Migração do ADCS para o Microsoft Cloud PKI no Intune

By Mirko Peters · 2026-08-13

Saiba como migrar do ADCS tradicional para o Microsoft Cloud PKI no Intune. Simplifique a autenticação de dispositivos, elimine servidores NDES e proteja Wi-Fi e VPNs.

Automatically translated with AI from the original post. Read the English original

Migrar do Active Directory Certificate Services tradicional para o Microsoft Cloud PKI elimina a necessidade de conectores de certificado locais, servidores NDES e configurações complexas de proxy reverso. Ao mover a infraestrutura de autoridade certificadora diretamente para o Microsoft Intune, os administradores de TI podem simplificar a autenticação de dispositivos Windows, macOS e móveis sem precisar manter hardware de servidor local.

Principais conclusões

• O Microsoft Cloud PKI substitui a infraestrutura local do ADCS no Windows Server por uma autoridade certificadora nativa da nuvem, gerenciada diretamente no Intune.
• O processo de migração elimina gargalos tradicionais, como servidores NDES, conectores de certificado internos e proxies reversos expostos à internet.
• A autenticação de dispositivos depende do SCEP para gerar e proteger chaves privadas locais em notebooks e dispositivos móveis gerenciados.
• A migração ajuda as organizações a eliminar senhas compartilhadas de Wi-Fi e a proteger o acesso VPN remoto com certificados individuais por dispositivo.
• O planejamento adequado exige verificar as licenças do Intune e validar a cadeia de confiança das CAs raiz e emissoras antes da implantação.

Os custos ocultos da infraestrutura do ADCS tradicional

Por décadas, as organizações dependeram do Windows Server e do Active Directory Certificate Services para gerenciar a infraestrutura de chaves públicas interna. Embora o ADCS seja robusto, ele exige um esforço considerável de manutenção. Manter uma CA local significa gerenciar os sistemas operacionais dos servidores, aplicar patches, configurar backups de hardware e monitorar datas de expiração para evitar interrupções catastróficas logo nas segundas-feiras de manhã.

Além disso, conectar endpoints móveis e remotos gerenciados pela nuvem a uma CA local introduz complexidade arquitetônica. Os administradores precisam implantar os Intune Certificate Connectors, configurar as funções do Network Device Enrollment Service (NDES), configurar proxies de aplicativos web para acesso externo e abrir, com cuidado, exceções nos firewalls corporativos. Para equipes de TI enxutas, essa infraestrutura extensa transforma um requisito simples, como Wi-Fi baseado em certificado, em um encargo operacional contínuo.

Como o Microsoft Cloud PKI simplifica a arquitetura corporativa

O Microsoft Cloud PKI transfere o trabalho pesado do gerenciamento de certificados dos data centers locais para a nuvem da Microsoft. Em vez de provisionar VMs do Windows Server, os administradores podem criar uma hierarquia de CA raiz e CA emissora totalmente gerenciada diretamente no centro de administração do Microsoft Intune. A Microsoft protege as chaves criptográficas subjacentes usando módulos de segurança de hardware (HSMs), sem exigir que as equipes de TI corporativas instalem em racks ou apliquem patches em equipamentos físicos de segurança.

Nesse modelo moderno, as responsabilidades são claramente divididas. O Microsoft Entra ID gerencia as identidades dos usuários, o Intune gerencia a conformidade e os perfis de configuração dos dispositivos, e o Cloud PKI emite as credenciais digitais confiáveis necessárias para o acesso seguro à rede. Como o serviço se integra nativamente ao Intune, os dispositivos recebem seus certificados automaticamente durante o processo de registro, sem necessidade de intervenção manual por parte dos funcionários ou administradores.

Construindo sua estratégia de migração

Abandonar um ambiente ADCS já estabelecido exige uma abordagem metódica e orientada por casos de uso. Em vez de tentar uma transformação completa da PKI corporativa da noite para o dia, as migrações bem-sucedidas se concentram em um único objetivo concreto.

1. Identifique sua primeira carga de trabalho

Selecione um problema específico para resolver durante a fase inicial do seu piloto. Pontos de partida comuns incluem substituir senhas de Wi-Fi compartilhadas por certificados exclusivos de dispositivo, configurar autenticação baseada em certificado para uma VPN corporativa ou restringir o acesso a um aplicativo web interno crítico para que somente notebooks corporativos gerenciados possam acessá-lo.

2. Configurar cadeias de confiança e SCEP

Antes de emitir certificados de dispositivo, o Intune precisa entregar aos seus endpoints os certificados de confiança necessários. Isso garante que os dispositivos clientes reconheçam sua nova raiz e as autoridades emissoras do Cloud PKI. Uma vez estabelecida a confiança, os dispositivos usam o Simple Certificate Enrollment Protocol (SCEP) como caminho seguro para as solicitações. O endpoint gera sua chave privada localmente, garantindo que o segredo criptográfico sensível nunca trafegue pela rede, enquanto o Cloud PKI valida a solicitação por meio do Intune e assina o certificado de chave pública.

3. Validar os fluxos de renovação e revogação

Antes de expandir sua implantação para todos os usuários, teste com rigor como os certificados são renovados e revogados no seu ambiente. O Cloud PKI e o Intune automatizam as renovações de certificados em segundo plano antes que as datas de expiração cheguem, evitando quedas inesperadas de acesso. Além disso, certifique-se de que os administradores saibam como revogar rapidamente um certificado caso um dispositivo seja perdido, roubado ou atribuído a um funcionário que deixa a organização.

Conclusão

Migrar da PKI tradicional do Windows Server para o Microsoft Cloud PKI representa um grande avanço na modernização da segurança corporativa. Ao eliminar servidores locais, conectores e proxies, as equipes de TI podem oferecer autenticação baseada em certificado sem atritos para Wi-Fi, VPNs e aplicativos internos, reduzindo drasticamente a sobrecarga administrativa. Para ouvir uma explicação mais detalhada de como esses componentes nativos da nuvem funcionam juntos, ouça o episódio completo: Ouça o episódio completo. Acompanhe e descubra estratégias práticas para simplificar o ambiente de trabalho digital da sua organização.

Perguntas frequentes

O Microsoft Cloud PKI substitui completamente um ambiente ADCS local existente?

Não. O Microsoft Cloud PKI foi projetado especificamente para emitir e gerenciar certificados para dispositivos gerenciados pelo Intune. Ele não se destina a substituir todas as cargas de trabalho de certificados da sua empresa, como as necessárias para computadores não gerenciados, sistemas isolados, servidores web voltados ao público ou appliances de terceiros.

Quais plataformas de dispositivos são suportadas pelo Microsoft Cloud PKI?

O Cloud PKI oferece suporte aos principais ecossistemas de dispositivos gerenciados pelo Microsoft Intune, incluindo notebooks e desktops Windows, dispositivos macOS, dispositivos iOS/iPadOS e endpoints Android compatíveis.

Como as chaves privadas são protegidas durante o registro do certificado?

Os endpoints geram suas próprias chaves privadas localmente, no hardware do dispositivo, e as mantêm armazenadas com segurança ali. Usando o SCEP, o dispositivo envia apenas as informações públicas necessárias para a assinatura do certificado, garantindo que a chave privada nunca seja exposta nem transmitida pela rede.

Preciso de conectores de certificado externos para o Cloud PKI?

Não. Diferentemente das implantações tradicionais de PKI local, que exigem servidores NDES e Intune Certificate Connectors, o Microsoft Cloud PKI funciona inteiramente como um serviço gerenciado na nuvem dentro do Intune, eliminando a necessidade de servidores proxy ou máquinas virtuais conectoras.