> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Integración de AD CS: instalación del AD CS Connector
> Instala y registra el AD CS Connector de Iru Endpoint en un Windows Server unido al dominio para entregar certificados a computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro inscritos.
La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro
### Acerca del AD CS Connector
Este artículo explica cómo instalar y registrar el AD CS Connector de Iru Endpoint en un Windows Server unido al dominio. El Connector no se instala en computadoras Mac ni en equipos cliente con Windows. Una vez que el Connector esté **Activo** y **Conectado** en Iru Endpoint, los certificados emitidos por AD CS se entregan a las computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro inscritos mediante Library Items.
Para actualizar un Connector **actualizado** en Iru Endpoint o migrar desde Kandji con AD CS, consulta [Actualizar el Iru AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector) y [Migrar de Kandji a Iru con AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) en **Integración de AD CS: descripción general**.
### Cómo funciona
El Connector usa el protocolo WebSocket sobre el puerto TCP 443 para mantener una conexión persistente con Iru Endpoint y el marco [Remote Procedure Call](https://docs.microsoft.com/en-us/windows/win32/rpc/rpc-start-page) (RPC) de Microsoft para comunicarse con tu implementación de AD CS. Después del registro, el Connector atiende las solicitudes de certificados iniciadas desde Iru Endpoint.
### Requisitos previos
Confirma lo siguiente antes de instalar el Connector en Windows Server.
Asegúrate de tener plantillas de certificado en AD CS que se ajusten a cómo implementas en computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro, según la documentación de tu CA y tus estándares de seguridad. Para el certificado de equipo del host del Connector, sigue [Integración de AD CS: crear una plantilla de certificado de equipo](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-create-a-computer-certificate-template).
Cumple los **AD CS Integration Network Requirements** de [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements). Para el Connector actualizado, permite los endpoints de tu aplicación web de Iru, Iru Identity, la API del tenant (`subdomain.gateway.iru.com`, `subdomain.gateway.eu.iru.com`, `subdomain.clients.*`) y `adcsconn` como se documenta allí. **No** dependas únicamente de las listas de permitidos de Auth0 para el Connector actualizado. Tu red debe permitir el tráfico entre Iru Endpoint, el host del Connector y AD CS, incluido HTTPS desde el Connector hacia Iru Endpoint sin que la inspección SSL interrumpa esa ruta.
Si algún host sigue ejecutando el Connector **heredado** hasta que lo actualices al Connector actualizado, conserva las filas de la lista de permitidos de Auth0 heredadas de [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements) hasta que esos hosts ejecuten el Connector actualizado.
Deshabilita u omite la inspección SSL para las rutas necesarias entre Iru Endpoint y el host del Connector cuando tu política de seguridad lo permita.
Inicia la integración de AD CS en la aplicación web de Iru Endpoint hasta el punto en que obtengas el instalador. Consulta [Integración de AD CS: configurar la integración](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration) para ver el asistente completo, capturas de pantalla y el comportamiento de la tarjeta de la integración.
Descarga el **Iru Endpoint AD CS Connector** más reciente desde la tarjeta de la integración del Connector en tu tenant cuando instales o actualices. Los instaladores del Connector **actualizado** son versiones **2.x**; **Integraciones** siempre muestra la más reciente.
Usa un **Windows Server 2019 o posterior** físico o virtual, unido al dominio del bosque de Active Directory al que dan servicio tus CA emisoras, con **.NET 8 o posterior** y el runtime de Microsoft Edge WebView2 que proporciona el instalador. Para TPM o vTPM y la lista de comprobación completa, consulta [Requisitos del servidor del AD CS Connector](#ad-cs-connector-server-requirements) más abajo.
Necesitas acceso administrativo al Windows Server que aloja el Connector y una cuenta de **administrador de Iru Endpoint** para iniciar sesión en la app del Connector y completar la aprobación en el navegador.
### Requisitos del servidor del AD CS Connector
Instálalo en un Windows Server físico o virtual que cumpla lo siguiente:
**Windows Server 2019 o posterior**
**.NET 8 o posterior**
Se requiere un **Trusted Platform Module (TPM)** o un **TPM virtual (vTPM)** en funcionamiento. El Connector depende de la criptografía respaldada por TPM. En una VM, habilita vTPM en tu hipervisor (por ejemplo, Hyper-V Generation 2 con vTPM). Consulta el artículo de Microsoft Learn [Trusted Platform Module technology overview](https://learn.microsoft.com/en-us/windows/security/hardware-security/tpm/trusted-platform-module-overview).
Microsoft Edge WebView2 (el instalador del Connector incluye un runtime compatible)
El servidor está unido al dominio del bosque de Active Directory al que dan servicio tus CA emisoras.
### Instalación
Transfiere el archivo del instalador del Connector al Windows Server.
Para comenzar el proceso de instalación, haz doble clic en el instalador.
En la pantalla Install Iru Endpoint AD CS Connector, selecciona **Start**.
En la pantalla **Authenticate with Certificate Authority**, selecciona **Local System**, a menos que la política de tu CA requiera una cuenta dedicada. Si usas una cuenta de servicio, elige **Service Account**, introduce las credenciales que tu CA permite para la inscripción y, a continuación, selecciona **Install**. La cuenta que elijas debe coincidir con la entidad de seguridad que tiene **Leer** y **Inscribir** en la plantilla de certificado de equipo de [Integración de AD CS: crear una plantilla de certificado de equipo](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-create-a-computer-certificate-template). Con **Local System** seleccionado, selecciona **Install**.
Cuando aparezca el aviso de UAC, selecciona **Sí**.
Una vez completada la instalación del Connector, selecciona **Cerrar**.
Para el **Iru Endpoint AD CS Connector** **actualizado**, el runtime de Microsoft Edge WebView2 se incluye con el instalador. Si es necesario, el runtime se puede [descargar desde Microsoft](https://developer.microsoft.com/en-us/microsoft-edge/webview2/?form=MA13LH) e instalar manualmente en el Windows Server del AD CS Connector.
### Inicialización
Si el Connector no se abre automáticamente, abre **Iru Endpoint AD CS Connector** desde el menú Inicio. Confirma que su icono aparece en el área de notificación.
En **Enter Iru domain**, introduce la URL de tu tenant de Iru Endpoint. Usa el **mismo** tenant desde el que descargaste el instalador. El inicio de sesión falla si usas un tenant incorrecto.
Completa el inicio de sesión en la ventana de WebView con el método que requiera tu tenant.
Después de iniciar sesión, abre la **URL de registro** en un navegador compatible en una computadora desde la que puedas aprobar la solicitud. El enlace de registro caduca después de **una hora**.
Si el Connector muestra **No se pudo obtener una URL de registro. Inténtalo más tarde.**, espera un momento y selecciona **New URL**. Si el problema persiste, verifica el acceso de red a Iru Endpoint y contacta con el soporte de Iru adjuntando los registros.
En la aplicación web de Iru Endpoint, ve a **Approve AD CS connector registration**. Confirma que el nombre del dispositivo coincide con tu servidor del Connector y, a continuación, selecciona **Approve** o **Denegar**.
Si lo apruebas, el Connector muestra **Conectado** y la integración muestra el Connector como **Activo**. Si lo deniegas, Iru Endpoint elimina la entrada del Connector. Vuelve a iniciar sesión desde la app del Connector y selecciona **New URL** si necesitas otro enlace de registro.
Puedes cerrar la ventana del Connector. Sigue ejecutándose en la bandeja del sistema.
Agrega las CA emisoras en la pestaña **Servers** y usa **Asignar servidores** como se describe en [Agregar servidores de AD CS y asignarlos al Connector](#add-ad-cs-servers-and-assign-them-to-the-connector). También puedes completar la asignación desde [Integración de AD CS: configurar la integración](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration#assigning-an-ad-cs-server-to-a-connector).
Vuelve a Iru Endpoint para [asignar servidores de AD CS al Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration#assigning-an-ad-cs-server-to-a-connector) y, a continuación, agrega Library Items para entregar certificados de AD CS a los dispositivos. Para ver ejemplos de Library Items, consulta [Entregar certificados a dispositivos Apple](#deliver-certificates-to-apple-devices).
### Agregar servidores de AD CS y asignarlos al Connector
Cuando el Connector esté **Activo** en Iru Endpoint y **Conectado** desde el host de Windows:
En la integración de AD CS, abre la pestaña **Servers**.
Agrega cada CA emisora usando `ca_server_fqdn\issuing_ca_name` en **Server name** (por ejemplo, `subordinateca.example.com\Contoso Issuing CA`). El nombre de la CA emisora aparece en la consola Certificate Authority del servidor de la CA emisora. Selecciona **Añadir** para cada servidor. Los servidores nuevos muestran **Disconnected** hasta que los asignes a un Connector **Activo** y **Conectado**.
En la descripción general del Connector, abre el menú de acciones (**…**) de la tarjeta del Connector y selecciona **Asignar servidores**. Selecciona los servidores de AD CS que debe usar este Connector y confirma.
Para ver capturas de pantalla de la página de la integración, consulta [Integración de AD CS: configurar la integración](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration).
### Entregar certificados a dispositivos Apple
Cuando al menos un Connector esté **Activo** y **Conectado**, y tus servidores de AD CS estén asignados, Iru Endpoint puede entregar Library Items respaldados por AD CS a las computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro inscritos.
Ve a **Library** y selecciona **Añadir Library Item**.
Agrega un Library Item que emita certificados mediante AD CS, como **Certificado**, **Wi-Fi** o **VPN**.
Selecciona la CA emisora y la plantilla. Establece el sujeto, el nombre alternativo del sujeto y el uso de la clave para que coincidan con tu PKI y con la forma en que los dispositivos usan el certificado.
Asigna el Library Item a los **Blueprints** que deben recibirlo.
Deja que los dispositivos se registren. En un Mac, confirma la instalación en **Keychain Access**. En iPhone, iPad, Apple TV y Apple Vision Pro, confirma que el certificado está instalado en el dispositivo.
### Próximos pasos
Una vez que el Connector esté **Activo** y **Conectado**, y los servidores de AD CS estén asignados:
Si usas AD CS para 802.1X basado en usuarios o algo similar, consulta [Configuración de la asignación segura de certificados de Active Directory](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-strong-mapping-configuration).
Crea Library Items de [Certificate](/es/endpoint/library/library-items-profiles/configure-the-certificate-library-item), [Wi-Fi](/es/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item), [Ethernet](/es/endpoint/library/library-items-profiles/configure-the-ethernet-library-item) o **VPN** y asígnalos a Blueprints.
Consulta [Integración de AD CS: descripción general](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview) para ver el diagrama de la **ruta de configuración de AD CS** y el orden de implementación.
### Agregar otro host del Connector
En **Integraciones**, abre **Active Directory Certificate Services** y, a continuación, selecciona **Add connector**.
Descarga el instalador y repite la instalación, el inicio de sesión y la aprobación del registro en otro Windows Server unido al dominio.
Asigna servidores de AD CS a cada Connector según tu diseño de red y disponibilidad.
### Actualizar el AD CS Connector
En Windows Server, la actualización del **Iru Endpoint AD CS Connector** en un tenant de **Iru** usa el flujo de trabajo de [Actualizar el Iru AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector) en **Integración de AD CS: descripción general**. Si vas a migrar desde **Kandji** con AD CS, sigue [Migrar de Kandji a Iru con AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) en su lugar. Esa ruta incluye la actualización del tenant, la desinstalación del Connector heredado y el registro del Connector **actualizado**.
### Desinstalar el AD CS Connector
Puedes quitar el Connector y el runtime de Edge desde **Control Panel** > **Programs and Features**. En Windows Server 2019 y versiones posteriores, también puedes usar **Configuración** > **Apps** > **Installed apps**.
Ve al menú Inicio y abre **Control Panel** > **Programs and Features**, o abre **Configuración** > **Apps** > **Installed apps** en Windows Server 2019 y versiones posteriores.
Busca **Iru Endpoint AD CS Connector** y selecciona **Uninstall**.
Cuando aparezca la ventana Uninstall Iru Endpoint AD CS Connector, selecciona **Uninstall**.
Cuando se complete la desinstalación, selecciona **Cerrar**.
Busca **Microsoft Edge WebView2 Runtime** y selecciona **Uninstall**.
Una vez desinstalados los componentes, abre el **Explorador de archivos**, ve a `C:\ProgramData` y elimina la carpeta **iru** si tu política de seguridad requiere un host limpio. `ProgramData` está oculta de forma predeterminada.
### Solución de problemas
Si la ventana del Connector muestra **Something went wrong** con el interruptor desactivado, verifica el acceso de red a Iru Endpoint, confirma que el TPM está listo en el servidor y, a continuación, prueba **Volver a autenticar** o reinicia la app del Connector desde el menú Inicio. Si el estado persiste, recopila los registros de `C:\ProgramData\iru` y contacta con el soporte de Iru.
Durante la [Inicialización](#initialization), el Connector inicia sesión en tu tenant de Iru en una ventana de WebView. Si el inicio de sesión falla, entra en un bucle o la ventana muestra **Try Again**, es posible que los datos de inicio de sesión almacenados en caché para el perfil de usuario de Windows que ejecuta el Connector estén obsoletos.
Primero, confirma que introdujiste la URL correcta del tenant de Iru (el mismo tenant desde el que descargaste el instalador en **Integraciones** > **Active Directory Certificate Services**) y que el servidor puede acceder a Iru Endpoint. Consulta [AD CS Integration Network Requirements](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements) en [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks). También puedes seleccionar **Volver a autenticar** en la app del Connector cuando esté disponible.
Para borrar los datos almacenados en caché del Connector:
1. Cierra **Iru Endpoint AD CS Connector** desde el área de notificación o el Administrador de tareas.
2. Abre el **Explorador de archivos** y ve a `%LOCALAPPDATA%\Iru` (por ejemplo, `C:\Users\\AppData\Local\Iru`).
3. Elimina todos los archivos y carpetas dentro de **Iru**.
4. Vuelve a abrir **Iru Endpoint AD CS Connector** y repite la [Inicialización](#initialization), empezando por **Introduce la URL del tenant**.
No elimines `C:\ProgramData\iru` en este paso. Ese directorio almacena los registros y los archivos de servicio del Connector, no la caché de inicio de sesión de WebView. Consulta **Revisa el contenido del directorio de datos** en esta sección.
Si la autenticación sigue fallando después de borrar `%LOCALAPPDATA%\Iru`, recopila los registros de `C:\ProgramData\iru` y contacta con el soporte de Iru.
Confirma que abriste la **URL de registro**, que aprobaste la solicitud en **Approve AD CS connector registration** y que iniciaste sesión en el tenant correcto. Selecciona **New URL** en la app del Connector si el código de registro caducó. Si la aplicación web de Iru Endpoint informa de que la **URL de registro** ha caducado cuando intentas aprobarla, usa **La URL de registro caducó al aprobar el registro** en esta sección de solución de problemas.
Si **Approve AD CS connector registration** en la aplicación web de Iru Endpoint informa de que la **URL de registro** ha caducado, ya no es posible recuperar el registro solo con **New URL** en la app del Connector. En el Windows Server, desinstala **Iru Endpoint AD CS Connector** (y el runtime de WebView incluido, y quita `C:\ProgramData\iru` si es necesario) siguiendo [Desinstalar el AD CS Connector](#uninstalling-the-ad-cs-connector). A continuación, descarga el instalador más reciente desde **Integraciones** > **Active Directory Certificate Services** y repite la [Instalación](#installation) y la [Inicialización](#initialization) en ese host.
El Connector debe estar **Activo** en Iru Endpoint y **Conectado** desde el host de Windows antes de poder asignar servidores.
Confirma que los servidores de AD CS están agregados y asignados, que el Library Item está dirigido a los Blueprints correctos y que los dispositivos están inscritos. Valida los permisos de la plantilla y las reglas del sujeto con un dispositivo de prueba.
La app del AD CS Connector se instala en `C:\Program Files\Iru\AD CS Connector`.
Los registros, la configuración y los archivos de servicio se encuentran en `C:\ProgramData\iru`. Es un directorio oculto en el Windows Server.
Usa el Visor de eventos de Windows para revisar los registros del AD CS Connector en `Event Viewer > Applications and Services Logs > Iru`.
Los registros de Windows Installer se pueden habilitar siguiendo la [guía de Microsoft](https://docs.microsoft.com/en-us/troubleshoot/windows-client/application-management/enable-windows-installer-logging).
El AD CS Connector se ejecuta como un servicio de Windows. Confirma que se está ejecutando en la aplicación **Services** (`services.msc`).
En el Administrador de tareas, el proceso del Connector se llama **adcs-connector-app**. Si la superficie de inicio de sesión de WebView no se muestra después de introducir el dominio del tenant de Iru Endpoint, finaliza el proceso **adcs-connector-app** y vuelve a abrir **Iru Endpoint AD CS Connector** desde el menú Inicio.
Si tienes más preguntas, [contacta con el soporte](/es/iru/iru-support/access-to-iru-support).
### Prácticas recomendadas
Asegura una conectividad de red adecuada entre el AD CS Connector y tu tenant de Iru Endpoint, y confirma que el puerto TCP 443 está accesible para la comunicación WebSocket.
Deshabilita la inspección SSL para las comunicaciones de red necesarias entre Iru Endpoint y el AD CS Connector para evitar problemas de conexión y autenticación.
Usa una cuenta de servicio dedicada para el AD CS Connector cuando la plantilla de tu CA lo permita, para que los permisos de inscripción se limiten a esa cuenta.
Instala el **Iru Endpoint AD CS Connector** más reciente desde tu tenant de Iru Endpoint (**Integraciones** > **Active Directory Certificate Services**) para recibir correcciones y actualizaciones de seguridad. Esas actualizaciones se aplican al Connector **actualizado**; el Connector heredado no las recibe.
### Consideraciones
La app del Connector y **Approve AD CS connector registration** deben apuntar al mismo tenant de Iru Endpoint que quieres conectar.
El Windows Server que aloja el AD CS Connector debe estar vinculado a tu dominio de Active Directory para que las operaciones con certificados se realicen correctamente.
Inspecciona los archivos de registro en `C:\ProgramData\iru` en el Windows Server (este directorio está oculto de forma predeterminada). Usa estos registros junto con la aplicación del Connector y el Visor de eventos de Windows cuando diagnostiques problemas de conexión, autenticación o certificados.
En el Windows Server del Connector, abre PowerShell y ejecuta `Get-Tpm`. Confirma que **TpmPresent**, **TpmEnabled** y **TpmActivated** reflejan un TPM utilizable. Para ver las definiciones de las propiedades, consulta la referencia de Microsoft [Get-Tpm](https://learn.microsoft.com/en-us/powershell/module/trustedplatformmodule/get-tpm). En las VM, confirma que vTPM está habilitado en la configuración del hipervisor. Si el TPM no está disponible, resuelve la configuración del firmware, del hipervisor o del invitado antes de usarlo en producción.
Si los registros del Connector incluyen **`System.Security.Cryptography.CryptographicException`** con el siguiente mensaje, es posible que el TPM no esté habilitado o listo para su uso; vuelve a ejecutar las comprobaciones anteriores y revisa la configuración del firmware:
**System.Security.Cryptography.CryptographicException:** The device that is required by this cryptographic provider is not ready for use.