Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro
Was sind die Active Directory-Zertifikatdienste?
Microsoft Active Directory Certificate Services (AD CS) erstellt eine lokale Public-Key-Infrastruktur (PKI), mit der Organisationen Zertifikate für den internen Gebrauch ausstellen, validieren und widerrufen können. Die AD CS-Integration von Iru Endpoint arbeitet mit Ihrer bestehenden Microsoft AD CS-Umgebung zusammen, um Zertifikate von AD CS anzufordern. Anschließend übertragen Sie diese Zertifikate über Library Items an Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro. Dies ermöglicht eine zertifikatbasierte Authentifizierung, sodass Benutzer auf Unternehmensressourcen wie Enterprise-WLAN-Netzwerke zugreifen können.Kandji im Vergleich zu Iru Endpoint AD CS
Unter Kandji verwendet AD CS den älteren Connector (Auth0-Anmeldung). Nach dem Upgrade auf Iru verwendet Iru Endpoint den aktualisierten Connector (Iru-Identität und Registrierungsgenehmigung). Informationen zum Umstellen einer Kandji-AD CS-Bereitstellung auf Iru finden Sie unter Migration von Kandji zu Iru mit AD CS. Wenn Sie bereits den aktualisierten Connector in Iru Endpoint ausführen und einen neueren Build benötigen, lesen Sie Iru AD CS Connector aktualisieren. Der Iru-Connector stellt strengere Anforderungen an Windows Server, .NET, TPM und Firewall als eine ältere Kandji-Umgebung. Die Host-Checkliste und die Installationsschritte finden Sie unter AD CS Connector-Installation, und die Unterschiede bei den Zulassungslisten je Connector-Generation unter Netzwerkanforderungen.Ablauf der Zertifikatanforderung
Das Diagramm fasst zusammen, wie Zertifikatanforderungen zwischen Iru Endpoint, dem AD CS Connector in Ihrem Netzwerk, Microsoft AD CS und registrierten Geräten übertragen werden.
1
Zertifikatanforderung von Iru Endpoint senden
Iru Endpoint sendet über eine WebSocket-Verbindung über TCP-Port 443 eine Zertifikatanforderung an den Iru Endpoint AD CS Connector.
2
Schlüsselpaar generieren und Signaturanforderung übermitteln
Der AD CS Connector generiert das Schlüsselpaar des Zertifikats lokal und sendet die Zertifikatsignaturanforderung dann über DCE/RPC an Microsoft AD CS. Private Schlüssel werden über Library Items an verwaltete Endgeräte übermittelt. Der Connector speichert keine privaten Schlüssel von Geräteidentitäten.
3
Zertifikat von AD CS ausstellen
AD CS verarbeitet die Anforderung, stellt das Zertifikat aus und sendet das signierte Zertifikat an den AD CS Connector zurück.
4
Verschlüsseltes Zertifikatpaket an Iru Endpoint zurückgeben
Der AD CS Connector sendet über die WebSocket-Verbindung eine verschlüsselte .p12-Datei zusammen mit der Anforderungs-ID an Iru Endpoint zurück.
5
Zertifikat an das Clientgerät übermitteln
Iru Endpoint übermittelt das Zertifikatpaket (.p12-Datei) über eine Payload eines Konfigurationsprofils an das Clientgerät.
AD CS-Einrichtungsweg
Verwenden Sie das Diagramm als Checkliste für den Rollout. Beginnen Sie links mit Netzwerk-Zulassungslisten; befolgen Sie die Hinweise unter Netzwerkanforderungen und die Tabellen AD CS Integration Network Requirements in Iru in Unternehmensnetzwerken verwenden und folgen Sie dann den Anleitungen der Reihe nach von links nach rechts. Jeder Artikel endet mit Nächste Schritte, die Sie zur folgenden Aufgabe führen.Netzwerk-Zulassungslisten
Iru in Unternehmensnetzwerken verwenden
Iru in Unternehmensnetzwerken verwenden
Computerzertifikatvorlage
in AD CS
in AD CS
AD CS-Integration konfigurieren
in Iru Endpoint
in Iru Endpoint
AD CS Connector installieren
auf Windows Server
auf Windows Server
Starke Zertifikatzuordnung
falls erforderlich
falls erforderlich
Library Items
auf Geräten bereitstellen
auf Geräten bereitstellen
Netzwerkanforderungen
Prüfen Sie Folgendes, bevor Sie den Connector installieren oder den Integrationsassistenten abschließen.Netzwerkpfade und Firewall-Regeln
Netzwerkpfade und Firewall-Regeln
Hostnamen, Ports, Protokolle und den Unterschied zwischen den Zeilen für den aktualisierten und den älteren Connector finden Sie im Abschnitt AD CS Integration Network Requirements in Iru in Unternehmensnetzwerken verwenden. Der aktualisierte Connector verwendet kein Auth0. Lassen Sie Ihre Iru-Web-App, Iru Identity, die Tenant-API und die
adcsconn-Ziele wie dort dokumentiert zu.Älterer Connector noch im Netzwerk
Älterer Connector noch im Netzwerk
Wenn auf Hosts während der Migration noch der ältere Connector ausgeführt wird, behalten Sie die älteren Auth0-Zeilen der Zulassungsliste aus diesem Artikel bei, bis auf jedem Host der aktualisierte Connector läuft. Den vollständigen Ablauf für den Austausch finden Sie unter Migration von Kandji zu Iru mit AD CS.
Nächste Schritte
Nachdem Sie diesen Überblick gelesen haben:1
Computerzertifikatvorlage auf Ihrer ausstellenden Zertifizierungsstelle erstellen
Connector-Versionen
Aktualisierter Connector
Der aktualisierte AD CS Connector ist das Iru Endpoint-Paket, das Sie unter Integrationen > Active Directory Certificate Services herunterladen. Er verwendet die Iru-Identität für die Anmeldung und zeigt nach der Anmeldung eine Registrierungs-URL an. Genehmigen Sie den Connector-Host unter Approve AD CS connector registration. Produkt- und Sicherheitsupdates werden nur für dieses Paket bereitgestellt. Installationsprogramme haben 2.x-Versionen.Älterer Connector
Der ältere AD CS Connector ist die Version für Kandji-Tenants. Er verwendet eine Auth0-basierte Anmeldung. Iru Endpoint stellt keine Updates dafür bereit. Nachdem Sie den Tenant auf Iru aktualisiert haben, deinstallieren Sie den älteren Connector von Windows Server und installieren Sie den aktualisierten Connector aus Ihrem Iru-Tenant.Iru AD CS Connector aktualisieren
Verwenden Sie diesen Ablauf, wenn Ihr Tenant bereits auf Iru Endpoint läuft und Sie einen neueren Build des aktualisierten Connectors auf Windows Server benötigen oder wenn Sie den Connector auf einem Host auffrischen, der bereits mit der Iru-Identität registriert ist.Dieser Abschnitt gilt für Builds des aktualisierten Connectors in einem Iru-Tenant. Wenn Sie von Kandji mit AD CS umsteigen, führen Sie zuerst Migration von Kandji zu Iru mit AD CS durch.
1
Neuesten Build herunterladen und installieren
Laden Sie unter Integrationen > Active Directory Certificate Services den neuesten Iru Endpoint AD CS Connector herunter. Öffnen Sie bei einer vorhandenen Connector-Karte stattdessen das Aktionsmenü (…) und wählen Sie Redownload Connector. Führen Sie das Installationsprogramm auf dem Windows Server des Connectors aus. Das Update-Programm deinstalliert möglicherweise den vorherigen Build, bevor es den neuen installiert.
2
Anmelden und Registrierung genehmigen
Geben Sie Ihre Iru-Tenant-URL erneut ein und schließen Sie die Anmeldung ab, wenn die Connector-App Sie dazu auffordert. Öffnen Sie die Registrierungs-URL in einem Browser und genehmigen Sie das Gerät unter Approve AD CS connector registration, wenn Iru Endpoint dies anfordert. Eine schrittweise Anleitung zur Initialisierung finden Sie unter Initialisierung in AD CS Connector-Installation.
3
Connector-Status überprüfen
Bestätigen Sie, dass die Connector-App Verbunden und die Integrationskarte Aktiv anzeigt. Bestätigen Sie unter Control Panel > Programs and Features (oder Einstellungen > Apps > Installed apps unter Windows Server 2019 und höher), dass die installierte Version des Iru Endpoint AD CS Connector der erwartete aktuelle 2.x-Build ist.
4
Ausstellende Zertifizierungsstellen zuweisen und bei Bedarf eine veraltete ältere Zeile entfernen
Wenn eine neue Registrierung des aktualisierten Connectors neben einer Zeile mit einem älteren Connector erscheint, öffnen Sie Server zuweisen auf der Karte des neuen Connectors und verknüpfen Sie jede ausstellende Zertifizierungsstelle, die dem älteren Connector zugewiesen war. Wenn der aktualisierte Connector Verbunden ist und die Zertifizierungsstellen zugewiesen sind, öffnen Sie das Aktionsmenü (…) auf der Karte des älteren Connectors und löschen Sie diesen Eintrag. Wenn Sie nur Builds auf einem Host aktualisieren, auf dem bereits der aktualisierte Connector läuft, und dieselbe Connector-Karte Aktiv bleibt, müssen Sie weder Zertifizierungsstellen neu zuweisen noch eine ältere Zeile löschen.
5
Optional: Connector auf einen anderen Windows Server verschieben
Um einen neuen, in die Domain eingebundenen Windows Server zu verwenden, laden Sie den neuesten Connector auf diesem Server herunter, installieren Sie ihn, schließen Sie die Registrierung ab und verwenden Sie dann Server zuweisen auf der neuen Connector-Karte, um die ausstellenden Zertifizierungsstellen vom alten Connector-Eintrag zu verschieben. Nehmen Sie den alten Server anschließend außer Betrieb.
Migration von Kandji zu Iru mit AD CS
Schließen Sie das Plattform-Upgrade auf Iru ab, bevor Sie den AD CS Connector auf Windows Server ersetzen. Der ältere Connector wird unmittelbar nach der Tenant-Migration möglicherweise noch als Verbunden in Iru Endpoint angezeigt, bis Sie den älteren Connector auf dem Server deinstallieren und den aktualisierten Connector registrieren.In der Kandji-Web-App verwendet AD CS den älteren Connector. Wählen Sie nach dem Upgrade in der Seitenleiste die Schaltfläche Kontomenü aus und öffnen Sie Integrationen. Einstellungen befindet sich in Iru Endpoint nicht mehr an dieser Stelle.
1
Tenant auf Iru aktualisieren
Folgen Sie Upgrade auf Iru. Wählen Sie unter Einstellungen > Zugriff Start migration, konfigurieren Sie Ihre Authentifizierungsverbindungen, akzeptieren Sie den Haftungsausschluss und wählen Sie Complete migration. Melden Sie sich bei Ihrer neuen Iru-Domain (
{{subdomain}}.iru.com) an. Wenn das Tenant-Upgrade abgeschlossen ist, kehren Sie zu Migration von Kandji zu Iru mit AD CS zurück und fahren Sie mit dem nächsten Schritt unten fort, um den AD CS Connector zu ersetzen.2
AD CS-Integration in Iru Endpoint öffnen
Wählen Sie in der Seitenleiste die Schaltfläche Kontomenü und dann Integrationen aus. Öffnen Sie Active Directory Certificate Services. Die Integration zeigt möglicherweise noch Verbunden an, wenn der ältere Connector auf Windows Server installiert ist.
3
Älteren Connector auf Windows Server deinstallieren
Öffnen Sie auf dem Connector-Host Control Panel > Programs and Features (oder Einstellungen > Apps > Installed apps). Suchen Sie den älteren Iru Endpoint AD CS Connector (oder den Eintrag des AD CS Connectors aus der Kandji-Zeit) und deinstallieren Sie ihn. Folgen Sie den Anweisungen, bis die Deinstallation abgeschlossen ist. Der ältere Build hat in der Regel eine 1.0.0.x-Version. Die vollständigen Deinstallationsschritte, einschließlich der Entfernung der WebView-Laufzeit bei Bedarf, finden Sie unter AD CS Connector deinstallieren in AD CS Connector-Installation.
4
Bestätigen, dass der Connector Disconnected anzeigt
Aktualisieren Sie die Seite Active Directory Certificate Services in Iru Endpoint. Der Connector sollte Disconnected anzeigen, nachdem Sie das ältere Paket vom Server entfernt haben.
5
Aktualisierten Connector herunterladen
Wählen Sie Add connector und laden Sie dann das Installationsprogramm des Iru Endpoint AD CS Connector aus Ihrem Iru-Tenant herunter. Wenn Ihr Browser den Download blockiert, wählen Sie Keep oder Keep anyway, damit die Datei gespeichert wird. Die Integration führt den neuen Connector als Ausstehend, bis Sie Installation und Registrierung abgeschlossen haben.
6
Aktualisierten Connector installieren
Übertragen Sie das Installationsprogramm auf den Windows Server und führen Sie es aus. Wählen Sie unter Authenticate with Certificate Authority Local System, sofern Ihre CA-Richtlinie kein Dienstkonto erfordert, und wählen Sie dann Install. Wenn die Installation abgeschlossen ist, wählen Sie Schließen. Siehe Installation in AD CS Connector-Installation.
7
Anmelden und Registrierung genehmigen
Öffnen Sie Iru Endpoint AD CS Connector über das Startmenü. Geben Sie unter Enter Iru domain Ihre Iru-Tenant-URL ein (z. B.
{{subdomain}}.iru.com, derselbe Hostname, der in der Iru Endpoint-Web-App angezeigt wird). Schließen Sie die Anmeldung ab, öffnen Sie die Registrierungs-URL und genehmigen Sie das Gerät unter Approve AD CS connector registration, wenn Sie dazu aufgefordert werden. Die Connector-App sollte Verbunden anzeigen.8
Verbindung und Connector-Version überprüfen
Aktualisieren Sie die AD CS-Integration in Iru Endpoint und bestätigen Sie, dass der Connector Verbunden anzeigt. Öffnen Sie auf dem Windows Server erneut Programs and Features und bestätigen Sie, dass der installierte Iru Endpoint AD CS Connector ein 2.x-Build und nicht die ältere Version 1.0.0.x ist.
9
Ausstellende Zertifizierungsstellen zuweisen und die ältere Zeile entfernen
Öffnen Sie auf der AD CS-Seite Übersicht Server zuweisen auf der Karte des neuen Connectors und verknüpfen Sie jede ausstellende Zertifizierungsstelle, die dem älteren Connector zugewiesen war. Wenn der aktualisierte Connector Verbunden ist und die Zertifizierungsstellen zugewiesen sind, öffnen Sie das Aktionsmenü (…) auf der Karte des älteren Connectors und löschen Sie diesen Eintrag.