Migracja z ADCS do Microsoft Cloud PKI w Intune

By Mirko Peters · 2026-08-13

Dowiedz się, jak przeprowadzić migrację z tradycyjnych usług ADCS do Microsoft Cloud PKI w Intune. Uprość uwierzytelnianie urządzeń, zrezygnuj z serwerów NDES i zabezpiecz sieci Wi-Fi oraz połączenia VPN.

Automatically translated with AI from the original post. Read the English original

Migracja z tradycyjnych Usług certyfikatów Active Directory do Microsoft Cloud PKI eliminuje potrzebę stosowania lokalnych łączników certyfikatów, serwerów NDES i złożonych konfiguracji odwrotnych serwerów proxy. Dzięki przeniesieniu infrastruktury urzędu certyfikacji bezpośrednio do Microsoft Intune administratorzy IT mogą uprościć uwierzytelnianie urządzeń z systemami Windows, macOS i urządzeń mobilnych bez utrzymywania lokalnego sprzętu serwerowego.

Najważniejsze wnioski

• Microsoft Cloud PKI zastępuje lokalną infrastrukturę ADCS opartą na Windows Server natywnie chmurowym urzędem certyfikacji, zarządzanym bezpośrednio w Intune.
• Proces migracji usuwa tradycyjne wąskie gardła, takie jak serwery NDES, wewnętrzne łączniki certyfikatów i publicznie dostępne odwrotne serwery proxy.
• Uwierzytelnianie urządzeń opiera się na SCEP, który generuje i zabezpiecza lokalne klucze prywatne na zarządzanych laptopach i urządzeniach mobilnych.
• Migracja pomaga organizacjom wyeliminować współdzielone hasła do sieci Wi-Fi i zabezpieczyć zdalny dostęp VPN za pomocą indywidualnych certyfikatów urządzeń.
• Odpowiednie planowanie wymaga sprawdzenia uprawnień licencyjnych Intune oraz weryfikacji łańcuchów zaufania urzędów głównego i wystawiającego certyfikaty przed wdrożeniem.

Ukryte koszty infrastruktury tradycyjnego ADCS

Przez dziesięciolecia organizacje polegały na Windows Server i Usługach certyfikacji Active Directory, aby obsługiwać wewnętrzną infrastrukturę klucza publicznego. ADCS jest solidne, ale wymaga znacznego nakładu pracy utrzymaniowej. Prowadzenie lokalnego urzędu certyfikacji oznacza zarządzanie systemami serwerowymi, wdrażanie poprawek, konfigurowanie kopii zapasowych sprzętu i monitorowanie dat wygaśnięcia, aby zapobiec katastrofalnym awariom w poniedziałkowe poranki.

Ponadto podłączenie zarządzanych w chmurze urządzeń mobilnych i zdalnych do lokalnego urzędu certyfikacji wprowadza złożoność architektoniczną. Administratorzy muszą wdrożyć łączniki certyfikatów Intune, skonfigurować role Network Device Enrollment Service (NDES), ustawić proxy aplikacji internetowych dla dostępu zewnętrznego i ostrożnie otwierać wyjątki w zaporach firmowych. W przypadku małych zespołów IT ta rozbudowana infrastruktura zamienia prosty wymóg, jakim jest sieć Wi-Fi oparta na certyfikatach, w stałe obciążenie operacyjne.

Jak Microsoft Cloud PKI upraszcza architekturę przedsiębiorstwa

Microsoft Cloud PKI przenosi ciężar zarządzania certyfikatami z lokalnych centrów danych do chmury Microsoft. Zamiast udostępniać maszyny wirtualne z Windows Server, administratorzy mogą w centrum administracyjnym Microsoft Intune utworzyć w pełni zarządzaną hierarchię urzędu głównego i urzędów wystawiających certyfikaty. Microsoft zabezpiecza bazowe klucze kryptograficzne przy użyciu modułów HSM (hardware security modules), bez konieczności montowania i łatania fizycznych urządzeń zabezpieczających przez zespoły IT przedsiębiorstwa.

W tym nowoczesnym modelu obowiązki są jasno podzielone. Microsoft Entra ID zarządza tożsamościami użytkowników, Intune zarządza zgodnością urządzeń i profilami konfiguracji, a Cloud PKI wystawia zaufane poświadczenia cyfrowe wymagane do bezpiecznego dostępu do sieci. Ponieważ usługa jest natywnie zintegrowana z Intune, urządzenia otrzymują certyfikaty automatycznie podczas procesu rejestracji, bez ręcznej interwencji pracowników lub administratorów.

Budowanie strategii migracji

Odejście od ustabilizowanego środowiska ADCS wymaga metodycznego podejścia opartego na konkretnych przypadkach użycia. Zamiast podejmować się całościowej, obejmującej całe przedsiębiorstwo transformacji PKI z dnia na dzień, udane migracje koncentrują się na jednym, konkretnym celu.

1. Zidentyfikuj pierwsze obciążenie

Wybierz jeden konkretny problem do rozwiązania w fazie wstępnego pilotażu. Typowe punkty startowe to zastąpienie współdzielonych haseł Wi-Fi unikalnymi certyfikatami urządzeń, konfiguracja uwierzytelniania opartego na certyfikatach dla firmowej sieci VPN lub ograniczenie dostępu do krytycznej wewnętrznej aplikacji webowej tak, aby tylko zarządzane firmowe laptopy mogły się z nią łączyć.

2. Konfiguracja łańcuchów zaufania i SCEP

Przed wystawieniem certyfikatów urządzeń Intune musi dostarczyć niezbędne certyfikaty zaufania do punktów końcowych. Dzięki temu urządzenia klienckie rozpoznają nowy główny urząd certyfikacji Cloud PKI oraz urzędy wystawiające. Gdy zaufanie zostanie ustanowione, urządzenia korzystają z protokołu Simple Certificate Enrollment Protocol (SCEP) jako bezpiecznej ścieżki żądań. Punkt końcowy generuje klucz prywatny lokalnie, dzięki czemu wrażliwy sekret kryptograficzny nigdy nie przechodzi przez sieć, a Cloud PKI weryfikuje żądanie za pośrednictwem Intune i podpisuje certyfikat klucza publicznego.

3. Weryfikacja procesów odnawiania i unieważniania

Zanim rozszerzysz wdrożenie na wszystkich użytkowników, dokładnie przetestuj, jak certyfikaty są odnawiane i unieważniane w Twoim środowisku. Cloud PKI i Intune automatycznie odnawiają certyfikaty w tle, zanim nadejdzie data ich wygaśnięcia, co zapobiega nieoczekiwanej utracie dostępu. Upewnij się również, że administratorzy wiedzą, jak szybko unieważnić certyfikat, jeśli urządzenie zostanie zgubione, skradzione lub przypisane pracownikowi odchodzącemu z organizacji.

Podsumowanie

Migracja z tradycyjnej infrastruktury PKI opartej na Windows Server do Microsoft Cloud PKI to duży krok naprzód w modernizacji bezpieczeństwa przedsiębiorstwa. Dzięki usunięciu serwerów lokalnych, konektorów i serwerów proxy zespoły IT mogą zapewnić bezproblemowe uwierzytelnianie oparte na certyfikatach dla sieci Wi-Fi, VPN i aplikacji wewnętrznych, jednocześnie znacznie ograniczając obciążenie administracyjne. Aby poznać szczegółowe omówienie tego, jak te komponenty natywne dla chmury współpracują ze sobą, posłuchaj całego odcinka: Posłuchaj całego odcinka. Sprawdź, jak uprościć cyfrowe miejsce pracy Twojej organizacji dzięki praktycznym strategiom.

Często zadawane pytania

Czy Microsoft Cloud PKI całkowicie zastępuje istniejące lokalne środowisko ADCS?

Nie. Microsoft Cloud PKI został zaprojektowany specjalnie do wystawiania i zarządzania certyfikatami dla urządzeń zarządzanych przez Intune. Nie ma na celu zastępowania wszystkich obciążeń certyfikatowych w przedsiębiorstwie, takich jak te wymagane dla niezarządzanych komputerów, systemów izolowanych, publicznie dostępnych serwerów WWW czy urządzeń firm trzecich.

Jakie platformy urządzeń są obsługiwane przez Microsoft Cloud PKI?

Cloud PKI obsługuje główne ekosystemy urządzeń zarządzane za pośrednictwem Microsoft Intune, w tym laptopy i komputery stacjonarne z systemem Windows, urządzenia z systemem macOS, urządzenia z systemami iOS/iPadOS oraz obsługiwane punkty końcowe z systemem Android.

W jaki sposób klucze prywatne są chronione podczas rejestracji certyfikatów?

Punkty końcowe generują własne klucze prywatne lokalnie, na sprzęcie urządzenia, i bezpiecznie je tam przechowują. Korzystając z SCEP, urządzenie przesyła wyłącznie informacje publiczne potrzebne do podpisania certyfikatu, dzięki czemu klucz prywatny nigdy nie jest ujawniany ani przesyłany przez sieć.

Czy do Cloud PKI potrzebne są zewnętrzne konektory certyfikatów?

Nie. W przeciwieństwie do tradycyjnych lokalnych wdrożeń PKI, które wymagają serwerów NDES i Intune Certificate Connectors, Microsoft Cloud PKI działa w całości jako usługa zarządzana w chmurze w ramach Intune, eliminując potrzebę stosowania serwerów proxy i maszyn wirtualnych z konektorami.