Міграція з ADCS на Microsoft Cloud PKI в Intune

By Mirko Peters · 2026-08-13

Дізнайтеся, як виконати міграцію з традиційних ADCS на Microsoft Cloud PKI в Intune. Спростіть автентифікацію пристроїв, позбудьтеся серверів NDES і захистіть Wi-Fi та VPN.

Automatically translated with AI from the original post. Read the English original

Міграція з традиційних служб сертифікатів Active Directory на Microsoft Cloud PKI усуває потребу в локальних конекторах сертифікатів, серверах NDES і складних конфігураціях зворотного проксі. Оскільки інфраструктуру центру сертифікації переносять безпосередньо в Microsoft Intune, ІТ-адміністратори можуть спростити автентифікацію пристроїв Windows, macOS і мобільних пристроїв без підтримки власного серверного обладнання.

Головне

• Microsoft Cloud PKI замінює локальну інфраструктуру ADCS на Windows Server хмарним центром сертифікації, яким керують безпосередньо в Intune.
• Процес міграції прибирає традиційні вузькі місця, як-от сервери NDES, внутрішні конектори сертифікатів і публічно доступні зворотні проксі.
• Автентифікація пристроїв спирається на SCEP, який генерує та захищає локальні закриті ключі на керованих ноутбуках і мобільних пристроях.
• Міграція допомагає організаціям відмовитися від спільних паролів Wi-Fi і захистити віддалений доступ через VPN за допомогою індивідуальних сертифікатів пристроїв.
• Належне планування передбачає перевірку ліцензійних прав Intune та підтвердження ланцюгів довіри кореневого і видавального ЦС перед розгортанням.

Приховані витрати на інфраструктуру традиційного ADCS

Протягом десятиліть організації покладалися на Windows Server і Active Directory Certificate Services для роботи з внутрішньою інфраструктурою відкритих ключів. ADCS є надійною службою, але вона потребує значних витрат на обслуговування. Запуск локального ЦС означає керування операційними системами серверів, розгортання оновлень, налаштування резервного копіювання обладнання та стеження за термінами дії сертифікатів, щоб не отримати катастрофічний збій у понеділок уранці.

Крім того, підключення хмарних мобільних і віддалених кінцевих пристроїв до локального ЦС створює архітектурну складність. Адміністраторам доводиться розгортати Intune Certificate Connectors, налаштовувати ролі Network Device Enrollment Service (NDES), конфігурувати веб-проксі для зовнішнього доступу та ретельно відкривати отвори в корпоративних брандмауерах. Для невеликих ІТ-команд ця розгалужена інфраструктура перетворює таку просту вимогу, як Wi-Fi на основі сертифікатів, на постійний операційний тягар.

Як Microsoft Cloud PKI спрощує корпоративну архітектуру

Microsoft Cloud PKI переносить основну частину роботи з керування сертифікатами з локальних центрів обробки даних у хмару Microsoft. Замість розгортання віртуальних машин Windows Server адміністратори можуть одразу створити повністю керовану ієрархію кореневого та видавального ЦС у центрі адміністрування Microsoft Intune. Microsoft захищає базові криптографічні ключі за допомогою модулів апаратної безпеки (HSM), тож ІТ-командам підприємств не потрібно встановлювати та оновлювати фізичні засоби безпеки.

У цій сучасній моделі обов’язки чітко розподілено. Microsoft Entra ID керує ідентичностями користувачів, Intune керує відповідністю пристроїв і профілями конфігурації, а Cloud PKI випускає довірені цифрові облікові дані, потрібні для безпечного доступу до мережі. Оскільки служба нативно інтегрована з Intune, пристрої отримують сертифікати автоматично під час реєстрації, без ручного втручання співробітників чи адміністраторів.

Побудова стратегії міграції

Відмова від усталеного середовища ADCS потребує методичного підходу, зорієнтованого на конкретні сценарії. Замість спроби провести масштабну трансформацію PKI для всього підприємства за одну ніч, успішні міграції зосереджуються на одній конкретній меті.

1. Визначте своє перше робоче навантаження

Оберіть одну конкретну проблему для вирішення на початковому етапі пілотного проєкту. Типові відправні точки: заміна спільних паролів Wi-Fi унікальними сертифікатами пристроїв, налаштування автентифікації на основі сертифікатів для корпоративного VPN або обмеження доступу до критичного внутрішнього веб-застосунку лише для керованих корпоративних ноутбуків.

2. Налаштування ланцюгів довіри та SCEP

Перш ніж видавати сертифікати пристроїв, Intune має доставити на ваші кінцеві точки необхідні довірені сертифікати. Це гарантує, що клієнтські пристрої розпізнають ваш новий кореневий центр сертифікації Cloud PKI та центри видачі. Після встановлення довіри пристрої використовують Simple Certificate Enrollment Protocol (SCEP) як безпечний шлях запиту. Кінцева точка генерує закритий ключ локально, тож чутливий криптографічний секрет ніколи не передається мережею, а Cloud PKI перевіряє запит через Intune і підписує відкритий сертифікат.

3. Перевірка процесів поновлення та відкликання

Перш ніж розширювати розгортання на всіх користувачів, ретельно перевірте, як сертифікати поновлюються й відкликаються у вашому середовищі. Cloud PKI та Intune автоматично поновлюють сертифікати у фоновому режимі до настання дати закінчення терміну дії, що запобігає несподіваному втраті доступу. Крім того, переконайтеся, що адміністратори знають, як швидко відкликати сертифікат, якщо пристрій загублено, викрадено або він закріплений за працівником, який залишає організацію.

Висновок

Міграція від традиційної PKI на основі Windows Server до Microsoft Cloud PKI є важливим кроком вперед у модернізації корпоративної безпеки. Відмовившись від серверів на місці, конекторів і проксі, ІТ-команди можуть забезпечити безшовну автентифікацію на основі сертифікатів для Wi-Fi, VPN і внутрішніх застосунків, суттєво знижуючи адміністративні витрати. Щоб дізнатися більше про те, як ці хмарні компоненти працюють разом, послухайте повний епізод: Слухайте повний епізод. Налаштуйтеся, щоб дізнатися практичні стратегії спрощення цифрового робочого простору вашої організації.

Поширені запитання

Чи повністю замінює Microsoft Cloud PKI наявне локальне середовище ADCS?

Ні. Microsoft Cloud PKI призначено саме для видачі та керування сертифікатами для пристроїв, якими керує Intune. Він не має на меті замінити кожне навантаження, пов'язане з сертифікатами, у вашому підприємстві, зокрема ті, що потрібні для некерованих комп'ютерів, ізольованих систем, публічних веб-серверів або сторонніх пристроїв.

Які платформи пристроїв підтримує Microsoft Cloud PKI?

Cloud PKI підтримує основні екосистеми пристроїв, якими керують через Microsoft Intune: ноутбуки та настільні комп'ютери з Windows, пристрої macOS, пристрої iOS/iPadOS і підтримувані кінцеві точки Android.

Як захищаються закриті ключі під час реєстрації сертифікатів?

Кінцеві точки генерують власні закриті ключі локально на апаратному забезпеченні пристрою та надійно зберігають їх там. Використовуючи SCEP, пристрій надсилає лише відкриту інформацію, необхідну для підпису сертифіката, тож закритий ключ ніколи не розкривається і не передається мережею.

Чи потрібні зовнішні конектори сертифікатів для Cloud PKI?

Ні. На відміну від традиційних локальних розгортань PKI, які потребують серверів NDES і конекторів сертифікатів Intune, Microsoft Cloud PKI працює повністю як керована хмарою служба всередині Intune, усуваючи потребу в проксі-серверах або віртуальних машинах-конекторах.