Skip to main content
La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro

​
Acerca del AD CS Connector

Este artículo explica cómo instalar y registrar el AD CS Connector de Iru Endpoint en un Windows Server unido al dominio. El Connector no se instala en computadoras Mac ni en equipos cliente con Windows. Una vez que el Connector esté Activo y Conectado en Iru Endpoint, los certificados emitidos por AD CS se entregan a las computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro inscritos mediante Library Items. Para actualizar un Connector actualizado en Iru Endpoint o migrar desde Kandji con AD CS, consulta Actualizar el Iru AD CS Connector y Migrar de Kandji a Iru con AD CS en Integración de AD CS: descripción general.

​
Cómo funciona

El Connector usa el protocolo WebSocket sobre el puerto TCP 443 para mantener una conexión persistente con Iru Endpoint y el marco Remote Procedure Call (RPC) de Microsoft para comunicarse con tu implementación de AD CS. Después del registro, el Connector atiende las solicitudes de certificados iniciadas desde Iru Endpoint.

​
Requisitos previos

Confirma lo siguiente antes de instalar el Connector en Windows Server.
Asegúrate de tener plantillas de certificado en AD CS que se ajusten a cómo implementas en computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro, según la documentación de tu CA y tus estándares de seguridad. Para el certificado de equipo del host del Connector, sigue Integración de AD CS: crear una plantilla de certificado de equipo.
Cumple los AD CS Integration Network Requirements de Usar Iru en redes empresariales. Para el Connector actualizado, permite los endpoints de tu aplicación web de Iru, Iru Identity, la API del tenant (subdomain.gateway.iru.com, subdomain.gateway.eu.iru.com, subdomain.clients.*) y adcsconn como se documenta allí. No dependas únicamente de las listas de permitidos de Auth0 para el Connector actualizado. Tu red debe permitir el tráfico entre Iru Endpoint, el host del Connector y AD CS, incluido HTTPS desde el Connector hacia Iru Endpoint sin que la inspección SSL interrumpa esa ruta.
Si algún host sigue ejecutando el Connector heredado hasta que lo actualices al Connector actualizado, conserva las filas de la lista de permitidos de Auth0 heredadas de Usar Iru en redes empresariales hasta que esos hosts ejecuten el Connector actualizado.
Deshabilita u omite la inspección SSL para las rutas necesarias entre Iru Endpoint y el host del Connector cuando tu política de seguridad lo permita.
Inicia la integración de AD CS en la aplicación web de Iru Endpoint hasta el punto en que obtengas el instalador. Consulta Integración de AD CS: configurar la integración para ver el asistente completo, capturas de pantalla y el comportamiento de la tarjeta de la integración.Descarga el Iru Endpoint AD CS Connector más reciente desde la tarjeta de la integración del Connector en tu tenant cuando instales o actualices. Los instaladores del Connector actualizado son versiones 2.x; Integraciones siempre muestra la más reciente.
Usa un Windows Server 2019 o posterior físico o virtual, unido al dominio del bosque de Active Directory al que dan servicio tus CA emisoras, con .NET 8 o posterior y el runtime de Microsoft Edge WebView2 que proporciona el instalador. Para TPM o vTPM y la lista de comprobación completa, consulta Requisitos del servidor del AD CS Connector más abajo.
Necesitas acceso administrativo al Windows Server que aloja el Connector y una cuenta de administrador de Iru Endpoint para iniciar sesión en la app del Connector y completar la aprobación en el navegador.

​
Requisitos del servidor del AD CS Connector

Instálalo en un Windows Server físico o virtual que cumpla lo siguiente:
Windows Server 2019 o posterior
.NET 8 o posterior
Se requiere un Trusted Platform Module (TPM) o un TPM virtual (vTPM) en funcionamiento. El Connector depende de la criptografía respaldada por TPM. En una VM, habilita vTPM en tu hipervisor (por ejemplo, Hyper-V Generation 2 con vTPM). Consulta el artículo de Microsoft Learn Trusted Platform Module technology overview.
Microsoft Edge WebView2 (el instalador del Connector incluye un runtime compatible)
El servidor está unido al dominio del bosque de Active Directory al que dan servicio tus CA emisoras.

​
Instalación

1

Transfiere el instalador

Transfiere el archivo del instalador del Connector al Windows Server.
2

Ejecuta el instalador

Para comenzar el proceso de instalación, haz doble clic en el instalador.
3

Inicia la instalación

En la pantalla Install Iru Endpoint AD CS Connector, selecciona Start.
Pantalla de bienvenida del asistente Install Iru AD CS Connector con Start para comenzar la configuración.
4

Configura la autenticación

En la pantalla Authenticate with Certificate Authority, selecciona Local System, a menos que la política de tu CA requiera una cuenta dedicada. Si usas una cuenta de servicio, elige Service Account, introduce las credenciales que tu CA permite para la inscripción y, a continuación, selecciona Install. La cuenta que elijas debe coincidir con la entidad de seguridad que tiene Leer y Inscribir en la plantilla de certificado de equipo de Integración de AD CS: crear una plantilla de certificado de equipo. Con Local System seleccionado, selecciona Install.
Pantalla Authenticate with Certificate Authority con las opciones Local System Account y credenciales de cuenta de servicio.
Pantalla Authenticate with Certificate Authority con Service Account seleccionado y los campos de dominio, nombre de usuario y contraseña.
5

Aprueba el aviso de UAC

Cuando aparezca el aviso de UAC, selecciona Sí.
6

Completa la instalación

Una vez completada la instalación del Connector, selecciona Cerrar.
Pantalla de instalación correcta que confirma que el Iru AD CS Connector está instalado.
Para el Iru Endpoint AD CS Connector actualizado, el runtime de Microsoft Edge WebView2 se incluye con el instalador. Si es necesario, el runtime se puede descargar desde Microsoft e instalar manualmente en el Windows Server del AD CS Connector.

​
Inicialización

1

Abre la aplicación del Connector

Si el Connector no se abre automáticamente, abre Iru Endpoint AD CS Connector desde el menú Inicio. Confirma que su icono aparece en el área de notificación.
2

Introduce la URL del tenant

En Enter Iru domain, introduce la URL de tu tenant de Iru Endpoint. Usa el mismo tenant desde el que descargaste el instalador. El inicio de sesión falla si usas un tenant incorrecto.
Ventana de inicio de sesión del Iru AD CS Connector con el campo Enter Iru domain para la URL del tenant.
3

Inicia sesión

Completa el inicio de sesión en la ventana de WebView con el método que requiera tu tenant.
4

Abre la URL de registro

Después de iniciar sesión, abre la URL de registro en un navegador compatible en una computadora desde la que puedas aprobar la solicitud. El enlace de registro caduca después de una hora.
Ventana del Iru AD CS Connector con el enlace de la URL de registro y en espera de la aprobación del dispositivo.
5

Si la URL de registro no está disponible

Si el Connector muestra No se pudo obtener una URL de registro. Inténtalo más tarde., espera un momento y selecciona New URL. Si el problema persiste, verifica el acceso de red a Iru Endpoint y contacta con el soporte de Iru adjuntando los registros.
6

Aprueba el registro en Iru Endpoint

En la aplicación web de Iru Endpoint, ve a Approve AD CS connector registration. Confirma que el nombre del dispositivo coincide con tu servidor del Connector y, a continuación, selecciona Approve o Denegar.
Cuadro de diálogo Approve this device to connect con las acciones Approve y Deny.
7

Confirma el estado del Connector

Si lo apruebas, el Connector muestra Conectado y la integración muestra el Connector como Activo. Si lo deniegas, Iru Endpoint elimina la entrada del Connector. Vuelve a iniciar sesión desde la app del Connector y selecciona New URL si necesitas otro enlace de registro.
Estado del Connector que muestra Connected después de la inicialización correcta con Iru Endpoint.
8

Cierra la ventana de la aplicación

Puedes cerrar la ventana del Connector. Sigue ejecutándose en la bandeja del sistema.
9

Agrega las CA emisoras y asigna los servidores

Agrega las CA emisoras en la pestaña Servers y usa Asignar servidores como se describe en Agregar servidores de AD CS y asignarlos al Connector. También puedes completar la asignación desde Integración de AD CS: configurar la integración.
Vuelve a Iru Endpoint para asignar servidores de AD CS al Connector y, a continuación, agrega Library Items para entregar certificados de AD CS a los dispositivos. Para ver ejemplos de Library Items, consulta Entregar certificados a dispositivos Apple.

​
Agregar servidores de AD CS y asignarlos al Connector

Cuando el Connector esté Activo en Iru Endpoint y Conectado desde el host de Windows:
1

Abre la pestaña Servers

En la integración de AD CS, abre la pestaña Servers.
2

Agrega cada CA emisora

Agrega cada CA emisora usando ca_server_fqdn\issuing_ca_name en Server name (por ejemplo, subordinateca.example.com\Contoso Issuing CA). El nombre de la CA emisora aparece en la consola Certificate Authority del servidor de la CA emisora. Selecciona Añadir para cada servidor. Los servidores nuevos muestran Disconnected hasta que los asignes a un Connector Activo y Conectado.
3

Asigna los servidores a este Connector

En la descripción general del Connector, abre el menú de acciones (…) de la tarjeta del Connector y selecciona Asignar servidores. Selecciona los servidores de AD CS que debe usar este Connector y confirma.
Para ver capturas de pantalla de la página de la integración, consulta Integración de AD CS: configurar la integración.

​
Entregar certificados a dispositivos Apple

Cuando al menos un Connector esté Activo y Conectado, y tus servidores de AD CS estén asignados, Iru Endpoint puede entregar Library Items respaldados por AD CS a las computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro inscritos.
1

Agrega un Library Item

Ve a Library y selecciona Añadir Library Item.
2

Selecciona un Library Item compatible con certificados

Agrega un Library Item que emita certificados mediante AD CS, como Certificado, Wi-Fi o VPN.
3

Configura los ajustes de AD CS

Selecciona la CA emisora y la plantilla. Establece el sujeto, el nombre alternativo del sujeto y el uso de la clave para que coincidan con tu PKI y con la forma en que los dispositivos usan el certificado.
4

Asigna a Blueprints

Asigna el Library Item a los Blueprints que deben recibirlo.
5

Valida en los dispositivos

Deja que los dispositivos se registren. En un Mac, confirma la instalación en Keychain Access. En iPhone, iPad, Apple TV y Apple Vision Pro, confirma que el certificado está instalado en el dispositivo.

​
Próximos pasos

Una vez que el Connector esté Activo y Conectado, y los servidores de AD CS estén asignados:
1

Agrega la asignación segura de certificados cuando sea necesaria

Si usas AD CS para 802.1X basado en usuarios o algo similar, consulta Configuración de la asignación segura de certificados de Active Directory.
2

Crea o actualiza Library Items

Crea Library Items de Certificate, Wi-Fi, Ethernet o VPN y asígnalos a Blueprints.
3

Revisa el orden de implementación de AD CS (opcional)

Consulta Integración de AD CS: descripción general para ver el diagrama de la ruta de configuración de AD CS y el orden de implementación.

​
Agregar otro host del Connector

1

Abre la integración

En Integraciones, abre Active Directory Certificate Services y, a continuación, selecciona Add connector.
2

Instálalo en el servidor adicional

Descarga el instalador y repite la instalación, el inicio de sesión y la aprobación del registro en otro Windows Server unido al dominio.
3

Asigna los servidores de AD CS

Asigna servidores de AD CS a cada Connector según tu diseño de red y disponibilidad.

​
Actualizar el AD CS Connector

En Windows Server, la actualización del Iru Endpoint AD CS Connector en un tenant de Iru usa el flujo de trabajo de Actualizar el Iru AD CS Connector en Integración de AD CS: descripción general. Si vas a migrar desde Kandji con AD CS, sigue Migrar de Kandji a Iru con AD CS en su lugar. Esa ruta incluye la actualización del tenant, la desinstalación del Connector heredado y el registro del Connector actualizado.

​
Desinstalar el AD CS Connector

Puedes quitar el Connector y el runtime de Edge desde Control Panel > Programs and Features. En Windows Server 2019 y versiones posteriores, también puedes usar Configuración > Apps > Installed apps.
1

Abre Programs and Features o Installed apps

Ve al menú Inicio y abre Control Panel > Programs and Features, o abre Configuración > Apps > Installed apps en Windows Server 2019 y versiones posteriores.
2

Desinstala el AD CS Connector

Busca Iru Endpoint AD CS Connector y selecciona Uninstall.
3

Confirma la desinstalación

Cuando aparezca la ventana Uninstall Iru Endpoint AD CS Connector, selecciona Uninstall.
4

Completa la desinstalación del Connector

Cuando se complete la desinstalación, selecciona Cerrar.
5

Desinstala el runtime de WebView

Busca Microsoft Edge WebView2 Runtime y selecciona Uninstall.
6

Quita la carpeta de datos

Una vez desinstalados los componentes, abre el Explorador de archivos, ve a C:\ProgramData y elimina la carpeta iru si tu política de seguridad requiere un host limpio. ProgramData está oculta de forma predeterminada.

​
Solución de problemas

Si la ventana del Connector muestra Something went wrong con el interruptor desactivado, verifica el acceso de red a Iru Endpoint, confirma que el TPM está listo en el servidor y, a continuación, prueba Volver a autenticar o reinicia la app del Connector desde el menú Inicio. Si el estado persiste, recopila los registros de C:\ProgramData\iru y contacta con el soporte de Iru.
Estado Something went wrong del Iru AD CS Connector con el enlace Volver a autenticar.
Durante la Inicialización, el Connector inicia sesión en tu tenant de Iru en una ventana de WebView. Si el inicio de sesión falla, entra en un bucle o la ventana muestra Try Again, es posible que los datos de inicio de sesión almacenados en caché para el perfil de usuario de Windows que ejecuta el Connector estén obsoletos.Primero, confirma que introdujiste la URL correcta del tenant de Iru (el mismo tenant desde el que descargaste el instalador en Integraciones > Active Directory Certificate Services) y que el servidor puede acceder a Iru Endpoint. Consulta AD CS Integration Network Requirements en Usar Iru en redes empresariales. También puedes seleccionar Volver a autenticar en la app del Connector cuando esté disponible.Para borrar los datos almacenados en caché del Connector:
  1. Cierra Iru Endpoint AD CS Connector desde el área de notificación o el Administrador de tareas.
  2. Abre el Explorador de archivos y ve a %LOCALAPPDATA%\Iru (por ejemplo, C:\Users\<username>\AppData\Local\Iru).
  3. Elimina todos los archivos y carpetas dentro de Iru.
  4. Vuelve a abrir Iru Endpoint AD CS Connector y repite la Inicialización, empezando por Introduce la URL del tenant.
No elimines C:\ProgramData\iru en este paso. Ese directorio almacena los registros y los archivos de servicio del Connector, no la caché de inicio de sesión de WebView. Consulta Revisa el contenido del directorio de datos en esta sección.Si la autenticación sigue fallando después de borrar %LOCALAPPDATA%\Iru, recopila los registros de C:\ProgramData\iru y contacta con el soporte de Iru.
Confirma que abriste la URL de registro, que aprobaste la solicitud en Approve AD CS connector registration y que iniciaste sesión en el tenant correcto. Selecciona New URL en la app del Connector si el código de registro caducó. Si la aplicación web de Iru Endpoint informa de que la URL de registro ha caducado cuando intentas aprobarla, usa La URL de registro caducó al aprobar el registro en esta sección de solución de problemas.
Si Approve AD CS connector registration en la aplicación web de Iru Endpoint informa de que la URL de registro ha caducado, ya no es posible recuperar el registro solo con New URL en la app del Connector. En el Windows Server, desinstala Iru Endpoint AD CS Connector (y el runtime de WebView incluido, y quita C:\ProgramData\iru si es necesario) siguiendo Desinstalar el AD CS Connector. A continuación, descarga el instalador más reciente desde Integraciones > Active Directory Certificate Services y repite la Instalación y la Inicialización en ese host.
El Connector debe estar Activo en Iru Endpoint y Conectado desde el host de Windows antes de poder asignar servidores.
Confirma que los servidores de AD CS están agregados y asignados, que el Library Item está dirigido a los Blueprints correctos y que los dispositivos están inscritos. Valida los permisos de la plantilla y las reglas del sujeto con un dispositivo de prueba.
La app del AD CS Connector se instala en C:\Program Files\Iru\AD CS Connector.
Los registros, la configuración y los archivos de servicio se encuentran en C:\ProgramData\iru. Es un directorio oculto en el Windows Server.
Usa el Visor de eventos de Windows para revisar los registros del AD CS Connector en Event Viewer > Applications and Services Logs > Iru.
Los registros de Windows Installer se pueden habilitar siguiendo la guía de Microsoft.
El AD CS Connector se ejecuta como un servicio de Windows. Confirma que se está ejecutando en la aplicación Services (services.msc).
En el Administrador de tareas, el proceso del Connector se llama adcs-connector-app. Si la superficie de inicio de sesión de WebView no se muestra después de introducir el dominio del tenant de Iru Endpoint, finaliza el proceso adcs-connector-app y vuelve a abrir Iru Endpoint AD CS Connector desde el menú Inicio.
Si tienes más preguntas, contacta con el soporte.

​
Prácticas recomendadas

Mantén rutas de red fiables

Asegura una conectividad de red adecuada entre el AD CS Connector y tu tenant de Iru Endpoint, y confirma que el puerto TCP 443 está accesible para la comunicación WebSocket.

Deshabilita la inspección SSL

Deshabilita la inspección SSL para las comunicaciones de red necesarias entre Iru Endpoint y el AD CS Connector para evitar problemas de conexión y autenticación.

Usa una cuenta de servicio dedicada

Usa una cuenta de servicio dedicada para el AD CS Connector cuando la plantilla de tu CA lo permita, para que los permisos de inscripción se limiten a esa cuenta.

Mantén actualizado el Connector actualizado

Instala el Iru Endpoint AD CS Connector más reciente desde tu tenant de Iru Endpoint (Integraciones > Active Directory Certificate Services) para recibir correcciones y actualizaciones de seguridad. Esas actualizaciones se aplican al Connector actualizado; el Connector heredado no las recibe.

​
Consideraciones

La app del Connector y Approve AD CS connector registration deben apuntar al mismo tenant de Iru Endpoint que quieres conectar.
El Windows Server que aloja el AD CS Connector debe estar vinculado a tu dominio de Active Directory para que las operaciones con certificados se realicen correctamente.
Inspecciona los archivos de registro en C:\ProgramData\iru en el Windows Server (este directorio está oculto de forma predeterminada). Usa estos registros junto con la aplicación del Connector y el Visor de eventos de Windows cuando diagnostiques problemas de conexión, autenticación o certificados.
En el Windows Server del Connector, abre PowerShell y ejecuta Get-Tpm. Confirma que TpmPresent, TpmEnabled y TpmActivated reflejan un TPM utilizable. Para ver las definiciones de las propiedades, consulta la referencia de Microsoft Get-Tpm. En las VM, confirma que vTPM está habilitado en la configuración del hipervisor. Si el TPM no está disponible, resuelve la configuración del firmware, del hipervisor o del invitado antes de usarlo en producción.Si los registros del Connector incluyen System.Security.Cryptography.CryptographicException con el siguiente mensaje, es posible que el TPM no esté habilitado o listo para su uso; vuelve a ejecutar las comprobaciones anteriores y revisa la configuración del firmware:
System.Security.Cryptography.CryptographicException: The device that is required by this cryptographic provider is not ready for use.