WEBVTT 00:00:00.240 --> 00:00:06.680 Bereit für 10 Tage voller Microsoft 365, Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten? 00:00:07.600 --> 00:00:11.340 Diesen Januar ist die M3-Türnete 65-Con zurück und wir legen noch eins drauf. 00:00:12.480 --> 00:00:17.720 Seien Sie dabei bei Live-Sitzungen, praxisnahen Demos und Expertenwissen von MVPs und Branchenprofis weltweit. 00:00:18.520 --> 00:00:21.060 Keine generischen Folien. Kein Endless-Buzzword-Bingo. 00:00:22.000 --> 00:00:23.820 Wir widmen uns den echten Herausforderungen. 00:00:23.960 --> 00:00:28.620 Copilot Studio, KI-Agenten, Fabric, Sicherheit, Governance und Automatisierung. 00:00:28.620 --> 00:00:33.960 Egal ob IT-Profi, Entwickler oder Führungskraft, es gibt für jeden die passenden Sitzungen. 00:00:35.000 --> 00:00:40.080 An 10 vollen Tagen können Sie vielfältige Technologien erkunden und sich mit einer globalen Community vernetzen. 00:00:40.940 --> 00:00:44.260 Schauen Sie live zu und nehmen Sie praktische Erkenntnisse mit in Ihr Unternehmen. 00:00:45.120 --> 00:00:50.540 Januar 2027. 10 Tage. Eine Microsoft-Community. Die Anmeldung ist jetzt geöffnet. 00:00:51.560 --> 00:00:55.620 Besuchen Sie m3-65-con.net und sichern Sie sich heute noch Ihren Platz. 00:00:55.620 --> 00:00:58.260 Das ist m3-65-con.net. 00:01:00.120 --> 00:01:04.020 Melden Sie sich jetzt unter m3-65-con.net an. Wir sehen uns im Januar live. 00:01:05.000 --> 00:01:07.560 Stellen Sie sich vor, Sie kaufen einen neuen Laptop für neue Mitarbeiter in Ihrem Unternehmen. 00:01:07.860 --> 00:01:11.980 Er benötigt E-Mail, freigegebene Dateien, das Büro-WLAN und vielleicht ein VPN für die Arbeit im Homeoffice. 00:01:12.540 --> 00:01:15.420 Jede Verbindung stellt dieselbe stille Frage. Gehört dieser Laptop hierher? 00:01:15.420 --> 00:01:25.500 In vielen kleinen Unternehmen lautet die Antwort immer noch, ein Passwort immer noch, ein Passwort, ein GitHub-WLAN-Code, ein VPN-Login per Nachricht und manuelle Korrekturen, wenn jemand ein Passwort ändert, ein Laptop ersetzt oder das Unternehmen verlässt. 00:01:25.760 --> 00:01:28.120 Das mag sich nach einem Problem für kleine Büros anfühlen. Ist es aber nicht. 00:01:28.360 --> 00:01:31.660 Die gleiche Frage stellt sich im 10-Personen-Unternehmen wie auch im 10.000-Personen-Konzert. 00:01:31.660 --> 00:01:36.340 Sie benötigen eine Methode, mit der ein Gerät seine Zugehörigkeit nachweist, ohne selbstständig Geheimnisse eingeben muss. 00:01:37.280 --> 00:01:44.220 Bin-Mail kopiert das von M35560FM und dieser Wissenshappen erklärt Zertifikate, Microsoft Cloud PKE und wie Intune diesen Nachweis im Hintergrund abwickelt. 00:01:45.000 --> 00:01:47.660 Eine kleine digitale Datei kann ein Passwort an der Bürotür ersetzen. 00:01:48.380 --> 00:01:49.940 Sehen wir uns zuerst an, warum diese Datei existiert. 00:01:50.580 --> 00:01:51.660 Warum Zertifikate existieren? 00:01:52.000 --> 00:01:53.580 Öffnen Sie eine sichere Website in Ihrem Browser. 00:01:53.980 --> 00:01:56.540 Bevor Sie die Seite lesen, überprüft Ihr Browser im Hintergrund etwas. 00:01:57.000 --> 00:01:58.260 Er prüft ein digitales Zertifikat. 00:01:58.260 --> 00:02:03.520 Dieses Zertifikat hilft dem Browser zu bestätigen, dass er die richtige Website erreicht hat und eine geschützte Verbindung aufbauen kann. 00:02:03.780 --> 00:02:06.420 Die meisten Menschen sehen diese Prüfung nie, aber sie verlassen sich jeden Tag darauf. 00:02:06.860 --> 00:02:08.860 Ein Zertifikat funktioniert ein wenig wie ein Firmenausweis. 00:02:09.300 --> 00:02:11.380 Der Ausweis trägt einen Namen und Details dazu, wem er gehört. 00:02:12.080 --> 00:02:14.440 Er enthält auch einen Nachweis von einem Ausweishersteller, dem Sie vertrauen. 00:02:14.840 --> 00:02:17.660 Ein digitales Zertifikat enthält einen Namen bzw. eine Identität und einen öffentlichen Schlüssel, 00:02:18.040 --> 00:02:20.280 der Sie sich den öffentlichen Schlüssel als Informationen vor dir einsehen können. 00:02:20.640 --> 00:02:24.040 Das Zertifikat enthält außerdem eine vertrauenswürdige digitale Signatur, die besagt, 00:02:24.040 --> 00:02:27.320 diese Ausweisstelle hat diese Identität geprüft und diesen Ausweis genehmigt. 00:02:28.260 --> 00:02:29.780 Damit hat der Wachschutz etwas zur Überprüfung. 00:02:30.000 --> 00:02:31.260 Doch ein Ausweis allein reicht nicht aus. 00:02:31.700 --> 00:02:33.860 Jemand könnte einen gedruckten Ausweis einfach vom Schreibtisch nehmen. 00:02:34.380 --> 00:02:36.980 Digitale Zertifikate lösen dieses Problem mit einem privaten Schlüssel. 00:02:37.320 --> 00:02:38.620 Der private Schlüssel ist das Inhabers. 00:02:39.060 --> 00:02:41.060 Er verbleibt auf dem Laptop, dem Telefon oder beim Benutzer. 00:02:41.520 --> 00:02:44.260 Das Gerät nutzt ihn, um zu beweisen, dass es wirklich Eigentümer des Zertifikats ist, 00:02:44.320 --> 00:02:47.260 ohne das Geheimnis an das WLAN, das VPN oder die App weiterzugeben, die den Ausweis prüfen. 00:02:47.540 --> 00:02:49.420 Stellen Sie es sich so vor, als würde ein Wachmann Sie bitten, 00:02:49.420 --> 00:02:52.460 Ihren eigenen Ausweishalter aufzuschließen, anstatt die Kombination preiszugeben. 00:02:52.460 --> 00:02:55.200 Sie beweisen, dass Sie ihn öffnen können, doch der Wachmann erfährt nie die Kombination. 00:02:55.680 --> 00:02:58.180 Deshalb sind Zertifikate sicherer als ein gemeinsam genutztes Passwort. 00:02:58.420 --> 00:03:00.140 Ein gemeinsam genutztes WLAN-Passwort kann weitergehen. 00:03:00.560 --> 00:03:02.820 Jemand kann es aufschreiben, weiterleiten, auf einem privaten Gerät verwenden 00:03:02.820 --> 00:03:04.320 oder nach dem Ausscheiden aus dem Unternehmen behalten. 00:03:04.820 --> 00:03:08.680 Ein Gerätezertifikat gibt jedem verwalteten Laptop oder Telefon stattdessen einen eigenen Nachweis. 00:03:09.120 --> 00:03:11.080 Wer erstellt und verwaltet also diese digitalen Ausweise? 00:03:11.580 --> 00:03:14.440 Diese Aufgabe übernimmt die PKI, kurz für Public Key Infrastruktur. 00:03:14.860 --> 00:03:16.440 Der Name klingt kompliziert, aber das Konzept ist ein. 00:03:16.760 --> 00:03:19.080 Die PKI ist das Ausweisbüro für Ihren digitalen Arbeitsblatt. 00:03:19.080 --> 00:03:22.400 Sie erstellt Zertifikate, sendet sie an die richtigen Personen oder Geräte, 00:03:22.480 --> 00:03:25.360 erneuert sie vor Ablauf und sperrt sie, wenn sie nicht mehr gültig sein sollen. 00:03:26.580 --> 00:03:29.900 Innerhalb dieses Ausweisbüros befindet sich eine Zertifizierungsstelle, meist CA genannt. 00:03:30.320 --> 00:03:32.120 Eine CA ist der vertrauenswürdige Ausweisausstelle. 00:03:32.780 --> 00:03:36.100 Wenn ein WLAN, ein VPN-Dienst oder eine interne App ein Zertifikat sieht, 00:03:36.220 --> 00:03:39.520 stellt sie eine Frage, vertraue ich dem Ausweisaussteller, der dies genehmigt hat? 00:03:40.180 --> 00:03:42.920 Leutet die Antwort, ja, ühe, kann sie das Zertifikat prüfen und entscheiden, 00:03:43.000 --> 00:03:44.000 ob das Gerät zugelassen wird. 00:03:44.460 --> 00:03:45.400 Normalerweise gibt es zwar eben. 00:03:45.780 --> 00:03:46.860 An der Spitze steht die Rutsi ein. 00:03:46.860 --> 00:03:50.040 Betrachten Sie sie als Unternehmenszentrale, die das gesamte Ausweissystem genehmigt. 00:03:50.280 --> 00:03:52.200 Sie muss nicht jeden Ausweis für jeden Laptop selbst drucken. 00:03:52.540 --> 00:03:54.220 Darunter befindet sich eine ausstellende CA. 00:03:54.380 --> 00:03:56.040 Das ist die Stelle, die die tägliche Arbeit erledigt. 00:03:56.320 --> 00:03:58.360 Sie stellt Zertifikate für Geräte und Benutzer aus, 00:03:58.600 --> 00:04:00.500 während ihre Befugnis auf die Route CA zurückgeht. 00:04:00.980 --> 00:04:04.220 Prüft ein Dienst diese Kette, kann er das Zertifikat vom Laptop zur ausstellenden CA 00:04:04.220 --> 00:04:06.600 und dann zurück zur vertrauenswürdigen Route CA verfolgen. 00:04:07.220 --> 00:04:08.860 Diese Kette verleiht dem Prozess eine feste Struktur. 00:04:09.400 --> 00:04:10.880 Sie können dies für sicheres WLAN nutzen, 00:04:10.880 --> 00:04:13.540 bei dem sich ein Laptop ausweist, bevor er dem Netzwerk beitritt. 00:04:13.540 --> 00:04:17.320 Sie können es für ein VPN nutzen, bei dem der Laptop seine Zugehörigkeit nachweist, 00:04:17.380 --> 00:04:18.560 bevor er von Unternehmensressourcen zugreift. 00:04:18.960 --> 00:04:20.600 Sie können es auch für eine interne App verwenden, 00:04:20.900 --> 00:04:22.760 die nur verwaltete Firmengeräte zulassen soll. 00:04:23.400 --> 00:04:25.140 Der Mitarbeiter muss von all dem nichts verstehen. 00:04:25.540 --> 00:04:28.120 Er öffnet den Laptop, wählt das Firmen-WLAN aus und verbindet sie. 00:04:28.500 --> 00:04:29.060 Das ist das Ziel. 00:04:29.600 --> 00:04:32.760 Schwierig wird es, wenn sich das Büro für die Berechtigungen im Serverraum befindet. 00:04:34.060 --> 00:04:36.260 Warum herkömmliche PKI zur Last für kleine Unternehmen wird? 00:04:36.400 --> 00:04:40.180 Viele Jahre bedeutete dieses Berechtigungssystem, eigene Hardware aufzubauen und zu betreiben. 00:04:40.180 --> 00:04:44.660 Man installierte Windows-Server und fügte Active Directory Certificate Services, kurz ADCS, 00:04:44.960 --> 00:04:47.080 hinzu, dass die Zertifizierungsstelle im Firmennetzwerk betreibt. 00:04:48.040 --> 00:04:49.660 Doch der Server allein ist nicht alles. 00:04:50.520 --> 00:04:52.840 Wer Intune verwaltete Geräte nutzt, muss eine Möglichkeit finden, 00:04:52.960 --> 00:04:55.340 diese lokale Zertifizierungsstelle, um ein Zertifikat zu bitten. 00:04:55.640 --> 00:04:55.800 Bitten. 00:04:56.600 --> 00:04:59.020 Das bedeutet die Einrichtung eines Intune Certificate Connectors, 00:04:59.140 --> 00:05:00.920 eines NDIS-Servers für Zertifikatsanfragen, 00:05:01.040 --> 00:05:04.080 eines Reverse Proxies für sicheren externen Zugriff und Firewall-Regeln, 00:05:04.180 --> 00:05:05.300 für den richtigen Datenverkehr. 00:05:06.100 --> 00:05:07.100 Jedes Teil hat seine Aufgabe. 00:05:07.100 --> 00:05:11.620 Zusammen können Sie ein einfaches Ziel wie ein passwortloses WLAN in ein riesiges Serverprojekt verwandeln. 00:05:12.020 --> 00:05:12.640 Ein Vergleich dazu. 00:05:13.080 --> 00:05:15.260 Stellen Sie sich vor, Sie möchten Zugangskarten für Mitarbeiter in Ihrem Makoto. 00:05:15.540 --> 00:05:16.520 Sie kaufen nicht einfach einen Kartendruck. 00:05:16.900 --> 00:05:18.040 Sie bauen einen abschließbaren Raum dafür. 00:05:18.380 --> 00:05:20.540 Sie besorgen abschließbare Schränke für Kartenholing und Unterlagen. 00:05:20.700 --> 00:05:21.840 Sie installieren eine Notstromversorgung. 00:05:22.140 --> 00:05:23.500 Sie legen Regeln fest, wer den Raum betreht. 00:05:23.800 --> 00:05:26.800 Dann brauchen Sie jemanden, der weiß, welcher Schalter zu betätigen ist, wenn der Drucker streikt. 00:05:27.520 --> 00:05:30.080 Das kommt der herkömmlichen PKI näher, als die meisten vermuten. 00:05:30.420 --> 00:05:33.320 Ein kleines Unternehmen möchte vielleicht nur, dass Laptops dem WLAN beitreten, 00:05:33.420 --> 00:05:34.700 ohne dass sich jeder ein Passwort teilen muss. 00:05:34.700 --> 00:05:37.720 Oder es möchte ein VPN, das einen verwalteten Laptop erkennt, 00:05:37.800 --> 00:05:39.760 bevor der Mitarbeiter zur Anmeldung aufgefordert wird. 00:05:40.620 --> 00:05:41.240 Vernünftige Ziele. 00:05:42.100 --> 00:05:46.320 Doch der alte Weg erfordert Server, Netzwerkregeln, öffentliche Zugriffsplanung und Fachwissen, 00:05:46.460 --> 00:05:48.820 für das viele kleine IT-Teams einfach keine Zeit haben. 00:05:50.000 --> 00:05:51.520 Und die Arbeit endet nicht nach der Einrichtung. 00:05:51.960 --> 00:05:52.920 Server brauchen Updates. 00:05:53.180 --> 00:05:54.160 Hardware reicht ihr Lebensende. 00:05:54.260 --> 00:05:56.900 Backups müssen getestet werden, nicht nur ein grünes Häkchen im Backup-Tool. 00:05:56.900 --> 00:06:01.280 Zertifikate haben Ablaufdaten und das System muss sie rechtzeitig erneuern. 00:06:02.220 --> 00:06:04.920 Wenn die Erneuerung fehlschlägt, merkt es oft zuerst ein Mitarbeiter, 00:06:05.040 --> 00:06:07.340 der sich an einem Geschäft den Montagmorgen nicht mit dem WLAN verbinden kann. 00:06:07.760 --> 00:06:10.000 Das Passwort des Mitarbeiters funktioniert womöglich noch einwandfrei. 00:06:10.520 --> 00:06:13.180 Der Laptop kann über eine mobile Verbindung noch Word und E-Mails öffnen. 00:06:13.400 --> 00:06:16.520 Aber das Zertifikat, mit dem das Netzwerk den Laptop erkennt, ist möglicherweise abgelaufen. 00:06:17.120 --> 00:06:18.480 Das VPN kann den Zugriff verweigern. 00:06:18.640 --> 00:06:19.740 Eine interne App kann ihn ablehnen. 00:06:19.800 --> 00:06:20.700 Das WLAN kann ihn abweisen. 00:06:21.140 --> 00:06:22.140 Das führt zu einem Support an. 00:06:22.140 --> 00:06:23.540 Ein Ruf, der zunächst merkwürdig klingt. 00:06:23.540 --> 00:06:25.740 Mein Passwort funktioniert, aber ich komme nicht online. 00:06:26.440 --> 00:06:29.320 Da muss jemand herausfinden, ob das Problem am Gerät, am Zertifikatsprofil, 00:06:29.400 --> 00:06:32.820 am Netzwerkdienst, an der lokalen CA, am Connector oder an der Firewall liegt. 00:06:33.840 --> 00:06:36.720 Ein kleines IT-Team kann einen halben Tag damit verbringen, dieser Spur zu fangen. 00:06:37.220 --> 00:06:38.500 Remote-Arbeit führt eine weitere Ebene hinzu. 00:06:39.120 --> 00:06:42.060 Ein Laptop im Büro kann die lokalen Zertifikatsdienste leichter erreichen, 00:06:42.220 --> 00:06:44.760 aber ein Laptop am Küchentisch zu Hause benötigt einen sicheren Weg, 00:06:44.840 --> 00:06:46.500 um ein Zertifikat oder ein neues zu erhalten. 00:06:46.860 --> 00:06:51.000 Man kann einen Teil des Prozesses vorsichtig über einen Reverse-Proxy- und Firewall-Regeln zugänglich machen. 00:06:51.000 --> 00:06:53.560 Das funktioniert, wenn es richtig geplant und gewartet wird, 00:06:53.620 --> 00:06:57.120 aber es bringt auch mehr bewegliche Teile, mehr Einstellungen und mehr Stellen für kleine Fehler mit sich, 00:06:57.160 --> 00:06:58.220 die den Zugriff unterbrechen können. 00:06:58.920 --> 00:07:00.600 Die Kosten bestehen nicht nur aus einer Serverlizenz, 00:07:00.700 --> 00:07:03.000 sondern auch aus der Zeit für Patches, Fachwissen und Dokumentationen, 00:07:03.020 --> 00:07:04.340 die stets aktuell gehalten werden müssen. 00:07:05.220 --> 00:07:07.880 Es besteht das Risiko, dass eine Person das Zertifikatssystem versteht 00:07:07.880 --> 00:07:10.100 und dann das Unternehmen mit dem Wissen im Kopf verlässt. 00:07:10.100 --> 00:07:12.780 PKI selbst ist nicht nur großen Unternehmen vorbehalten. 00:07:13.400 --> 00:07:17.140 Ein kleines Unternehmen kann von der gleichen Art des Gerätennachweises profitieren wie ein Großunternehmen. 00:07:17.600 --> 00:07:21.960 Das Problem ist, dass der Betrieb einer herkömmlichen PKI den Aufwand einer viel größeren IT-Abteilung erfordern kann. 00:07:22.740 --> 00:07:25.060 Microsoft Cloud PKI behält den Zertifikatsprozess bei, 00:07:25.160 --> 00:07:28.400 verlagert aber einen Großteil dieser Maschinerie aus ihrem Serverraum in die Microsoft Cloud. 00:07:29.080 --> 00:07:31.000 Was Microsoft Cloud PKI tatsächlich ist? 00:07:31.740 --> 00:07:35.640 Microsoft Cloud PKI ist der verwaltete Zertifizierungsstellendienst von Microsoft innerhalb von Intune. 00:07:36.120 --> 00:07:37.240 Das ist die einfache Definition. 00:07:37.760 --> 00:07:40.840 Es erstellt und verwaltet Zertifikate für Geräte und Benutzer, die von Intune verwaltet werden. 00:07:41.440 --> 00:07:44.220 Anstatt dass ihr Unternehmen das Ausweissystem auf lokalen Servern betreibt, 00:07:44.420 --> 00:07:46.920 betreibt Microsoft den Zertifizierungsstellendienst in der Cloud. 00:07:47.380 --> 00:07:49.400 Ihre Mitarbeiter müssen keine App namens Cloud PKI öffnen, 00:07:49.480 --> 00:07:51.420 auf eine Schaltfläche klicken, um ein Zertifikat anzufordern, 00:07:51.480 --> 00:07:53.940 eine Datei speichern, eine Datei speichern oder sich ein weiteres Passwort merken. 00:07:53.940 --> 00:07:55.340 Cloud PKI arbeitet im Hintergrund. 00:07:55.900 --> 00:07:59.040 Es kann ein Zertifikat ausstellen, wenn ein verwaltetes Gerät eines benötigt, 00:07:59.100 --> 00:08:02.060 es vor Ablauf erneuern und es widerrufen, wenn das Zertifikat nicht mehr gültig sein soll. 00:08:02.060 --> 00:08:04.200 Lassen Sie uns noch einmal das Analogiebeispiel des Bürogebäudes. 00:08:04.620 --> 00:08:05.860 Entra-ID sitzt an der Rezeption. 00:08:06.280 --> 00:08:08.720 Es weiß, wer die Leute sind und kontrolliert ihre Anmeldeidentität. 00:08:09.200 --> 00:08:10.600 Intune fungiert wie der Gebäudemanager. 00:08:11.180 --> 00:08:13.520 Es weiß, welche Laptops und Telefone zum Unternehmen gehören 00:08:13.520 --> 00:08:15.420 und sendet deren Einstellungen, Apps und Regeln. 00:08:16.200 --> 00:08:18.660 Cloud PKI ist das sichere Ausweisbüro innerhalb dieses Gebäudes. 00:08:19.120 --> 00:08:22.180 Intune teilt dem Ausweisbüro, mit welchen verwalteten Geräte Zugriff benötigen. 00:08:22.560 --> 00:08:24.020 Cloud PKI erstellt das Zertifikat. 00:08:24.380 --> 00:08:25.860 Dann kann das Gerät dieses Zertifikat verwenden, 00:08:25.940 --> 00:08:27.200 wenn es eine Verbindung zu Diensten herstellt, 00:08:27.260 --> 00:08:28.720 die Ihr Unternehmen so konfiguriert hat, dass es ihm vertraut. 00:08:28.840 --> 00:08:30.000 Jeder Dienst hat eine Klagerolle. 00:08:30.000 --> 00:08:31.940 Sie benötigen keinen lokalen Windows-Server, 00:08:32.020 --> 00:08:33.320 auf dem eine Stammzertifizierungsstelle läuft. 00:08:33.820 --> 00:08:35.440 Sie benötigen keinen weiteren lokalen Server, 00:08:35.540 --> 00:08:36.840 der als ausstellende Zertifizierungsstelle fungiert. 00:08:37.160 --> 00:08:39.440 Microsoft kann beide Teile in einer Cloud-First-Konfiguration 00:08:39.440 --> 00:08:41.100 hosten mit einer CA an der Spitze 00:08:41.100 --> 00:08:43.200 und einer ausstellenden CA für die Zertifikate Ihrer Geräte. 00:08:43.860 --> 00:08:45.440 Das spart eine Menge an zusätzliche Hardware ein. 00:08:45.920 --> 00:08:48.300 Es ändert auch, wer den zugrunde liegenden Zertifikatsdienst verwaltet. 00:08:49.420 --> 00:08:50.880 Im lizenzierten Produktionsansatz 00:08:50.880 --> 00:08:53.080 schützt Microsoft die Schlüssel der Zertifizierungsstelle mit 00:08:53.080 --> 00:08:55.160 Hardware-Sicherheitsmodulen, kurz HSMs. 00:08:56.160 --> 00:08:57.820 Ein HSM ist ein gesicherter Tresor, 00:08:57.820 --> 00:09:00.660 der speziell zum Schutz hochsensibler kryptografischer Schlüssel entwickelt wurde. 00:09:01.020 --> 00:09:03.760 Sie müssen diese Hardware nicht selbst kaufen, installieren, patchen oder bewachen. 00:09:04.260 --> 00:09:05.580 Microsoft betreibt sie als Dienstes. 00:09:06.040 --> 00:09:08.140 Ihre Aufgabe konzentriert sich auf die geschäftliche Entscheidung. 00:09:08.500 --> 00:09:10.040 Welche Geräte sollen Zertifikate erhalten? 00:09:10.680 --> 00:09:12.340 Und wozu sollen diese Zertifikate berechtigen? 00:09:12.840 --> 00:09:14.180 Ein kurzer Begriff ist hier wichtig. 00:09:14.480 --> 00:09:14.860 CEP. 00:09:15.760 --> 00:09:17.460 Er steht für Simple Certificate Enrollment Protocol. 00:09:18.140 --> 00:09:20.300 Sie müssen sich den vollständigen Namen nach dieser Folge nicht mehr merken. 00:09:20.660 --> 00:09:22.880 Betrachten Sie CEP als den geschützten Anforderungskanal 00:09:22.880 --> 00:09:24.780 zwischen einem verwalteten Gerät und der Zertifizierungsstelle. 00:09:24.780 --> 00:09:27.320 Ein Laptop nutzt diesen Kanal, um ein Zertifikat anzufordern. 00:09:27.940 --> 00:09:29.800 Cloud PKI prüft die Anfrage über Intune 00:09:29.800 --> 00:09:31.480 und sendet das signierte Zertifikat zurück, 00:09:31.560 --> 00:09:33.060 sobald die Prüfungen erfolgreich waren. 00:09:33.840 --> 00:09:35.940 Das Gerät sendet seinen privaten Schlüssel niemals über diesen Kanal. 00:09:36.400 --> 00:09:37.200 Dieses Detail ist wichtig. 00:09:37.540 --> 00:09:39.920 Das Gerät erstellt seinen privaten Schlüssel lokal und behält ihn dort. 00:09:40.320 --> 00:09:42.780 Cloud PKI erhält eine Anfrage mit den öffentlichen Informationen, 00:09:42.880 --> 00:09:44.480 die zur Ausstellung des Zertifikats nötig sind, 00:09:44.580 --> 00:09:45.820 nicht den privaten Schlüssel des Geräts. 00:09:46.320 --> 00:09:48.000 Cloud PKI unterstützt die Gerätefamilien, 00:09:48.060 --> 00:09:49.440 die die meisten kleinen Unternehmen bereits verwenden. 00:09:49.780 --> 00:09:53.480 Dazu gehören Windows-Laptops, Macs, iPhones, iPads und Android-Geräte. 00:09:53.480 --> 00:09:54.980 Die Bedingung ist einfach. 00:09:55.660 --> 00:09:57.900 Das Gerät muss über Intune registriert und verwaltet werden 00:09:57.900 --> 00:10:00.540 und die Plattform muss das Zertifikatsprofil von Intune unterstützen. 00:10:01.100 --> 00:10:01.180 Hä? 00:10:01.640 --> 00:10:03.780 Ein privater Laptop, der nicht über Intune verwaltet wird, 00:10:03.880 --> 00:10:04.740 passt nicht in dieses Modell. 00:10:05.220 --> 00:10:06.260 Diese Grenze ist bewusst gewählt. 00:10:06.780 --> 00:10:09.380 Cloud PKI nutzt das Wissen von Intune über das Gerät im Prozess, 00:10:09.640 --> 00:10:10.960 daher funktioniert es am besten dort, 00:10:11.080 --> 00:10:12.420 wo Ihr Unternehmen die Einrichtung kontrolliert 00:10:12.420 --> 00:10:13.680 und Sicherheitsregeln anwenden kann. 00:10:14.880 --> 00:10:16.200 Prüfen Sie vor der Planung die Lizenzierung. 00:10:16.680 --> 00:10:18.200 Cloud PKI erfordert neben Intune 00:10:18.200 --> 00:10:19.720 die entsprechende Microsoft-Lizenzierung. 00:10:19.720 --> 00:10:22.240 Da Microsoft die Plandetails regelmäßig anpasst, 00:10:22.340 --> 00:10:23.540 prüfen Sie Ihre aktuellen Ansprüche 00:10:23.540 --> 00:10:25.180 und bestätigen Sie, wer eine Lizenz benötigt, 00:10:25.240 --> 00:10:26.540 bevor Sie den Dienst darauf aufbauen. 00:10:27.220 --> 00:10:29.120 Die Zertifizierungsstelle mag zwar in der Cloud liegen, 00:10:29.380 --> 00:10:31.900 aber das Zertifikat muss den richtigen Laptop sicher erreichen. 00:10:32.640 --> 00:10:33.320 Dieser Weg erklärt, 00:10:33.420 --> 00:10:35.700 warum Cloud PKI so gut für modernes Arbeiten geeignet ist. 00:10:36.240 --> 00:10:36.780 Stellen Sie sich vor, 00:10:36.820 --> 00:10:38.420 ein neuer Mitarbeiter öffnet zum ersten Mal 00:10:38.420 --> 00:10:39.560 seinen Intune verwalteten Laptop 00:10:39.560 --> 00:10:40.940 und muss sich mit sicherem WLAN verbinden 00:10:40.940 --> 00:10:41.920 oder ein VPN nutzen. 00:10:43.260 --> 00:10:45.480 Was passiert, wenn ein Gerät ein Zertifikat benötigt? 00:10:46.060 --> 00:10:46.580 Stellen Sie sich vor, 00:10:46.640 --> 00:10:48.640 ein neuer Mitarbeiter sitzt am ersten Morgen zu Hause 00:10:48.640 --> 00:10:49.620 vor seinem Firmenlaptop. 00:10:50.040 --> 00:10:51.460 Dieser Laptop ist bereits in Intune registriert. 00:10:52.040 --> 00:10:53.160 Sie benötigen das Büro WLAN, 00:10:53.240 --> 00:10:53.940 wenn Sie dort ankommen 00:10:53.940 --> 00:10:54.880 und wahrscheinlich ein VPN, 00:10:55.060 --> 00:10:56.880 um von zu Hause auf interne Systeme zuzugreifen, 00:10:56.960 --> 00:10:58.540 aber Sie sollten nicht nach einem WLAN-Passwort suchen 00:10:58.540 --> 00:11:00.280 oder die IT wegen eines Zertifikats anrufen müssen. 00:11:00.600 --> 00:11:02.860 Bevor der Laptop überhaupt ein eigenes Zertifikat anfordert, 00:11:03.280 --> 00:11:04.440 sendet Intune die Zertifikate, 00:11:04.640 --> 00:11:05.420 denen er vertrauen muss. 00:11:06.020 --> 00:11:07.240 Dazu gehören das Stammzertifikat 00:11:07.240 --> 00:11:08.300 und das ausstellende Zertifikat 00:11:08.300 --> 00:11:09.600 aus Ihrer Cloud PKI-Konfiguration. 00:11:09.960 --> 00:11:10.900 Klingt nach einem kleinen Detail, oder? 00:11:11.280 --> 00:11:12.720 Tatsächlich ist es das gesamte Fundament. 00:11:13.120 --> 00:11:13.840 Sag dem Laptop, 00:11:14.140 --> 00:11:15.480 dies ist die Zertifizierungsstelle, 00:11:15.480 --> 00:11:16.320 der du vertrauen kannst. 00:11:16.660 --> 00:11:17.420 Ohne dieses Vertrauen 00:11:17.420 --> 00:11:19.100 hat der Laptop keine Möglichkeit zu wissen, 00:11:19.200 --> 00:11:19.880 ob ein Zertifikat 00:11:19.880 --> 00:11:20.780 von einem zugelassenen Dienst 00:11:20.780 --> 00:11:21.360 Ihres Unternehmens 00:11:21.360 --> 00:11:22.560 oder von einer beliebigen Stelle stammt. 00:11:22.920 --> 00:11:24.120 Als nächstes generiert der Laptop 00:11:24.120 --> 00:11:25.120 seinen eigenen privaten Schlüssel. 00:11:25.520 --> 00:11:26.880 Dies geschieht direkt auf dem Gerät selbst 00:11:26.880 --> 00:11:27.700 und dieser private Schlüssel 00:11:27.700 --> 00:11:28.300 verlässt es niemals. 00:11:28.920 --> 00:11:30.080 Er wird nicht in Intune kopiert, 00:11:30.160 --> 00:11:31.380 nicht an die Cloud PKI gesendet 00:11:31.380 --> 00:11:32.880 und nicht an den WLAN-Dienst weitergegeben. 00:11:33.580 --> 00:11:34.420 Diese Trennung ist das, 00:11:34.480 --> 00:11:35.260 was das Geheimnis schützt. 00:11:35.840 --> 00:11:36.580 Dann erstellt der Laptop 00:11:36.580 --> 00:11:37.520 eine Zertifikatsanforderung. 00:11:38.000 --> 00:11:38.880 Diese Anforderung enthält 00:11:38.880 --> 00:11:40.620 die für das Zertifikat benötigten Informationen 00:11:40.620 --> 00:11:41.400 sowie den Nachweis, 00:11:41.400 --> 00:11:41.940 dass der Laptop 00:11:41.940 --> 00:11:43.260 seinen privaten Schlüssel kontrolliert. 00:11:43.960 --> 00:11:45.020 Er sendet diese Anforderung 00:11:45.020 --> 00:11:45.500 über SAP, 00:11:45.760 --> 00:11:46.760 den geschützten Anforderungspfad, 00:11:46.820 --> 00:11:47.780 über den wir bereits gesprochen haben. 00:11:48.040 --> 00:11:48.680 Nur die Anforderung 00:11:48.680 --> 00:11:49.600 wird übertragen, nicht der Schlüssel. 00:11:49.900 --> 00:11:50.520 Jetzt spielt Intune 00:11:50.520 --> 00:11:51.720 eine aktive Rolle bei der Überprüfung. 00:11:52.020 --> 00:11:52.500 Es bestätigt, 00:11:52.560 --> 00:11:53.080 dass die Anforderung 00:11:53.080 --> 00:11:53.740 von einem Gerät stammt, 00:11:53.800 --> 00:11:54.260 das registriert 00:11:54.260 --> 00:11:55.360 und von Ihrem Unternehmen verwaltet wird. 00:11:55.640 --> 00:11:57.040 Er schützt außerdem die Anforderung, 00:11:57.120 --> 00:11:58.220 damit der Cloud PKI-Dienst 00:11:58.220 --> 00:11:58.820 überprüfen kann, 00:11:58.880 --> 00:12:00.120 ob sie unterwegs manipuliert wurde. 00:12:00.760 --> 00:12:01.400 Wenn die Anforderung 00:12:01.400 --> 00:12:02.260 nicht mit dem übereinstimmt, 00:12:02.320 --> 00:12:03.040 was Intune erwartet, 00:12:03.260 --> 00:12:04.460 wird kein Zertifikat ausgestellt. 00:12:04.940 --> 00:12:05.420 Das verhindert, 00:12:05.420 --> 00:12:06.260 dass ein unbekannter Laptop 00:12:06.260 --> 00:12:07.460 einfach eines anfordert und erhält. 00:12:08.200 --> 00:12:09.460 Wenn alle Prüfungen erfolgreich sind, 00:12:09.540 --> 00:12:10.780 sendet Cloud PKI die Anforderung 00:12:10.780 --> 00:12:12.040 an die ausstellende Zertifizierungsstelle. 00:12:12.540 --> 00:12:13.340 Die ausstellende CA 00:12:13.340 --> 00:12:14.400 signiert ein Zertifikat 00:12:14.400 --> 00:12:15.620 für diese Geräte-Identität 00:12:15.620 --> 00:12:16.960 und Intune liefert es zurück 00:12:16.960 --> 00:12:17.520 an den Laptop. 00:12:18.080 --> 00:12:19.300 Der Mitarbeiter bekommt davon nichts mit. 00:12:19.600 --> 00:12:20.840 Er klappt den Laptop einfach auf 00:12:20.840 --> 00:12:21.720 und wenn er im Büro ankommt, 00:12:21.800 --> 00:12:22.620 kann das WLAN-Netzwerk 00:12:22.620 --> 00:12:23.960 den Laptop nach einem Nachweis fragen. 00:12:24.580 --> 00:12:26.280 Anstatt ein gemeinsam genutztes Passwort einzugeben, 00:12:26.380 --> 00:12:27.500 präsentiert der Laptop sein Zertifikat. 00:12:28.080 --> 00:12:28.900 Das Netzwerk prüft dann 00:12:28.900 --> 00:12:29.660 die Zertifikatskette. 00:12:30.260 --> 00:12:31.120 Wurde dieses Zertifikat 00:12:31.120 --> 00:12:32.240 von der ausstellenden CA ausgestellt, 00:12:32.340 --> 00:12:32.740 der es vertraut? 00:12:33.300 --> 00:12:34.380 Lässt sich diese ausstellende CA 00:12:34.380 --> 00:12:35.360 zurückführen, der es vertraut? 00:12:35.940 --> 00:12:37.080 Wenn diese Prüfungen erfolgreich sind, 00:12:37.140 --> 00:12:37.940 stellt der Laptop die Verbindung. 00:12:38.340 --> 00:12:39.260 Das gleiche Muster funktioniert 00:12:39.260 --> 00:12:39.760 mit einem VPN. 00:12:40.220 --> 00:12:41.560 Ein VPN-Dienst kann überprüfen, 00:12:41.620 --> 00:12:42.620 ob das Geräte-Zertifikat 00:12:42.620 --> 00:12:44.040 zu einem verwalteten Firmenlaptop gehört, 00:12:44.120 --> 00:12:45.320 bevor eine Verbindung zugelassen wird. 00:12:46.120 --> 00:12:47.660 Eine interne App kann dasselbe tun 00:12:47.660 --> 00:12:48.820 und nur Geräte akzeptieren, 00:12:48.920 --> 00:12:49.620 die ein Zertifikat 00:12:49.620 --> 00:12:51.380 ihrer zugelassenen Zertifizierungsstelle tragen. 00:12:51.800 --> 00:12:52.720 Das Zertifikat ersetzt 00:12:52.720 --> 00:12:54.220 nicht jede Anmeldeaufforderung überall. 00:12:54.640 --> 00:12:55.340 Aber es gibt im Dienst 00:12:55.340 --> 00:12:56.340 eine weitere starke Methode 00:12:56.340 --> 00:12:57.480 zur Identifizierung des Geräts. 00:12:57.480 --> 00:12:58.540 Kommen wir nun zu dem Teil, 00:12:58.620 --> 00:12:59.760 den die Leute meist erst bemerken, 00:12:59.840 --> 00:13:00.700 wenn er nicht mehr funktioniert. 00:13:00.860 --> 00:13:01.540 Das Ablaufdatum. 00:13:02.140 --> 00:13:03.060 Zertifikate halten nicht ewig 00:13:03.060 --> 00:13:03.960 und das ist auch so gewollt. 00:13:04.560 --> 00:13:05.920 Ein Zertifikat braucht ein Enddatum, 00:13:05.980 --> 00:13:07.240 damit eine alte Geräteberechtigung 00:13:07.240 --> 00:13:08.840 nicht ewig ohne erneute Überprüfung gültig wird. 00:13:09.160 --> 00:13:10.240 Cloud, PKI und Intune 00:13:10.240 --> 00:13:10.880 können die Erneuerung 00:13:10.880 --> 00:13:12.160 bereits vor diesem Datum einleiten, 00:13:12.240 --> 00:13:13.520 sobald sich das verwaltete Gerät meldet. 00:13:14.020 --> 00:13:15.940 Der Laptop fordert ein Ersatzzertifikat an 00:13:15.940 --> 00:13:16.820 und der gesamte Prozess 00:13:16.820 --> 00:13:18.140 folgt dem selben geschützten Pfad. 00:13:18.880 --> 00:13:20.140 Für den Mitarbeiter ändert sich nichts. 00:13:20.760 --> 00:13:21.940 Er verbindet sich mit dem WLAN, 00:13:22.080 --> 00:13:22.620 nutzt das VPN 00:13:22.620 --> 00:13:24.760 und das Zertifikat erneuert sich im Hintergrund, 00:13:24.840 --> 00:13:25.900 anstatt am Tag des Ablaufs 00:13:25.900 --> 00:13:27.340 einem unerwarteten Support-Ticket zu werden. 00:13:27.420 --> 00:13:28.200 Bei einem verlorenen Laptop 00:13:28.200 --> 00:13:29.900 ist jedoch eine andere Reaktion erforderlich. 00:13:31.420 --> 00:13:32.680 Wenn ein Gerät verschwindet, 00:13:32.740 --> 00:13:33.960 ein Mitarbeiter das Unternehmen verlässt 00:13:33.960 --> 00:13:34.580 oder sie vermuten, 00:13:34.680 --> 00:13:36.100 dass dem Zertifikat nicht mehr zu trauen ist, 00:13:36.140 --> 00:13:37.500 dem Zertifikat in Intune wieder rufen. 00:13:38.920 --> 00:13:40.600 Cloud, PKI veröffentlicht diese Änderung, 00:13:41.000 --> 00:13:41.520 sodass Dienste, 00:13:41.600 --> 00:13:42.780 die den Zertifikatsstatus prüfen, 00:13:42.840 --> 00:13:44.140 das alte Zertifikat ablehnen können. 00:13:44.600 --> 00:13:45.980 Das Gerät mag physisch noch existieren, 00:13:46.080 --> 00:13:47.120 aber sein digitaler Nachweis 00:13:47.120 --> 00:13:47.780 funktioniert nicht mehr. 00:13:48.220 --> 00:13:49.900 Das ist eine wesentlich bessere Ausgangslage, 00:13:49.900 --> 00:13:51.300 als ein geteiltes WLAN-Passwort zu ändern 00:13:51.300 --> 00:13:51.680 und zu hoffen, 00:13:51.780 --> 00:13:52.700 dass kein ehemaliger Mitarbeiter, 00:13:52.840 --> 00:13:53.480 kein alter Laptop 00:13:53.480 --> 00:13:54.720 und kein privates Handy es mehr kennen. 00:13:55.660 --> 00:13:56.820 Dennoch bedeutet die automatische 00:13:56.820 --> 00:13:58.000 Zertifikatsbereitstellung nicht, 00:13:58.120 --> 00:13:58.560 dass Cloud, PKI, 00:13:58.680 --> 00:13:59.560 jede Zertifikatsaufgabe 00:13:59.560 --> 00:14:00.400 in Ihrem Unternehmen übernimmt. 00:14:00.860 --> 00:14:01.600 Es funktioniert sehr gut 00:14:01.600 --> 00:14:02.720 für eine spezifische Reihe von Aufgaben. 00:14:03.140 --> 00:14:04.280 Andere Aufgaben erfordern 00:14:04.280 --> 00:14:05.600 einen anderen Zertifikatsdienst 00:14:05.600 --> 00:14:06.620 und diese Grenzen zu kennen, 00:14:06.720 --> 00:14:07.340 spart Ihnen Zeit, 00:14:07.420 --> 00:14:08.380 bevor Sie mit dem Aufbau beginnen. 00:14:09.220 --> 00:14:10.640 Wo Cloud, PKI passt und wo nicht. 00:14:11.260 --> 00:14:12.580 Cloud, PKI eignet sich am besten, 00:14:12.660 --> 00:14:13.600 wenn ein verwaltetes Firmengerät 00:14:13.600 --> 00:14:14.680 seine Identität nachweisen muss, 00:14:14.740 --> 00:14:15.320 bevor es zugreifert. 00:14:15.740 --> 00:14:16.220 Sicheres WLAN 00:14:19.900 --> 00:14:21.180 kann Intune ein Zertifikat 00:14:21.180 --> 00:14:22.120 auf dem verwalteten Laptop 00:14:22.120 --> 00:14:22.960 oder Telefon platzieren, 00:14:23.080 --> 00:14:24.220 das vom Netzwerk akzeptiert wird. 00:14:25.220 --> 00:14:26.180 VPN-Zugriff ist ein weiters 00:14:26.180 --> 00:14:26.960 ideales Einsatzgebiet. 00:14:27.360 --> 00:14:28.260 Ein verwalteter Laptop 00:14:28.260 --> 00:14:28.940 kann bei der Verbindung 00:14:28.940 --> 00:14:30.000 sein Zertifikat vorlegen, 00:14:30.180 --> 00:14:31.260 was wiederholte Passworteingaben 00:14:31.260 --> 00:14:31.900 überflüssig macht 00:14:31.900 --> 00:14:33.720 und dem VPN eine weitere Möglichkeit bietet, 00:14:33.780 --> 00:14:34.620 das Gerät zu verifizieren, 00:14:34.700 --> 00:14:35.420 bevor der Zugriff gewährt. 00:14:35.600 --> 00:14:36.420 Einige interne Apps 00:14:36.420 --> 00:14:37.460 können denselben Ansatz verwenden, 00:14:37.540 --> 00:14:38.660 wenn sie nur Geräte akzeptieren sollen, 00:14:38.700 --> 00:14:39.780 die von Ihrem Unternehmen verwaltet werden. 00:14:40.380 --> 00:14:41.560 Dies funktioniert für verwaltete 00:14:41.560 --> 00:14:42.300 Windows-Laptops, 00:14:42.620 --> 00:14:43.780 Macs, iPhones, iPads 00:14:43.780 --> 00:14:44.600 und Android-Geräte. 00:14:45.380 --> 00:14:46.160 Für kleine Unternehmen 00:14:46.160 --> 00:14:47.500 verändert das ein bekanntes Problem. 00:14:48.420 --> 00:14:49.580 Ein geteiltes WLAN-Passwort 00:14:49.580 --> 00:14:50.400 verbreitet sich leicht. 00:14:51.000 --> 00:14:52.080 Es taucht in Willkommens-E-Mails, 00:14:52.200 --> 00:14:53.360 Chat-Nachrichten, Notizbüchern 00:14:53.360 --> 00:14:54.320 und alten Handys auf. 00:14:55.040 --> 00:14:55.700 Wenn jemand geht, 00:14:55.880 --> 00:14:56.880 bedeutet eine Änderung oft, 00:14:56.980 --> 00:14:57.820 jeden Drucker, Laptop, 00:14:57.900 --> 00:14:58.900 jedes Tablet und jedes Gerät 00:14:58.900 --> 00:15:00.040 im Konferenzraum neu zu verbinden. 00:15:00.560 --> 00:15:01.700 Mit Geräte-Zertifikaten 00:15:01.700 --> 00:15:02.820 trägt jedes verwaltete Gerät 00:15:02.820 --> 00:15:04.000 seinen eigenen Zugriffsbeleg bei sich. 00:15:04.580 --> 00:15:05.540 Auch die Zugriffsentscheidung 00:15:05.540 --> 00:15:06.160 wird präziser. 00:15:06.660 --> 00:15:07.540 Ein Passwort beweist nur, 00:15:07.600 --> 00:15:08.520 dass jemand das Passwort kennt. 00:15:09.360 --> 00:15:10.320 Ein über Cloud-PKI 00:15:10.320 --> 00:15:11.500 ausgestelltes Zertifikat 00:15:11.500 --> 00:15:12.440 verknüpft den Zugriff 00:15:12.440 --> 00:15:12.960 mit einem Gerät, 00:15:12.960 --> 00:15:13.960 das Intune kennt und verwaltet. 00:15:14.780 --> 00:15:15.660 Das unterstützt die Idee 00:15:15.660 --> 00:15:16.380 hinter Zero Trust. 00:15:17.000 --> 00:15:17.980 Gewähren Sie keinen Zugriff 00:15:17.980 --> 00:15:18.400 nur deshalb, 00:15:18.500 --> 00:15:19.820 weil sich etwas im Büronetzwerk befindet. 00:15:20.240 --> 00:15:21.140 Überprüfen Sie das Gerät 00:15:21.140 --> 00:15:21.780 und dessen Nachweis 00:15:21.780 --> 00:15:22.840 bei jeder Anfrage des Dienstes. 00:15:23.260 --> 00:15:24.040 Es gibt zwei gängige Wege 00:15:24.040 --> 00:15:24.480 für den Start. 00:15:24.900 --> 00:15:25.460 Wenn Ihr Unternehmen 00:15:25.460 --> 00:15:26.760 hauptsächlich in der Cloud arbeitet 00:15:26.760 --> 00:15:27.420 und kein bestehendes 00:15:27.420 --> 00:15:28.260 Zertifikatssystem hat, 00:15:28.580 --> 00:15:29.280 können Sie in Cloud-PKI 00:15:29.280 --> 00:15:30.320 eine Stammzertifizierungsstelle 00:15:30.320 --> 00:15:30.960 und eine ausstellende 00:15:30.960 --> 00:15:31.780 Zertifizierungsstelle erstellen. 00:15:32.020 --> 00:15:32.840 Dann konfigurieren Sie 00:15:32.840 --> 00:15:33.460 den WLAN-Dienst 00:15:33.460 --> 00:15:34.320 Ihrer verwalteten Geräte 00:15:34.320 --> 00:15:35.160 das VPN-Gateway 00:15:35.160 --> 00:15:35.960 oder ausgewählte Apps, 00:15:36.040 --> 00:15:37.500 so dass Sie dieser Zertifikatskette vertrauen. 00:15:42.960 --> 00:15:44.140 Cloud-PKI kann eine ausstellende 00:15:44.140 --> 00:15:45.220 Zertifizierungsstelle verwenden, 00:15:45.340 --> 00:15:45.980 die mit einer bestehenden 00:15:45.980 --> 00:15:46.900 Stammzertifizierungsstelle 00:15:46.900 --> 00:15:47.380 verknüpft ist, 00:15:47.440 --> 00:15:48.140 damit Ihre neuen Intune 00:15:48.140 --> 00:15:48.860 verwalteten Geräte 00:15:48.860 --> 00:15:49.600 in die bereits genutzten 00:15:49.600 --> 00:15:50.420 Vertrauensregeln passen. 00:15:50.860 --> 00:15:52.020 Der richtige Weg hängt davon ab, 00:15:52.060 --> 00:15:52.540 was Ihr Netzwerk 00:15:52.540 --> 00:15:53.840 bereits als vertrauenswürdig einstuft. 00:15:54.100 --> 00:15:55.580 Aber Cloud-PKI hat eine klare Grenze. 00:15:55.900 --> 00:15:56.840 Es richtet sich an Geräte, 00:15:56.920 --> 00:15:57.740 die Intune registriert sind. 00:15:58.220 --> 00:15:59.040 Es stellt nicht jede Art 00:15:59.040 --> 00:16:00.340 von Zertifikat für jede Maschine 00:16:00.340 --> 00:16:01.240 oder jeden Dienst aus, 00:16:01.260 --> 00:16:01.980 den Ihr Unternehmen besitzt. 00:16:02.460 --> 00:16:03.000 Es ist zum Beispiel 00:16:03.000 --> 00:16:03.840 kein allgemeiner Ersatz 00:16:03.840 --> 00:16:05.060 für Zertifikate auf Web-Servern, 00:16:05.140 --> 00:16:05.900 VPN-Gateways, 00:16:05.900 --> 00:16:06.580 Load-Balancern 00:16:06.580 --> 00:16:07.400 oder anderen Servern 00:16:07.400 --> 00:16:08.260 oder anderen Servern. 00:16:08.860 --> 00:16:09.480 Es löst auch nicht 00:16:09.480 --> 00:16:10.620 die Zertifikatsanforderungen 00:16:10.620 --> 00:16:11.720 für nicht verwaltete Computer, 00:16:12.060 --> 00:16:12.820 isolierte Systeme 00:16:12.820 --> 00:16:13.580 ohne Cloud-Verbindung 00:16:13.580 --> 00:16:14.460 oder Linux-Geräte 00:16:14.460 --> 00:16:15.840 außerhalb der Intune-Unterstützung. 00:16:16.900 --> 00:16:17.940 Das mindert seinen Nutzen nicht. 00:16:18.460 --> 00:16:19.120 Es bedeutet lediglich, 00:16:19.200 --> 00:16:20.040 dass Sie das richtige Werkzeug 00:16:20.040 --> 00:16:20.720 für die jeweiligen Auftrag. 00:16:20.960 --> 00:16:21.960 Cloud-PKI kümmert sich 00:16:21.960 --> 00:16:22.720 um Ihre verwalteten 00:16:22.720 --> 00:16:23.480 Benutzergeräte. 00:16:24.060 --> 00:16:24.660 Ein anderer Dienst 00:16:24.660 --> 00:16:25.420 übernimmt möglicherweise 00:16:25.420 --> 00:16:26.300 weiterhin die Zertifikate 00:16:26.300 --> 00:16:26.840 für die Systeme, 00:16:26.900 --> 00:16:27.560 mit denen sich diese geredet. 00:16:27.840 --> 00:16:28.760 Auch Ihr WLAN-Controller, 00:16:28.860 --> 00:16:29.640 Ihr VPN-Gateway 00:16:29.640 --> 00:16:30.440 oder Ihre interne App 00:16:30.440 --> 00:16:31.400 erfordern Einrichtungsarbeit. 00:16:31.400 --> 00:16:32.420 Sie müssen der Stamm 00:16:32.420 --> 00:16:33.020 und der ausstellenden 00:16:33.020 --> 00:16:34.060 Zertifikatskette vertrauen, 00:16:34.140 --> 00:16:34.900 die Cloud-PKI verwenden. 00:16:35.480 --> 00:16:36.100 Wenn dieser Dienst 00:16:36.100 --> 00:16:37.060 Ihre Zertifizierungsstelle 00:16:37.060 --> 00:16:37.480 nicht erkennt, 00:16:37.560 --> 00:16:38.480 wird er ein einwandfreies 00:16:38.480 --> 00:16:39.680 Geräte-Zertifikat ablehnen. 00:16:40.280 --> 00:16:41.020 Die Geräteseite 00:16:41.020 --> 00:16:41.760 müssen übereinstimmen, 00:16:41.820 --> 00:16:42.420 müssen übereinstimmen. 00:16:42.780 --> 00:16:43.380 Ein Planungspunkt 00:16:43.380 --> 00:16:44.520 kann später Frustration ersparen. 00:16:45.120 --> 00:16:46.320 Wenn Sie eine Zertifizierungsstelle 00:16:46.320 --> 00:16:47.060 erstellen, legen Sie fest, 00:16:47.140 --> 00:16:47.900 wofür deren Zertifikate 00:16:47.900 --> 00:16:48.300 verwendet werden. 00:16:48.600 --> 00:16:49.240 Diese Entscheidungen 00:16:49.240 --> 00:16:50.040 müssen zu Ihrer geplanten 00:16:50.040 --> 00:16:50.540 Nutzung passen. 00:16:50.920 --> 00:16:51.860 Client-Authentifizierung 00:16:51.860 --> 00:16:53.200 für WLAN- oder VPN-Zugriff 00:16:53.200 --> 00:16:53.660 zum Beispiel. 00:16:54.600 --> 00:16:55.520 Wenn Sie zu eng wählen 00:16:55.520 --> 00:16:56.300 und später einen anderen 00:16:56.300 --> 00:16:57.000 Zweck benötigen, 00:16:57.340 --> 00:16:58.140 müssen Sie möglicherweise 00:16:58.140 --> 00:16:59.280 eine neue Zertifizierungsstelle 00:16:59.280 --> 00:17:00.160 erstellen und die Geräte 00:17:00.160 --> 00:17:00.520 migrieren. 00:17:01.080 --> 00:17:01.600 Entscheiden Sie sich 00:17:01.600 --> 00:17:02.520 für den ersten Anwendungsfall, 00:17:02.620 --> 00:17:03.240 bevor Sie etwas erstellen. 00:17:03.580 --> 00:17:04.220 Das führt uns weg 00:17:04.220 --> 00:17:05.140 vom technischen Diagramm 00:17:05.140 --> 00:17:05.640 und zurück zu einer 00:17:05.640 --> 00:17:06.360 einfachen geschäftlichen 00:17:06.360 --> 00:17:06.640 Entscheidung. 00:17:07.420 --> 00:17:08.620 Wo würde ein Geräte-Zertifikat 00:17:08.620 --> 00:17:09.600 ein echtes Zugriffsproblem 00:17:09.600 --> 00:17:10.380 für Ihre Mitarbeiter lösen? 00:17:10.920 --> 00:17:11.980 Ein sinnvoller Ausgangspunkt 00:17:11.980 --> 00:17:12.740 für ein kleines Unternehmen. 00:17:13.320 --> 00:17:13.840 Wo sollte also 00:17:13.840 --> 00:17:14.720 ein kleines Unternehmen anfangen? 00:17:15.340 --> 00:17:16.300 Beginnen Sie mit einem Problem, 00:17:16.420 --> 00:17:16.760 nicht mit einer 00:17:16.760 --> 00:17:17.840 unternehmensweiten Einführung. 00:17:18.460 --> 00:17:18.960 Vielleicht verwendet 00:17:18.960 --> 00:17:19.580 Ihr Mitarbeiter WLAN 00:17:19.580 --> 00:17:20.600 noch ein gemeinsames Passwort 00:17:20.600 --> 00:17:21.640 oder Ihr VPN verlangt 00:17:21.640 --> 00:17:22.000 von den Leuten, 00:17:22.100 --> 00:17:23.120 sich immer wieder neu anzumelden. 00:17:23.480 --> 00:17:23.920 Vielleicht haben Sie 00:17:23.920 --> 00:17:24.540 eine interne App, 00:17:24.600 --> 00:17:24.980 die sich nur von 00:17:24.980 --> 00:17:25.880 verwalteten Firmenlaptops 00:17:25.880 --> 00:17:26.380 ausöffnen lassen. 00:17:26.620 --> 00:17:27.520 Wählen Sie ein Problem aus. 00:17:28.060 --> 00:17:28.600 Stellen Sie dann sicher, 00:17:28.680 --> 00:17:29.320 dass die Grundlagen waren. 00:17:30.040 --> 00:17:30.640 Sind diese Geräte 00:17:30.640 --> 00:17:31.420 in Intune registriert? 00:17:31.880 --> 00:17:32.540 Melden sich Benutzer 00:17:32.540 --> 00:17:33.340 über EntraID an? 00:17:33.800 --> 00:17:35.320 Beinhaltet Ihre Microsoft-Lizenzierung 00:17:35.320 --> 00:17:36.520 die Anforderungen für Cloud-PKI? 00:17:36.940 --> 00:17:37.500 Führen Sie ein kleines 00:17:37.500 --> 00:17:38.180 Pilotprojekt durch, 00:17:38.220 --> 00:17:39.040 um diese Fragen zu klären, 00:17:39.100 --> 00:17:39.760 ohne alle zu beinträgen. 00:17:40.300 --> 00:17:41.180 Wählen Sie eine begrenzte 00:17:41.180 --> 00:17:41.900 Gerätegruppe aus 00:17:41.900 --> 00:17:42.560 und erstellen Sie die 00:17:42.560 --> 00:17:43.160 Vertrauenskette, 00:17:43.340 --> 00:17:44.280 das Zertifikatsprofil 00:17:44.280 --> 00:17:44.820 sowie die passende 00:17:44.820 --> 00:17:46.040 WLAN- oder VPN-Richtlinie 00:17:46.040 --> 00:17:47.080 als zusammenhängende Aufgabe. 00:17:47.420 --> 00:17:48.000 Betrachten Sie das 00:17:48.000 --> 00:17:49.060 Zertifikat nicht isoliert, 00:17:49.200 --> 00:17:49.860 da der Netzwerkdienst 00:17:49.860 --> 00:17:50.220 wissen muss, 00:17:50.300 --> 00:17:51.160 welche Zertifikatskette 00:17:51.160 --> 00:17:51.980 akzeptiert werden soll. 00:17:52.100 --> 00:17:52.860 Holen Sie die Person dazu, 00:17:52.940 --> 00:17:53.440 die für das Netzwerk 00:17:53.440 --> 00:17:53.980 verantwortlich ist.