Миграция с ADCS на Microsoft Cloud PKI в Intune

By Mirko Peters · 2026-08-13

Узнайте, как перейти с традиционной ADCS на Microsoft Cloud PKI в Intune. Упростите аутентификацию устройств, откажитесь от серверов NDES и защитите Wi-Fi и VPN.

Automatically translated with AI from the original post. Read the English original

Миграция с традиционных служб сертификатов Active Directory на Microsoft Cloud PKI устраняет необходимость в локальных коннекторах сертификатов, серверах NDES и сложных конфигурациях обратного прокси. Перенося инфраструктуру центра сертификации непосредственно в Microsoft Intune, администраторы ИТ могут упростить аутентификацию устройств Windows, macOS и мобильных устройств без поддержки локального серверного оборудования.

Главное

• Microsoft Cloud PKI заменяет локальную инфраструктуру ADCS на Windows Server облачным центром сертификации, которым вы управляете непосредственно в Intune.
• Миграция устраняет традиционные узкие места, такие как серверы NDES, внутренние коннекторы сертификатов и обратные прокси, доступные из интернета.
• Аутентификация устройств опирается на SCEP, который генерирует и защищает закрытые ключи на управляемых ноутбуках и мобильных устройствах.
• Миграция помогает отказаться от общих паролей Wi-Fi и защитить удаленный доступ по VPN с помощью индивидуальных сертификатов устройств.
• Для успешного планирования нужно проверить лицензии Intune и подтвердить доверие к цепочкам корневого и выдающего центров сертификации до развертывания.

Скрытые инфраструктурные затраты традиционной ADCS

На протяжении десятилетий организации использовали Windows Server и Active Directory Certificate Services для поддержки внутренней инфраструктуры открытых ключей. ADCS надежна, но требует значительных затрат на обслуживание. Работа локального центра сертификации означает управление операционными системами серверов, установку патчей, настройку резервного копирования оборудования и отслеживание сроков действия сертификатов, чтобы не допустить катастрофического простоя в понедельник утром.

Кроме того, подключение управляемых через облако мобильных и удаленных конечных устройств к локальному центру сертификации усложняет архитектуру. Администраторам приходится развертывать коннекторы сертификатов Intune, настраивать роли Network Device Enrollment Service (NDES), конфигурировать веб-прокси приложений для внешнего доступа и аккуратно открывать исключения в корпоративных межсетевых экранах. Для небольших ИТ-команд такая разросшаяся инфраструктура превращает простую задачу, например Wi-Fi на основе сертификатов, в постоянную операционную нагрузку.

Как Microsoft Cloud PKI упрощает корпоративную архитектуру

Microsoft Cloud PKI переносит основную часть работ по управлению сертификатами из локальных дата-центров в облако Microsoft. Вместо развертывания виртуальных машин Windows Server администраторы могут создать полностью управляемую иерархию корневого и выдающего центров сертификации прямо в центре администрирования Microsoft Intune. Microsoft защищает базовые криптографические ключи с помощью аппаратных модулей безопасности (HSM), и корпоративным ИТ-командам не нужно устанавливать и обслуживать физические устройства безопасности.

В этой современной модели обязанности четко разделены. Microsoft Entra ID управляет идентификаторами пользователей, Intune отвечает за соответствие устройств и профили конфигурации, а Cloud PKI выдает доверенные цифровые учетные данные, необходимые для безопасного сетевого доступа. Поскольку служба нативно интегрирована с Intune, устройства получают сертификаты автоматически в процессе регистрации, без ручных действий со стороны сотрудников или администраторов.

Стратегия миграции

Отказ от сложившейся среды ADCS требует методичного подхода, ориентированного на конкретные сценарии. Вместо масштабной трансформации PKI на уровне всего предприятия за одну ночь успешные миграции фокусируются на одной конкретной цели.

1. Определите первую рабочую нагрузку

Выберите одну конкретную задачу для пилотного этапа. Типичные варианты: замена общих паролей Wi-Fi на уникальные сертификаты устройств, настройка аутентификации на основе сертификатов для корпоративного VPN или ограничение доступа к важному внутреннему веб-приложению только для управляемых корпоративных ноутбуков.

2. Настройка цепочек доверия и SCEP

Перед выдачей сертификатов устройств Intune должен доставить на конечные точки необходимые сертификаты доверия. Так клиентские устройства распознают новые корневой и подчинённые центры сертификации Cloud PKI. Когда доверие установлено, устройства используют Simple Certificate Enrollment Protocol (SCEP) как защищённый канал для запросов. Конечная точка генерирует закрытый ключ локально, поэтому конфиденциальный криптографический секрет никогда не передаётся по сети, а Cloud PKI проверяет запрос через Intune и подписывает открытый сертификат.

3. Проверка сценариев продления и отзыва

Прежде чем распространять развёртывание на всех пользователей, тщательно проверьте, как в вашей среде продлеваются и отзываются сертификаты. Cloud PKI и Intune автоматически продлевают сертификаты в фоновом режиме до наступления даты окончания срока действия, что предотвращает неожиданную потерю доступа. Кроме того, убедитесь, что администраторы умеют быстро отозвать сертификат, если устройство утеряно, украдено или передано сотруднику, покидающему организацию.

Заключение

Миграция с традиционной PKI на основе Windows Server на Microsoft Cloud PKI — важный шаг в модернизации корпоративной безопасности. Благодаря отказу от локальных серверов, коннекторов и прокси ИТ-команды могут обеспечить бесшовную аутентификацию на основе сертификатов для Wi-Fi, VPN и внутренних приложений, существенно сократив административные издержки. Чтобы услышать более подробный разбор того, как эти облачные компоненты работают вместе, послушайте полный выпуск: Listen to the full episode. Оставайтесь с нами, чтобы узнать практические стратегии упрощения цифровой рабочей среды вашей организации.

Часто задаваемые вопросы

Полностью ли Microsoft Cloud PKI заменяет существующую локальную среду AD CS?

Нет. Microsoft Cloud PKI предназначен именно для выдачи и управления сертификатами устройств, управляемых через Intune. Он не предназначен для замены всех сценариев использования сертификатов в организации, например тех, что нужны для неуправляемых компьютеров, изолированных систем, публичных веб-серверов или сторонних устройств.

Какие платформы устройств поддерживает Microsoft Cloud PKI?

Cloud PKI поддерживает основные экосистемы устройств, управляемых через Microsoft Intune: ноутбуки и настольные компьютеры Windows, устройства macOS, устройства iOS/iPadOS и поддерживаемые конечные точки Android.

Как защищаются закрытые ключи при регистрации сертификатов?

Конечные точки генерируют закрытые ключи локально, на аппаратном уровне устройства, и надёжно хранят их там. Используя SCEP, устройство передаёт только открытую информацию, необходимую для подписи сертификата, поэтому закрытый ключ никогда не раскрывается и не передаётся по сети.

Нужны ли внешние коннекторы сертификатов для Cloud PKI?

Нет. В отличие от традиционных локальных развёртываний PKI, которым требуются серверы NDES и коннекторы Intune Certificate Connector, Microsoft Cloud PKI работает полностью как облачный сервис в составе Intune, поэтому прокси-серверы и виртуальные машины-коннекторы не нужны.