DuoKey

PKI et gestion du cycle de vie des certificats

DuoKey vs Microsoft AD CS

Microsoft Active Directory Certificate Services est un rôle Windows Server qui exploite des autorités de certification d'entreprise et autonomes sur site. Microsoft Cloud PKI ajoute une CA émettrice en SaaS pour les appareils gérés par Intune. DuoKey est une plateforme suisse de PKI et de cycle de vie des certificats : CA privées, ACME, EST, SCEP et CMP, découverte, déploiement avec retour arrière, certificats post-quantiques et journal d'audit infalsifiable, opérée par DuoKey ou sur site.

DuoKey

21 / 32

Microsoft AD CS

11 / 32

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Courtage de CA publiques / externes
  • Services PKI connexes
  • ACME (RFC 8555)
  • EST (RFC 7030)
  • CMPv2 (RFC 4210/9483)
  • Émetteur Kubernetes cert-manager
  • Découverte des certificats (scan réseau et/ou agents)
  • Inventaire central avec contrôles de politique / conformité
  • Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière
  • Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)
  • Journal d'audit inviolable (signé / chaîné par hachage)
  • Support 24/7 avec délais de réponse garantis par SLA
  • Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

Critère par critère

DuoKey et Microsoft AD CS, côte à côte

CapacitéDuoKeyMicrosoft AD CS

Autorité de certification et émission

1Hiérarchie de CA privée

Exploiter ses propres CA racines et intermédiaires avec contrôle du cycle de vie

OuiCA racines, intermédiaires, importées ; révocation en cascadeSource
OuiCA racines et subordonnéesSource

2Courtage de CA publiques / externes

Commander et renouveler des certificats de CA publiques ou cloud (Let's Encrypt, DigiCert, Sectigo, AWS PCA, ADCS...) depuis une seule console

OuiLet's Encrypt, DigiCert, Sectigo, AWS, Azure, GCP, ADCSSource
Non documentéPas de courtage de CA publiquesSource

3Révocation

CRL et OCSP pour les parties utilisatrices

OuiOCSP et CRL par CASource
OuiCRL et Online Responder (OCSP)Source

4Services PKI connexes

SSH CA et/ou horodatage RFC 3161

OuiSSH CA, horodatage RFC 3161Source
Non documenté

Inscription

5ACME (RFC 8555)

OuiAnnuaire ACME par CASource
Non documentéPas d'ACME pour l'émission AD CS

6EST (RFC 7030)

OuiDont serverkeygen, csrattrsSource
Non documentéInscription web via WS-Trust, pas ESTSource

7SCEP (RFC 8894)

OuiProfils SCEP configurablesSource
OuiNDES (SCEP)Source

8CMPv2 (RFC 4210/9483)

OuiCMP, profil allégé inclusSource
Non documentéCMC pour l'archivage des clés, pas de CMPv2Source

9Auto-inscription Microsoft (GPO / WCCE / MS-XCEP)

Non documentéPas d'auto-inscription WindowsSource
OuiAuto-inscription par GPO, CEP/CESSource

10Distribution de certificats via Intune / MDM

PartielDistribution Intune pour S/MIME uniquementSource
OuiVia Intune Certificate ConnectorSource

11Émetteur Kubernetes cert-manager

OuiVia l'émetteur ACME, vérifié de bout en boutSource
Non documenté

Visibilité et automatisation

12Découverte des certificats (scan réseau et/ou agents)

OuiScanners réseau et agentsSource
Non documentéPas de découverte réseau ni par agent

13Inventaire central avec contrôles de politique / conformité

OuiContrôles Mozilla/NIST/PCI, CMDB ServiceNowSource
Non documentéPas de moteur de conformité

14Renouvellement et redéploiement automatisés

PartielRenouvellement piloté par client ACME documentéSource
PartielRenouvellement auto pour clients du domaine seulementSource

15Alertes d'expiration

PartielAlertes génériques par webhook et e-mailSource
PartielNotification d'expiration côté clientSource

16Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière

OuiF5, FortiGate, Azure, IIS, Nginx, JKS + retour arrièreSource
Non documentéPas de déploiement vers les équipements

17Certificats de courte durée / préparation au TLS à 47 jours à grande échelle

PartielValidité à la journée et ACMESource
Non documenté

Protection des clés

18Clés de CA protégées par HSM (non exportables)

PartielAdossé à un coffre ; HSM pour les CA PQCSource
OuiHSM optionnel ; sinon clé sur le serveur CASource

19Clés de CA fragmentées par MPC / seuil (jamais entières en un seul endroit)

Non documentéNon documenté pour les clés de CA
Non documentéPlusieurs KRA ne forment pas un quorumSource

20Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)

OuiML-DSA, SLH-DSA, composite ML-DSA-65+P256Source
PartielML-DSA sur WS2025 (KB5087539) ; composite prévuSource

Cas d'usage

21S/MIME avec séquestre et recouvrement des clés

OuiSéquestre et recouvrement, distribution IntuneSource
OuiArchivage des clés avec recouvrement KRASource

22Service de signature de code

PartielCertificats de signature de codeSource
PartielCertificats de signature de code, sans service de signatureSource

23Identité IoT / des équipements à grande échelle

Non documentéAucun chiffre de volumétrie publiéSource
PartielNDES pour les équipements réseauSource

Gouvernance

24RBAC granulaire

OuiPermissions PKI hiérarchiquesSource
OuiRôles admin CA, gestionnaire de certificats, auditeur, KRASource

25Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles

PartielWorkflow d'approbation ; quorum pour recouvrement S/MIMESource
PartielApprobateur unique ; double contrôle procéduralSource

26Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI

Non documentéPolitiques d'accès non liées aux CASource
Non documenté

27Journal d'audit inviolable (signé / chaîné par hachage)

OuiHMAC-SHA256 et chaîne de hachageSource
Non documentéJournal Sécurité Windows ; ni signé ni chaînéSource

28Intégration SIEM

OuiSplunk, syslog, ElasticSource
OuiÉvénements d'audit via Windows Event ForwardingSource

Déploiement et éditeur

29Options SaaS et sur site

OuiHébergé par DuoKey ou sur siteSource
OuiAD CS sur site ; Cloud PKI en SaaSSource

30Haute disponibilité / reprise après sinistre

OuiNœuds API sans état, répliquesSource
OuiCA en ressource de cluster de basculementSource

31Support 24/7 avec délais de réponse garantis par SLA

Oui24/7 en Platinum, 1 heure pour le critiqueSource
Non documentéAucun SLA spécifique PKI trouvé

32Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

OuiISO 27001, SOC 2, TISAX AL3Source
PartielModules Windows FIPS 140 ; pas de WebTrustSource

Pourquoi choisir DuoKey

Les différences clés avec Microsoft AD CS

01

Protocoles d'inscription modernes

AD CS émet via l'auto-inscription, l'inscription web (WS-Trust), NDES (SCEP) et CMC ; Microsoft ne documente pas d'émission ACME, EST ou CMPv2. DuoKey sert ACME, EST, SCEP et CMP (y compris le profil allégé) depuis chaque CA, et fonctionne avec Kubernetes cert-manager.

02

Découvrir, renouveler et déployer les certificats

AD CS n'offre ni découverte réseau ou par agent, ni déploiement vers les répartiteurs de charge ou les pare-feu. DuoKey découvre les certificats sur le réseau et via des agents, les contrôle selon les règles Mozilla, NIST et PCI, et les déploie vers F5, FortiGate, Azure, IIS, Nginx et les keystores Java avec retour arrière.

03

Un journal d'audit qui se prouve lui-même

AD CS écrit dans le journal Sécurité de Windows ; Microsoft précise que le transfert d'événements n'empêche pas l'écrasement local. DuoKey signe chaque enregistrement d'audit en HMAC-SHA256 et l'intègre à une chaîne de hachage SHA-256.

04

Non exposé aux abus de modèles AD CS

Microsoft documente des correctifs pour l'authentification par certificat (Certifried, CVE-2022-26923, KB5014754) et suit les erreurs de configuration de modèles ESC1 à ESC15 dans Defender for Identity. Les CA DuoKey ne reposent pas sur des modèles intégrés à AD : ces chemins d'abus Active Directory ne s'appliquent donc pas.

Les points forts de Microsoft AD CS

AD CS est profondément intégré à Active Directory : auto-inscription et renouvellement par stratégie de groupe, CEP/CES pour les clients hors domaine, NDES, archivage des clés avec séparation des rôles et événements d'audit détaillés. Il prend désormais en charge ML-DSA sous Windows Server 2025, et Microsoft Cloud PKI propose une option SaaS avec Managed HSM pour Intune.

FAQ

DuoKey est-il une alternative à Microsoft AD CS pour la PKI et la gestion des certificats ?

Oui. DuoKey fournit des autorités de certification privées, le pilotage de CA publiques et cloud, ACME, EST, SCEP et CMP, la découverte, le déploiement avec retour arrière et des certificats post-quantiques, opérés par DuoKey ou sur site.

Peut-on garder Microsoft AD CS et ajouter DuoKey ?

Oui. DuoKey peut piloter des autorités existantes comme émetteurs (Microsoft AD CS via NDES, DigiCert, Sectigo, Let's Encrypt, AWS, Azure, Google) tout en centralisant l'inventaire et le déploiement.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres PKI et gestion du cycle de vie des certificats : émission, protocoles d'inscription, visibilité et automatisation, protection des clés, cas d'usage, gouvernance et déploiement. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Microsoft AD CS

  1. [1]learn.microsoft.comcritères 1, 3, 23https://learn.microsoft.com/windows-server/identity/ad-cs/active-directory-certificate-services-overview
  2. [2]learn.microsoft.comcritères 2https://learn.microsoft.com/intune/cloud-pki/
  3. [3]learn.microsoft.comcritères 6https://learn.microsoft.com/windows-server/identity/ad-cs/certificate-enrollment-policy-web-service-overview
  4. [4]learn.microsoft.comcritères 7https://learn.microsoft.com/windows-server/identity/ad-cs/network-device-enrollment-service-overview
  5. [5]learn.microsoft.comcritères 8, 19, 21, 25https://learn.microsoft.com/windows-server/identity/ad-cs/configure-key-archival-recover-private-keys
  6. [6]learn.microsoft.comcritères 9https://learn.microsoft.com/windows-server/identity/ad-cs/configure-certificate-enrollment-web-service
  7. [7]learn.microsoft.comcritères 10https://learn.microsoft.com/intune/fundamentals/certificates/connector/setup-connector
  8. [8]learn.microsoft.comcritères 14https://learn.microsoft.com/windows-server/networking/core-network-guide/cncg/server-certs/configure-server-certificate-auto-enrollment
  9. [9]learn.microsoft.comcritères 15https://learn.microsoft.com/powershell/module/pki/set-certificateautoenrollmentpolicy
  10. [10]learn.microsoft.comcritères 18https://learn.microsoft.com/windows-server/identity/ad-cs/certification-authority-role
  11. [11]learn.microsoft.comcritères 20, 22https://learn.microsoft.com/windows-server/identity/ad-cs/post-quantum-cryptography-overview
  12. [12]learn.microsoft.comcritères 24, 27, 28https://learn.microsoft.com/windows-server/identity/ad-cs/secure-delegate-audit-certification-authority
  13. [13]learn.microsoft.comcritères 29https://learn.microsoft.com/intune/cloud-pki/deployment-models
  14. [14]learn.microsoft.comcritères 30https://learn.microsoft.com/windows-server/identity/ad-cs/migrate-certification-authority
  15. [15]learn.microsoft.comcritères 32https://learn.microsoft.com/windows/security/security-foundations/certification/fips-140-validation

DuoKey

  1. [1]docs.duokey.comcritères 1, 2, 3, 8, 13, 16, 18, 20https://docs.duokey.com/docs/pki-ssl/overview#core-capabilities
  2. [2]docs.duokey.comcritères 4https://docs.duokey.com/docs/cockpit/ssh-certificate-authority#what-is-an-ssh-certificate-authority
  3. [3]docs.duokey.comcritères 5https://docs.duokey.com/docs/developer/pki-api#acme-rfc-8555
  4. [4]docs.duokey.comcritères 6, 23https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#est-rfc-7030
  5. [5]docs.duokey.comcritères 7https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#scep-rfc-8894
  6. [6]docs.duokey.comcritères 9https://docs.duokey.com/docs/pki-ssl/issuers/adcs-ndes#overview
  7. [7]docs.duokey.comcritères 10, 21https://docs.duokey.com/docs/cockpit/release-notes#205-206
  8. [8]docs.duokey.comcritères 11, 14https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#using-acme-with-kubernetes-cert-manager
  9. [9]docs.duokey.comcritères 12https://docs.duokey.com/docs/developer/pki-api#discovery-compliance
  10. [10]docs.duokey.comcritères 15, 28https://docs.duokey.com/docs/cockpit/deployment#observability
  11. [11]docs.duokey.comcritères 17, 22https://docs.duokey.com/docs/pki-ssl/operations/create-certificate#phase-1-create-the-request
  12. [12]docs.duokey.comcritères 24https://docs.duokey.com/docs/developer/pki-api#certificates-requests
  13. [13]docs.duokey.comcritères 25https://docs.duokey.com/docs/pki-ssl/getting-started#the-certificate-lifecycle
  14. [14]docs.duokey.comcritères 26https://docs.duokey.com/docs/developer/administration-api#access-policies
  15. [15]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/security#tamper-evident-audit
  16. [16]docs.duokey.comcritères 29https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  17. [17]docs.duokey.comcritères 30https://docs.duokey.com/docs/cockpit/deployment#high-availability-and-resilience
  18. [18]docs.duokey.comcritères 31https://docs.duokey.com/docs/why-mpc
  19. [19]duokey.comcritères 32https://duokey.com/en/compliance/iso-27001

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions