# Conector de certificados

| Categoría                                                                          | SCEPman                                                                                                                                                                                                                                                                                                      | Microsoft CA con PKCS                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 | NDES con SCEP                                                                                                                                                                                                                                                                               |
| ---------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Esfuerzo de configuración**                                                      | <p><mark style="color:verde;"><strong>< 30 minutos</strong></mark></p><ul><li><a href="../../despliegue-de-scepman/deployment-guides">Procedimiento de implementación de 3 pasos</a> para funcionalidad central</li></ul>                                                                                    | <p><mark style="color:naranja;"><strong>> 2 - 3 días</strong></mark></p><ul><li>Diseño e implementación de CDP\*</li><li>Configuración de Plantillas de Certificado</li><li>Compatibilidad de configuración – GPOs, Cuentas de Servicio, Versiones del Conector, ...</li></ul>                                                                                                                                                                                                                        | <p><mark style="color:rojo;"><strong>> + 2 días</strong></mark></p><p><em>Además de PKCS:</em></p><ul><li>Servidor(es) adicional(es) para NDES</li><li>Un servidor NDES por cada tipo de certificado</li><li>Dos Plantillas de Certificado adicionales</li><li>Difícil de depurar</li></ul> |
| **Mantenimiento de PKI**                                                           | <ul><li><a href="../../configuracion-de-azure/health-check">Monitorización de salud automática en Azure</a></li></ul>                                                                                                                                                                                        | <ul><li><a href="https://github.com/glueckkanja-pki/PKI-Monitoring-Tools">Monitorización de CDP</a></li><li>Monitorización del Conector de Certificados</li></ul>                                                                                                                                                                                                                                                                                                                                     | <p><em>Además de PKCS:</em></p><ul><li>Renovación manual del certificado del Agente de Inscripción</li></ul>                                                                                                                                                                                |
| **Mantenimiento del servidor**                                                     | <ul><li><a href="../../update-strategy">Actualizaciones/patches automáticos</a></li></ul>                                                                                                                                                                                                                    | <ul><li>Actualizaciones del sistema operativo</li><li>Supervisión</li></ul>                                                                                                                                                                                                                                                                                                                                                                                                                           | <p><em>Además de PKCS:</em></p><ul><li>Actualizaciones del sistema operativo y monitorización para al menos un servidor adicional</li></ul>                                                                                                                                                 |
| <p><strong>Gestión de certificados</strong><br>Emisión, renovación, revocación</p> | <ul><li>Inscripción y renovación totalmente automatizadas</li><li><a href="../../configuracion-de-scepman/device-directories">Revocación totalmente automatizada</a></li><li>Opción de revocación manual</li></ul>                                                                                           | <ul><li>Inscripción y renovación totalmente automatizadas</li><li>Revocación manual (difícil buscar en la base de datos)</li></ul>                                                                                                                                                                                                                                                                                                                                                                    | *Como PKCS.*                                                                                                                                                                                                                                                                                |
| **Disponibilidad**                                                                 | <p>Diseño singular</p><ul><li>SLA de App Service: > 99.95 % de tiempo de actividad</li></ul><p>Diseño redundante</p><ul><li>SLA de Traffic Manager: > 99.99 % de tiempo de actividad</li></ul>                                                                                                               | <p>Múltiples modos de fallo:</p><ul><li>Plataforma de virtualización</li><li>Sistema operativo</li><li>Servidor web CDP</li></ul><p>Diseño redundante</p><ul><li>Servidor CA en espera</li><li>Servidores web CDP adicionales</li><li>Servidor en espera para conector de certificados de respaldo</li></ul>                                                                                                                                                                                          | <p><em>Como PKCS.</em></p><p>Diseño redundante</p><ul><li>Servidores NDES adicionales</li></ul>                                                                                                                                                                                             |
| **Escalabilidad**                                                                  | <ul><li><a href="../../configuracion-de-azure/azure-sizing/autoscaling">Autoescalado o escalado manual con unos pocos clics</a></li><li><a href="../../configuracion-de-azure/azure-sizing">Atender cualquier número de clientes con una CA SCEPman.</a></li></ul>                                           | <ul><li>Sin autoescalado</li><li>El escalado requiere clúster de CA</li><li><a href="https://social.technet.microsoft.com/wiki/contents/articles/9256.active-directory-certificate-services-ad-cs-clustering.aspx">Escalado manual complejo</a></li></ul>                                                                                                                                                                                                                                             | <p><em>Como PKCS.</em></p><ul><li>Más esfuerzo para duplicar servidores NDES</li></ul>                                                                                                                                                                                                      |
| **Copia de seguridad**                                                             | <ul><li>SCEPman es sin estado para la funcionalidad central, es decir, no se requiere copia de seguridad.</li><li>La CA raíz de SCEPman está respaldada implícitamente por Azure KeyVault (redundante por región).</li><li>La cuenta de almacenamiento opcional puede respaldarse automáticamente.</li></ul> | <ul><li>Copias de seguridad regulares de la base de datos de CA</li><li>Copia de seguridad de la clave y configuración de la CA (requisitos altos de cumplimiento y seguridad)</li></ul>                                                                                                                                                                                                                                                                                                              | *Como PKCS.*                                                                                                                                                                                                                                                                                |
| **Seguridad**                                                                      | <ul><li>Diseñado según el enfoque Zero-Trust (nativo en la nube)</li><li>Uso de esquemas de autenticación de última generación</li><li>Revocación automática de certificados en tiempo real con OCSP (error humano imposible)</li></ul>                                                                      | <ul><li>Diseñado para uso local (on-premises)</li><li>Susceptible a "<a href="../troubleshooting/certifried">ataque certifried</a>"</li><li>Superficie de ataque aumentada debido a canal de comunicación adicional entre la CA (activo de nivel 0) e Internet</li><li>Superficie de ataque aumentada debido al uso de cuentas locales y en la nube</li><li>La actualidad de la CRL depende del intervalo de actualización</li><li>OCSP se basa en CRL y <strong>no en tiempo real</strong></li></ul> | <p><em>Como PKCS.</em></p><ul><li>Requiere acceso entrante a NDES (<a href="https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/ndes-security-best-practices/ba-p/2832619">activo de nivel 0</a>)</li></ul>                                                             |
| **Flexibilidad**                                                                   | <ul><li>Uso de interfaces estandarizadas (SCEP, OCSP, REST)</li><li>Compatibilidad con múltiples soluciones MDM</li></ul>                                                                                                                                                                                    | <ul><li>Solo se admite Intune</li><li>La interfaz RPC propietaria permite la inscripción automática de certificados en clientes heredados unidos al dominio</li></ul>                                                                                                                                                                                                                                                                                                                                 | <ul><li>Posible compatibilidad con múltiples soluciones MDM (se requiere instancia NDES adicional)</li></ul>                                                                                                                                                                                |

\*: Punto de Distribución de CRL
