> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Konfiguration der starken Zertifikatzuordnung für Active Directory

> Aktualisieren Sie AD CS-Vorlagen und Iru Endpoint-Library Items, um die Anforderungen von Microsoft KB5014754 an die starke Zertifikatzuordnung für die AD-Authentifizierung zu erfüllen.

<Callout icon="apple" color="#B84A7A" iconType="regular">Die Bereitstellung von AD CS-Zertifikaten unterstützt Mac-Computer, iPhone, iPad, Apple TV-Geräte und Apple Vision Pro</Callout>

Microsoft hat mit [KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16) wesentliche Änderungen an der Zertifikatauthentifizierung der Active Directory-Zertifikatdienste (AD CS) eingeführt. Diese Änderungen erzwingen eine starke Zertifikatzuordnung, um Sicherheitslücken zur Rechteausweitung im Zusammenhang mit Zertifikat-Spoofing zu beheben. Betroffen sind Organisationen, die Microsoft AD CS für eine zertifikatbasierte Authentifizierung verwenden, die auf Benutzerattributen in Zertifikaten beruht (z. B. WLAN oder Ethernet mit 802.1X).

<Warning>
  **Wichtig:** Seit dem 11. Februar 2025 erzwingt Windows diese Änderungen standardmäßig. Wenn Zertifikate nicht stark Active Directory-Konten zugeordnet werden können, wird die Authentifizierung verweigert.
</Warning>

### Durchsetzungstermine und Anforderungen

Lesen Sie den folgenden Zeitplan zur Durchsetzung und die Zertifikatanforderungen, bevor Sie Library Items oder Connector-Versionen ändern.

<AccordionGroup>
  <Accordion title="11. Februar 2025" icon="calendar">
    Die Durchsetzung der starken Zertifikatzuordnung wurde standardmäßig aktiviert.
  </Accordion>

  <Accordion title="10. September 2025" icon="calendar">
    Der Kompatibilitätsmodus wird nicht mehr unterstützt.
  </Accordion>

  <Accordion title="Erforderliche Maßnahmen für Zertifikate" icon="triangle-exclamation">
    Alle für die Active Directory-Authentifizierung verwendeten Zertifikate müssen die Sicherheits-ID (SID) des Benutzers im Feld „Subject Alternative Name“ (SAN) enthalten.
  </Accordion>
</AccordionGroup>

### Wer muss handeln?

Dies gilt für Kunden, die Microsoft AD CS für eine zertifikatbasierte Authentifizierung verwenden, die auf Benutzerattributen in Zertifikaten beruht (z. B. WLAN oder Ethernet mit 802.1X).

### Voraussetzungen

Prüfen Sie Folgendes, bevor Sie den AD CS Connector, SCIM oder Library Items für die starke Zertifikatzuordnung aktualisieren.

<AccordionGroup>
  <Accordion title="Benutzerzuweisungen in Iru Endpoint" icon="users">
    [Weisen Sie in Iru Endpoint Benutzer zu Gerätedatensätzen zu](/de/endpoint/devices/device-record-management/assigning-and-unassigning-users-to-devices), bevor Sie mit den Zertifikataktualisierungen fortfahren.
  </Accordion>

  <Accordion title="Connector-Host: Betriebssystem, .NET, TPM, WebView, Domain" icon="server">
    Wenn Sie den Iru Endpoint AD CS Connector für von AD CS ausgestellte Zertifikate verwenden, installieren Sie **.NET 8 oder höher** auf dem Host mit **Windows Server 2019 oder neuer**, auf dem der Connector ausgeführt wird. Der Connector-Host ist häufig nicht derselbe Rechner wie Ihre AD CS-Zertifizierungsstelle (CA). Die vollständige Liste der Anforderungen, einschließlich TPM oder vTPM, finden Sie unter [Serveranforderungen für den AD CS Connector](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#ad-cs-connector-server-requirements) in [AD CS Connector-Installation](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).
  </Accordion>
</AccordionGroup>

### Erforderliche Schritte

#### Iru Endpoint AD CS Connector aktualisieren

<Warning>
  Diese Aktualisierung ist nur erforderlich, wenn Sie den Iru Endpoint AD CS Connector zum Ausstellen von Zertifikaten verwenden.
</Warning>

Die starke Zertifikatzuordnung erfordert den **aktualisierten** Iru Endpoint AD CS Connector in einer unterstützten **2.x**-Version (siehe die [Voraussetzungen](#prerequisites) oben). Laden Sie auf Windows Server den neuesten **Iru Endpoint AD CS Connector** unter **Integrationen** > **Active Directory Certificate Services** herunter (Sie können **Redownload Connector** auf der Connector-Karte verwenden) und installieren Sie ihn auf dem Host. Informationen zum Upgrade eines **aktualisierten** Connectors in Iru Endpoint finden Sie unter [Iru AD CS Connector aktualisieren](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector). Informationen zum Ersetzen des **älteren** Kandji-Connectors nach der Tenant-Migration finden Sie unter [Migration von Kandji zu Iru mit AD CS](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) in **AD CS-Integration: Überblick**.

Wenn eine **neue** **aktualisierte** Registrierung neben einer Zeile mit einem **älteren** Connector erscheint, schließen Sie **Server zuweisen** ab und entfernen Sie den älteren Eintrag wie unter [Migration von Kandji zu Iru mit AD CS](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) oder [Iru AD CS Connector aktualisieren](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector) beschrieben. Informationen zum Ablauf von Installation, Anmeldung und **Registrierungs-URL** finden Sie unter [Initialisierung](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#initialization) in [AD CS Connector-Installation](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).

#### SCIM-Benutzerverzeichnis-Integration aktualisieren

<Warning>
  Diese Schritte betreffen Microsoft Entra ID-SCIM-Integrationen. Native Microsoft Entra ID-Integrationen erfordern keine zusätzliche Konfiguration.
</Warning>

<Steps>
  <Step title="Beim Microsoft Entra Admin Center anmelden">
    Melden Sie sich beim [Microsoft Entra Admin Center](https://entra.microsoft.com) an.
  </Step>

  <Step title="Entra ID öffnen">
    Öffnen Sie das Portalmenü und wählen Sie **Entra ID** aus.
  </Step>

  <Step title="Unternehmensanwendungen öffnen">
    Wählen Sie im Menü **Entra ID** die Option **Enterprise applications** aus.
  </Step>

  <Step title="Ihre SCIM-App öffnen">
    Suchen und öffnen Sie die SCIM-App, die mit Iru Endpoint verwendet wird.
  </Step>

  <Step title="Bereitstellungseinstellungen öffnen">
    Wählen Sie unter **Verwalten** die Option **Provisioning** aus.
  </Step>

  <Step title="Attributzuordnung öffnen">
    Wählen Sie unter **Verwalten** die Option **Attribute Mapping (Preview)** aus.
  </Step>

  <Step title="Zuordnung für Microsoft Entra ID-Benutzer auswählen">
    Wählen Sie **Provision Microsoft Entra ID Users** aus.
  </Step>

  <Step title="Erweiterte Optionen anzeigen">
    Scrollen Sie nach unten und aktivieren Sie das Kontrollkästchen, um erweiterte Optionen anzuzeigen.
  </Step>

  <Step title="Attributliste bearbeiten">
    Wählen Sie **Edit attribute list for Provision Microsoft Entra ID Users** aus.
  </Step>

  <Step title="Attribut onPremisesSecurityIdentifier hinzufügen">
    Fügen Sie ein neues Feld hinzu: `onPremisesSecurityIdentifier` (Typ als String belassen).
  </Step>

  <Step title="Attributliste speichern">
    Wählen Sie **Speichern** aus.
  </Step>

  <Step title="Neue Zuordnung beginnen">
    Kehren Sie zu **Attribute Mapping** zurück, scrollen Sie nach unten und wählen Sie **Add New Mapping** aus.
  </Step>

  <Step title="Zuordnungsfelder konfigurieren">
    Konfigurieren Sie die Zuordnung:

    * **Mapping type**: Direct (Standard)
    * **Quellattribut**: `onPremisesSecurityIdentifier`
    * **Zielattribut**: `onPremisesSecurityIdentifier`
  </Step>

  <Step title="Zuordnung speichern">
    Wählen Sie **OK** und dann **Speichern** aus.
  </Step>
</Steps>

<Warning>
  `onPremisesSecurityIdentifier` erscheint nach der nächsten Entra ID-SCIM-Synchronisierung (alle 20–40 Minuten) in den Benutzerattributen.
</Warning>

#### Zertifikat-Library Items aktualisieren

##### Für SCEP-Zertifikat-Library Items

<Steps>
  <Step title="Zugewiesene SCEP-Library Items öffnen">
    Suchen Sie in Iru Endpoint die SCEP-Library Items, die in Ihren Blueprints zugewiesen sind.
  </Step>

  <Step title="Library Item bearbeiten">
    Wählen Sie beim Element **Bearbeiten** aus.
  </Step>

  <Step title="SAN-Wert hinzufügen">
    Wählen Sie im Abschnitt **Subject Alternative Name (SAN)** die Option **Hinzufügen** aus.
  </Step>

  <Step title="SAN-Typ URI auswählen">
    Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
  </Step>

  <Step title="Wert für die starke Zuordnung eingeben">
    Geben Sie genau diesen Wert ein: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Änderungen speichern">
    Wählen Sie **Speichern** aus.
  </Step>
</Steps>

##### Für Zertifikat-Library Items mit dem AD CS Connector

<Steps>
  <Step title="Zugewiesene Zertifikat-Library Items öffnen">
    Suchen und öffnen Sie in Iru Endpoint die Zertifikat-Library Items, die in Ihren Blueprints zugewiesen sind.
  </Step>

  <Step title="Library Item bearbeiten">
    Wählen Sie **Bearbeiten** aus.
  </Step>

  <Step title="SAN-Wert hinzufügen">
    Wählen Sie im Abschnitt **Subject Alternative Name (SAN)** die Option **Hinzufügen** aus.
  </Step>

  <Step title="SAN-Typ URI auswählen">
    Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
  </Step>

  <Step title="Wert für die starke Zuordnung eingeben">
    Geben Sie genau diesen Wert ein: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Änderungen speichern">
    Wählen Sie **Speichern** aus.
  </Step>
</Steps>

##### Für WLAN- oder Ethernet-Library Items mit SCEP- oder AD CS-Zertifikaten für EAP-TLS

<Steps>
  <Step title="Zugewiesene WLAN- oder Ethernet-Library Items öffnen">
    Suchen und öffnen Sie in Iru Endpoint die WLAN- oder Ethernet-Library Items, die in Ihren Blueprints zugewiesen sind.
  </Step>

  <Step title="Library Item bearbeiten">
    Wählen Sie **Bearbeiten** aus.
  </Step>

  <Step title="Einstellungen für das Identitätszertifikat öffnen">
    Scrollen Sie zum Abschnitt **Identity Certificate** und wählen Sie **Konfigurieren** aus.
  </Step>

  <Step title="SAN-Wert hinzufügen">
    Wählen Sie im Abschnitt **Subject Alternative Name (SAN)** die Option **Hinzufügen** aus.
  </Step>

  <Step title="SAN-Typ URI auswählen">
    Fügen Sie einen SAN vom Typ Uniform Resource Identifier hinzu.
  </Step>

  <Step title="Wert für die starke Zuordnung eingeben">
    Geben Sie genau diesen Wert ein: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Änderungen speichern">
    Wählen Sie **Speichern** aus.
  </Step>
</Steps>

### Bereitstellung und erneute Zertifikatausstellung

Nach dem Aktualisieren der Library Items:

* Iru Endpoint stellt Geräten, denen die aktualisierten Library Items über ihre Blueprints zugewiesen sind, automatisch neue Zertifikate aus
* Neue Zertifikate enthalten die SID des Benutzers im SAN-Feld und erfüllen so die Anforderungen von Microsoft an die starke Zertifikatzuordnung
* Alle neu konfigurierten WLAN- oder Ethernet-Verbindungen verwenden automatisch die neuen Zertifikate

### Nächste Schritte

Nachdem Sie die Änderungen an den Library Items gespeichert haben:

<Steps>
  <Step title="Auf Testgeräten validieren">
    Führen Sie die Aktualisierungen in einem kleinen Test-Blueprint durch, bevor Sie sie auf die Produktion ausweiten.
  </Step>

  <Step title="Reihenfolge des AD CS-Rollouts prüfen (optional)">
    Das Diagramm zum **AD CS-Einrichtungsweg** und die Rollout-Reihenfolge finden Sie unter [AD CS-Integration: Überblick](/de/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview).
  </Step>
</Steps>

### Hinweise

<AccordionGroup>
  <Accordion title="Netzwerksperren vermeiden" icon="triangle-exclamation">
    Eine fehlerhafte Aktualisierung von Zertifikaten, die für die Netzwerkverbindung verwendet werden, kann dazu führen, dass Geräte die Verbindung zum Netzwerk verlieren.
  </Accordion>

  <Accordion title="Zuerst in einem Test-Blueprint validieren" icon="flask">
    Testen Sie diese Änderungen an einer Teilmenge von Geräten mit einem Test-Blueprint und Test-Library Items, bevor Sie Änderungen an produktiven Library Items vornehmen.
  </Accordion>
</AccordionGroup>