Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro
Durchsetzungstermine und Anforderungen
Lesen Sie den folgenden Zeitplan zur Durchsetzung und die Zertifikatanforderungen, bevor Sie Library Items oder Connector-Versionen ändern.11. Februar 2025
11. Februar 2025
Die Durchsetzung der starken Zertifikatzuordnung wurde standardmäßig aktiviert.
10. September 2025
10. September 2025
Der Kompatibilitätsmodus wird nicht mehr unterstützt.
Erforderliche Maßnahmen für Zertifikate
Erforderliche Maßnahmen für Zertifikate
Alle für die Active Directory-Authentifizierung verwendeten Zertifikate müssen die Sicherheits-ID (SID) des Benutzers im Feld „Subject Alternative Name“ (SAN) enthalten.
Wer muss handeln?
Dies gilt für Kunden, die Microsoft AD CS für eine zertifikatbasierte Authentifizierung verwenden, die auf Benutzerattributen in Zertifikaten beruht (z. B. WLAN oder Ethernet mit 802.1X).Voraussetzungen
Prüfen Sie Folgendes, bevor Sie den AD CS Connector, SCIM oder Library Items für die starke Zertifikatzuordnung aktualisieren.Benutzerzuweisungen in Iru Endpoint
Benutzerzuweisungen in Iru Endpoint
Weisen Sie in Iru Endpoint Benutzer zu Gerätedatensätzen zu, bevor Sie mit den Zertifikataktualisierungen fortfahren.
Connector-Host: Betriebssystem, .NET, TPM, WebView, Domain
Connector-Host: Betriebssystem, .NET, TPM, WebView, Domain
Wenn Sie den Iru Endpoint AD CS Connector für von AD CS ausgestellte Zertifikate verwenden, installieren Sie .NET 8 oder höher auf dem Host mit Windows Server 2019 oder neuer, auf dem der Connector ausgeführt wird. Der Connector-Host ist häufig nicht derselbe Rechner wie Ihre AD CS-Zertifizierungsstelle (CA). Die vollständige Liste der Anforderungen, einschließlich TPM oder vTPM, finden Sie unter Serveranforderungen für den AD CS Connector in AD CS Connector-Installation.
Erforderliche Schritte
Iru Endpoint AD CS Connector aktualisieren
Die starke Zertifikatzuordnung erfordert den aktualisierten Iru Endpoint AD CS Connector in einer unterstützten 2.x-Version (siehe die Voraussetzungen oben). Laden Sie auf Windows Server den neuesten Iru Endpoint AD CS Connector unter Integrationen > Active Directory Certificate Services herunter (Sie können Redownload Connector auf der Connector-Karte verwenden) und installieren Sie ihn auf dem Host. Informationen zum Upgrade eines aktualisierten Connectors in Iru Endpoint finden Sie unter Iru AD CS Connector aktualisieren. Informationen zum Ersetzen des älteren Kandji-Connectors nach der Tenant-Migration finden Sie unter Migration von Kandji zu Iru mit AD CS in AD CS-Integration: Überblick. Wenn eine neue aktualisierte Registrierung neben einer Zeile mit einem älteren Connector erscheint, schließen Sie Server zuweisen ab und entfernen Sie den älteren Eintrag wie unter Migration von Kandji zu Iru mit AD CS oder Iru AD CS Connector aktualisieren beschrieben. Informationen zum Ablauf von Installation, Anmeldung und Registrierungs-URL finden Sie unter Initialisierung in AD CS Connector-Installation.SCIM-Benutzerverzeichnis-Integration aktualisieren
1
Beim Microsoft Entra Admin Center anmelden
Melden Sie sich beim Microsoft Entra Admin Center an.
2
Entra ID öffnen
Öffnen Sie das Portalmenü und wählen Sie Entra ID aus.
3
Unternehmensanwendungen öffnen
Wählen Sie im Menü Entra ID die Option Enterprise applications aus.
4
Ihre SCIM-App öffnen
Suchen und öffnen Sie die SCIM-App, die mit Iru Endpoint verwendet wird.
5
Bereitstellungseinstellungen öffnen
Wählen Sie unter Verwalten die Option Provisioning aus.
6
Attributzuordnung öffnen
Wählen Sie unter Verwalten die Option Attribute Mapping (Preview) aus.
7
Zuordnung für Microsoft Entra ID-Benutzer auswählen
Wählen Sie Provision Microsoft Entra ID Users aus.
8
Erweiterte Optionen anzeigen
Scrollen Sie nach unten und aktivieren Sie das Kontrollkästchen, um erweiterte Optionen anzuzeigen.
9
Attributliste bearbeiten
Wählen Sie Edit attribute list for Provision Microsoft Entra ID Users aus.
10
Attribut onPremisesSecurityIdentifier hinzufügen
Fügen Sie ein neues Feld hinzu:
onPremisesSecurityIdentifier (Typ als String belassen).11
Attributliste speichern
Wählen Sie Speichern aus.
12
Neue Zuordnung beginnen
Kehren Sie zu Attribute Mapping zurück, scrollen Sie nach unten und wählen Sie Add New Mapping aus.
13
Zuordnungsfelder konfigurieren
Konfigurieren Sie die Zuordnung:
- Mapping type: Direct (Standard)
- Quellattribut:
onPremisesSecurityIdentifier - Zielattribut:
onPremisesSecurityIdentifier
14
Zuordnung speichern
Wählen Sie OK und dann Speichern aus.
Zertifikat-Library Items aktualisieren
Für SCEP-Zertifikat-Library Items
1
Zugewiesene SCEP-Library Items öffnen
Suchen Sie in Iru Endpoint die SCEP-Library Items, die in Ihren Blueprints zugewiesen sind.
2
Library Item bearbeiten
Wählen Sie beim Element Bearbeiten aus.
3
SAN-Wert hinzufügen
Wählen Sie im Abschnitt Subject Alternative Name (SAN) die Option Hinzufügen aus.
4
SAN-Typ URI auswählen
Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
5
Wert für die starke Zuordnung eingeben
Geben Sie genau diesen Wert ein:
$ADCS_STRONG_MAPPING_ID.6
Änderungen speichern
Wählen Sie Speichern aus.
Für Zertifikat-Library Items mit dem AD CS Connector
1
Zugewiesene Zertifikat-Library Items öffnen
Suchen und öffnen Sie in Iru Endpoint die Zertifikat-Library Items, die in Ihren Blueprints zugewiesen sind.
2
Library Item bearbeiten
Wählen Sie Bearbeiten aus.
3
SAN-Wert hinzufügen
Wählen Sie im Abschnitt Subject Alternative Name (SAN) die Option Hinzufügen aus.
4
SAN-Typ URI auswählen
Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
5
Wert für die starke Zuordnung eingeben
Geben Sie genau diesen Wert ein:
$ADCS_STRONG_MAPPING_ID.6
Änderungen speichern
Wählen Sie Speichern aus.
Für WLAN- oder Ethernet-Library Items mit SCEP- oder AD CS-Zertifikaten für EAP-TLS
1
Zugewiesene WLAN- oder Ethernet-Library Items öffnen
Suchen und öffnen Sie in Iru Endpoint die WLAN- oder Ethernet-Library Items, die in Ihren Blueprints zugewiesen sind.
2
Library Item bearbeiten
Wählen Sie Bearbeiten aus.
3
Einstellungen für das Identitätszertifikat öffnen
Scrollen Sie zum Abschnitt Identity Certificate und wählen Sie Konfigurieren aus.
4
SAN-Wert hinzufügen
Wählen Sie im Abschnitt Subject Alternative Name (SAN) die Option Hinzufügen aus.
5
SAN-Typ URI auswählen
Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
6
Wert für die starke Zuordnung eingeben
Geben Sie genau diesen Wert ein:
$ADCS_STRONG_MAPPING_ID.7
Änderungen speichern
Wählen Sie Speichern aus.
Bereitstellung und erneute Zertifikatausstellung
Nach dem Aktualisieren der Library Items:- Iru Endpoint stellt Geräten, denen die aktualisierten Library Items über ihre Blueprints zugewiesen sind, automatisch neue Zertifikate aus
- Neue Zertifikate enthalten die SID des Benutzers im SAN-Feld und erfüllen so die Anforderungen von Microsoft an die starke Zertifikatzuordnung
- Alle neu konfigurierten WLAN- oder Ethernet-Verbindungen verwenden automatisch die neuen Zertifikate
Nächste Schritte
Nachdem Sie die Änderungen an den Library Items gespeichert haben:1
Auf Testgeräten validieren
Führen Sie die Aktualisierungen in einem kleinen Test-Blueprint durch, bevor Sie sie auf die Produktion ausweiten.
2
Reihenfolge des AD CS-Rollouts prüfen (optional)
Das Diagramm zum AD CS-Einrichtungsweg und die Rollout-Reihenfolge finden Sie unter AD CS-Integration: Überblick.
Hinweise
Netzwerksperren vermeiden
Netzwerksperren vermeiden
Eine fehlerhafte Aktualisierung von Zertifikaten, die für die Netzwerkverbindung verwendet werden, kann dazu führen, dass Geräte die Verbindung zum Netzwerk verlieren.
Zuerst in einem Test-Blueprint validieren
Zuerst in einem Test-Blueprint validieren
Testen Sie diese Änderungen an einer Teilmenge von Geräten mit einem Test-Blueprint und Test-Library Items, bevor Sie Änderungen an produktiven Library Items vornehmen.