● Microsoft Partner chính hãng tại Việt Nam

Microsoft Cloud PKI: cấp chứng chỉ cho thiết bị Intune không cần máy chủ

Microsoft Cloud PKI cấp chứng chỉ Wi-Fi, VPN cho laptop, điện thoại quản lý bằng Intune, do Microsoft vận hành, không cần ADCS hay NDES. TND kiểm tenant đã có Cloud PKI qua Intune Suite, E5 chưa rồi mới báo giá.

Không cần ADCS, NDES, connector
Tối đa 3 CA mỗi tenant
Khóa CA trong Azure Managed HSM
Add-on trên Intune Plan 1, Plan 2

Nhận báo giá qua Zalo Lập kế hoạch CA

Microsoft Cloud PKILiên hệ

Tư vấn Microsoft TND

Quét QR hoặc nhắn Zalo, gửi số người dùng Intune và gói đang dùng để nhận báo giá Cloud PKI.

Gọi ngay Chat Zalo

3 CATối đa mỗi tenant Intune

7 ngàyHiệu lực CRL, làm mới mỗi 3,5 ngày

24 giờChu kỳ cập nhật báo cáo chứng chỉ

5 đến 25 nămThời hạn chọn được cho root CA

Lập kế hoạch CA trong giới hạn 3 CA mỗi tenant

Mỗi tenant Intune chỉ tạo được tối đa 3 CA, nên cần tính trước bao nhiêu root, bao nhiêu issuing CA. Nhập phương án, công cụ kiểm có vừa hạn mức và đúng cấu trúc không.

Số root CA tạo trên Cloud PKIMỏ neo tin cậy khi bạn dựng PKI mới hoàn toàn trên đám mây.

Số issuing CA neo vào root CA Cloud PKIVí dụ một CA cho Wi-Fi, VPN; một CA cho mục đích khác.

Số issuing CA BYOCA neo vào CA riêng (ADCS)Giữ nguyên root CA đang có, thêm issuing CA trên đám mây.

Kết quả

Dùng 2 trên 3 CA của tenant

Gửi sơ đồ CA, nhận tư vấn qua Zalo

Theo mục giới hạn trong tài liệu Microsoft Cloud PKI: tối đa 3 CA mỗi tenant, root CA, issuing CA và BYOCA issuing CA đều tính. Công cụ để tham khảo khi thiết kế.

Microsoft Cloud PKI là gì

Microsoft Cloud PKI là hạ tầng khóa công khai (PKI) do Microsoft vận hành trên đám mây, tích hợp trong Intune. Dịch vụ tự động cấp, gia hạn và thu hồi chứng chỉ cho thiết bị quản lý bằng Intune, để dùng cho Wi-Fi 802.1X, VPN, email và xác thực thiết bị, mà không cần máy chủ Active Directory Certificate Services (ADCS), NDES hay Intune certificate connector tại chỗ (theo Microsoft Learn).

Cần phân biệt ngay: Cloud PKI không phải chứng chỉ SSL công khai cho website. Chứng chỉ do Cloud PKI cấp là chứng chỉ riêng, chỉ được tin cậy trong hệ thống của công ty, cấp cho thiết bị và người dùng Intune qua giao thức SCEP. Nếu bạn cần chứng chỉ HTTPS cho website, đó là sản phẩm SSL khác.

Hai tầng

Root CA và issuing CA trên đám mây

Tạo root CA và issuing CA ngay trong Intune admin center, bắt đầu cấp chứng chỉ trong vài phút.

BYOCA

Giữ root CA đang có

Neo issuing CA trên Intune vào CA riêng qua ADCS hoặc dịch vụ chứng chỉ khác, không phải đổi chuỗi tin cậy cũ.

HSM

Khóa trong Azure Managed HSM

Khóa ký và mã hóa của CA đặt trong Azure Managed HSM, không cần có Azure subscription.

Cloud PKI so với ADCS, NDES tại chỗ

Cloud PKI thay phần hạ tầng phục vụ cấp chứng chỉ cho thiết bị Intune, không thay toàn bộ vai trò của ADCS trong mạng nội bộ.

Tiêu chí	ADCS + NDES + connector tại chỗ	Microsoft Cloud PKI
Máy chủ phải dựng, vá lỗi	CA, NDES, máy chạy Intune certificate connector	Không, Microsoft vận hành
Nơi lưu khóa CA	Tùy cách doanh nghiệp tự dựng	Azure Managed HSM (bản trả phí)
Cơ quan đăng ký chứng chỉ SCEP	NDES tự dựng, cần proxy để thiết bị ngoài mạng truy cập	Mỗi issuing CA có sẵn dịch vụ SCEP
Danh sách thu hồi (CRL), AIA	Tự publish	Intune host; CRL hiệu lực 7 ngày, làm mới mỗi 3,5 ngày và mỗi lần thu hồi
Giữ root CA cũ	Có	Có, qua BYOCA
Đối tượng cấp chứng chỉ	Rộng, tùy mẫu chứng chỉ	Thiết bị MDM Intune hỗ trợ SCEP profile

Theo Overview of Microsoft Cloud PKI và Configure root and issuing CA. Vuốt ngang để xem đủ bảng.

Thông số kỹ thuật chính

Các con số quản trị viên cần khi thiết kế PKI trên Cloud PKI.

Hạng mục	Microsoft Cloud PKI
Số CA tối đa mỗi tenant	3 (tính cả root CA, issuing CA, BYOCA issuing CA)
Thời hạn root CA	5, 10, 15, 20 hoặc 25 năm (tùy chỉnh khác qua Microsoft Graph API)
Thời hạn issuing CA	2, 4, 6, 8 hoặc 10 năm, không dài hơn root CA
Thuật toán ký, mã hóa	RSA 2048, 3072, 4096
Thuật toán băm	SHA-256, SHA-384, SHA-512
Giao thức cấp chứng chỉ cuối	SCEP (PKCS#7) cho thiết bị đăng ký MDM Intune
Nền tảng	Android, iOS, iPadOS, macOS, Windows hỗ trợ SCEP certificate profile
Báo cáo chứng chỉ	Đang hoạt động, hết hạn, đã thu hồi; cập nhật mỗi 24 giờ; có nhật ký kiểm toán thao tác quản trị
Extended Key Usage	Chọn mục đích cụ thể; không cho dùng Any Purpose

Theo Overview và Configure root and issuing CA, kiểm ngày 24/09/2026.

Hai mô hình triển khai

Chọn nơi đặt mỏ neo tin cậy (root) trước, vì nó quyết định chuỗi chứng chỉ phải cài lên thiết bị và máy chủ.

Mô hình 1

Root CA trên Cloud PKI

Dựng PKI hai tầng hoàn toàn trên đám mây: root CA và một hoặc nhiều issuing CA dưới nó. Phải triển khai chuỗi chứng chỉ Cloud PKI tới thiết bị qua trusted certificate profile và tới máy chủ xác thực (RADIUS, VPN) qua GPO hoặc cài tay (theo Microsoft).

Mô hình 2

Bring your own CA (BYOCA)

Tạo issuing CA trên Intune, Intune sinh yêu cầu ký (CSR), CA riêng của bạn ký. Máy chủ xác thực đã tin chuỗi CA cũ nên ít phải thay đổi; Microsoft vẫn khuyên triển khai cả chứng chỉ issuing CA BYOCA.

Kết hợp

Chạy song song hai mô hình

Root, issuing CA của Cloud PKI và issuing CA BYOCA có thể cùng tồn tại trong một tenant, miễn tổng số không vượt 3 CA.

Gói nào đã có Cloud PKI, gói nào cần mua

Cloud PKI là add-on của Intune. Trước khi mua, xem tenant đã có Intune Suite hoặc Microsoft 365 E5 thương mại chưa.

Tình huống	Cloud PKI	Việc cần làm
Có Intune Plan 1 (mua lẻ, Business Premium, Microsoft 365 E3)	Chưa có	Mua Cloud PKI lẻ, hoặc Intune Suite nếu cần thêm tính năng
Có Microsoft Intune Suite	Có sẵn	Không mua thêm
Microsoft 365 E5 thương mại	Được bổ sung từ đợt 7/2026, cấp dần theo tenant	Kiểm tenant đã được cấp chưa trước khi mua
Chưa có Intune	Không dùng được	Cần Intune Plan 1 hoặc Plan 2 làm nền
Trường học, tổ chức phi lợi nhuận	Có giá riêng	Giá giảng viên, học sinh, Non-Profit sau xác minh

Theo Intune advanced capabilities và What's new in Intune. Đợt 7/2026 chưa áp dụng cho gói giáo dục và tuyến đầu.

Ai nên dùng Microsoft Cloud PKI

Công ty dùng Wi-Fi doanh nghiệp 802.1X

Muốn cấp chứng chỉ cho laptop, điện thoại kết nối Wi-Fi mà không dựng máy chủ CA và NDES.

Công ty dùng VPN xác thực bằng chứng chỉ

Đẩy chứng chỉ VPN tới máy nhân viên qua Intune, tự gia hạn và thu hồi khi mất máy.

Đang chạy ADCS tại chỗ

Muốn giảm tải hoặc thay dần hạ tầng CA cũ, bắt đầu bằng BYOCA để không phá chuỗi tin cậy đang có.

Đội IT nhỏ

Không có người chuyên vận hành PKI, muốn dịch vụ được Microsoft vận hành và host CRL, AIA.

Thiết bị đa nền tảng

Cần cùng một cách cấp chứng chỉ cho Windows, macOS, iOS, Android đã đăng ký Intune.

Đơn vị giáo dục, phi lợi nhuận

Có giá giáo dục và giá Non-Profit cho tổ chức được Microsoft xác minh.

Triển khai Cloud PKI trong 5 bước

Tóm tắt từ hướng dẫn cấu hình CA của Microsoft.

Xác nhận license và vai trò quản trị

Tenant cần Intune Plan 1 hoặc Plan 2 cộng Cloud PKI (hoặc Intune Suite). Tạo vai trò tùy chỉnh cho người đọc CA, tạo CA, thu hồi chứng chỉ.

Tạo root CA hoặc chuẩn bị BYOCA

Vào Tenant administration, Cloud PKI, tạo root CA và chọn thời hạn. Với BYOCA, tạo issuing CA rồi mang CSR cho CA riêng ký.

Tạo issuing CA và chọn Extended Key Usage

Chọn đúng mục đích như xác thực client; Any Purpose không được phép. Mỗi issuing CA có sẵn địa chỉ SCEP.

Đẩy trusted certificate profile

Triển khai chứng chỉ root và issuing CA tới thiết bị qua Intune, và tới máy chủ RADIUS, VPN qua GPO hoặc cài thủ công.

Tạo SCEP certificate profile cho từng nền tảng

Dán địa chỉ SCEP, giữ nguyên biến CloudPKIFQDN, liên kết trusted certificate profile, rồi gắn chứng chỉ vào profile Wi-Fi, VPN.

License Intune Plan 1 hoặc Plan 2 đang có
Quyết định root trên đám mây hay BYOCA
Số CA dự định, không vượt 3
Danh sách máy chủ xác thực cần tin chuỗi CA
Thuộc tính người dùng trong Entra ID dùng cho subject name
Nền tảng thiết bị cần cấp chứng chỉ

Lưu ý trước khi mua Cloud PKI

Tối đa 3 CA mỗi tenant, tính cả root CA, issuing CA và issuing CA BYOCA. Thiết kế số CA trước khi tạo.
CA tạo lúc dùng thử dùng khóa phần mềm. Sau khi mua vẫn dùng tiếp được nhưng không chuyển sang khóa HSM. Nên tạo CA chính thức sau khi có license.
Chỉ cấp chứng chỉ qua SCEP cho thiết bị MDM Intune. Không dùng để cấp chứng chỉ SSL cho website hay cho máy chủ ngoài Intune.
Báo cáo cập nhật mỗi 24 giờ, không theo thời gian thực.
Chưa có tùy chọn lưu trữ dữ liệu theo vùng (data residency) cho khách dùng Cloud PKI tại thời điểm TND kiểm.
Đơn vị tính license và điều kiện bản for FLW TND kiểm trên danh mục TND cung cấp và xác nhận khi báo giá.

Mua Microsoft Cloud PKI qua TND

Giá Microsoft Cloud PKI theo bảng giá Microsoft và kỳ hạn thuê bao. Nhắn Zalo để TND báo giá.

Kiểm tenant

TND xem bạn đã có Intune Suite hoặc Microsoft 365 E5 thương mại chưa.

Chọn Cloud PKI lẻ hay Suite

Chỉ cần chứng chỉ thì mua lẻ; cần thêm Remote Help, EPM thì so với Suite.

Kích hoạt qua TND

Add-on vào tenant, kỳ hạn 1 tháng hoặc 1 năm.

Hỗ trợ dựng CA

TND cùng IT chốt mô hình root hay BYOCA trong hạn mức 3 CA.

Microsoft PartnerCloud PKI cấp qua TND cùng license Intune.

Không mua trùngLoại trừ tenant đã có Intune Suite hoặc E5 thương mại.

Hóa đơn điện tửHóa đơn điện tử phát hành theo quy định hiện hành.

Giá EDU, NPOCho trường học, tổ chức phi lợi nhuận đủ điều kiện.

Câu hỏi thường gặp về Microsoft Cloud PKI

Microsoft Cloud PKI là gì?

Là dịch vụ PKI trên đám mây của Microsoft tích hợp trong Intune, tự động cấp, gia hạn, thu hồi chứng chỉ cho thiết bị quản lý bằng Intune, không cần máy chủ CA tại chỗ.

Dùng Cloud PKI có cần Intune không?

Có. Cloud PKI là subscription bổ sung trên Intune Plan 1 hoặc Plan 2, và thiết bị phải đăng ký Intune, hỗ trợ SCEP certificate profile.

Cloud PKI có thay được ADCS và NDES không?

Cloud PKI thay nhu cầu CA tại chỗ, NDES và Intune certificate connector cho việc cấp chứng chỉ thiết bị Intune. Bạn vẫn có thể nối về root CA ADCS hiện có bằng BYOCA.

Tạo được bao nhiêu CA trên Cloud PKI?

Tối đa 3 CA mỗi tenant Intune. Root CA, issuing CA và issuing CA BYOCA đều tính vào hạn mức này, cả khi dùng thử lẫn khi đã mua.

Cloud PKI có cấp chứng chỉ SSL cho website được không?

Không. Cloud PKI cấp chứng chỉ riêng cho thiết bị, người dùng Intune qua SCEP, dùng cho Wi-Fi, VPN, xác thực. Website công khai cần chứng chỉ SSL từ tổ chức cấp chứng chỉ công cộng.

Microsoft 365 E5 đã có Cloud PKI chưa?

Từ đợt thay đổi tháng 7/2026, Microsoft bổ sung Cloud PKI vào Microsoft 365 E5 thương mại, cấp dần theo tenant. TND giúp kiểm tenant đã được cấp chưa trước khi đặt mua.

Intune Suite có gồm Cloud PKI không?

Có. Microsoft Intune Suite gồm Cloud PKI cùng Plan 2, Remote Help, Advanced Analytics, Endpoint Privilege Management và Enterprise App Management.

Có dùng thử Cloud PKI được không?

Có, qua bản dùng thử Intune Suite hoặc bản dùng thử Cloud PKI độc lập. CA tạo trong thời gian thử dùng khóa phần mềm và không đổi sang HSM được.

Khóa của CA được lưu ở đâu?

Với bản trả phí, khóa ký và mã hóa của CA nằm trong Azure Managed HSM do Microsoft cung cấp, bạn không cần Azure subscription.

Cloud PKI hỗ trợ những thiết bị nào?

Android, iOS, iPadOS, macOS và Windows đã đăng ký MDM Intune và hỗ trợ SCEP certificate profile.

Giá Microsoft Cloud PKI bao nhiêu?

Giá theo bảng giá Microsoft và kỳ hạn 1 tháng hoặc 1 năm. TND gửi báo giá VNĐ khi bạn nhắn Zalo số lượng cần mua.

Mua Cloud PKI tại TND có hóa đơn VAT không?

Có. TND là Microsoft Partner, xuất hóa đơn điện tử theo quy định hiện hành cho đơn hàng.

TND là Microsoft Partner chính hãng tại Việt Nam

TND là Microsoft Partner chính hãng, phân phối các sản phẩm Microsoft tại thị trường Việt Nam. TND có thư xác nhận và chứng nhận của Microsoft, và được Microsoft công bố giới thiệu là Partner phân phối tại Việt Nam trên website chính thức của hãng. License cấp thẳng vào tài khoản Microsoft của doanh nghiệp bạn, TND xuất hóa đơn điện tử theo quy định hiện hành.

Xem hồ sơ TND trên website Microsoft

Tìm hiểu thêm

Entrust PKI và HSM cho tổ chức lớn Chứng chỉ SSL cho website Microsoft 365 cho doanh nghiệp Microsoft Defender for Endpoint P1, P2 bản quyền Microsoft Defender for Office 365 Plan 1, Plan 2 giá Microsoft Defender for Business Microsoft Defender for Identity, Cloud Apps Microsoft Purview Suite, Defender Suite Microsoft 365 E5 Compliance

Nguồn thông tin chính thức từ Microsoft (kiểm tra ngày 24/09/2026):

Muốn cấp chứng chỉ Wi-Fi, VPN không cần máy chủ? Nhắn TND

Cho TND biết gói Intune đang dùng và hạ tầng CA hiện có. Chúng tôi kiểm tenant, đề xuất Cloud PKI lẻ hoặc Intune Suite và gửi báo giá kèm hóa đơn điện tử.

Chat Zalo với TND Gọi 0859 909 889