Ein geschützter Ausgangspunkt
Windows Server ab 2019, Microsoft AD CS und Microsoft SQL Server oder PostgreSQL bilden den kompakten Einstieg.
KLEINER FOOTPRINT · HOHER SICHERHEITSANSPRUCH
Mit einem Server und integrierter CA starten – nicht mit unnötiger Komplexität.
Core, Datenbank, Microsoft AD CS und Agent können gemeinsam auf einem geschützten Windows Server laufen. Eine Active-Directory-Domäne ist dafür nicht zwingend. AD und Microsoft Entra ID werden bei Bedarf angebunden; weitere CAs und Outposts können später folgen.
NUTZEN IN 30 SEKUNDEN
Auch ein kleiner Betrieb kann einem vollständigen Trust-Prozess folgen.
Der vollständige Identitäts-Lifecycle
Inventory, Register, Assign, benutzergeführtes Enrollment, Erneuerung mit neuem Schlüssel und Verlustprozess gehören schon zum kleinen Einstieg.
Ein Weg über den ersten Server hinaus
Weitere CAs, Domains, Forests, Standorte und Outposts lassen sich mit dem Wachstum anbinden.
KOMPAKT STARTEN · KONTROLLMODELL BEHALTEN
Was braucht ein sinnvoller erster x.ID-Betrieb?
Die erste Architektur soll klein genug für den Betrieb und vollständig genug für verlässlichen Trust sein. Außerdem braucht sie einen klaren Erweiterungsweg, statt zum Wegwerf-Piloten zu werden.
-
01
Ersten Identitäts-Anwendungsfall festlegen
Mit einer begrenzten Benutzergruppe und einem konkreten Einsatz beginnen, etwa PIV-Zertifikatsauthentifizierung oder einer kontrollierten administrativen Identität.
-
02
Windows Server und Datenbank wählen
Der Core läuft auf Windows Server ab 2019 in den unterstützten aktuellen Serverversionen. Microsoft SQL Server wird editionsübergreifend unterstützt; PostgreSQL ist ebenfalls verfügbar.
-
03
Integrierte CA für den ersten PKI-Weg nutzen
Für die integrierte CA wird aktuell Microsoft Active Directory Certificate Services (AD CS) auf demselben Server eingesetzt. Eine AD-Domäne ist für das bestätigte kleine Setup nicht zwingend.
-
04
Bei Bedarf Active Directory oder Entra ID anbinden
Lokale Benutzer und Computer über den LDAP Connector einbeziehen und Cloud-Identitäten über den nativen Azure Connector direkt mit Microsoft Entra ID verbinden.
-
05
Hardware, Identität und Policy binden
Unterstützte Security Keys registrieren, verantwortliche Identitäten zuordnen und Freigabe- sowie Attestation-Regeln vor der Ausgabe durchsetzen.
-
06
Betrieb und Wiederaufbau testen
Reguläre Ausgabe, Erneuerung, Verlustreaktion und Sperrung testen. Die gescriptete, dokumentierte Installation macht auch einen Neuaufbau nachvollziehbar – einschließlich HSM-Anbindung und Zertifikats-/Schlüsseleinrichtung.
-
07
Erweitern statt neu bauen
Weitere Domains, Forests, CAs, Standorte und Outposts ergänzen und dabei Identitäten, Policies und Lifecycle-Nachweise erhalten.
DIE ARCHITEKTUR AUF EINEN BLICK
Ein Server für Core, Datenbank, AD CS und Agent. Verzeichnisse und HSM nach Bedarf.
TECHNISCHE TIEFE
Kompakt bedeutet nicht unvollständig.
Der Betrieb reduziert Infrastruktur, nicht die erforderlichen Trust-Entscheidungen. Diese technischen Grenzen bleiben vom ersten Anwendungsfall an wichtig.
- Microsoft AD CS auf dem Startserver
- Für die integrierte CA wird aktuell Microsoft Active Directory Certificate Services (AD CS) auf demselben Server eingesetzt. Eine AD-Domäne ist für das bestätigte kleine Setup nicht zwingend.
- Agent auf Client oder Jump Host
- Der x.ID Agent läuft auf dem Client oder auf einem Jump Host mit unterstützter Smartcard-Umleitung. Ohne lokale Installation bedeutet nicht ohne Agent. Der YubiKey bleibt am Rechner des Benutzers; der Agent kommuniziert per mTLS mit dem Core.
- Getestete Clientplattformen
- Der bestätigte Teststand umfasst Windows 10, Windows 11 und den aktuellen macOS-Build. Die konkrete Kombination aus Hardware, Client und Remotezugang wird vor dem Rollout geprüft. Zertifikatsnutzung auf einem Zielsystem ist nicht gleich native Agent-Unterstützung auf jedem Betriebssystem.
- OIDC / SSO
- Das Enrollment erfolgt im empfohlenen Standard durch den per OIDC authentifizierten Endbenutzer. SSO kann die vorhandene Windows-Anmeldung über WIA oder eine Entra-Anmeldung nutzen. Eine administrative Ausstellung ist konfigurierbar, wird von keyONE aber ausdrücklich nicht empfohlen.
- HSM optional, Schlüsselschutz erforderlich
- Sensible x.ID-Secrets werden verschlüsselt gespeichert. Ein HSM kann den privaten Schlüssel des Schutz-Zertifikats absichern. Ohne HSM wird das Zertifikat über den lokalen Windows-Zertifikatsspeicher verwendet; das ist kein gleichwertiger Hardwareschutz.
- Native Verzeichnisanbindung
- Der native Azure Connector greift über Microsoft Graph direkt auf Microsoft Entra ID zu, ohne eine AD-Synchronisation vorauszusetzen. Für Entra CBA pflegt er SKI-Zuordnungen in certificateUserIds. Die Entra-FIDO2-Vorprovisionierung verbindet die Registrierung im Tenant mit einer getrennten persönlichen PIN-Übergabe.
- Ein Core und ein geprüfter Wiederanlauf
- keyONE empfiehlt als regulären Ausgangspunkt einen Core mit geplantem Wiederaufbau. Besondere Verfügbarkeitsanforderungen werden im Projekt bewertet. Multi-Core-Betrieb ist kein pauschal empfohlenes Standardsetup; CA, Verzeichnisse und Sperrprozesse bleiben Teil der Verfügbarkeitsplanung.
NACHWEIS & GRENZEN
Was der erste Rollout nachweisen sollte.
Ein erfolgreicher Start beweist das Betriebsmodell – nicht nur die Installation.
Kontrollierte Aufnahme
Identität, Hardware und Policy werden geprüft, bevor Credentials aktiv werden.
Recovery-fähiger Lifecycle
Auch der kleine Einstieg verbindet Sperrung und CRL-Veröffentlichung mit der Bereinigung der angebundenen Zertifikats- und Verzeichnisziele. Ausgabe, Erneuerung und sicherer Ersatz gehören zum selben Lifecycle.
Dokumentierter Wachstumsweg
Die nächste CA, das nächste Verzeichnis, der nächste Standort oder Outpost kann das Lifecycle-Modell weiterverwenden.
Verzeichniszustand vom ersten Tag an
AD-Publikation, starke SKI-Zuordnung und der native Entra-Zustand bleiben mit Hardware, Identität und Credential verbunden.
PASSENDES PRODUKT
SYNRION x.ID
YubiKeys, Identitäten, PIV-Zertifikate und FIDO2 zentral im Browser verwalten. SYNRION x.ID verbindet native Entra-Anbindung mit Cloud-, On-Premises- oder Hybridbetrieb über Outpost-Connectoren. Das Portal ist auch mobil bedienbar; Freigabestatus und Voraussetzungen stehen in der Funktionsübersicht.
NÄCHSTER KONTROLLIERTER SCHRITT
Starten Sie mit dem kleinsten sicher betreibbaren Setup.
Wir definieren einen begrenzten ersten Anwendungsfall, die erforderlichen Trust-Kontrollen und einen Wachstumsweg, der zu Ihrer Infrastruktur passt.