Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Microsoft Cloud PKI uitgelegd: apparaatcertificaten met Intune in plaats van een gedeeld wifi-wachtwoord (AI-nasynchronisatie)

Transcript

Microsoft Cloud PKI uitgelegd: apparaatcertificaten met Intune in plaats van een gedeeld wifi-wachtwoord (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

0:00
Speaker 2: Klaar voor 10 dagen Microsoft 365, Copilot, AI, Azure en
0:05
Speaker 2: de mensen die de toekomst van werk vormgeven? Deze januari
0:08
Speaker 2: is M365 komt terug en pakken we groter uit. Doe
0:12
Speaker 2: mee voor live sessies, praktijkdemo's en praktische kennis van MVP's
0:16
Speaker 2: en experts van over de hele wereld. Geen generieke sliedes,
0:20
Speaker 2: geen eindeloos jargon. We pakken de echte uitdagingen aan Copilot Studio,
0:25
Speaker 2: AI Agents, Fabric, Beveiliging, Governance en Automatisering. Of je nu IT-professional,
0:31
Speaker 2: ontwikkelaar of business leader bent, er zijn sessies voor jou ontworpen.
0:35
Speaker 2: Met 10 volledige dagen kun je diverse technologieën verkennen en
0:38
Speaker 2: verbinden met een wereldwijde community. Kijk live mee en neem
0:41
Speaker 2: praktische inzichten mee terug naar jouw organisatie. Januari 2027, 10 dagen,
0:47
Speaker 2: 1 Microsoft Community. De registratie is nu geopend. Ga naar m365com.net
0:54
Speaker 2: en verzeker je vandaag nog van een plek. Dat is m365com.net.
1:00
Speaker 2: Meld je nu aan op m365con.net en we zien je
1:03
Speaker 2: live in januari. Stel je voor dat je een nieuwe
1:05
Speaker 2: laptop koopt voor iemand die bij jouw bedrijf komt werken.
1:08
Speaker 2: Diegene heeft e-mail nodig, gedeelde bestanden, kantoor wifi en misschien
1:11
Speaker 2: een VPN voor thuiswerken. Elke verbinding stelt dezelfde stille vraag,
1:14
Speaker 2: hoort deze laptop hier wel? In veel kleine bedrijven is
1:17
Speaker 2: het antwoord nog steeds een wachtwoord, een gedeelde wifi code,
1:19
Speaker 2: een VPN login via een bericht en dan handmatig herstel
1:22
Speaker 2: als iemand een wachtwoord wijzigt, een laptop vervangt of het
1:24
Speaker 2: bedrijf verlaat. Dat voelt misschien als een klein kantoorprobleem. Dat
1:27
Speaker 2: is het niet. Dezelfde vraag speelt bij een bedrijf van
1:30
Speaker 2: 10 mensen en bij een bedrijf van 10.000 mensen. Je
1:32
Speaker 2: hebt een manier nodig waarop een apparaat bewijst dat het
1:34
Speaker 2: erbij hoort, zonder dat de gebruiker constant geheimen hoeft in
1:36
Speaker 2: te voeren. Ik ben Melko Peters van M365FM en dit
1:39
Speaker 2: kennisfragment legt certificaten, Microsoft Cloud PKI en de rol van
1:42
Speaker 2: Intune bij het afhandelen van dat bewijs achter de schermen uit.
1:44
Speaker 2: Een klein digitaal bestand kan een wachtwoord bij de kantoordeur vervangen.
1:48
Speaker 2: Laten we eerst kijken waarom dat bestand bestaat. Waarom certificaten bestaan.
1:52
Speaker 2: Open een beveiligde website in je browser. Voordat je de
1:54
Speaker 2: pagina leest, controleert je browser iets op de achtergrond. Het
1:57
Speaker 2: controleert een digitaal certificaat. Dat certificaat helpt de browser bevestigen
2:00
Speaker 2: dat de echte website is bereikt en kan een beveiligde
2:02
Speaker 2: verbinding opzetten. De meeste mensen zien die controle nooit, maar
2:05
Speaker 2: je vertrouwt er elke dag op. Een certificaat werkt een
2:07
Speaker 2: beetje als een ID-badge van het bedrijf. De badge bevat
2:10
Speaker 2: een naam en details over de eigenaar. Het bevat ook
2:12
Speaker 2: een bewijs van een badgemaker die je vertrouwt. Een digitaal
2:15
Speaker 2: certificaat bevat een naam of identiteit en een publieke sleutel.
2:18
Speaker 2: Beschouw de publieke sleutel als informatie die anderen kunnen inzien.
2:21
Speaker 2: Het certificaat bevat ook een vertrouwde digitale handtekening die zegt,
2:24
Speaker 2: dit badgekantoor heeft deze identiteit gecontroleerd en deze badge goedgekeurd.
2:28
Speaker 2: Dat geeft de beveiliger iets om te controleren, maar een
2:30
Speaker 2: badge alleen is niet genoeg. Iemand zou een geprinte badge
2:33
Speaker 2: van een bureau kunnen pakken. Digitale certificaten lossen dat probleem
2:36
Speaker 2: op met een privé-sleutel. De privé-sleutel is het geheim van
2:38
Speaker 2: de houder. Deze blijft bij een laptop, telefoon of gebruiker.
2:41
Speaker 2: Het apparaat gebruikt deze om te bewijzen dat het echt
2:43
Speaker 2: de eigenaar van het certificaat is, zonder dat geheim te
2:45
Speaker 2: overhandigen aan het wifi-netwerk, de VPN of de app die
2:46
Speaker 2: de badge controleert. Zie het als een beveiliger die je
2:48
Speaker 2: vraagt je eigen badgehouder te ontgrendelen, in plaats van je
2:51
Speaker 2: te vragen de combinatie te onthullen. Je bewijst dat je
2:53
Speaker 2: het kunt openen, maar de beveiliger komt de combinatie nooit
2:55
Speaker 2: te weten. Dat is waarom certificaten veiliger kunnen zijn dan
2:57
Speaker 2: een gedeeld wachtwoord. Een gedeeld wifi-wachtwoord kan rondgaan. Iemand kan
3:00
Speaker 2: het opschrijven, doorsturen, hergebruiken op een persoonlijk apparaat of behouden
3:03
Speaker 2: na het verlaten van het bedrijf. Een apparaatsertificaat geeft elke
3:06
Speaker 2: beheerde laptop of telefoon in plaats daarvan zijn eigen bewijs. Dus,
3:09
Speaker 2: wie maakt en beheert deze digitale badges? Die taak hoort
3:12
Speaker 2: bij PKI, kort voor Public Key Infrastructure. De naam klinkt zwaar,
3:15
Speaker 2: maar het idee is simpel. PKI is het badge kantoor
3:18
Speaker 2: voor jouw digitale werkplek. Het maakt certificaten aan, verstuurt ze
3:21
Speaker 2: naar de juiste personen of apparaten, vernieuwt ze voordat ze
3:24
Speaker 2: verlopen en annuleert ze wanneer ze niet meer mogen werken.
3:26
Speaker 2: Binnen dat badge-kantoor bevindt zich een certificaatautoriteit, meestal afgekort tot circa.
3:30
Speaker 2: Een circa is de vertrouwde badge-specialist. Wanneer een wifi-netwerk, VPN-dienst
3:34
Speaker 2: of interne app een certificaat ziet, stelt het één vraag,
3:37
Speaker 2: vertrouw ik de badge-specialist die dit heeft goedgekeurd? Als het
3:40
Speaker 2: antwoord ja is, kan het het certificaat controleren en beslissen
3:43
Speaker 2: of het apparaat wordt toegelaten. Er zijn meestal twee lagen.
3:45
Speaker 2: Bovenaan staat de root-circa. Zie dat als het hoofdkantoor van
3:48
Speaker 2: het bedrijf dat het hele badge-systeem goedgekeurd. Deze hoeft niet
3:50
Speaker 2: voor elke laptop elke badge te printen. Daaronder zit een
3:53
Speaker 2: uitgevende circa. Dat is de balie die het dagelijkse werk afhandelt.
3:56
Speaker 2: Deze geeft certificaten uit voor apparaten en gebruikers, terwijl de
3:59
Speaker 2: autoriteit teruglinkt naar de Root Circa. Wanneer een dienst de
4:01
Speaker 2: keten controleert, kan deze het certificaat volgen van de laptop
4:04
Speaker 2: naar de uitgevende Circa en dan terug naar de Root
4:06
Speaker 2: Circa die wordt vertrouwd. Die keten geeft het proces structuur.
4:09
Speaker 2: Je kunt dit gebruiken voor veilige wifi, waarbij een laptop
4:11
Speaker 2: zichzelf bewijst voordat deze verbinding maakt met het netwerk. Je
4:14
Speaker 2: kunt het gebruiken voor een VPN, waarbij de laptop bewijst
4:16
Speaker 2: dat deze erbij hoort voordat men vanaf thuis bedrijfsbronnen benadert.
4:19
Speaker 2: Je kunt het ook gebruiken voor een interne app die
4:21
Speaker 2: alleen beheerde bedrijfsapparaten mag accepteren. De werknemer hoeft daar niets
4:24
Speaker 2: van te begrijpen. Ze openen de laptop, kiezen het bedrijfs-Wi-Fi
4:27
Speaker 2: en maken verbinding. Dat is het doel. Het lastige deel
4:30
Speaker 2: begint wanneer je badge kantoor in een serverruimte staat. waarom
4:33
Speaker 2: traditionele PKI een last wordt voor het MKB. Jarenlang betekende
4:37
Speaker 2: dit badge systeem het bouwen en beheren van je eigen apparatuur.
4:40
Speaker 2: Je installeert Windows Server, voegt Active Directory Certificate Services toe,
4:44
Speaker 2: vaak ADCS genoemd, die de certificeringsinstantie binnen je bedrijfsnetwerk beheert.
4:48
Speaker 2: Maar de server alleen is niet het hele verhaal. Als
4:50
Speaker 2: je in Toon beheerde apparaten gebruikt, hebben ze een manier
4:52
Speaker 2: nodig om die lokale certificeringsinstantie om een certificaat te vragen.
4:56
Speaker 2: Dat betekent het opzetten van een Intune Certificate Connector, een
4:59
Speaker 2: NDES-server voor certificaataanvragen, een reverse proxy voor veilige toegang van
5:03
Speaker 2: buitenaf en firewallregels voor het juiste verkeer. Elk onderdeel heeft
5:06
Speaker 2: een taak. Samen kunnen ze een simpel doel, zoals wachtwoordloze wifi,
5:10
Speaker 2: veranderen in een volledig serverproject. Hier is een vergelijking. Stel
5:13
Speaker 2: je voor dat je zelf toegangspassen voor personeel wilt printen
5:15
Speaker 2: op kantoor. Je koopt niet zomaar een kaartprinter. Je bouwt
5:17
Speaker 2: er een afgesloten ruimte voor. Je voegt afgesloten kasten toe
5:19
Speaker 2: voor de voorraadkaarten en de administratie. Je installeert noodstroom. Je
5:22
Speaker 2: stelt regels op voor wie er naar binnen mag. Dan
5:24
Speaker 2: heb je iemand nodig die weet welke schakelaar je moet
5:26
Speaker 2: omzetten als de printer ermee ophoudt. Dat komt dichter bij
5:28
Speaker 2: traditionele PKI dan de meeste mensen verwachten. Een klein bedrijf
5:31
Speaker 2: wil misschien alleen dat laptops verbinding maken met wifi zonder
5:34
Speaker 2: een wachtwoord te delen met iedereen. Of ze willen een
5:36
Speaker 2: VP en die een beheerde laptop herkent voordat de werknemer
5:39
Speaker 2: moet inloggen. Redelijke doelen. Toch kan de oude route-surfers, netwerkregels,
5:44
Speaker 2: planning voor openbare toegang en kennis vereisen waar veel kleine
5:47
Speaker 2: IT-teams simpelweg geen tijd voor hebben. En het werk stopt
5:50
Speaker 2: niet na de installatie. Surfers hebben updates nodig, hardware bereikt
5:53
Speaker 2: het einde van de levensduur, backups moeten worden getest, niet
5:56
Speaker 2: alleen een groen vinkje in een backup-tool. Certificaten hebben vervaldata
5:59
Speaker 2: en het systeem moet ze vernieuwen voordat die data verstrijken.
6:02
Speaker 2: Wanneer vernieuwing mislukt, komt het eerste teken misschien van een
6:05
Speaker 2: medewerker die op een drukke maandagochtend niet op wifi kan.
6:07
Speaker 2: Het wachtwoord van de medewerker werkt misschien nog perfect. Hun
6:10
Speaker 2: laptop kan nog steeds woord en e-mail openen via een
6:12
Speaker 2: mobiele verbinding, maar het certificaat dat het netwerk in staat
6:15
Speaker 2: stelt de laptop te herkennen is mogelijk verlopen. De VPN
6:17
Speaker 2: kan het weigeren, een interne app kan het weigeren, wifi
6:20
Speaker 2: kan het weigeren. Dat mondt uit in een supportvraag die
6:22
Speaker 2: in eerste instantie vreemd klinkt. Mijn wachtwoord werkt, maar ik
6:25
Speaker 2: kan niet online komen. Dan moet iemand uitzoeken of het
6:27
Speaker 2: probleem bij het apparaat, het certificaatprofiel, de netwerkservice, de lokale circa,
6:32
Speaker 2: de connector of de firewall ligt. Een klein IT-team kan
6:34
Speaker 2: een halve dag kwijt zijn aan het volgen van dat spoor.
6:37
Speaker 2: Werken op afstand voegt nog een extra laag toe. Een
6:39
Speaker 2: laptop op kantoor kan de lokale certificaatdiensten makkelijker bereiken, maar
6:42
Speaker 2: een laptop aan de keukentafel heeft een veilige route nodig
6:45
Speaker 2: om een certificaat of een nieuwe versie op te halen.
6:47
Speaker 2: Je kunt een deel van het proces voorzichtig openstellen via
6:49
Speaker 2: een reverse proxy en firewall regels. Dat werkt als het
6:52
Speaker 2: goed gepland en onderhouden is, maar het voegt ook meer
6:54
Speaker 2: bewegende delen, meer instellingen en meer plekken toe waar een
6:57
Speaker 2: kleine fout de toegang kan onderbreken. De kosten zijn niet
6:59
Speaker 2: alleen een serverlicentie, Het is tijd besteed aan patchen, gespecialiseerde
7:03
Speaker 2: kennis en documentatie die actueel moet blijven. Het is het
7:05
Speaker 2: risico dat één persoon het certificaatsysteem begrijpt en vervolgens het
7:08
Speaker 2: bedrijf verlaat met alle kennis in zijn hoofd. PKI op
7:11
Speaker 2: zich is niet voorbehouden aan grote bedrijven. Een klein bedrijf
7:14
Speaker 2: kan profiteren van hetzelfde soort apparaatbeveiliging als een grote onderneming.
7:17
Speaker 2: Het probleem is dat het draaien van traditionele PKI de
7:20
Speaker 2: inspanning van een veel grotere IT-afdeling kan vereisen. Microsoft Cloud
7:23
Speaker 2: PKI behoudt het certificaatproces, maar verplaatst veel van die techniek
7:27
Speaker 2: uit je serverruimte naar de Microsoft Cloud. Wat Microsoft Cloud
7:30
Speaker 2: PKI daadwerkelijk is Microsoft Cloud PKI is Microsofts beheerde certificeringsinstantie
7:34
Speaker 2: service binnen Intune. Dat is de eenvoudige definitie in begrijpelijke taal.
7:38
Speaker 2: Het creëert en beheert certificaten voor apparaten en gebruikers die
7:40
Speaker 2: Intune beheert. In plaats van dat jouw bedrijf het batchsysteem
7:43
Speaker 2: op lokale servers draait, voert Microsoft de certificeringsinstantie service in
7:46
Speaker 2: de cloud uit. Je werknemers hoeven geen app genaamd Cloud
7:49
Speaker 2: PKI te openen, op een knop te klikken om een
7:50
Speaker 2: certificaat aan te vragen, een bestand op te slaan of
7:52
Speaker 2: nog een wachtwoord te onthouden. Cloud PKI werkt op de achtergrond.
7:55
Speaker 2: Het kan een certificaat uitgeven wanneer een beheerd apparaat er
7:58
Speaker 2: een nodig heeft, het vernieuwen voordat het verloopt en het
8:00
Speaker 2: intrekken wanneer dat certificaat niet langer geldig mag zijn. Laten
8:02
Speaker 2: we de analogie van het kantoorpand weer gebruiken. Entra ID
8:05
Speaker 2: zit bij de receptie. Het weet wie mensen zijn en
8:07
Speaker 2: controleert hun inlogidentiteit. Intune fungeert als de gebouwbeheerder. Het weet
8:11
Speaker 2: welke laptops en telefoons bij het bedrijf horen en verstuurt
8:14
Speaker 2: hun instellingen, apps en regels. Cloud PKI is de beveiligde
8:17
Speaker 2: badge balie binnen dat gebouw. Intune vertelt de badge balie
8:20
Speaker 2: welke beheerde apparaten toegang nodig hebben. Cloud PKI maakt het
8:23
Speaker 2: certificaat aan. Vervolgens kan het apparaat dat certificaat gebruiken wanneer
8:26
Speaker 2: het verbinding maakt met services die jouw bedrijf zo heeft
8:27
Speaker 2: ingesteld dat ze het vertrouwen. Elke service heeft een duidelijke rol.
8:30
Speaker 2: Je hebt geen lokale Windows-server meer nodig die een root-certificeringsinstantie draait.
8:33
Speaker 2: Je hebt geen andere lokale server meer nodig die fungeert
8:35
Speaker 2: als een uitgevende certificeringsinstantie. Microsoft kan beide onderdelen hosten in
8:39
Speaker 2: een cloud-first opzet met een circa aan de top en
8:41
Speaker 2: een uitgevende circa die de certificaten voor uw apparaten beheert.
8:44
Speaker 2: Dat scheelt een hoop apparatuur in het plan. Het verandert
8:46
Speaker 2: ook wie de onderliggende certificaat-service beheert. Bij gelicentieerd productiegebruik beschermt
8:51
Speaker 2: Microsoft de sleutels van de certificaatautoriteit met hardware-beveiligingsmodules, meestal HSMs genoemd.
8:56
Speaker 2: Een HSM is een beveiligde kluis hardware die is gebouwd
8:58
Speaker 2: om uiterst gevoelige cryptografische sleutels te beschermen. U hoeft die
9:01
Speaker 2: hardware niet zelf aan te schaffen, in een rack te plaatsen,
9:03
Speaker 2: te patchen of te beveiligen. Microsoft beheert dit als onderdeel
9:05
Speaker 2: van de service. Uw taak blijft gericht op de zakelijke
9:08
Speaker 2: beslissing welke apparaten moeten certificaten ontvangen en waar moeten die
9:11
Speaker 2: certificaten toegang toegeven. Er is één korte naam die u
9:13
Speaker 2: hier moet kennen, SCP. Het staat voor Simple Certificate Enrollment Protocol.
9:18
Speaker 2: U hoeft de volledige naam na deze aflevering niet meer
9:20
Speaker 2: te onthouden. Zie SCP als de beveiligde aanvraagstrook tussen een
9:23
Speaker 2: beheerapparaat en het kantoor waar passen worden uitgegeven. Een laptop
9:25
Speaker 2: gebruikt die strook om een certificaat aan te vragen. Cloud
9:28
Speaker 2: PKI controleert de aanvraag via Intune en stuurt het ondertekende
9:31
Speaker 2: certificaat terug zodra de aanvraag door de controles komt. Het
9:33
Speaker 2: apparaat stuurt zijn privégeheim niet over die stro. Dat detail
9:36
Speaker 2: is belangrijk. Het apparaat maakt zijn privésleutel lokaal aan en
9:39
Speaker 2: houdt deze daar. Cloud PKI ontvangt een verzoek met de
9:42
Speaker 2: publieke informatie die nodig is om het certificaat uit te geven,
9:44
Speaker 2: niet de privésleutel van het apparaat. Cloud PKI ondersteunt de
9:47
Speaker 2: apparaatfamilies die de meeste kleine bedrijven al gebruiken. Dat omvat Windows-laptops, Macs, iPhones,
9:52
Speaker 2: iPads en Android-apparaten. De voorwaarde is eenvoudig. Het apparaat moet
9:56
Speaker 2: zijn ingeschreven en beheerd via Intune en het platform moet
9:59
Speaker 2: het certificaat van Intune ondersteunen. Een persoonlijke laptop die niet
10:02
Speaker 2: via Intune wordt beheerd, past niet in dit model. Die
10:05
Speaker 2: grens is bewust gekozen. Cloud PKI gebruikt Intune's kennis van
10:08
Speaker 2: het apparaat als onderdeel van het proces, dus het werkt
10:10
Speaker 2: het best waar uw bedrijf de configuratie beheert en beveiligingsregels
10:13
Speaker 2: kan toepassen. Controleer de licenties voordat u dit in uw
10:16
Speaker 2: planning opneemt. Cloud PKI vereist de juiste Microsoft licenties naast Intune.
10:20
Speaker 2: Microsoft wijzigt de plandetails in de loop van de tijd,
10:22
Speaker 2: dus controleer uw huidige rechten en bevestig wie een licentie
10:25
Speaker 2: nodig heeft voordat u de service daaromheen ontwerpt. De certificaatautoriteit
10:28
Speaker 2: bevindt zich nu wellicht in de cloud, maar het certificaat
10:30
Speaker 2: moet nog steeds veilig de juiste laptop bereiken. Die reis
10:33
Speaker 2: verklaart waarom Cloud PKI zo goed werkt voor modern werken.
10:36
Speaker 2: Stel u voor dat een nieuwe medewerker voor het eerst
10:38
Speaker 2: een door Intune beheerde laptop opent en verbinding moet maken
10:40
Speaker 2: met beveiligde wifi of een VPN moet gebruiken. Wat gebeurt
10:43
Speaker 2: er als een apparaat een certificaat nodig heeft? Stel u
10:46
Speaker 2: een nieuwe medewerker voor die de eerste ochtend thuis aan
10:48
Speaker 2: hun zakelijke laptop gaat zitten. Die laptop is al ingeschreven
10:51
Speaker 2: in Intune. Ze hebben kantoor wifi nodig zodra ze daar
10:54
Speaker 2: zijn en waarschijnlijk een VPN voor interne systemen vanuit huis,
10:56
Speaker 2: maar ze hoeven niet naar een wifi-wachtwoord te zoeken of
10:58
Speaker 2: IT te bellen voor een certificaat. Nog voordat de laptop
11:01
Speaker 2: om zijn eigen certificaat vraagt. verstuurt Intune de certificaten die
11:04
Speaker 2: de laptop moet vertrouwen. Dat omvat het rood certificaat en
11:07
Speaker 2: het uitgevende certificaat van uw Cloud PKI-configuratie. Klinkt als een
11:10
Speaker 2: klein detail, toch? Eigenlijk is het het volledige fundament. Het
11:13
Speaker 2: vertelt de laptop, dit is de certificaatautoriteit die je kunt vertrouwen.
11:16
Speaker 2: Zonder dat vertrouwen kan de laptop niet weten of een
11:19
Speaker 2: certificaat van de goedgekeurde dienst van uw bedrijf komt of
11:21
Speaker 2: ergens anders vandaan. Vervolgens genereert de laptop zijn eigen privésleutel.
11:25
Speaker 2: Dit gebeurt direct op het apparaat zelf en die privésleutel
11:27
Speaker 2: verlaat het apparaat nooit. Hij wordt niet gekopieerd naar Intune,
11:30
Speaker 2: verzonden naar Cloud PKI of doorgegeven aan de wifi-dienst. Die
11:33
Speaker 2: scheiding is wat het geheim veilig houdt. Daarna bereidt de
11:36
Speaker 2: laptop een certificaataanvraag voor. Dit verzoek bevat de openbare informatie
11:40
Speaker 2: die nodig is voor het certificaat. plus het bewijs dat
11:42
Speaker 2: de laptop zijn eigen privé-sleutel beheert. Het verstuurt dat verzoek
11:44
Speaker 2: via SHP, het beveiligde aanvraagpad waar we het eerder over hadden.
11:48
Speaker 2: Alleen het verzoek reist niet de sleutel. Nu speelt Intune
11:50
Speaker 2: een actieve rol bij de controle. Het bevestigt dat het
11:52
Speaker 2: verzoek afkomstig is van een apparaat dat is ingeschreven en
11:54
Speaker 2: beheerd door uw bedrijf. Het beveiligt ook het verzoek, zodat
11:57
Speaker 2: de Cloud PKI-dienst kan verifiëren dat er onderweg niet mee
12:00
Speaker 2: geknoeid is. Als het verzoek niet overeenkomt met wat Intune verwacht,
12:03
Speaker 2: wordt er geen certificaat uitgegeven. Dat voorkomt dat een onbekende
12:06
Speaker 2: laptop er zomaar om vraagt en er een krijgt. Wanneer
12:08
Speaker 2: alle controles zijn geslaagd, stuurt Cloud PKI het verzoek naar
12:11
Speaker 2: de uitgevende certificaatautoriteit. De uitgevende circa ondertekent een certificaat voor
12:15
Speaker 2: die apparaatidentiteit en in toen levert het terug aan de laptop.
12:18
Speaker 2: De medewerker ziet hier niets van. Ze openen gewoon de
12:20
Speaker 2: laptop en zodra ze op kantoor aankomen, kan het wifi-netwerk
12:23
Speaker 2: de laptop om bewijs vragen. In plaats van een gedeeld
12:25
Speaker 2: wachtwoord te typen, presenteert de laptop zijn certificaat. Het netwerk
12:28
Speaker 2: controleert vervolgens de certificaatketen. Is dit certificaat uitgegeven door de
12:31
Speaker 2: uitgevende circa die het vertrouwt, en linkt die uitgevende circa
12:34
Speaker 2: terug naar de root circa die het vertrouwt, als die
12:36
Speaker 2: controles slagen, maakt de laptop verbinding. Hetzelfde patroon werkt met
12:39
Speaker 2: een VPN. Een VPN-dienst kan controleren of het apparaatsertificaat bij
12:43
Speaker 2: een beheerde bedrijfslaptop hoort voordat verbinding wordt toegestaan. Een interne
12:46
Speaker 2: app kan hetzelfde doen en alleen apparaten accepteren die een
12:49
Speaker 2: certificaat van uw goedgekeurde certificaatautoriteit dragen. Het certificaat vervangt niet
12:53
Speaker 2: elke aanmeldprompt overal, maar geeft de dienst een extra sterke
12:55
Speaker 2: manier om het apparaat te identificeren. Laten we het nu
12:58
Speaker 2: hebben over het onderdeel dat mensen meestal pas opmerken als
13:00
Speaker 2: het kapot gaat. De verloopdatum. Certificaten blijven niet eeuwig geldig
13:03
Speaker 2: en dat is een bewuste keuze. Een certificaat heeft een
13:05
Speaker 2: einddatum nodig, zodat oude apparaatreferenties niet voor altijd blijven werken
13:08
Speaker 2: zonder een nieuwe controle. Cloud PKI en Intune kunnen de
13:10
Speaker 2: verlenging al voor die datum starten zodra het beheerde apparaat incheckt.
13:14
Speaker 2: De laptop vraagt een vervangend certificaat aan en het hele
13:16
Speaker 2: proces volgt hetzelfde beveiligde pad. Voor de medewerker verandert er niets.
13:20
Speaker 2: Ze maken verbinding met wifi, gebruiken de VPN en het
13:23
Speaker 2: certificaat wordt op de achtergrond vernieuwd in plaats van dat
13:26
Speaker 2: het een verrassingsticket bij de supportafdeling wordt op de vervaldag.
13:28
Speaker 2: Een verloren laptop vereist een andere aanpak. Als een apparaat verdwijnt,
13:32
Speaker 2: een medewerker vertrekt of u vermoedt dat het certificaat niet
13:35
Speaker 2: langer te vertrouwen is, kan een beheerder dat certificaat intrekken
13:38
Speaker 2: in Intune. Cloud PKI publiceert die wijziging, zodat services die
13:41
Speaker 2: de status van certificaten controleren het oude certificaat kunnen weigeren.
13:44
Speaker 2: Het apparaat bestaat fysiek misschien nog, maar het digitale bewijs
13:47
Speaker 2: werkt niet meer. Dat is een veel betere uitgangspositie dan
13:50
Speaker 2: het wijzigen van een gedeeld wifi-wachtwoord in de hoop dat
13:52
Speaker 2: elke oud-medewerker, oude laptop en privételefoon dit niet meer heeft.
13:55
Speaker 2: Toch betekent automatische certificaatlevering niet dat Cloud PKI elke certificaattaak
13:59
Speaker 2: in uw bedrijf afhandelt. Het werkt erg goed voor een
14:02
Speaker 2: specifieke zettaken. Andere taken vereisen een andere certificaatdienst. en door
14:06
Speaker 2: die grens te kennen, bespaart u tijd voordat u begint
14:08
Speaker 2: met bouwen. Waar Cloud PKI wel en niet geschikt voor is.
14:11
Speaker 2: Cloud PKI is het meest geschikt wanneer een beheerd bedrijfsapparaat
14:13
Speaker 2: zichzelf moet bewijzen voordat het toegang krijgt. Beveiligde wifi is
14:16
Speaker 2: een klassiek voorbeeld. In plaats van elke nieuwe medewerker hetzelfde
14:19
Speaker 2: draadloze wachtwoord te geven, kan in toen een certificaat op
14:22
Speaker 2: een beheerde laptop of telefoon plaatsen, dat het netwerk vervolgens accepteert.
14:25
Speaker 2: VPN-toegang is een andere goede toepassing. Een beheerde laptop kan
14:28
Speaker 2: het certificaat aanbieden bij het verbinden, waardoor wachtwoordpomps verdwijnen en
14:31
Speaker 2: de VPN een extra manier heeft om het apparaat te
14:33
Speaker 2: verifiëren voordat toegang wordt verleend. Sommige interne apps kunnen dezelfde
14:37
Speaker 2: methode gebruiken wanneer ze alleen apparaten willen accepteren die uw
14:39
Speaker 2: bedrijf beheert. Dit werkt op beheerde Windows-laptops, Macs, iPhones, iPads
14:44
Speaker 2: en Android-apparaten. Voor een klein bedrijf verandert dit een bekend probleem.
14:48
Speaker 2: Een gedeeld wifi-wachtwoord verspreidt zich vaak snel. Het duikt op
14:51
Speaker 2: in welkomstmails, chatberichten, notitiebloeken en oude telefoons. Als iemand vertrekt,
14:55
Speaker 2: kan het wijzigen ervan betekenen dat elke printer, laptop, tablet
14:58
Speaker 2: en vergaderuimteapparaat opnieuw moet worden verbonden. Met apparaatcertificaten draagt elk
15:02
Speaker 2: beheerd apparaat zijn eigen toegangsgegeven bij zich. De toegangsbeslissing wordt
15:05
Speaker 2: bovendien nauwkeuriger. Een wachtwoord bewijst alleen dat iemand het wachtwoord kent.
15:09
Speaker 2: Een certificaat uitgegeven via Cloud PKI koppelt toegang aan een
15:12
Speaker 2: apparaat dat Intune kent en beheert. Dat ondersteunt de gedachte
15:15
Speaker 2: achter Zero Trust. Verleen geen toegang enkel omdat iets zich
15:18
Speaker 2: op het kantoornetwerk bevindt. Controleer het apparaat en het bewijs
15:21
Speaker 2: telkens wanneer de dienst daarom vraagt. Er zijn twee gebruikelijke
15:24
Speaker 2: manieren om te beginnen. Als je bedrijf grotendeels in de
15:26
Speaker 2: cloud werkt en geen bestaand certificaatsysteem heeft, kun je een
15:29
Speaker 2: root circa en uitgevende circa maken in Cloud PKI. Daarna
15:32
Speaker 2: configureer je de wifi-dienst, VP en gateway of geselecteerde apps
15:35
Speaker 2: van je beheerde apparaten om die certificaatketen te vertrouwen. Dat
15:37
Speaker 2: is de weg van een schone start. Als je al
15:39
Speaker 2: een certificaatinstantie beheert, hoef je deze niet altijd weg te gooien.
15:43
Speaker 2: Cloud PKI kan een uitgevende circa gebruiken die terugverwijst naar
15:45
Speaker 2: een bestaande root circa, zodat je nieuwe Intune beheerde apparaten
15:48
Speaker 2: passen binnen de vertrouwensregels die je al gebruikt. De juiste
15:51
Speaker 2: weg hangt af van wat je netwerk al vertrouwt, maar
15:53
Speaker 2: Cloud PKI heeft een duidelijke grens. Het richt zich op
15:56
Speaker 2: apparaten die zijn ingeschreven in Intune. Het geeft niet elk
15:59
Speaker 2: type certificaat uit voor elke machine of dienst die je
16:01
Speaker 2: bedrijf bezit. Het is bijvoorbeeld geen algemene vervanging voor certificaten
16:05
Speaker 2: op webservers, VP en gateways, loadbalancers of andere servers. Het
16:09
Speaker 2: lost ook geen certificaatbehoeften op voor onbeheerde computers. geïsoleerde systemen
16:13
Speaker 2: zonder cloudverbinding of Linux-apparaten buiten Intune-ondersteuning. Dat vermindert het nut
16:17
Speaker 2: ervan niet. Het betekent simpelweg dat je de juiste tool
16:20
Speaker 2: voor de juiste taak moet kiezen. Cloud PKI regelt dit
16:22
Speaker 2: voor je beheerde gebruikersapparaten. Een andere dienst kan nog steeds
16:25
Speaker 2: certificaten beheren voor de systemen waarmee die apparaten verbinding maken.
16:27
Speaker 2: Je wifi-controller, VPN-gateway of interne app heeft ook configuratiewerk nodig.
16:31
Speaker 2: Deze moet de root- en uitgevende certificaatketen vertrouwen die Cloud
16:34
Speaker 2: PKI gebruikt. Als die dienst je certificaatinstantie niet herkent, zal
16:37
Speaker 2: het een uitstekend apparaatcertificaat afwijzen. De kant van het apparaat
16:40
Speaker 2: en de kant van de dienst moeten op elkaar afgestemd zijn.
16:42
Speaker 2: Eén planningspunt kan later frustratie voorkomen. Wanneer je een certificaatinstantie maakt,
16:47
Speaker 2: kies je wat de certificaten kunnen doen. Die keuzes moeten
16:49
Speaker 2: overeen komen met je geplande gebruik. Client authenticatie voor wifi
16:52
Speaker 2: of VPN toegang, bijvoorbeeld. Als je te nauw kiest en
16:55
Speaker 2: later een ander doel nodig hebt, moet je wellicht een
16:57
Speaker 2: nieuwe certificaatinstantie maken en apparaten verplaatsen. Bepaal de eerste use
17:02
Speaker 2: case voordat je iets aanmaakt. Dat brengt ons weg van
17:04
Speaker 2: het technisch diagram en terug naar een eenvoudige zakelijke keuze.
17:07
Speaker 2: Waar zou een apparaatcertificaat een echt toegangsprobleem voor je personeel wegnemen?
17:11
Speaker 2: Een verstandig startpunt voor een klein bedrijf. Dus, waar moet
17:14
Speaker 2: een klein bedrijf beginnen? Begin met één probleem, niet met
17:16
Speaker 2: een bedrijfsprede uitrol. Misschien gebruikt je personeels wifi nog één
17:20
Speaker 2: gedeeld wachtwoord, of moet men via je VPN steeds opnieuw inloggen.
17:23
Speaker 2: Misschien heb je een interne app die alleen geopend mag
17:25
Speaker 2: worden vanaf beheerde bedrijfslaptops. Kies één probleem. Zorg daarna dat
17:28
Speaker 2: de basis op orde is. Zijn die apparaten ingeschreven in Intune?
17:32
Speaker 2: Loggen gebruikers in via EntraID? Bevat uw Microsoft licentie wat
17:35
Speaker 2: Cloud PKI nodig heeft? Voer een kleine pilot uit om
17:38
Speaker 2: die vragen te beantwoorden zonder iedereen te beïnvloeden. Selecteer een
17:40
Speaker 2: beperkte groep apparaten, bouw de vertrouwensketen, het certificaatprofiel en het
17:44
Speaker 2: bijbehorende wifi of VPN beleid samen als één verbonden taak.
17:47
Speaker 2: Behandel het certificaat niet apart, want de netwerkservice moet weten
17:50
Speaker 2: welke certificaatketen geaccepteerd moet worden. Betrek de persoon die verantwoordelijk
17:53
Speaker 2: is voor dat netwerk.