Microsoft Cloud PKI (NCE)

Microsoft Cloud PKI (NCE) ist ein cloudbasierter Microsoft-Intune-Dienst zur Ausstellung, Erneuerung und Sperrung digitaler Zertifikate für verwaltete Geräte. Die Lizenz eignet sich für IT-Administratoren, Unternehmen und Managed-Service-Provider, die Zertifikate für VPN, WLAN, E-Mail oder Geräteidentität zentral verwalten möchten.

Was ist Microsoft Cloud PKI?

Microsoft Cloud PKI stellt eine Public Key Infrastructure direkt über Microsoft Intune bereit. Statt lokale Zertifizierungsstellen, NDES-Server oder zusätzliche Connector-Infrastruktur zu betreiben, können Administratoren Zertifizierungsstellen, Vertrauensprofile und SCEP-Zertifikatprofile im Intune Admin Center verwalten.

Cloudbasierte Zertifikatsverwaltung für Intune-Umgebungen

Microsoft Cloud PKI vereinfacht den Zertifikatslebenszyklus in Organisationen, die ihre Endgeräte bereits über Intune steuern. Mit Cloud-PKI-Zertifizierungsstellen lassen sich Root CAs und Issuing CAs im Mandanten anlegen, damit verwaltete Geräte Zertifikate automatisiert anfordern können.

Der zentrale Vorteil liegt in der Integration mit Microsoft Intune. Geräte erhalten Zertifikate über plattformspezifische Profile, während Administratoren ausgestellte, abgelaufene und widerrufene Zertifikate im Admin Center überwachen. Für weitere Microsoft-Cloud-Lizenzen lohnt sich auch ein Blick in die Kategorie Microsoft NCE.

Für die technische Bereitstellung nutzt Microsoft Cloud PKI das Simple Certificate Enrollment Protocol (SCEP). Ein Intune-verwaltetes Gerät erstellt eine Zertifikatsignieranforderung, der Cloud-PKI-SCEP-Dienst prüft die Anfrage, und die ausstellende Zertifizierungsstelle signiert das Zertifikat. Der private Schlüssel wird dabei auf dem Gerät erzeugt und bleibt dort.

Sicherheit, Architektur und unterstützte Szenarien

Microsoft Cloud PKI ist für zertifikatsbasierte Authentifizierung in modernen Unternehmensnetzen ausgelegt. Typische Einsatzbereiche sind VPN-Zugriff, WLAN-Authentifizierung, E-Mail-Sicherheit, Geräteidentität und Anwendungen, die eine vertrauenswürdige Zertifikatskette benötigen.

Die Plattform unterstützt Windows, Android, iOS/iPadOS und macOS, sofern die Geräte in Intune registriert sind und die jeweilige Plattform SCEP-Zertifikatprofile unterstützt. Für gemischte Microsoft-Umgebungen kann die Kategorie Office 365 ergänzend relevant sein, wenn Cloud-Dienste und Identitätsverwaltung gemeinsam geplant werden.

Zur Sicherheitsarchitektur gehören Certificate Revocation Lists (CRL), Authority Information Access (AIA), rollenbasierte Zugriffskontrolle (RBAC) und Bereichstags für administrative Trennung. Microsoft dokumentiert die technischen Grundlagen zusätzlich in der offiziellen Übersicht zu Microsoft Cloud PKI für Intune.

Kaufberatung und Lizenzwissen zu Microsoft Cloud PKI NCE

Microsoft Cloud PKI lohnt sich besonders, wenn Zertifikate nicht mehr manuell, lokal oder über mehrere Einzellösungen verwaltet werden sollen. Unternehmen mit vielen mobilen Geräten, mehreren Standorten oder zentralem Endpoint-Management profitieren am meisten, weil Ausstellung, Erneuerung und Widerruf direkt in vorhandene Intune-Prozesse eingebettet werden.

Für kleine Umgebungen ohne Intune-Verwaltung ist das Produkt weniger passend. Wenn Geräte nicht in Intune registriert sind oder keine zertifikatsbasierte Authentifizierung geplant ist, bringt eine Cloud-PKI-Lizenz allein keinen praktischen Nutzen.

Ein typischer Anwendungsfall ist ein Unternehmen, das WLAN-Zugriff über 802.1X und EAP-TLS absichert. Ebenso sinnvoll ist Cloud PKI für VPN-Szenarien, bei denen Geräteidentität wichtiger ist als reine Passwortanmeldung. In stärker regulierten IT-Umgebungen hilft die zentrale Zertifikatsübersicht außerdem bei Dokumentation, Sperrung und Nachverfolgung.

Lizenz- und Kaufsicherheit

Die Auslieferung erfolgt über software-guru.shop als digitaler Download per E-Mail nach Zahlungseingang. Microsoft Cloud PKI (NCE) wird als Microsoft-Cloud-Lizenz im Rahmen des erworbenen NCE-Lizenzumfangs bereitgestellt und ist nach Bereitstellung sowie erfüllten technischen Voraussetzungen aktivierbar. Es handelt sich um Originalsoftware beziehungsweise einen Originaldienst von Microsoft. Das gesetzliche 14-tägige Widerrufsrecht entfällt bei digitalen Inhalten nach Beginn der Aktivierung gemäß § 356 Abs. 5 BGB; vor Aktivierung besteht es fort.

Häufige Fragen zu Microsoft Cloud PKI (NCE)

Wofür braucht man Microsoft Cloud PKI?

Microsoft Cloud PKI wird verwendet, um digitale Zertifikate für Intune-verwaltete Geräte bereitzustellen. Diese Zertifikate können für VPN, WLAN, E-Mail-Sicherheit, Geräteidentität und zertifikatsbasierte Authentifizierung eingesetzt werden.

Ist Microsoft Cloud PKI eine lokale PKI?

Microsoft Cloud PKI ist keine klassische lokale PKI mit eigenen Servern. Der Dienst stellt eine verwaltete Cloud-PKI über Microsoft Intune bereit und reduziert dadurch den Bedarf an lokalen Zertifizierungsstellen, NDES-Servern und separaten Intune-Zertifikatconnectors.

Welche Geräte unterstützt Microsoft Cloud PKI?

Microsoft Cloud PKI unterstützt Windows, Android, iOS/iPadOS und macOS. Voraussetzung ist, dass die Geräte in Microsoft Intune registriert sind und die jeweilige Plattform SCEP-Zertifikatprofile für die Gerätekonfiguration unterstützt.

Brauche ich Microsoft Intune für Microsoft Cloud PKI?

Microsoft Cloud PKI ist für Intune-verwaltete Geräte konzipiert und setzt eine passende Microsoft-Intune-Umgebung voraus. Zusätzlich zur Intune-Basislizenz wird eine Cloud-PKI-Berechtigung benötigt, entweder als eigenständiges Add-on oder im passenden Microsoft-Intune-Paket.

Was ist der Unterschied zwischen Cloud PKI und BYOCA?

Bei der Cloud-PKI-Variante werden Root CA und Issuing CA im Microsoft-Cloud-Dienst aufgebaut. Beim Bring-Your-Own-CA-Modell wird eine ausstellende Cloud-Zertifizierungsstelle mit einer bestehenden privaten Zertifizierungsstelle verankert, zum Beispiel aus einer vorhandenen ADCS-Umgebung.

Kann Microsoft Cloud PKI für WLAN und VPN genutzt werden?

Microsoft Cloud PKI eignet sich für zertifikatsbasierte WLAN- und VPN-Szenarien, wenn die restliche Infrastruktur dafür vorbereitet ist. RADIUS-, VPN- oder WLAN-Systeme müssen die relevante Zertifikatskette vertrauen und korrekt in die Authentifizierungsarchitektur eingebunden werden.

Fazit

Microsoft Cloud PKI (NCE) ist sinnvoll für Organisationen, die Intune bereits als zentrale Geräteverwaltung nutzen und Zertifikate strukturierter bereitstellen möchten. Besonders stark ist das Produkt bei WLAN-, VPN- und Geräteidentitäts-Szenarien mit vielen verwalteten Endpunkten. Nicht geeignet ist es als alleinstehende Lösung ohne Intune oder für Umgebungen, in denen keine zertifikatsbasierte Authentifizierung geplant ist.