# Certificate Connector

| カテゴリ                                      | SCEPman                                                                                                                                                                                             | PKCSを使用したMicrosoft認証局（CA）                                                                                                                                                                                                                                                   | SCEPを使用したNDES                                                                                                                                                                                     |
| ----------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **セットアップ作業量**                             | <p><mark style="color:緑;"><strong>< 30分</strong></mark></p><ul><li><a href="../../scepman-nodepuroi/deployment-guides">コア機能のための3ステップ展開手順</a> コア機能のために</li></ul>                                     | <p><mark style="color:オレンジ;"><strong>> 2 - 3日</strong></mark></p><ul><li>CDP\* の設計と実装</li><li>証明書テンプレートの構成</li><li>構成の互換性 – GPO、サービスアカウント、コネクターのバージョン、...</li></ul>                                                                                                         | <p><mark style="color:赤;"><strong>> + 2日</strong></mark></p><p><em>PKCSに加えて：</em></p><ul><li>NDES用の追加サーバー</li><li>各証明書種類ごとに1台のNDESサーバー</li><li>さらに2つの証明書テンプレート</li><li>デバッグが困難</li></ul>          |
| **PKIの保守**                                | <ul><li><a href="../../azure-gou-cheng/health-check">Azureでの自動ヘルス監視</a></li></ul>                                                                                                                   | <ul><li><a href="https://github.com/glueckkanja-pki/PKI-Monitoring-Tools">CDPの監視</a></li><li>証明書コネクターの監視</li></ul>                                                                                                                                                          | <p><em>PKCSに加えて：</em></p><ul><li>手動の登録エージェント証明書の更新</li></ul>                                                                                                                                      |
| **サーバー保守**                                | <ul><li><a href="../../update-strategy">自動更新 / パッチ</a></li></ul>                                                                                                                                    | <ul><li>オペレーティングシステムの更新</li><li>監視</li></ul>                                                                                                                                                                                                                                | <p><em>PKCSに加えて：</em></p><ul><li>少なくとも1台の追加サーバー分のOS更新と監視</li></ul>                                                                                                                                |
| <p><strong>証明書管理</strong><br>発行、更新、失効</p> | <ul><li>完全自動の登録と更新</li><li><a href="../../scepman-no/device-directories">完全自動の失効処理</a></li><li>手動での失効オプション</li></ul>                                                                                | <ul><li>完全自動の登録と更新</li><li>手動での失効（データベース検索が困難）</li></ul>                                                                                                                                                                                                                    | *PKCSと同様。*                                                                                                                                                                                        |
| **可用性**                                   | <p>単一設計</p><ul><li>App Service SLA：稼働率 > 99.95%</li></ul><p>冗長設計</p><ul><li>Traffic Manager SLA：稼働率 > 99.99%</li></ul>                                                                              | <p>複数の障害モード：</p><ul><li>仮想化プラットフォーム</li><li>オペレーティングシステム</li><li>CDPウェブサーバー</li></ul><p>冗長設計</p><ul><li>待機CAサーバー</li><li>追加のCDPウェブサーバー</li><li>バックアップ用証明書コネクターの待機サーバー</li></ul>                                                                                             | <p><em>PKCSと同様。</em></p><p>冗長設計</p><ul><li>追加のNDESサーバー</li></ul>                                                                                                                                  |
| **スケーラビリティ**                              | <ul><li><a href="../../azure-gou-cheng/azure-sizing/autoscaling">オートスケーリングまたは数クリックでの手動スケーリング</a></li><li><a href="../../azure-gou-cheng/azure-sizing">1つのSCEPman CAで任意の数のクライアントに対応可能。</a></li></ul> | <ul><li>オートスケーリングなし</li><li>スケーリングにはCAクラスターが必要</li><li><a href="https://social.technet.microsoft.com/wiki/contents/articles/9256.active-directory-certificate-services-ad-cs-clustering.aspx">複雑な手動スケーリング</a></li></ul>                                                     | <p><em>PKCSと同様。</em></p><ul><li>NDESサーバー複製のためのさらなる作業</li></ul>                                                                                                                                    |
| **バックアップ**                                | <ul><li>SCEPmanはコア機能に関してステートレスであり、つまりバックアップは不要です。</li><li>SCEPmanのルートCAは暗黙的にAzure Key Vault（リージョン冗長）によってバックアップされます。</li><li>オプションのストレージアカウントは自動的にバックアップ可能です。</li></ul>                              | <ul><li>定期的なCAデータベースのバックアップ</li><li>CAキーと構成のバックアップ（高いコンプライアンスおよびセキュリティ要件）</li></ul>                                                                                                                                                                                         | *PKCSと同様。*                                                                                                                                                                                        |
| **セキュリティ**                                | <ul><li>ゼロトラストアプローチ（クラウドネイティブ）に基づいて設計</li><li>最新の認証スキームの使用</li><li>OCSPによるリアルタイムの自動証明書失効（人的ミスが起こり得ない）</li></ul>                                                                                     | <ul><li>オンプレミス使用向けに設計</li><li>脆弱性："<a href="../troubleshooting/certifried">証明書化された攻撃</a>"</li><li>CA（ティア0資産）とインターネット間の追加通信チャネルにより攻撃対象領域が増加</li><li>オンプレミスとクラウドのアカウント使用により攻撃対象領域が増加</li><li>CRLの最新性は更新間隔に依存する</li><li>OCSPはCRLに基づいており、 <strong>リアルタイムではない</strong></li></ul> | <p><em>PKCSと同様。</em></p><ul><li>NDESへの着信アクセスが必要（<a href="https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/ndes-security-best-practices/ba-p/2832619">ティア0資産</a>)</li></ul> |
| **柔軟性**                                   | <ul><li>標準化されたインターフェースの使用（SCEP、OCSP、REST）</li><li>複数のMDMソリューションのサポート</li></ul>                                                                                                                      | <ul><li>Intuneのみがサポートされる</li><li>独自のRPCインターフェースにより、レガシーのドメイン参加クライアントでの証明書自動登録が可能</li></ul>                                                                                                                                                                                  | <ul><li>複数のMDMソリューションのサポートは可能（追加のNDESインスタンスが必要）</li></ul>                                                                                                                                         |

\*: CRL配布ポイント
