Skip to main content
Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro

​
Über den AD CS Connector

Dieser Artikel erklärt, wie Sie den Iru Endpoint AD CS Connector auf einem in die Domain eingebundenen Windows Server installieren und registrieren. Der Connector lässt sich nicht auf Mac-Computern oder Windows-Clientcomputern installieren. Sobald der Connector in Iru Endpoint Aktiv und Verbunden ist, werden von AD CS ausgestellte Zertifikate über Library Items an registrierte Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro übermittelt. Informationen zum Aktualisieren eines aktualisierten Connectors in Iru Endpoint oder zur Migration von Kandji mit AD CS finden Sie unter Iru AD CS Connector aktualisieren und Migration von Kandji zu Iru mit AD CS in AD CS-Integration: Überblick.

​
Funktionsweise

Der Connector verwendet das WebSocket-Protokoll über TCP-Port 443 für eine dauerhafte Verbindung zu Iru Endpoint und das Microsoft-Framework Remote Procedure Call (RPC) für die Kommunikation mit Ihrer AD CS-Bereitstellung. Nach der Registrierung bearbeitet der Connector Zertifikatanforderungen, die von Iru Endpoint ausgelöst werden.

​
Voraussetzungen

Prüfen Sie Folgendes, bevor Sie den Connector auf Windows Server installieren.
Stellen Sie sicher, dass Sie in AD CS Zertifikatvorlagen haben, die gemäß Ihrer CA-Dokumentation und Ihren Sicherheitsstandards zu Ihrer Bereitstellung auf Mac-Computern, iPhone, iPad, Apple TV-Geräten und Apple Vision Pro passen. Für das Computerzertifikat auf dem Connector-Host folgen Sie AD CS-Integration: Computerzertifikatvorlage erstellen.
Erfüllen Sie die AD CS Integration Network Requirements in Iru in Unternehmensnetzwerken verwenden. Lassen Sie für den aktualisierten Connector Ihre Iru-Web-App, Iru Identity, die Tenant-API (subdomain.gateway.iru.com, subdomain.gateway.eu.iru.com, subdomain.clients.*) und die adcsconn-Endpunkte wie dort dokumentiert zu. Verlassen Sie sich beim aktualisierten Connector nicht allein auf Auth0-Zulassungslisten. Ihr Netzwerk muss Datenverkehr zwischen Iru Endpoint, dem Connector-Host und AD CS zulassen, einschließlich HTTPS vom Connector zu Iru Endpoint, ohne dass eine SSL-Prüfung diesen Pfad unterbricht.
Wenn auf Hosts noch der ältere Connector läuft, bis Sie sie auf den aktualisierten Connector umstellen, behalten Sie die älteren Auth0-Zeilen der Zulassungsliste aus Iru in Unternehmensnetzwerken verwenden bei, bis auf diesen Hosts der aktualisierte Connector läuft.
Deaktivieren oder umgehen Sie die SSL-Prüfung für erforderliche Pfade zwischen Iru Endpoint und dem Connector-Host, sofern Ihre Sicherheitsrichtlinie dies zulässt.
Starten Sie die AD CS-Integration in der Iru Endpoint-Web-App so weit, dass Sie das Installationsprogramm erhalten. Den vollständigen Assistenten, Screenshots und das Verhalten der Integrationskarte finden Sie unter AD CS-Integration: Integration konfigurieren.Laden Sie bei der Installation oder beim Upgrade den neuesten Iru Endpoint AD CS Connector über die Connector-Integrationskarte in Ihrem Tenant herunter. Installationsprogramme für den aktualisierten Connector haben 2.x-Versionen; unter Integrationen wird immer die neueste aufgeführt.
Verwenden Sie einen physischen oder virtuellen Windows Server 2019 oder höher, der in die Active Directory-Gesamtstruktur eingebunden ist, die Ihre ausstellenden Zertifizierungsstellen bedienen, mit .NET 8 oder höher und der vom Installationsprogramm bereitgestellten Microsoft Edge WebView2-Laufzeit. Informationen zu TPM oder vTPM und die vollständige Checkliste finden Sie unten unter Serveranforderungen für den AD CS Connector.
Sie benötigen Administratorzugriff auf den Windows Server, der den Connector hostet, sowie ein Iru Endpoint-Administratorkonto, um sich in der Connector-App anzumelden und die Genehmigung im Browser abzuschließen.

​
Serveranforderungen für den AD CS Connector

Installieren Sie den Connector auf einem physischen oder virtuellen Windows Server, der Folgendes erfüllt:
Windows Server 2019 oder höher
.NET 8 oder höher
Ein funktionsfähiges Trusted Platform Module (TPM) oder virtuelles TPM (vTPM) ist erforderlich. Der Connector nutzt TPM-gestützte Kryptografie. Aktivieren Sie auf einer VM vTPM in Ihrem Hypervisor (z. B. Hyper-V Generation 2 mit vTPM). Siehe den Microsoft Learn-Artikel Trusted Platform Module technology overview.
Microsoft Edge WebView2 (das Connector-Installationsprogramm enthält eine kompatible Laufzeit)
Der Server ist in die Active Directory-Gesamtstruktur eingebunden, die Ihre ausstellenden Zertifizierungsstellen bedienen.

​
Installation

1

Installationsprogramm übertragen

Übertragen Sie die Installationsdatei des Connectors auf den Windows Server.
2

Installationsprogramm starten

Doppelklicken Sie auf das Installationsprogramm, um die Installation zu beginnen.
3

Installation starten

Wählen Sie auf dem Bildschirm „Install Iru Endpoint AD CS Connector“ Start aus.
Willkommensbildschirm des Assistenten Install Iru AD CS Connector mit Start zum Beginnen der Einrichtung.
4

Authentifizierung konfigurieren

Wählen Sie auf dem Bildschirm Authenticate with Certificate Authority Local System, sofern Ihre CA-Richtlinie kein dediziertes Konto erfordert. Wenn Sie ein Dienstkonto verwenden, wählen Sie Service Account, geben Sie Anmeldedaten ein, die Ihre Zertifizierungsstelle für die Registrierung zulässt, und wählen Sie dann Install. Das gewählte Konto muss dem Prinzipal entsprechen, der Lesen und Registrieren für die Computerzertifikatvorlage aus AD CS-Integration: Computerzertifikatvorlage erstellen besitzt. Wenn Local System ausgewählt ist, wählen Sie Install.
Bildschirm Authenticate with Certificate Authority mit den Optionen Local System Account und Anmeldedaten für ein Dienstkonto.
Bildschirm Authenticate with Certificate Authority mit ausgewähltem Service Account und Feldern für Domain, Benutzername und Passwort.
5

UAC-Abfrage bestätigen

Wenn die UAC-Abfrage erscheint, wählen Sie Ja.
6

Installation abschließen

Wählen Sie nach Abschluss der Connector-Installation Schließen.
Erfolgsbildschirm, der bestätigt, dass der Iru AD CS Connector installiert ist.
Beim aktualisierten Iru Endpoint AD CS Connector ist die Microsoft Edge WebView2-Laufzeit im Installationsprogramm enthalten. Bei Bedarf kann die Laufzeit von Microsoft heruntergeladen und manuell auf dem Windows Server des AD CS Connectors installiert werden.

​
Initialisierung

1

Connector-Anwendung starten

Wenn der Connector nicht automatisch geöffnet wird, öffnen Sie Iru Endpoint AD CS Connector über das Startmenü. Bestätigen Sie, dass sein Symbol im Infobereich angezeigt wird.
2

Tenant-URL eingeben

Geben Sie unter Enter Iru domain die URL Ihres Iru Endpoint-Tenants ein. Verwenden Sie denselben Tenant, aus dem Sie das Installationsprogramm heruntergeladen haben. Bei einem falschen Tenant schlägt die Anmeldung fehl.
Anmeldefenster des Iru AD CS Connector mit dem Feld Enter Iru domain für die Tenant-URL.
3

Anmelden

Schließen Sie die Anmeldung im WebView-Fenster mit der von Ihrem Tenant geforderten Methode ab.
4

Registrierungs-URL öffnen

Öffnen Sie nach der Anmeldung die Registrierungs-URL in einem unterstützten Browser auf einem Computer, auf dem Sie die Anforderung genehmigen können. Der Registrierungslink läuft nach einer Stunde ab.
Fenster des Iru AD CS Connector mit dem Link zur Registrierungs-URL, das auf die Gerätegenehmigung wartet.
5

Wenn die Registrierungs-URL nicht verfügbar ist

Wenn der Connector Die Registrierungs-URL konnte nicht abgerufen werden. Versuchen Sie es später erneut. anzeigt, warten Sie kurz und wählen Sie New URL. Wenn das Problem weiterhin besteht, überprüfen Sie den Netzwerkzugriff auf Iru Endpoint und wenden Sie sich mit den Protokollen an den Iru Support.
6

Registrierung in Iru Endpoint genehmigen

Gehen Sie in der Iru Endpoint-Web-App zu Approve AD CS connector registration. Bestätigen Sie, dass der Gerätename mit Ihrem Connector-Server übereinstimmt, und wählen Sie dann Approve oder Verweigern.
Dialog Approve this device to connect mit den Aktionen Approve und Deny.
7

Connector-Status bestätigen

Wenn Sie genehmigen, zeigt der Connector Verbunden an und die Integration führt den Connector als Aktiv. Wenn Sie ablehnen, entfernt Iru Endpoint den Connector-Eintrag. Melden Sie sich erneut in der Connector-App an und wählen Sie New URL, wenn Sie einen weiteren Registrierungslink benötigen.
Connector-Status Connected nach erfolgreicher Initialisierung bei Iru Endpoint.
8

Anwendungsfenster schließen

Sie können das Connector-Fenster schließen. Der Connector läuft im Infobereich weiter.
9

Ausstellende Zertifizierungsstellen hinzufügen und Server zuweisen

Fügen Sie auf der Registerkarte Servers ausstellende Zertifizierungsstellen hinzu und verwenden Sie Server zuweisen wie unter AD CS-Server hinzufügen und dem Connector zuweisen beschrieben. Sie können die Zuweisung auch über AD CS-Integration: Integration konfigurieren abschließen.
Kehren Sie zu Iru Endpoint zurück, um dem Connector AD CS-Server zuzuweisen, und fügen Sie dann Library Items hinzu, um AD CS-Zertifikate an Geräte zu übermitteln. Beispiele für Library Items finden Sie unter Zertifikate an Apple-Geräte übermitteln.

​
AD CS-Server hinzufügen und dem Connector zuweisen

Wenn der Connector in Iru Endpoint Aktiv und vom Windows-Host aus Verbunden ist:
1

Registerkarte Servers öffnen

Öffnen Sie in der AD CS-Integration die Registerkarte Servers.
2

Jede ausstellende Zertifizierungsstelle hinzufügen

Fügen Sie jede ausstellende Zertifizierungsstelle mit ca_server_fqdn\issuing_ca_name unter Server name hinzu (z. B. subordinateca.example.com\Contoso Issuing CA). Der Name der ausstellenden Zertifizierungsstelle wird in der Konsole „Zertifizierungsstelle“ auf dem Server der ausstellenden Zertifizierungsstelle angezeigt. Wählen Sie für jeden Server Hinzufügen. Neue Server zeigen Disconnected an, bis Sie sie einem Aktiv, Verbunden Connector zuweisen.
3

Server diesem Connector zuweisen

Öffnen Sie in der Connector-Übersicht das Aktionsmenü (…) auf der Connector-Karte und wählen Sie Server zuweisen. Wählen Sie die AD CS-Server aus, die dieser Connector verwenden soll, und bestätigen Sie.
Screenshots der Integrationsseite finden Sie unter AD CS-Integration: Integration konfigurieren.

​
Zertifikate an Apple-Geräte übermitteln

Wenn mindestens ein Connector Aktiv und Verbunden ist und Ihre AD CS-Server zugewiesen sind, kann Iru Endpoint AD CS-gestützte Library Items an registrierte Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro übermitteln.
1

Library Item hinzufügen

Gehen Sie zu Library und wählen Sie Library Item hinzufügen.
2

Zertifikatfähiges Library Item auswählen

Fügen Sie ein Library Item hinzu, das Zertifikate über AD CS ausstellt, z. B. Zertifikat, Wi-Fi oder VPN.
3

AD CS-Einstellungen konfigurieren

Wählen Sie die ausstellende Zertifizierungsstelle und die Vorlage aus. Legen Sie Antragsteller, alternativen Antragstellernamen und Schlüsselverwendung passend zu Ihrer PKI und zur Verwendung des Zertifikats auf den Geräten fest.
4

Blueprints zuweisen

Weisen Sie das Library Item den Blueprints zu, die es erhalten sollen.
5

Auf Geräten validieren

Lassen Sie die Geräte einchecken. Bestätigen Sie auf einem Mac die Installation in der Schlüsselbundverwaltung. Bestätigen Sie auf iPhone, iPad, Apple TV und Apple Vision Pro, dass das Zertifikat auf dem Gerät installiert ist.

​
Nächste Schritte

Nachdem der Connector Aktiv und Verbunden ist und AD CS-Server zugewiesen sind:
1

Bei Bedarf starke Zertifikatzuordnung hinzufügen

Wenn Sie AD CS für benutzerbasiertes 802.1X oder Ähnliches verwenden, lesen Sie Konfiguration der starken Zertifikatzuordnung für Active Directory.
2

Library Items erstellen oder aktualisieren

Erstellen Sie Library Items vom Typ Certificate, Wi-Fi, Ethernet oder VPN und weisen Sie sie Blueprints zu.
3

Reihenfolge des AD CS-Rollouts prüfen (optional)

Das Diagramm zum AD CS-Einrichtungsweg und die Rollout-Reihenfolge finden Sie unter AD CS-Integration: Überblick.

​
Weiteren Connector-Host hinzufügen

1

Integration öffnen

Öffnen Sie unter Integrationen Active Directory Certificate Services und wählen Sie dann Add connector.
2

Auf dem zusätzlichen Server installieren

Laden Sie das Installationsprogramm herunter und wiederholen Sie Installation, Anmeldung und Registrierungsgenehmigung auf einem anderen, in die Domain eingebundenen Windows Server.
3

AD CS-Server zuweisen

Weisen Sie jedem Connector AD CS-Server entsprechend Ihrem Netzwerk- und Verfügbarkeitskonzept zu.

​
AD CS Connector aktualisieren

Für das Upgrade des Iru Endpoint AD CS Connector auf Windows Server in einem Iru-Tenant verwenden Sie den Ablauf unter Iru AD CS Connector aktualisieren in AD CS-Integration: Überblick. Wenn Sie von Kandji mit AD CS umsteigen, folgen Sie stattdessen Migration von Kandji zu Iru mit AD CS. Dieser Weg umfasst das Tenant-Upgrade, die Deinstallation des älteren Connectors und die Registrierung des aktualisierten Connectors.

​
AD CS Connector deinstallieren

Sie können den Connector und die Edge-Laufzeit über Control Panel > Programs and Features entfernen. Unter Windows Server 2019 und höher können Sie stattdessen Einstellungen > Apps > Installed apps verwenden.
1

Programs and Features oder Installed apps öffnen

Öffnen Sie über das Startmenü Control Panel > Programs and Features oder unter Windows Server 2019 und höher Einstellungen > Apps > Installed apps.
2

AD CS Connector deinstallieren

Suchen Sie den Iru Endpoint AD CS Connector und wählen Sie Uninstall.
3

Deinstallation bestätigen

Wenn das Fenster „Uninstall Iru Endpoint AD CS Connector“ erscheint, wählen Sie Uninstall.
4

Deinstallation des Connectors abschließen

Wenn die Deinstallation abgeschlossen ist, wählen Sie Schließen.
5

WebView-Laufzeit deinstallieren

Suchen Sie Microsoft Edge WebView2 Runtime und wählen Sie Uninstall.
6

Datenordner entfernen

Nachdem die Komponenten deinstalliert sind, öffnen Sie den Datei-Explorer, gehen Sie zu C:\ProgramData und löschen Sie den Ordner iru, falls Ihre Sicherheitsrichtlinie einen bereinigten Host erfordert. ProgramData ist standardmäßig ausgeblendet.

​
Fehlerbehebung

Wenn das Connector-Fenster Something went wrong mit deaktiviertem Schalter meldet, überprüfen Sie den Netzwerkzugriff auf Iru Endpoint, bestätigen Sie die TPM-Bereitschaft auf dem Server und versuchen Sie dann Erneut authentifizieren oder starten Sie die Connector-App über das Startmenü neu. Wenn der Zustand bestehen bleibt, sammeln Sie die Protokolle aus C:\ProgramData\iru und wenden Sie sich an den Iru Support.
Zustand Something went wrong des Iru AD CS Connector mit dem Link Erneut authentifizieren.
Während der Initialisierung meldet sich der Connector in einem WebView-Fenster bei Ihrem Iru-Tenant an. Wenn die Anmeldung fehlschlägt, in einer Schleife hängt oder das Fenster Try Again anzeigt, sind möglicherweise zwischengespeicherte Anmeldedaten des Windows-Benutzerprofils, unter dem der Connector läuft, veraltet.Bestätigen Sie zunächst, dass Sie die richtige Iru-Tenant-URL eingegeben haben (derselbe Tenant, aus dem Sie das Installationsprogramm unter Integrationen > Active Directory Certificate Services heruntergeladen haben) und dass der Server Iru Endpoint erreichen kann. Siehe AD CS Integration Network Requirements in Iru in Unternehmensnetzwerken verwenden. Sie können in der Connector-App auch Erneut authentifizieren auswählen, sofern verfügbar.So löschen Sie zwischengespeicherte Connector-Daten:
  1. Schließen Sie Iru Endpoint AD CS Connector über den Infobereich oder den Task-Manager.
  2. Öffnen Sie den Datei-Explorer und gehen Sie zu %LOCALAPPDATA%\Iru (z. B. C:\Users\<username>\AppData\Local\Iru).
  3. Löschen Sie alle Dateien und Ordner in Iru.
  4. Öffnen Sie Iru Endpoint AD CS Connector erneut und wiederholen Sie die Initialisierung, beginnend bei Tenant-URL eingeben.
Löschen Sie für diesen Schritt nicht C:\ProgramData\iru. Dieses Verzeichnis speichert Connector-Protokolle und Dienstdateien, nicht den WebView-Anmeldecache. Siehe Inhalt des Datenverzeichnisses prüfen in diesem Abschnitt.Wenn die Authentifizierung nach dem Löschen von %LOCALAPPDATA%\Iru weiterhin fehlschlägt, sammeln Sie die Protokolle aus C:\ProgramData\iru und wenden Sie sich an den Iru Support.
Bestätigen Sie, dass Sie die Registrierungs-URL geöffnet, die Anforderung unter Approve AD CS connector registration genehmigt und sich beim richtigen Tenant angemeldet haben. Wählen Sie in der Connector-App New URL, wenn der Registrierungscode abgelaufen ist. Wenn die Iru Endpoint-Web-App beim Genehmigen meldet, dass die Registrierungs-URL abgelaufen ist, verwenden Sie Registrierungs-URL beim Genehmigen der Registrierung abgelaufen in diesem Abschnitt zur Fehlerbehebung.
Wenn Approve AD CS connector registration in der Iru Endpoint-Web-App meldet, dass die Registrierungs-URL abgelaufen ist, lässt sich die Registrierung nicht mehr allein über New URL in der Connector-App wiederherstellen. Deinstallieren Sie auf dem Windows Server den Iru Endpoint AD CS Connector (und die mitgelieferte WebView-Laufzeit, und entfernen Sie bei Bedarf C:\ProgramData\iru) gemäß AD CS Connector deinstallieren. Laden Sie dann das neueste Installationsprogramm unter Integrationen > Active Directory Certificate Services herunter und wiederholen Sie Installation und Initialisierung auf diesem Host.
Der Connector muss in Iru Endpoint Aktiv und vom Windows-Host aus Verbunden sein, bevor Sie Server zuweisen können.
Bestätigen Sie, dass AD CS-Server hinzugefügt und zugewiesen sind, das Library Item auf die richtigen Blueprints abzielt und die Geräte registriert sind. Validieren Sie Vorlagenberechtigungen und Antragstellerregeln anhand eines Testgeräts.
Die AD CS Connector-App ist unter C:\Program Files\Iru\AD CS Connector installiert.
Protokolle, Einstellungen und Dienstdateien befinden sich unter C:\ProgramData\iru. Dies ist ein ausgeblendetes Verzeichnis auf dem Windows Server.
Verwenden Sie die Windows-Ereignisanzeige, um die Protokolle des AD CS Connectors unter Event Viewer > Applications and Services Logs > Iru zu prüfen.
Windows Installer-Protokolle können mithilfe der Anleitung von Microsoft aktiviert werden.
Der AD CS Connector läuft als Windows-Dienst. Bestätigen Sie in der Anwendung Services (services.msc), dass er ausgeführt wird.
Im Task-Manager heißt der Connector-Prozess adcs-connector-app. Wenn die WebView-Anmeldeoberfläche nach Eingabe der Iru Endpoint-Tenant-Domain nicht angezeigt wird, beenden Sie den Prozess adcs-connector-app und starten Sie Iru Endpoint AD CS Connector erneut über das Startmenü.
Bei weiteren Fragen wenden Sie sich bitte an den Support.

​
Best Practices

Zuverlässige Netzwerkpfade sicherstellen

Stellen Sie eine ordnungsgemäße Netzwerkverbindung zwischen dem AD CS Connector und Ihrem Iru Endpoint-Tenant sicher und bestätigen Sie, dass TCP-Port 443 für die WebSocket-Kommunikation erreichbar ist.

SSL-Prüfung deaktivieren

Deaktivieren Sie die SSL-Prüfung für die erforderliche Netzwerkkommunikation zwischen Iru Endpoint und dem AD CS Connector, um Verbindungs- und Authentifizierungsprobleme zu vermeiden.

Dediziertes Dienstkonto verwenden

Verwenden Sie ein dediziertes Dienstkonto für den AD CS Connector, wenn Ihre CA-Vorlage dies zulässt, damit die Registrierungsberechtigungen auf dieses Konto beschränkt bleiben.

Aktualisierten Connector auf dem neuesten Stand halten

Installieren Sie den neuesten Iru Endpoint AD CS Connector aus Ihrem Iru Endpoint-Tenant (Integrationen > Active Directory Certificate Services), damit Sie Fehlerbehebungen und Sicherheitsupdates erhalten. Diese Updates gelten für den aktualisierten Connector; der ältere Connector erhält sie nicht.

​
Hinweise

Die Connector-App und Approve AD CS connector registration müssen auf denselben Iru Endpoint-Tenant abzielen, den Sie verbinden möchten.
Der Windows Server, der den AD CS Connector hostet, muss an Ihre Active Directory-Domain gebunden sein, damit Zertifikatvorgänge erfolgreich sind.
Untersuchen Sie die Protokolldateien unter C:\ProgramData\iru auf dem Windows Server (dieses Verzeichnis ist standardmäßig ausgeblendet). Verwenden Sie diese Protokolle zusammen mit der Connector-Anwendung und der Windows-Ereignisanzeige, wenn Sie Verbindungs-, Authentifizierungs- oder Zertifikatprobleme diagnostizieren.
Öffnen Sie auf dem Windows Server des Connectors PowerShell und führen Sie Get-Tpm aus. Bestätigen Sie, dass TpmPresent, TpmEnabled und TpmActivated ein nutzbares TPM widerspiegeln. Definitionen der Eigenschaften finden Sie in der Microsoft-Referenz Get-Tpm. Bestätigen Sie bei VMs, dass vTPM in den Hypervisor-Einstellungen aktiviert ist. Wenn kein TPM verfügbar ist, beheben Sie die Firmware-, Hypervisor- oder Gasteinstellungen vor dem Produktiveinsatz.Wenn die Connector-Protokolle System.Security.Cryptography.CryptographicException mit der folgenden Meldung enthalten, ist TPM möglicherweise nicht aktiviert oder nicht einsatzbereit; führen Sie die obigen Prüfungen erneut durch und überprüfen Sie die Firmware-Einstellungen:
System.Security.Cryptography.CryptographicException: The device that is required by this cryptographic provider is not ready for use.