Door Anoniem: Dat is wel het voordeel van een managed client base en een private CA - je kunt in principe de impact van het lekken van die private key ongedaan maken door het CA certificaat "gewoon" overal te vervangen. Dat is op zich wel waar, maar helaas zitten er ook flink wat devices op de WiFi die niet direct onder MDM vallen. Echter ik kan uiteraard wel een aparte realm gebruiken voor Windows clients, daar een nieuwe CA voor maken en DIE kan ik wel gemakkelijk schonen als er wat fout mee gaat. Immers met MDM (Intune) kun je dit soort dingen ook op clients regelen zonder dat ze "op de zaak" zijn, en voor clients die helemaal nooit online zijn (omdat ze ongebruikt in een kast liggen ofzo) is het ook niet zo van belang dat het accuut geregeld wordt. Zou toch al handig zijn om dit apart te houden want dan kan ik die hele toestand ergens bij Azure onderbrengen en de RADIUS server voor die realm als proxy laten werken. Het lijkt er alleen wel op dat een SCEP server en radius weer iets is wat extra 3rd ...