Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro
Voraussetzungen
Prüfen Sie Folgendes, bevor Sie eine Computerzertifikatvorlage auf Ihrer ausstellenden Zertifizierungsstelle erstellen oder duplizieren.Zugriff auf die ausstellende Zertifizierungsstelle
Zugriff auf die ausstellende Zertifizierungsstelle
Sie benötigen Zugriff auf eine ausstellende Zertifizierungsstelle in Ihrer Active Directory-Gesamtstruktur, auf der Sie das Snap-In „Zertifizierungsstelle“ öffnen und Zertifikatvorlagen verwalten können.
Rechte zum Duplizieren und Veröffentlichen von Vorlagen
Rechte zum Duplizieren und Veröffentlichen von Vorlagen
Sie benötigen ausreichende Rechte, um die Vorlage Computer zu duplizieren, die Sicherheit anzupassen (z. B. Lesen und Registrieren für das Computerobjekt des AD CS Connector oder ein Dienstkonto) und die Vorlage zur Ausstellung zu veröffentlichen.
Erforderliche Einstellungen für die Zertifikatvorlage
Folgende Registerkarten und Einstellungen sollten in der Zertifikatvorlage konfiguriert werden:- Vorlagentyp: Die verwendete Vorlage sollte auf der Standardvorlage „Computer“ basieren.
- Kompatibilität der Zertifizierungsstelle: Windows Server 2016
- Zertifikatempfänger: Windows 10/Windows Server 2016
- Antragstellername: In der Anforderung angeben
- Sicherheit: Gewähren Sie Lesen und Registrieren nur der Identität, die sich für den Connector registriert (das Computerkonto des Connector-Hosts, wenn der Connector als Local System ausgeführt wird, oder ein dediziertes Dienstkonto, wenn der Connector bei der Installation Service Account verwendet). Entfernen Sie weitreichende geerbte Einträge wie Domain Computers, damit sich andere in die Domain eingebundene Computer nicht registrieren können.
AD CS-Computerzertifikatvorlage erstellen
1
Zertifizierungsstelle öffnen
Melden Sie sich bei einer Zertifizierungsstelle (CA) in Ihrer Domain an.
2
Snap-In Zertifizierungsstelle öffnen
Öffnen Sie auf dem Server das Startmenü und suchen Sie nach dem Snap-In „Zertifizierungsstelle“.
3
Ausstellende Zertifizierungsstelle auswählen
Wählen Sie im Snap-In „Zertifizierungsstelle“ die ausstellende Zertifizierungsstelle aus. Der Name der ausstellenden Zertifizierungsstelle, wie er hier im Snap-In angezeigt wird, wird beim Hinzufügen von AD CS-Servern zur AD CS-Integration von Iru Endpoint benötigt.
4
Verwaltung der Zertifikatvorlagen öffnen
Klicken Sie mit der rechten Maustaste auf den Ordner „Certificate Templates“ und wählen Sie „Manage“ aus.
5
Vorlage Computer duplizieren
Suchen Sie im Fenster „Certificate Templates“ die Vorlage „Computer“ und klicken Sie mit der rechten Maustaste darauf. Wählen Sie dann „Duplicate Template“ aus.
6
Registerkarte General öffnen
Wählen Sie im Fenster „Properties“ die Registerkarte „General“ aus.
7
Vorlagennamen festlegen
Legen Sie den Anzeigenamen und den Vorlagennamen auf einen Wert wie
IruEndpointDevice fest. Der Vorlagenname wird beim Erstellen von Library Items benötigt, die AD CS-Zertifikateinstellungen enthalten.8
Kompatibilitätseinstellungen öffnen
Wählen Sie als Nächstes die Registerkarte „Compatibility“ aus.
9
Kompatibilität der Zertifizierungsstelle festlegen
Wählen Sie für „Certificate Authority“ Windows Server 2016 aus. Wählen Sie im Änderungsdialog OK.
10
Kompatibilität der Zertifikatempfänger festlegen
Wählen Sie für „Certificate Recipients“ Windows 10 / Windows Server 2016 aus. Wählen Sie im Änderungsdialog OK.
11
Einstellungen für den Antragstellernamen öffnen
Wählen Sie die Registerkarte „Subject Name“ aus.
12
Antragstellername auf Angabe in der Anforderung setzen
Wählen Sie die Option „Supply in the request“ und im Warndialog OK aus.
13
Sicherheitseinstellungen öffnen
Wählen Sie die Registerkarte Sicherheit aus.
14
Computerkonto des Connectors hinzufügen (Registrierung als Local System)
Mit den folgenden Schritten fügen Sie das Computerkonto des Connector-Hosts hinzu. Verwenden Sie diesen Weg, wenn der Connector als Local System auf dem Windows Server ausgeführt wird (die Standardeinstellung in AD CS Connector-Installation).Wählen Sie unter Groups or user names die Option Hinzufügen aus.
15
Objekttypen öffnen
Wählen Sie im Fenster „Select Users, Computers, Service Accounts, or Groups“ die Option „Object Types“ aus.
16
Objekttyp Computer auswählen
Wählen Sie im Fenster „Object Types“ die Option „Computers“ aus.
17
Auswahl der Objekttypen bestätigen
Wählen Sie OK aus.
18
Nach dem Connector-Host suchen
Geben Sie im Suchfeld für Objektnamen den Namen des Windows Servers ein, der den AD CS Connector hosten soll. Im folgenden Screenshot wird der Computername 
lab000001 verwendet.19
Read und Enroll für das Computerkonto gewähren
Während der Connector-Host-Computer unter Groups or user names weiterhin ausgewählt ist, wählen Sie im Abschnitt Berechtigungen unter Zulassen die Optionen Lesen und Registrieren aus.
20
Weitreichende Standardberechtigungen entfernen
Entfernen Sie geerbte Prinzipale, die großen Gruppen wie Domain Computers Registrieren gewähren. Belassen Sie nur das Konto, dem Sie in den vorherigen Schritten Lesen und Registrieren gewährt haben (das Computerkonto des Connector-Hosts oder Ihr Dienstkonto).
21
Vorlage übernehmen und speichern
Wählen Sie „Apply“ und dann „OK“ aus.
22
Menü zur Vorlagenausstellung öffnen
Kehren Sie zum Haupt-Snap-In „Zertifizierungsstelle“ zurück, klicken Sie erneut mit der rechten Maustaste auf „Certificate Templates“ und wählen Sie „New > Certificate Template to issue“ aus.
23
Neue Vorlage auswählen
Wählen Sie die von Ihnen erstellte Vorlage aus (in unserem Beispiel
IruEndpointDevice).24
Vorlagenausstellung bestätigen
Wählen Sie OK aus.
25
Prüfen, ob die Vorlage in der Liste angezeigt wird
Bestätigen Sie, dass die Vorlage in der Liste angezeigt wird.
Nächste Schritte
Nachdem die Vorlage in der Ausstellungsliste angezeigt wird:1
AD CS in Iru Endpoint konfigurieren
Führen Sie den Integrationsassistenten aus und laden Sie das Connector-Installationsprogramm herunter, wie unter AD CS-Integration: Integration konfigurieren beschrieben.