovati e revocati nel tuo ambiente. Cloud PKI e Intune automatizzano in background il rinnovo dei certificati prima che arrivino le date di scadenza, evitando interruzioni impreviste dell'accesso. Inoltre, assicurati che gli amministratori sappiano come revocare rapidamente un certificato se un dispositivo viene smarrito, rubato o assegnato a un dipendente che lascia l'organizzazione.

Conclusione

La migrazione dalla PKI tradizionale di Windows Server a Microsoft Cloud PKI rappresenta un passo avanti importante nella modernizzazione della sicurezza aziendale. Eliminando server locali, connettori e proxy, i team IT possono offrire un'autenticazione basata su certificato senza interruzioni per Wi-Fi, VPN e applicazioni interne, riducendo nel contempo in modo significativo il carico amministrativo. Per approfondire come questi componenti cloud-native lavorano insieme, ascolta l'episodio completo. Scopri strategie pratiche per semplificare l'ambiente di lavoro digitale della tua organizzazione.

Domande frequenti

Microsoft Cloud PKI sostituisce completamente un ambiente ADCS locale esistente?

No. Microsoft Cloud PKI è progettato specificamente per emettere e gestire certificati per i dispositivi gestiti con Intune. Non è pensato per sostituire ogni carico di lavoro basato su certificati presente nell'azienda, come quelli necessari per computer non gestiti, sistemi isolati, server web esposti su Internet o appliance di terze parti.

Quali piattaforme di dispositivi sono supportate da Microsoft Cloud PKI?

Cloud PKI supporta i principali ecosistemi di dispositivi gestiti tramite Microsoft Intune, inclusi laptop e desktop Windows, dispositivi macOS, dispositivi iOS/iPadOS e endpoint Android supportati.

Come vengono protette le chiavi private durante l'iscrizione dei certificati?

Gli endpoint generano localmente le proprie chiavi private sull'hardware del dispositivo e le conservano in modo sicuro. Tramite SCEP, il dispositivo invia solo le informazioni pubbliche necessarie per la firma del certificato, garantendo che la chiave privata non venga mai esposta né trasmessa in rete.

Servono connettori esterni per i certificati con Cloud PKI?

No. A differenza delle implementazioni PKI locali tradizionali, che richiedono server NDES e Intune Certificate Connector, Microsoft Cloud PKI opera interamente come servizio gestito dal cloud all'interno di Intune, eliminando la necessità di server proxy o macchine virtuali con connettori.