Conector de certificados
Comparación del Microsoft Certificate Connector para Intune / Active Directory Certificate Services (ADCS) y SCEPman en términos de esfuerzo de despliegue y operación.
Esfuerzo de configuración
< 30 minutos
procedimiento de implementación de 3 pasos para la funcionalidad principal
> 2 - 3 días
diseño e implementación de CDP*
Configuración de plantillas de certificado
Compatibilidad de configuración – GPOs, cuentas de servicio, versiones del conector, ...
> + 2 días
Además de PKCS:
Servidor(es) adicional(es) para NDES
Un servidor NDES para cada tipo de certificado
Dos plantillas de certificado adicionales
Difícil de depurar
Mantenimiento de PKI
Supervisión del Certificate Connector
Además de PKCS:
Renovación manual del certificado del agente de inscripción
Mantenimiento del servidor
Actualizaciones del sistema operativo
Supervisión
Además de PKCS:
Actualizaciones del sistema operativo y supervisión de al menos un servidor adicional
Administración de certificados Emisión, renovación, revocación
Inscripción y renovación totalmente automatizadas
Opción de revocación manual
Inscripción y renovación totalmente automatizadas
Revocación manual (difícil de buscar en la base de datos)
Como PKCS.
Disponibilidad
Diseño singular
SLA de App Service: > 99.95 % de tiempo de actividad
Diseño redundante
SLA de Traffic Manager: > 99.99 % de tiempo de actividad
Múltiples modos de fallo:
Plataforma de virtualización
Sistema operativo
Servidor web de CDP
Diseño redundante
Servidor CA en espera
Servidores web de CDP adicionales
Servidor en espera para copia de seguridad de Certificate Connector
Como PKCS.
Diseño redundante
Servidores NDES adicionales
Escalabilidad
Sin autoescalado
El escalado requiere un clúster de CA
Como PKCS.
Se requiere más esfuerzo para duplicar servidores NDES
Copia de seguridad
SCEPman no tiene estado para la funcionalidad principal; es decir, no se requiere copia de seguridad.
La CA raíz de SCEPman se respalda implícitamente mediante Azure KeyVault (con redundancia entre regiones).
Una Storage Account opcional puede respaldarse automáticamente.
Copias de seguridad periódicas de la base de datos de CA
Copia de seguridad de la clave y la configuración de la CA (altos requisitos de cumplimiento y seguridad)
Como PKCS.
Seguridad
Diseñado con un enfoque de confianza cero (nativo de la nube)
Uso de esquemas de autenticación de última generación
Revocación automática de certificados en tiempo real con OCSP (el error humano es imposible)
Diseñado para uso en las instalaciones
Susceptible a "ataque certifried"
Mayor superficie de ataque debido al canal de comunicación adicional entre la CA (activo de nivel 0) e Internet
Mayor superficie de ataque debido al uso de cuentas locales y en la nube
La vigencia de la CRL depende del intervalo de actualización
OCSP se basa en CRL y no es en tiempo real
Como PKCS.
Requiere acceso entrante a NDES (activo de nivel 0)
Flexibilidad
Uso de interfaces estandarizadas (SCEP, OCSP, REST)
Compatibilidad con múltiples soluciones MDM
Solo se admite Intune
La interfaz RPC propietaria permite la inscripción automática de certificados en clientes heredados unidos al dominio
Es posible la compatibilidad con múltiples soluciones MDM (se requiere una instancia adicional de NDES)
*: Punto de distribución de CRL
Última actualización
¿Te fue útil?