ADCSからIntuneのMicrosoft Cloud PKIへの移行

By Mirko Peters · 2026-08-13

IntuneでADCSからMicrosoft Cloud PKIへ移行する方法を解説します。デバイス認証を簡素化し、NDESサーバーを不要にして、Wi-FiとVPNを保護します。

Automatically translated with AI from the original post. Read the English original

従来のActive Directory証明書サービスからMicrosoft Cloud PKIへ移行すると、オンプレミスの証明書コネクタ、NDESサーバー、複雑なリバースプロキシ構成が不要になります。認証局のインフラストラクチャをMicrosoft Intuneに直接移すことで、IT管理者はローカルのサーバーハードウェアを維持することなく、Windows、macOS、モバイルデバイスのデバイス認証を効率化できます。

重要なポイント

• Microsoft Cloud PKIは、ローカルのWindows Server ADCSインフラストラクチャを、Intune内で直接管理されるクラウドネイティブの認証局に置き換えます。
• 移行プロセスにより、NDESサーバー、社内の証明書コネクタ、インターネット公開のリバースプロキシといった従来のボトルネックが解消されます。
• デバイス認証では、SCEPを使用して、管理対象のノートPCやモバイルデバイス上で秘密キーを生成し、安全に保護します。
• 移行により、共有のWi-Fiパスワードを廃止し、個別のデバイス証明書を使ってリモートVPNアクセスを保護できます。
• 適切な計画には、Intuneのライセンス資格の確認と、展開前のルートCAおよび発行CAの信頼チェーンの検証が必要です。

従来のADCSに隠れたインフラストラクチャコスト

長年にわたり、多くの組織は社内の公開鍵基盤として、Windows ServerとActive Directory証明書サービスに依存してきました。ADCSは堅牢ですが、保守にかなりの負担がかかります。オンプレミスのCAを運用するということは、サーバーのOS管理、パッチ適用、ハードウェアのバックアップ構成、そして有効期限の監視を行い、月曜の朝に重大な障害が起きないようにすることを意味します。

さらに、クラウドで管理されているモバイルデバイスやリモートエンドポイントをオンプレミスのCAに接続すると、アーキテクチャが複雑になります。管理者は、Intune証明書コネクタを展開し、ネットワークデバイス登録サービス(NDES)の役割を設定し、外部アクセス用のWebアプリケーションプロキシを構成し、企業のファイアウォールに慎重に穴を開ける必要があります。人員が限られたITチームにとって、この複雑なインフラストラクチャは、証明書ベースのWi-Fiのような単純な要件を、継続的な運用負担へと変えてしまいます。

Microsoft Cloud PKIがエンタープライズアーキテクチャを簡素化する仕組み

Microsoft Cloud PKIは、証明書管理の大部分の負荷を、ローカルのデータセンターからMicrosoftのクラウドへ移します。管理者はWindows Server仮想マシンをプロビジョニングする代わりに、Microsoft Intune管理センター内で、完全に管理されたルートCAと発行CAの階層を作成できます。Microsoftは、ハードウェアセキュリティモジュール(HSM)を使用して基盤となる暗号鍵を保護するため、企業のITチームが物理的なセキュリティアプライアンスをラックに設置したりパッチを適用したりする必要はありません。

この新しいモデルでは、役割が明確に分担されます。Microsoft Entra IDがユーザーIDを管理し、Intuneがデバイスのコンプライアンスと構成プロファイルを管理し、Cloud PKIが安全なネットワークアクセスに必要な信頼されたデジタル資格情報を発行します。このサービスはIntuneとネイティブに統合されているため、デバイスは登録プロセス中に証明書を自動的に受け取り、従業員や管理者による手動の作業は不要です。

移行戦略の策定

既存のADCS環境から移行するには、体系的でユースケース主導のアプローチが必要です。全社規模のPKI刷新を一夜にして行おうとするのではなく、成功している移行は、明確で具体的な単一の目標に焦点を当てます。

1. 最初のワークロードを特定する

最初のパイロット段階で解決する具体的な課題を1つ選んでください。典型的な出発点としては、共有の Wi-Fi パスワードを一意のデバイス証明書に置き換える、企業 VPN 向けに証明書ベースの認証を構成する、重要な社内 Web アプリケーションへのアクセスを管理対象の社用 PC のみに制限する、などがあります。

2. 信頼チェーンと SCEP の構成

デバイス証明書を発行する前に、Intune は必要な信頼証明書をエンドポイントに配布する必要があります。これにより、クライアントデバイスが新しい Cloud PKI のルートと発行機関を認識できるようになります。信頼が確立されると、デバイスは安全な要求経路として Simple Certificate Enrollment Protocol (SCEP) を使用します。エンドポイントは秘密鍵をローカルで生成するため、機密性の高い暗号の秘密情報がネットワーク上を流れることはありません。一方、Cloud PKI は Intune を通じて要求を検証し、公開証明書に署名します。

3. 更新と失効のワークフローを検証する

すべてのユーザーに展開を広げる前に、自社環境で証明書の更新と失効がどのように行われるかを慎重にテストしてください。Cloud PKI と Intune は、有効期限が来る前にバックグラウンドで証明書を自動的に更新し、予期しないアクセスの中断を防ぎます。さらに、デバイスの紛失や盗難があった場合、または退職する従業員に割り当てられていた場合に、管理者が証明書をすばやく失効できるようにしておいてください。

まとめ

従来の Windows Server PKI から Microsoft Cloud PKI への移行は、企業のセキュリティを近代化する上で大きな前進です。オンプレミスのサーバー、コネクタ、プロキシを取り除くことで、IT チームは Wi-Fi、VPN、社内アプリケーションに対してシームレスな証明書ベースの認証を提供でき、管理の負担も大幅に減らせます。これらのクラウドネイティブなコンポーネントがどのように連携するのかについて詳しく知りたい場合は、エピソード全編をお聴きください: エピソード全編を聴く。組織のデジタルワークスペースを簡素化する実践的な戦略を、ぜひお聴きください。

よくある質問

Microsoft Cloud PKI は、既存のオンプレミス ADCS 環境を完全に置き換えますか？

いいえ。Microsoft Cloud PKI は、Intune で管理されるデバイス向けに証明書を発行および管理するために特別に設計されています。管理されていないコンピューター、分離されたシステム、インターネットに公開された Web サーバー、サードパーティ製アプライアンスで必要な証明書など、企業内のすべての証明書の用途を置き換えることを意図したものではありません。

Microsoft Cloud PKI はどのデバイスプラットフォームに対応していますか？

Cloud PKI は、Microsoft Intune で管理される主要なデバイスエコシステムに対応しています。具体的には、Windows のラップトップおよびデスクトップ、macOS デバイス、iOS/iPadOS デバイス、対応する Android エンドポイントが含まれます。

証明書の登録中、秘密鍵はどのように保護されますか？

エンドポイントは、デバイスのハードウェア上で秘密鍵をローカルに生成し、そこに安全に保存します。SCEP を使用してデバイスが送信するのは、証明書の署名に必要な公開情報だけです。そのため、秘密鍵が公開されたりネットワーク上で送信されたりすることはありません。

Cloud PKI には外部の証明書コネクタが必要ですか？

いいえ。NDES サーバーと Intune 証明書コネクタを必要とする従来のオンプレミス PKI の導入とは異なり、Microsoft Cloud PKI は Intune 内でクラウド管理型サービスとして完全に動作します。そのため、プロキシサーバーやコネクタ用の仮想マシンは不要です。