> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# AD CS-Integration: Computerzertifikatvorlage erstellen

> Duplizieren und konfigurieren Sie eine AD CS-Computerzertifikatvorlage auf Ihrer ausstellenden Zertifizierungsstelle zur Verwendung mit der AD CS-Integration von Iru Endpoint.

<Callout icon="apple" color="#B84A7A" iconType="regular">Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro</Callout>

### Voraussetzungen

Prüfen Sie Folgendes, bevor Sie eine Computerzertifikatvorlage auf Ihrer ausstellenden Zertifizierungsstelle erstellen oder duplizieren.

<AccordionGroup>
  <Accordion title="Zugriff auf die ausstellende Zertifizierungsstelle" icon="certificate">
    Sie benötigen Zugriff auf eine ausstellende Zertifizierungsstelle in Ihrer Active Directory-Gesamtstruktur, auf der Sie das Snap-In „Zertifizierungsstelle“ öffnen und Zertifikatvorlagen verwalten können.
  </Accordion>

  <Accordion title="Rechte zum Duplizieren und Veröffentlichen von Vorlagen" icon="user-shield">
    Sie benötigen ausreichende Rechte, um die Vorlage **Computer** zu duplizieren, die Sicherheit anzupassen (z. B. **Lesen** und **Registrieren** für das Computerobjekt des AD CS Connector oder ein Dienstkonto) und die Vorlage zur Ausstellung zu veröffentlichen.
  </Accordion>
</AccordionGroup>

### Erforderliche Einstellungen für die Zertifikatvorlage

Folgende Registerkarten und Einstellungen sollten in der Zertifikatvorlage konfiguriert werden:

* Vorlagentyp: Die verwendete Vorlage sollte auf der Standardvorlage „Computer“ basieren.
* Kompatibilität der Zertifizierungsstelle: Windows Server 2016
* Zertifikatempfänger: Windows 10/Windows Server 2016
* Antragstellername: In der Anforderung angeben
* Sicherheit: Gewähren Sie **Lesen** und **Registrieren** nur der Identität, die sich für den Connector registriert (das Computerkonto des Connector-Hosts, wenn der Connector als **Local System** ausgeführt wird, oder ein dediziertes **Dienstkonto**, wenn der Connector bei der Installation **Service Account** verwendet). Entfernen Sie weitreichende geerbte Einträge wie **Domain Computers**, damit sich andere in die Domain eingebundene Computer nicht registrieren können.

Wenn Sie eine vorhandene AD CS-Zertifikatvorlage verwenden möchten, müssen deren Einstellungen mit den oben aufgeführten Einstellungen übereinstimmen.

### AD CS-Computerzertifikatvorlage erstellen

<Steps>
  <Step title="Zertifizierungsstelle öffnen">
    Melden Sie sich bei einer Zertifizierungsstelle (CA) in Ihrer Domain an.
  </Step>

  <Step title="Snap-In Zertifizierungsstelle öffnen">
    Öffnen Sie auf dem Server das Startmenü und suchen Sie nach dem Snap-In „Zertifizierungsstelle“.
  </Step>

  <Step title="Ausstellende Zertifizierungsstelle auswählen">
    Wählen Sie im Snap-In „Zertifizierungsstelle“ die ausstellende Zertifizierungsstelle aus. Der Name der ausstellenden Zertifizierungsstelle, wie er hier im Snap-In angezeigt wird, wird beim Hinzufügen von AD CS-Servern zur AD CS-Integration von Iru Endpoint benötigt.
  </Step>

  <Step title="Verwaltung der Zertifikatvorlagen öffnen">
    Klicken Sie mit der rechten Maustaste auf den Ordner „Certificate Templates“ und wählen Sie „Manage“ aus.

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-open-certificate-templates-manage.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=b1669f7a49f54a8be1ad08e2edad3da3" alt="Snap-In Zertifizierungsstelle mit dem Ordner Certificate Templates und der Option Manage zum Öffnen der Vorlagenverwaltung." width="1100" height="821" data-path="assets/media/images/iru-adcs-create-template-open-certificate-templates-manage.png" />
    </Frame>
  </Step>

  <Step title="Vorlage Computer duplizieren">
    Suchen Sie im Fenster „Certificate Templates“ die Vorlage „Computer“ und klicken Sie mit der rechten Maustaste darauf. Wählen Sie dann „Duplicate Template“ aus.
  </Step>

  <Step title="Registerkarte General öffnen">
    Wählen Sie im Fenster „Properties“ die Registerkarte „General“ aus.
  </Step>

  <Step title="Vorlagennamen festlegen">
    Legen Sie den Anzeigenamen und den Vorlagennamen auf einen Wert wie `IruEndpointDevice` fest. Der Vorlagenname wird beim Erstellen von Library Items benötigt, die AD CS-Zertifikateinstellungen enthalten.
  </Step>

  <Step title="Kompatibilitätseinstellungen öffnen">
    Wählen Sie als Nächstes die Registerkarte „Compatibility“ aus.
  </Step>

  <Step title="Kompatibilität der Zertifizierungsstelle festlegen">
    Wählen Sie für „Certificate Authority“ Windows Server 2016 aus. Wählen Sie im Änderungsdialog **OK**.
  </Step>

  <Step title="Kompatibilität der Zertifikatempfänger festlegen">
    Wählen Sie für „Certificate Recipients“ Windows 10 / Windows Server 2016 aus. Wählen Sie im Änderungsdialog **OK**.
  </Step>

  <Step title="Einstellungen für den Antragstellernamen öffnen">
    Wählen Sie die Registerkarte „Subject Name“ aus.
  </Step>

  <Step title="Antragstellername auf Angabe in der Anforderung setzen">
    Wählen Sie die Option „Supply in the request“ und im Warndialog **OK** aus.
  </Step>

  <Step title="Sicherheitseinstellungen öffnen">
    Wählen Sie die Registerkarte **Sicherheit** aus.
  </Step>

  <Step title="Computerkonto des Connectors hinzufügen (Registrierung als Local System)">
    Mit den folgenden Schritten fügen Sie das **Computerkonto** des Connector-Hosts hinzu. Verwenden Sie diesen Weg, wenn der Connector als **Local System** auf dem Windows Server ausgeführt wird (die Standardeinstellung in [AD CS Connector-Installation](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#installation)).

    Wählen Sie unter **Groups or user names** die Option **Hinzufügen** aus.
  </Step>

  <Step title="Objekttypen öffnen">
    Wählen Sie im Fenster „Select Users, Computers, Service Accounts, or Groups“ die Option „Object Types“ aus.
  </Step>

  <Step title="Objekttyp Computer auswählen">
    Wählen Sie im Fenster „Object Types“ die Option „Computers“ aus.
  </Step>

  <Step title="Auswahl der Objekttypen bestätigen">
    Wählen Sie **OK** aus.

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-confirm-object-types.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=35452c4bd20128ed326b069d3b5a2c28" alt="Dialog Object Types mit ausgewähltem Computers zur Auswahl des Prinzipals des AD CS Connector-Hosts." width="989" height="672" data-path="assets/media/images/iru-adcs-create-template-confirm-object-types.png" />
    </Frame>
  </Step>

  <Step title="Nach dem Connector-Host suchen">
    Geben Sie im Suchfeld für Objektnamen den Namen des Windows Servers ein, der den AD CS Connector hosten soll. Im folgenden Screenshot wird der Computername `lab000001` verwendet.

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-search-connector-host.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=27169e94657de9cd3cd0b953834920dd" alt="Dialog Select Users, Computers, Service Accounts, or Groups mit dem für die Suche eingegebenen Namen des Connector-Windows-Servers." width="404" height="258" data-path="assets/media/images/iru-adcs-create-template-search-connector-host.png" />
    </Frame>
  </Step>

  <Step title="Read und Enroll für das Computerkonto gewähren">
    Während der Connector-Host-Computer unter **Groups or user names** weiterhin ausgewählt ist, wählen Sie im Abschnitt **Berechtigungen** unter **Zulassen** die Optionen **Lesen** und **Registrieren** aus.
  </Step>

  <Note>
    **Stattdessen Registrierung per Dienstkonto:** Wenn der Connector bei der Installation **Service Account** verwenden soll, überspringen Sie die obigen Schritte zu **Object Types** und **Computers**. Wählen Sie auf der Registerkarte **Sicherheit** **Hinzufügen**, geben Sie das Dienstkonto ein (Standardobjekttypen beibehalten), gewähren Sie **Lesen** und **Registrieren** und fahren Sie dann mit dem nächsten Schritt fort. Gewähren Sie **Registrieren** nur diesem Dienstkonto, nicht **Domain Computers**.
  </Note>

  <Step title="Weitreichende Standardberechtigungen entfernen">
    Entfernen Sie geerbte Prinzipale, die großen Gruppen wie **Domain Computers** **Registrieren** gewähren. Belassen Sie nur das Konto, dem Sie in den vorherigen Schritten **Lesen** und **Registrieren** gewährt haben (das Computerkonto des Connector-Hosts oder Ihr Dienstkonto).

    <Warning>
      Eine duplizierte Vorlage **Computer** erlaubt häufig die Registrierung durch **Domain Computers**. Unter Windows Server 2019 und höher kann jeder in die Domain eingebundene Computer ein Zertifikat aus dieser Vorlage anfordern, wenn dieser Eintrag bestehen bleibt. Da die Vorlage **Supply in the request** verwendet, könnte dieses Zertifikat einen anderen Prinzipal in Ihrer Gesamtstruktur repräsentieren und für die Authentifizierung missbraucht werden. Entfernen Sie diese weitreichenden Prinzipale; behalten Sie nur Ihr Connector-Registrierungskonto.
    </Warning>
  </Step>

  <Step title="Vorlage übernehmen und speichern">
    Wählen Sie „Apply“ und dann „OK“ aus.
  </Step>

  <Step title="Menü zur Vorlagenausstellung öffnen">
    Kehren Sie zum Haupt-Snap-In „Zertifizierungsstelle“ zurück, klicken Sie erneut mit der rechten Maustaste auf „Certificate Templates“ und wählen Sie „New > Certificate Template to issue“ aus.
  </Step>

  <Step title="Neue Vorlage auswählen">
    Wählen Sie die von Ihnen erstellte Vorlage aus (in unserem Beispiel `IruEndpointDevice`).
  </Step>

  <Step title="Vorlagenausstellung bestätigen">
    Wählen Sie **OK** aus.
  </Step>

  <Step title="Prüfen, ob die Vorlage in der Liste angezeigt wird">
    Bestätigen Sie, dass die Vorlage in der Liste angezeigt wird.
  </Step>
</Steps>

### Nächste Schritte

Nachdem die Vorlage in der Ausstellungsliste angezeigt wird:

<Steps>
  <Step title="AD CS in Iru Endpoint konfigurieren">
    Führen Sie den Integrationsassistenten aus und laden Sie das Connector-Installationsprogramm herunter, wie unter [AD CS-Integration: Integration konfigurieren](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration) beschrieben.
  </Step>
</Steps>