Migreren van ADCS naar Microsoft Cloud PKI in Intune

By Mirko Peters · 2026-08-13

Lees hoe je migreert van traditionele ADCS naar Microsoft Cloud PKI in Intune. Vereenvoudig apparaatauthenticatie, schakel NDES-servers uit en beveilig wifi en VPN's.

Automatically translated with AI from the original post. Read the English original

Migreren van traditionele Active Directory Certificate Services naar Microsoft Cloud PKI maakt on-premises certificaatconnectors, NDES-servers en complexe reverse proxy-opstellingen overbodig. Doordat de certificeringsinfrastructuur rechtstreeks in Microsoft Intune wordt ondergebracht, kunnen beheerders de apparaatauthenticatie voor Windows-, macOS- en mobiele apparaten stroomlijnen zonder lokale serverhardware te onderhouden.

Belangrijkste punten

• Microsoft Cloud PKI vervangt de lokale ADCS-infrastructuur op Windows Server door een cloudnative certificeringsautoriteit die rechtstreeks in Intune wordt beheerd.
• Met de migratie verdwijnen traditionele knelpunten zoals NDES-servers, interne certificaatconnectors en publiek toegankelijke reverse proxies.
• Apparaatauthenticatie maakt gebruik van SCEP om privésleutels lokaal op beheerde laptops en mobiele apparaten te genereren en te beveiligen.
• Met een migratie kunnen organisaties gedeelde wifi-wachtwoorden elimineren en externe VPN-toegang beveiligen met individuele apparaatcertificaten.
• Een goede voorbereiding vereist dat je de Intune-licentierechten controleert en de vertrouwensketens van de root- en uitgevende CA's valideert voordat je uitrolt.

De verborgen infrastructuurkosten van traditionele ADCS

Decennialang vertrouwden organisaties op Windows Server en Active Directory Certificate Services om hun interne public key-infrastructuur te beheren. ADCS is robuust, maar vraagt om veel onderhoud. Een on-premises CA betekent dat je serverbesturingssystemen beheert, patches uitrolt, hardwarebackups configureert en vervaldatums in de gaten houdt om een catastrofale storing op maandagochtend te voorkomen.

Bovendien brengt het koppelen van cloudbeheerde mobiele en externe eindpunten aan een on-premises CA architectonische complexiteit met zich mee. Beheerders moeten Intune-certificaatconnectors implementeren, rollen voor de Network Device Enrollment Service (NDES) instellen, webapplicatieproxy's configureren voor externe toegang en zorgvuldig gaten in de firewalls van het bedrijf maken. Voor kleine IT-teams verandert zo'n wirwar aan infrastructuur een eenvoudige eis als certificaatgebaseerde wifi in een blijvende operationele last.

Hoe Microsoft Cloud PKI de bedrijfsarchitectuur vereenvoudigt

Microsoft Cloud PKI verplaatst het zware werk van certificaatbeheer uit lokale datacenters naar de Microsoft-cloud. In plaats van Windows Server-VM's te provisioneren, kunnen beheerders direct in het Microsoft Intune-beheercentrum een volledig beheerde hiërarchie van een Root CA en een Issuing CA opzetten. Microsoft beschermt de onderliggende cryptografische sleutels met hardware security modules (HSM's), zonder dat IT-teams fysieke beveiligingsapparatuur hoeven te installeren of patchen.

In dit moderne model zijn de verantwoordelijkheden duidelijk verdeeld. Microsoft Entra ID beheert gebruikersidentiteiten, Intune beheert apparaatcompliance en configuratieprofielen, en Cloud PKI geeft de vertrouwde digitale credentials uit die nodig zijn voor veilige netwerktoegang. Omdat de service native integreert met Intune, ontvangen apparaten hun certificaten automatisch tijdens het inschrijvingsproces, zonder handmatige tussenkomst van medewerkers of beheerders.

Je migratiestrategie opbouwen

Wegbewegen van een gevestigde ADCS-omgeving vraagt om een methodische aanpak die start vanuit concrete use cases. In plaats van in één keer een volledige, bedrijfsbrede PKI-transformatie over te nemen, richten succesvolle migraties zich op één concreet doel.

1. Identificeer je eerste workload

Kies één specifiek probleem om tijdens je eerste pilotfase op te lossen. Veelvoorkomende startpunten zijn het vervangen van gedeelde wifi-wachtwoorden door unieke apparaatcertificaten, het configureren van certificaatgebaseerde authenticatie voor een zakelijke VPN, of het beperken van de toegang tot een kritieke interne webapplicatie zodat alleen beheerde bedrijfslaptops er kunnen komen.

2. Trust-ketens en SCEP configureren

Voordat Intune apparaatcertificaten uitrolt, moet het de benodigde vertrouwenscertificaten naar je endpoints sturen. Zo herkennen clientapparaten je nieuwe Cloud PKI-root en de uitgevende autoriteiten. Zodra het vertrouwen is vastgesteld, gebruiken apparaten het Simple Certificate Enrollment Protocol (SCEP) als veilige aanvraagroute. Het endpoint genereert zijn privésleutel lokaal, zodat het gevoelige cryptografische geheim nooit over het netwerk gaat. Cloud PKI valideert vervolgens de aanvraag via Intune en ondertekent het publieke certificaat.

3. Vernieuwing en intrekking valideren

Test voordat je de uitrol naar alle gebruikers uitbreidt grondig hoe certificaten in jouw omgeving worden vernieuwd en ingetrokken. Cloud PKI en Intune automatiseren achtergrondvernieuwingen van certificaten vóór de vervaldatum, zodat er geen onverwachte toegangsonderbrekingen optreden. Zorg daarnaast dat beheerders weten hoe ze snel een certificaat intrekken als een apparaat verloren gaat, gestolen wordt of wordt toegewezen aan een medewerker die het bedrijf verlaat.

Conclusie

Migreren van traditionele Windows Server PKI naar Microsoft Cloud PKI is een grote stap vooruit in de modernisering van de beveiliging van bedrijven. Doordat on-premises servers, connectors en proxy's wegvallen, kunnen IT-teams naadloze certificaatgebaseerde authenticatie leveren voor wifi, VPN's en interne applicaties, terwijl de beheerlast aanzienlijk daalt. Wil je een diepere uitleg horen over hoe deze cloudnative componenten samenwerken, luister dan naar de volledige aflevering: Listen to the full episode. Blijf luisteren voor praktische strategieën om de digitale werkomgeving van je organisatie te vereenvoudigen.

Veelgestelde vragen

Vervangt Microsoft Cloud PKI een bestaande on-premises ADCS-omgeving volledig?

Nee. Microsoft Cloud PKI is specifiek ontworpen om certificaten uit te geven en te beheren voor apparaten die via Intune worden beheerd. Het is niet bedoeld om elke certificaatworkload in je organisatie te vervangen, zoals die voor niet-beheerde computers, geïsoleerde systemen, publiek toegankelijke webservers of appliances van derden.

Welke apparaatplatforms worden ondersteund door Microsoft Cloud PKI?

Cloud PKI ondersteunt de belangrijkste apparaatecosystemen die via Microsoft Intune worden beheerd, waaronder Windows-laptops en -desktops, macOS-apparaten, iOS/iPadOS-apparaten en ondersteunde Android-endpoints.

Hoe worden privésleutels beschermd tijdens certificaatregistratie?

Endpoints genereren hun eigen privésleutels lokaal op de apparaathardware en bewaren die daar veilig. Via SCEP stuurt het apparaat alleen de publieke informatie die nodig is voor het ondertekenen van het certificaat, zodat de privésleutel nooit wordt blootgesteld of over het netwerk wordt verstuurd.

Heb ik externe certificaatconnectors nodig voor Cloud PKI?

Nee. Anders dan traditionele on-premises PKI-implementaties, die NDES-servers en Intune Certificate Connectors vereisen, werkt Microsoft Cloud PKI volledig als een cloudbeheerde service binnen Intune. Proxyservers of connector-VM's zijn dus niet nodig.