Skip to main content
Einige Organisationen richten reine Registrierungsnetzwerke ein oder setzen Proxys ein, um den Zugriff auf das öffentliche Internet einzuschränken. In diesen Fällen ist es wichtig sicherzustellen, dass Ihre Apple-, Windows- und Android-Geräte mit den Plattformdiensten und Iru kommunizieren können, um Registrierungs- und Verwaltungsaufgaben abzuschließen.
Beim Erstellen von Firewallregeln für diese Ports muss ausgehender Datenverkehr zugelassen werden.

​
Globaler Zugriff auf die Web-App

Unabhängig von der Region greifen alle Iru-Mandanten über eine einzige globale Domäne auf die Web-App zu: subdomain.iru.com.
Die regionsspezifischen Tabellen unten führen außerdem subdomain.kandji.io und subdomain.eu.kandji.io als Zugriffsdomänen für die Web-App auf. Dabei handelt es sich um ältere Hostnamen, die zum selben Iru-Dienst weiterleiten.
Ihre Daten bleiben innerhalb der zugewiesenen Region isoliert. Beim Laden der App wird eine Abfrage an einen global verfügbaren Dienst (den Identity Service) gesendet, um die Region Ihres Mandanten zu ermitteln. Alle nachfolgenden API-Aufrufe werden dann entsprechend an regionsspezifische Load Balancer weitergeleitet. Details zur Anmeldung und zum Zugriff auf Ihren Mandanten finden Sie unter Erste Schritte.

​
Erforderliche Domänen und Ports

​
Für alle Regionen gemeinsame Domänen

Die folgenden Domänen sind für alle Mandanten unabhängig von der Region erforderlich:

​
Regionsspezifische Domänen

​
Domänen der in den USA gehosteten Region

​
Netzwerkanforderungen für die AD CS-Integration

Wenn Sie die Integration von Active Directory Certificate Services verwenden, lassen Sie diese Netzwerkpfade für die Einrichtung des AD CS Connector und den Ablauf von Zertifikatsanforderungen zu. Den vollständigen Integrationskontext finden Sie unter AD CS-Integration: Übersicht.
Der aktualisierte AD CS Connector verwendet die Iru-Anmeldung und die Genehmigung über die Registrierungs-URL in der Iru Endpoint-Web-App. Er verwendet kein Auth0. Verwenden Sie die Tabelle Aktualisierter AD CS Connector für Standard-Zulassungslisten (Iru-Mandant, Iru-Mandanten-API, Iru Identity, adcsconn und interner AD CS-CA-Datenverkehr wie aufgeführt). Nehmen Sie Ihre Iru Web App und alle weiteren Iru Identity-Ziele aus anderen Abschnitten dieses Artikels auf, sofern diese Zeilen für Ihren Mandanten gelten. Wenn während der Migration noch Windows Server-Hosts den alten Connector ausführen, lassen Sie außerdem die Ziele in der Tabelle Alter AD CS Connector zu, bis diese Hosts aktualisiert sind und der alte Connector aus Iru Endpoint entfernt wurde.

​
Aktualisierter AD CS Connector

Microsoft RPC verwendet keinen einzelnen festen hohen Port. Lassen Sie TCP 135 (RPC Endpoint Mapper) zu jedem FQDN einer ausstellenden CA zu sowie den dynamischen RPC-Portbereich von Windows, den jeder CA-Host verwendet; dies ist häufig der Bereich, der in der Windows Defender Firewall mit erweiterter Sicherheit auf dem Zertifikatserver als RPC Dynamic Ports angezeigt wird. Bestätigen Sie den Bereich auf jeder ausstellenden CA und übernehmen Sie ihn in Ihre Firewall- oder Proxyregeln. Hintergrundinformationen finden Sie unter Configure RPC dynamic port allocation with firewalls auf Microsoft Learn.

​
Alter AD CS Connector (nur Migration)

Lassen Sie diese Ziele nur zu, solange mindestens ein Windows Server-Host noch den alten Connector ausführt (Auth0-basierte WebView-Anmeldung während der Einrichtung). Wenn alle Connectors den aktualisierten Ablauf von Iru verwenden, entfernen Sie diese Zeilen aus der Zulassungsliste.

​
Ihre eindeutigen Gerätedomänen ermitteln

Ihre eindeutigen Gerätedomänen werden von registrierten Geräten verwendet, um über das MDM-Protokoll und den Iru Agent mit Iru zu kommunizieren. Beispiele für die Region USA:
  • UUID.web-api.kandji.io
  • UUID.devices.us-1.kandji.io
  • UUID.devices.iru.com
Beispiele für die Region EU:
  • UUID.web-api.eu.kandji.io
  • UUID.devices.eu.kandji.io
  • UUID.devices.eu.iru.com
Die UUID ist für Ihren Mandanten eindeutig. Sie können die Domänen Ihres Mandanten anzeigen, indem Sie sich bei Ihrem Mandanten anmelden und die folgenden Schritte ausführen:
1

Organisation öffnen

Wählen Sie in der Seitenleiste die Schaltfläche Kontomenü und dann Organisation.
2

Gerätedomänen anzeigen

Unter Endpoint sehen Sie den Bereich Device Domains. Diese Domänen werden von Geräten für die MDM- und Agent-Kommunikation verwendet.

​
Gerätedomäne auf einem Mac ermitteln

Um die von einem einzelnen Mac-Computer verwendete Domäne zu ermitteln, führen Sie den folgenden Befehl im Terminal aus:
Terminal

​
SSL/TLS-Prüfung

Der macOS Iru Agent verwendet Certificate Pinning, sodass er nur mit vertrauenswürdigen Servern kommuniziert und der Datenverkehr nicht abgefangen und geprüft werden kann (Schutz vor MITM-Angriffen). Dies kann problematisch sein, wenn Ihr Netzwerk- oder Proxyadministrator standardmäßig den gesamten SSL/TLS-Datenverkehr entschlüsselt. Bitten Sie Ihren Netzwerkadministrator, die Gerätedomänen Ihres Mandanten von der Prüfung auszunehmen.
Bitte beachten Sie: Selbst wenn Sie die CA Ihres Inhaltsfilters als vertrauenswürdige Stamm-CA auf Ihren macOS-Geräten bereitstellen, führt die SSL/TLS-Prüfung dennoch dazu, dass der Iru Agent nicht mit Iru kommuniziert.

​
Plattformspezifische Netzwerkanforderungen

​
Erforderliche Hosts und Ports für Apple

Apple-Geräte benötigen für eine ordnungsgemäße Registrierung und Verwaltung Zugriff auf verschiedene Apple-Dienste. Die Netzwerkanforderungen von Apple finden Sie im offiziellen Leitfaden von Apple: Configure devices to work with APNs.

​
TLS-Versionen und Cipher Suites

Laut dem Apple-Leitfaden zur Plattformsicherheit bevorzugen integrierte Apps und Dienste auf macOS-, iOS-, tvOS- und iPadOS-Geräten automatisch Cipher Suites mit Perfect Forward Secrecy. Dies gilt auch, wenn ein Entwickler eine High-Level-Netzwerk-API wie CFNetwork verwendet. Der Iru Agent verwendet diese High-Level-Netzwerk-APIs. Wir empfehlen Ihnen, den Apple-Leitfaden zur Plattformsicherheit zu lesen, um diese Funktionen besser zu verstehen, insbesondere den Abschnitt zur TLS-Netzwerksicherheit, den Sie hier finden. Die für die MDM- und Iru Agent-Kommunikation verwendeten Domänen sind für Ihren Mandanten eindeutig. Unter Ihre eindeutigen Gerätedomänen ermitteln erfahren Sie, wie Sie Ihre finden. Sie können die Domänen Ihres Mandanten mit einem Tool wie Qualys SSL Server Test prüfen, um zu verstehen, welche Cipher derzeit von Iru unterstützt werden.

​
Unterstützte TLS-Protokolle

Iru unterstützt die folgenden TLS-Protokollversionen:

​
Cipher Suites

  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA
  • TLS_RSA_WITH_AES_256_GCM_SHA384
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
  • TLS_RSA_WITH_AES_256_CBC_SHA