Microsoft Cloud PKI for FLW (NCE)

Microsoft Cloud PKI for FLW (NCE) ist ein cloudbasiertes Abonnement für die Zertifikatsverwaltung auf Microsoft-Intune-verwalteten Geräten von Frontline-Mitarbeitern. Die Lösung richtet sich an IT-Administratoren in Unternehmen mit operativen, mobilen oder schichtbasierten Teams und automatisiert das Ausstellen, Erneuern sowie Widerrufen digitaler Zertifikate.

Was ist Microsoft Cloud PKI for FLW?

Microsoft Cloud PKI for FLW stellt eine Public Key Infrastructure direkt über Microsoft Intune bereit. Unternehmen können Zertifizierungsstellen und SCEP-Zertifikatprofile in der Cloud verwalten, ohne zwingend lokale Zertifizierungsserver, Network Device Enrollment Service oder einen Intune Certificate Connector betreiben zu müssen.

Cloudbasierte Zertifikatsverwaltung für Intune-Geräte

Microsoft Cloud PKI übernimmt den technischen Lebenszyklus digitaler Zertifikate für Geräte, die über Microsoft Intune registriert und verwaltet werden. Administratoren erstellen die benötigten Zertifizierungsstellen im Intune Admin Center, verteilen Vertrauenszertifikate und weisen plattformspezifische SCEP-Zertifikatprofile an Benutzer oder Geräte zu.

Eine klassische zweistufige PKI kann aus einer Root Certificate Authority als Vertrauensanker und einer Issuing Certificate Authority für die eigentliche Zertifikatsausstellung bestehen. Microsoft Cloud PKI unterstützt außerdem Bring-your-own-CA-Szenarien, bei denen eine ausstellende Cloud-Zertifizierungsstelle mit einer bereits vorhandenen privaten Stammzertifizierungsstelle verbunden wird.

Die ausgestellten Zertifikate lassen sich für Anwendungsfälle wie WLAN-Authentifizierung, VPN-Verbindungen, E-Mail-Sicherheit, Webzugriffe oder Geräteidentitäten verwenden. In einer passend konfigurierten Microsoft-Entra-Umgebung können Zertifikate außerdem Bestandteil einer zertifikatsbasierten Authentifizierungsstrategie sein.

HSM-Schlüssel, SCEP und Zertifikatswiderruf

Produktiv lizenzierte Cloud-PKI-Zertifizierungsstellen verwenden HSM-geschützte Signatur- und Verschlüsselungsschlüssel über Azure Managed HSM. Eine separate Azure-HSM-Subscription ist dafür nicht erforderlich. Unterstützt werden RSA-Schlüssel mit 2.048, 3.072 oder 4.096 Bit sowie Hashalgorithmen wie SHA-256, SHA-384 und SHA-512.

Für jede ausstellende Zertifizierungsstelle stellt Microsoft einen cloudbasierten SCEP-Dienst bereit. Das verwaltete Endgerät erzeugt seinen privaten Schlüssel lokal und sendet eine Certificate Signing Request an den Dienst. Nach erfolgreicher Prüfung wird die Anfrage durch die ausstellende CA signiert und das Zertifikat an das Intune-verwaltete Gerät zurückgegeben.

Microsoft hostet außerdem die Certificate Revocation List und die Authority-Information-Access-Endpunkte. Die Zertifikatssperrliste ist sieben Tage gültig, wird regulär alle 3,5 Tage neu veröffentlicht und bei einem manuellen Zertifikatswiderruf zusätzlich aktualisiert.

Verwaltung und Kontrolle im Intune Admin Center

Die Administration erfolgt im Microsoft Intune Admin Center. Dort können berechtigte Administratoren Zertifizierungsstellen anlegen, Zertifikatprofile zuweisen, ausgestellte Zertifikate überwachen und einzelne Leaf-Zertifikate widerrufen. Rollenbasierte Zugriffssteuerung und Scope Tags helfen dabei, Verwaltungsaufgaben nach Standort, Abteilung oder Verantwortungsbereich zu trennen.

Microsoft Cloud PKI unterstützt derzeit bis zu drei Zertifizierungsstellen pro Intune-Tenant. Root CAs, Issuing CAs und über Bring Your Own CA eingebundene ausstellende Zertifizierungsstellen werden gemeinsam auf diese Kapazität angerechnet.

Eine technische Übersicht zu Architektur, Zertifikatslebenszyklus und unterstützten Funktionen bietet die offizielle Microsoft-Cloud-PKI-Dokumentation. Konkrete Schritte zur Einrichtung einer Root CA, Issuing CA und der erforderlichen Profile beschreibt Microsoft in der Anleitung zur Cloud-PKI-Konfiguration.

Systemvoraussetzungen für Microsoft Cloud PKI for FLW

Microsoft Cloud PKI ist ein Clouddienst, weshalb keine klassische Prozessor-, Arbeitsspeicher- oder Festplattenanforderung für eine lokale Installation besteht. Entscheidend sind der Microsoft-Tenant, die Intune-Lizenzierung, unterstützte Geräteplattformen und geeignete Administratorrechte.

Kaufberatung und Lizenzwissen zu Cloud PKI for FLW

Die FLW-Ausführung ist für Organisationen gedacht, die berechtigte Frontline Worker absichern möchten. Dazu gehören beispielsweise Mitarbeitende in Produktion, Logistik, Einzelhandel, Außendienst, Service oder Gesundheitswesen, die überwiegend mit mobilen, gemeinsam genutzten oder aufgabenbezogenen Geräten arbeiten.

Ein typischer Anwendungsfall ist ein Logistikunternehmen, das verwaltete Handhelds über Zertifikate mit einem geschützten WLAN verbindet. In einer Produktionsumgebung können gemeinsam genutzte Tablets Zertifikate für den kontrollierten Zugriff auf interne Anwendungen erhalten. Außendienstteams lassen sich über SCEP-Zertifikate mit einem Unternehmens-VPN verbinden, ohne Zertifikate manuell auf jedem Gerät zu installieren.

Das eigenständige Cloud-PKI-Abonnement ist vor allem sinnvoll, wenn Intune Plan 1 oder Plan 2 bereits vorhanden ist und lediglich die cloudbasierte PKI-Funktion ergänzt werden soll. Wird zusätzlich ein breiteres Paket aus erweiterten Endpoint-Management-Funktionen benötigt, sollte die Microsoft Intune Suite als Alternative verglichen werden.

Weitere abonnementbasierte Microsoft-Produkte befinden sich in der Kategorie Microsoft NCE. Unternehmen mit klassischen Frontline-Produktivitätsanforderungen können ergänzend Office 365 F3 für Frontline-Mitarbeiter prüfen. Für nicht auf Frontline-Pläne beschränkte KMU-Szenarien bietet Microsoft 365 Business Premium unter anderem eine Intune-Plan-1-Basis, ersetzt jedoch nicht automatisch das zusätzliche Cloud-PKI-Abonnement.

Lizenz- und Kaufsicherheit

Die Lizenz- und Bereitstellungsinformationen werden nach Zahlungseingang digital per E-Mail über software-guru.shop übermittelt. Microsoft Cloud PKI for FLW ist Originalsoftware im Microsoft-Cloud- und NCE-Lizenzmodell, jedoch keine dauerhaft gültige Einmallizenz. Die Nutzung ist nach Bereitstellung, Tenant-Zuordnung und Erfüllung der Intune-Voraussetzungen aktivierbar und bleibt an die gebuchte Abonnementlaufzeit gebunden. Laufzeit, Abrechnungsintervall, automatische Verlängerung und Anzahl der Lizenzen sollten vor der Bestellung geprüft werden. Bei digitalen Inhalten und Dienstleistungen kann das gesetzliche Widerrufsrecht nach § 356 Abs. 5 BGB nach ausdrücklicher Zustimmung zum vorzeitigen Leistungsbeginn erlöschen; daneben gelten die vertraglichen NCE-Regelungen und zwingende gesetzliche Verbraucherrechte.

Häufige Fragen zu Microsoft Cloud PKI for FLW

Ist Microsoft Cloud PKI for FLW eine Dauerlizenz?

Microsoft Cloud PKI for FLW ist keine dauerhaft gültige Einmallizenz. Es handelt sich um ein laufzeitgebundenes Microsoft-NCE-Abonnement, dessen Nutzungsrecht von der gebuchten Laufzeit, der Tenant-Zuordnung und einer geeigneten Intune-Basislizenz abhängt.

Welche Basislizenz brauche ich für Microsoft Cloud PKI?

Cloud PKI benötigt eine geeignete Microsoft-Intune-Plan-1- oder Plan-2-Berechtigung. Der Dienst ist außerdem Bestandteil der Microsoft Intune Suite, weshalb Unternehmen vor der Bestellung prüfen sollten, ob Cloud PKI bereits über eine vorhandene Suite abgedeckt ist.

Welche Geräte unterstützt Microsoft Cloud PKI?

Microsoft nennt Windows, macOS, Android und iOS beziehungsweise iPadOS als unterstützte Plattformfamilien. Das Gerät muss in Intune registriert sein und die jeweilige Plattform muss SCEP-Zertifikatprofile aus der Intune-Gerätekonfiguration unterstützen.

Wie viele Zertifizierungsstellen kann ich im Intune-Tenant erstellen?

Microsoft Cloud PKI unterstützt aktuell insgesamt bis zu drei Zertifizierungsstellen pro Intune-Tenant. Zu dieser Grenze zählen Cloud-PKI-Root-CAs, Cloud-PKI-Issuing-CAs und ausstellende BYOCA-Zertifizierungsstellen gemeinsam.

Ersetzt Cloud PKI eine lokale Microsoft AD CS Umgebung?

Cloud PKI kann in vielen Intune-Szenarien lokale Zertifizierungsstellen, NDES und den Intune Certificate Connector ersetzen. Bestehende Anwendungen, Authentifizierungsendpunkte, Zertifikatsvorlagen und Abhängigkeiten von Active Directory Certificate Services müssen jedoch vor einer Migration technisch geprüft werden.

Kann ich eine vorhandene Stammzertifizierungsstelle weiterverwenden?

Microsoft Cloud PKI unterstützt Bring Your Own CA. Dabei kann eine ausstellende Intune-CA mit einer vorhandenen privaten Stammzertifizierungsstelle verbunden werden, sodass die bestehende Vertrauenskette erhalten bleibt. Einrichtung und Kompatibilität sollten vor dem produktiven Einsatz getestet werden.

Wie werden die Schlüssel der Zertifizierungsstellen geschützt?

Produktiv lizenzierte Cloud-PKI-Zertifizierungsstellen verwenden Schlüssel, die über Azure Managed HSM geschützt werden. Während einer Testphase erstellte CAs können dagegen softwarebasierte Schlüssel verwenden, die nach einem späteren Lizenzkauf nicht automatisch in HSM-Schlüssel umgewandelt werden.

Was bedeutet FLW bei Microsoft Cloud PKI?

FLW steht für Frontline Worker und kennzeichnet eine Lizenzvariante für operative Mitarbeiter mit aufgabenbezogenen, mobilen oder gemeinsam genutzten Arbeitsplätzen. Welche Nutzer als Frontline Worker lizenziert werden dürfen, richtet sich nach der konkreten Microsoft-SKU und den jeweils geltenden Produktbedingungen.

Fazit

Microsoft Cloud PKI for FLW lohnt sich für Unternehmen, die Zertifikate für Intune-verwaltete Frontline-Geräte cloudbasiert ausstellen und verwalten möchten. Besonders passend ist das Abonnement für größere mobile oder schichtbasierte Gerätebestände, bei denen eine manuelle Zertifikatsverteilung zu aufwendig wäre. Weniger geeignet ist das Produkt für einzelne nicht verwaltete Geräte, Umgebungen ohne Microsoft Intune oder Organisationen, die bereits über eine Intune Suite mit enthaltener Cloud-PKI-Funktion verfügen. Vor dem Kauf sollten Basislizenz, FLW-Berechtigung, Tenant-Struktur und NCE-Laufzeit gemeinsam geprüft werden.