DuoKey

PKI et gestion du cycle de vie des certificats

DuoKey vs Microsoft AD CS

Microsoft Active Directory Certificate Services est un rôle Windows Server qui exploite des autorités de certification d'entreprise et autonomes sur site. Microsoft Cloud PKI ajoute une CA émettrice en SaaS pour les appareils gérés par Intune. DuoKey est une plateforme suisse de PKI et de cycle de vie des certificats : CA privées aux clés protégées par HSM, ACME, EST, SCEP et CMP, découverte, déploiement et renouvellement automatique avec retour arrière, signature de code, gouvernance M-of-N, certificats post-quantiques et journal d'audit infalsifiable, opérée par DuoKey ou sur site.

DuoKey

31 / 32

Microsoft AD CS

11 / 32

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Courtage de CA publiques / externes
  • Services PKI connexes
  • ACME (RFC 8555)
  • EST (RFC 7030)
  • CMPv2 (RFC 4210/9483)
  • Émetteur Kubernetes cert-manager
  • Découverte des certificats (scan réseau et/ou agents)
  • Inventaire central avec contrôles de politique / conformité
  • Renouvellement et redéploiement automatisés
  • Alertes d'expiration
  • Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière
  • Certificats de courte durée / préparation au TLS à 47 jours à grande échelle
  • Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)
  • Service de signature de code
  • Identité IoT / des équipements à grande échelle
  • Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles
  • Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI
  • Journal d'audit inviolable (signé / chaîné par hachage)
  • Support 24/7 avec délais de réponse garantis par SLA
  • Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

Critère par critère

DuoKey et Microsoft AD CS, côte à côte

CapacitéDuoKeyMicrosoft AD CS

Autorité de certification et émission

1Hiérarchie de CA privée

Exploiter ses propres CA racines et intermédiaires avec contrôle du cycle de vie

OuiCA racines, intermédiaires, importées ; révocation en cascadeSource
OuiCA racines et subordonnéesSource

2Courtage de CA publiques / externes

Commander et renouveler des certificats de CA publiques ou cloud (Let's Encrypt, DigiCert, Sectigo, AWS PCA, ADCS...) depuis une seule console

OuiLet's Encrypt, DigiCert, Sectigo, AWS, Azure, GCP, ADCS (NDES, Server 2025)Source
Non documentéPas de courtage de CA publiquesSource

3Révocation

CRL et OCSP pour les parties utilisatrices

OuiOCSP et CRL par CASource
OuiCRL et Online Responder (OCSP)Source

4Services PKI connexes

SSH CA et/ou horodatage RFC 3161

OuiSSH CA, horodatage RFC 3161Source
Non documenté

Inscription

5ACME (RFC 8555)

OuiAnnuaire ACME par CASource
Non documentéPas d'ACME pour l'émission AD CS

6EST (RFC 7030)

OuiDont serverkeygen, csrattrsSource
Non documentéInscription web via WS-Trust, pas ESTSource

7SCEP (RFC 8894)

OuiProfils SCEP configurablesSource
OuiNDES (SCEP)Source

8CMPv2 (RFC 4210/9483)

OuiCMP, profil allégé inclus ; testé avec OpenSSLSource
Non documentéCMC pour l'archivage des clés, pas de CMPv2Source

9Auto-inscription Microsoft (GPO / WCCE / MS-XCEP)

OuiMS-XCEP / MS-WSTEP, validé sur Server 2025 et Windows 11Source
OuiAuto-inscription par GPO, CEP/CESSource

10Distribution de certificats via Intune / MDM

OuiIntune SCEP et PKCS ; SCEP statique pour JamfSource
OuiVia Intune Certificate ConnectorSource

11Émetteur Kubernetes cert-manager

OuiVia l'émetteur ACME, vérifié de bout en boutSource
Non documenté

Visibilité et automatisation

12Découverte des certificats (scan réseau et/ou agents)

OuiScanners réseau et agentsSource
Non documentéPas de découverte réseau ni par agent

13Inventaire central avec contrôles de politique / conformité

OuiContrôles Mozilla/NIST/PCI, CMDB ServiceNowSource
Non documentéPas de moteur de conformité

14Renouvellement et redéploiement automatisés

OuiRenouvellement et redéploiement côté serveur, reprises, retour arrièreSource
PartielRenouvellement auto pour clients du domaine seulementSource

15Alertes d'expiration

OuiE-mail, Teams, Slack, webhooks par seuilSource
PartielNotification d'expiration côté clientSource

16Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière

OuiF5, FortiGate, Azure, IIS, Nginx, JKS, AD LDAPS + retour arrièreSource
Non documentéPas de déploiement vers les équipements

17Certificats de courte durée / préparation au TLS à 47 jours à grande échelle

OuiACME ARI, http-01/dns-01/tls-alpn-01 ; ~50 cert/s mesurésSource
Non documenté

Protection des clés

18Clés de CA protégées par HSM (non exportables)

OuiClés de CA générées dans un HSM ou KMS, jamais exportéesSource
OuiHSM optionnel ; sinon clé sur le serveur CASource

19Clés de CA fragmentées par MPC / seuil (jamais entières en un seul endroit)

PartielClés de CA détenues en MPC, ECDSA P-256 uniquement (préversion)Source
Non documentéPlusieurs KRA ne forment pas un quorumSource

20Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)

OuiML-DSA, SLH-DSA, composite ML-DSA-65+P256Source
PartielML-DSA sur WS2025 (KB5087539) ; composite prévuSource

Cas d'usage

21S/MIME avec séquestre et recouvrement des clés

OuiSéquestre et recouvrement, distribution IntuneSource
OuiArchivage des clés avec recouvrement KRASource

22Service de signature de code

OuiSignTool, JAR, Git, cosign ; clés en coffre, M-of-NSource
PartielCertificats de signature de code, sans service de signatureSource

23Identité IoT / des équipements à grande échelle

OuiEn production chez Volkswagen ; provisionnement EST et CMPSource
PartielNDES pour les équipements réseauSource

Gouvernance

24RBAC granulaire

OuiPermissions PKI hiérarchiquesSource
OuiRôles admin CA, gestionnaire de certificats, auditeur, KRASource

25Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles

OuiM-of-N sur révocation, archivage, modifications et émission de CASource
PartielApprobateur unique ; double contrôle procéduralSource

26Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI

OuiUtilisateur, IP, pays, horaire sur émission et révocationSource
Non documenté

27Journal d'audit inviolable (signé / chaîné par hachage)

OuiHMAC-SHA256 et chaîne de hachageSource
Non documentéJournal Sécurité Windows ; ni signé ni chaînéSource

28Intégration SIEM

OuiSplunk, syslog, ElasticSource
OuiÉvénements d'audit via Windows Event ForwardingSource

Déploiement et éditeur

29Options SaaS et sur site

OuiHébergé par DuoKey ou sur siteSource
OuiAD CS sur site ; Cloud PKI en SaaSSource

30Haute disponibilité / reprise après sinistre

OuiNœuds API sans état, répliquesSource
OuiCA en ressource de cluster de basculementSource

31Support 24/7 avec délais de réponse garantis par SLA

Oui24/7 en Platinum, 1 heure pour le critiqueSource
Non documentéAucun SLA spécifique PKI trouvé

32Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

OuiISO 27001, SOC 2, TISAX AL3Source
PartielModules Windows FIPS 140 ; pas de WebTrustSource

Pourquoi choisir DuoKey

Les différences clés avec Microsoft AD CS

01

Protocoles d'inscription modernes

AD CS émet via l'auto-inscription, l'inscription web (WS-Trust), NDES (SCEP) et CMC ; Microsoft ne documente pas d'émission ACME, EST ou CMPv2. DuoKey sert ACME, EST, SCEP et CMP (y compris le profil allégé) depuis chaque CA, et fonctionne avec Kubernetes cert-manager.

02

Découvrir, renouveler et déployer les certificats

AD CS n'offre ni découverte réseau ou par agent, ni déploiement vers les répartiteurs de charge ou les pare-feu. DuoKey découvre les certificats sur le réseau et via des agents, les contrôle selon les règles Mozilla, NIST et PCI, et les déploie vers F5, FortiGate, Azure, IIS, Nginx, les keystores Java et Active Directory LDAPS avec retour arrière.

03

Un journal d'audit qui se prouve lui-même

AD CS écrit dans le journal Sécurité de Windows ; Microsoft précise que le transfert d'événements n'empêche pas l'écrasement local. DuoKey signe chaque enregistrement d'audit en HMAC-SHA256 et l'intègre à une chaîne de hachage SHA-256.

04

Non exposé aux abus de modèles AD CS

Microsoft documente des correctifs pour l'authentification par certificat (Certifried, CVE-2022-26923, KB5014754) et suit les erreurs de configuration de modèles ESC1 à ESC15 dans Defender for Identity. Les CA DuoKey ne reposent pas sur des modèles intégrés à AD : ces chemins d'abus Active Directory ne s'appliquent donc pas.

Les points forts de Microsoft AD CS

AD CS est profondément intégré à Active Directory : auto-inscription et renouvellement par stratégie de groupe, CEP/CES pour les clients hors domaine, NDES, archivage des clés avec séparation des rôles et événements d'audit détaillés. Il prend désormais en charge ML-DSA sous Windows Server 2025, et Microsoft Cloud PKI propose une option SaaS avec Managed HSM pour Intune.

FAQ

DuoKey est-il une alternative à Microsoft AD CS pour la PKI et la gestion des certificats ?

Oui. DuoKey fournit des autorités de certification privées dont les clés restent dans un HSM ou un KMS, le pilotage de CA publiques et cloud, ACME, EST, SCEP et CMP, la découverte, le déploiement et le renouvellement automatique avec retour arrière, les alertes d'expiration, un service de signature de code, l'approbation M-of-N des opérations sensibles et des certificats post-quantiques, opérés par DuoKey ou sur site.

Peut-on garder Microsoft AD CS et ajouter DuoKey ?

Oui. DuoKey peut piloter des autorités existantes comme émetteurs (Microsoft AD CS via NDES, DigiCert, Sectigo, Let's Encrypt, AWS, Azure, Google) tout en centralisant l'inventaire et le déploiement.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres PKI et gestion du cycle de vie des certificats : émission, protocoles d'inscription, visibilité et automatisation, protection des clés, cas d'usage, gouvernance et déploiement. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Microsoft AD CS

  1. [1]learn.microsoft.comcritères 1, 3, 23https://learn.microsoft.com/windows-server/identity/ad-cs/active-directory-certificate-services-overview
  2. [2]learn.microsoft.comcritères 2https://learn.microsoft.com/intune/cloud-pki/
  3. [3]learn.microsoft.comcritères 6https://learn.microsoft.com/windows-server/identity/ad-cs/certificate-enrollment-policy-web-service-overview
  4. [4]learn.microsoft.comcritères 7https://learn.microsoft.com/windows-server/identity/ad-cs/network-device-enrollment-service-overview
  5. [5]learn.microsoft.comcritères 8, 19, 21, 25https://learn.microsoft.com/windows-server/identity/ad-cs/configure-key-archival-recover-private-keys
  6. [6]learn.microsoft.comcritères 9https://learn.microsoft.com/windows-server/identity/ad-cs/configure-certificate-enrollment-web-service
  7. [7]learn.microsoft.comcritères 10https://learn.microsoft.com/intune/fundamentals/certificates/connector/setup-connector
  8. [8]learn.microsoft.comcritères 14https://learn.microsoft.com/windows-server/networking/core-network-guide/cncg/server-certs/configure-server-certificate-auto-enrollment
  9. [9]learn.microsoft.comcritères 15https://learn.microsoft.com/powershell/module/pki/set-certificateautoenrollmentpolicy
  10. [10]learn.microsoft.comcritères 18https://learn.microsoft.com/windows-server/identity/ad-cs/certification-authority-role
  11. [11]learn.microsoft.comcritères 20, 22https://learn.microsoft.com/windows-server/identity/ad-cs/post-quantum-cryptography-overview
  12. [12]learn.microsoft.comcritères 24, 27, 28https://learn.microsoft.com/windows-server/identity/ad-cs/secure-delegate-audit-certification-authority
  13. [13]learn.microsoft.comcritères 29https://learn.microsoft.com/intune/cloud-pki/deployment-models
  14. [14]learn.microsoft.comcritères 30https://learn.microsoft.com/windows-server/identity/ad-cs/migrate-certification-authority
  15. [15]learn.microsoft.comcritères 32https://learn.microsoft.com/windows/security/security-foundations/certification/fips-140-validation

DuoKey

  1. [1]docs.duokey.comcritères 1, 2, 3, 8, 13, 16, 20https://docs.duokey.com/docs/pki-ssl/overview#core-capabilities
  2. [2]docs.duokey.comcritères 4https://docs.duokey.com/docs/cockpit/ssh-certificate-authority#what-is-an-ssh-certificate-authority
  3. [3]docs.duokey.comcritères 5https://docs.duokey.com/docs/developer/pki-api#acme-rfc-8555
  4. [4]docs.duokey.comcritères 6https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#est-rfc-7030
  5. [5]docs.duokey.comcritères 7https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#scep-rfc-8894
  6. [6]docs.duokey.comcritères 9https://docs.duokey.com/docs/pki-ssl/windows-autoenrollment#overview
  7. [7]docs.duokey.comcritères 10https://docs.duokey.com/docs/pki-ssl/intune-mdm#overview
  8. [8]docs.duokey.comcritères 11https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#using-acme-with-kubernetes-cert-manager
  9. [9]docs.duokey.comcritères 12https://docs.duokey.com/docs/developer/pki-api#discovery-compliance
  10. [10]docs.duokey.comcritères 14https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#renewal-policies
  11. [11]docs.duokey.comcritères 15https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#expiry-alerts
  12. [12]docs.duokey.comcritères 17https://docs.duokey.com/docs/pki-ssl/short-lived-certificates#load
  13. [13]docs.duokey.comcritères 18https://docs.duokey.com/docs/pki-ssl/ca-key-protection#supported-back-ends
  14. [14]docs.duokey.comcritères 19https://docs.duokey.com/docs/pki-ssl/ca-key-protection#mpc-ca-keys
  15. [15]docs.duokey.comcritères 21https://docs.duokey.com/docs/cockpit/release-notes#205-206
  16. [16]docs.duokey.comcritères 22https://docs.duokey.com/docs/pki-ssl/code-signing#overview
  17. [17]duokey.comcritères 23https://duokey.com/en/customers/volkswagen-ota-edge
  18. [18]docs.duokey.comcritères 24https://docs.duokey.com/docs/developer/pki-api#certificates-requests
  19. [19]docs.duokey.comcritères 25https://docs.duokey.com/docs/pki-ssl/governance#quorum
  20. [20]docs.duokey.comcritères 26https://docs.duokey.com/docs/pki-ssl/governance#access-policies
  21. [21]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/security#tamper-evident-audit
  22. [22]docs.duokey.comcritères 28https://docs.duokey.com/docs/cockpit/deployment#observability
  23. [23]docs.duokey.comcritères 29https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  24. [24]docs.duokey.comcritères 30https://docs.duokey.com/docs/cockpit/deployment#high-availability-and-resilience
  25. [25]docs.duokey.comcritères 31https://docs.duokey.com/docs/why-mpc
  26. [26]duokey.comcritères 32https://duokey.com/en/compliance/iso-27001

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions