La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro
¿Qué es Active Directory Certificate Services?
Microsoft Active Directory Certificate Services (AD CS) crea una infraestructura de clave pública (PKI) local que permite a las organizaciones emitir, validar y revocar certificados para uso interno. La integración de AD CS de Iru Endpoint funciona con tu configuración existente de Microsoft AD CS para solicitar certificados a AD CS. Después, envías esos certificados a computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro mediante Library Items, lo que habilita la autenticación basada en certificados para que los usuarios puedan acceder a recursos corporativos como redes Wi-Fi empresariales.AD CS de Kandji frente a Iru Endpoint
En Kandji, AD CS usa el Connector heredado (inicio de sesión con Auth0). Después de actualizar a Iru, Iru Endpoint usa el Connector actualizado (identidad de Iru y aprobación del registro). Para trasladar una implementación de AD CS de Kandji a Iru, consulta Migrar de Kandji a Iru con AD CS. Si ya ejecutas el Connector actualizado en Iru Endpoint y necesitas una compilación más reciente, consulta Actualizar el Iru AD CS Connector. El Connector de Iru tiene requisitos más estrictos de Windows Server, .NET, TPM y firewall que una configuración heredada de Kandji. Consulta Instalación del AD CS Connector para ver la lista de comprobación del host y los pasos de instalación, y Requisitos de red para conocer las diferencias en las listas de permitidos según la generación del Connector.Flujo de solicitud de certificados
El diagrama resume cómo se mueven las solicitudes de certificados entre Iru Endpoint, el AD CS Connector de tu red, Microsoft AD CS y los dispositivos inscritos.
1
Envío de la solicitud de certificado desde Iru Endpoint
Iru Endpoint envía una solicitud de certificado al AD CS Connector de Iru Endpoint mediante una conexión WebSocket sobre el puerto TCP 443.
2
Generación del par de claves y envío de la solicitud de firma
El AD CS Connector genera localmente el par de claves del certificado y, a continuación, envía la solicitud de firma de certificado a Microsoft AD CS mediante DCE/RPC. Las claves privadas se entregan a los endpoints administrados mediante Library Items. El Connector no almacena las claves privadas de identidad de los dispositivos.
3
Emisión del certificado desde AD CS
AD CS procesa la solicitud, emite el certificado y envía el certificado firmado de vuelta al AD CS Connector.
4
Devolución del paquete de certificado cifrado a Iru Endpoint
El AD CS Connector devuelve un archivo .p12 cifrado junto con el ID de la solicitud a Iru Endpoint a través de la conexión WebSocket.
5
Entrega del certificado al dispositivo cliente
Iru Endpoint entrega el paquete de certificado (archivo .p12) al dispositivo cliente mediante una carga útil de perfil de configuración.
Ruta de configuración de AD CS
Usa el diagrama como lista de comprobación para la implementación. Empieza a la izquierda con Listas de permitidos de red; completa las indicaciones de Requisitos de red y las tablas de AD CS Integration Network Requirements de Usar Iru en redes empresariales y, a continuación, sigue las guías en orden de izquierda a derecha. Cada artículo termina con Próximos pasos, que te dirigen a la siguiente tarea.Listas de permitidos de red
Usar Iru en redes empresariales
Usar Iru en redes empresariales
Plantilla de certificado de equipo
en AD CS
en AD CS
Configurar la integración de AD CS
en Iru Endpoint
en Iru Endpoint
Instalar el AD CS Connector
en Windows Server
en Windows Server
Asignación segura de certificados
cuando sea necesaria
cuando sea necesaria
Library Items
implementación en dispositivos
implementación en dispositivos
Requisitos de red
Confirma lo siguiente antes de instalar el Connector o finalizar el asistente de integración.Rutas de red y reglas de firewall
Rutas de red y reglas de firewall
Para conocer los nombres de host, puertos, protocolos y la diferencia entre las filas del Connector actualizado y heredado, consulta la sección AD CS Integration Network Requirements en Usar Iru en redes empresariales. El Connector actualizado no usa Auth0. Permite los destinos de tu aplicación web de Iru, Iru Identity, la API del tenant y
adcsconn como se documenta allí.Connector heredado todavía en la red
Connector heredado todavía en la red
Si algún host sigue ejecutando el Connector heredado durante la migración, conserva las filas de la lista de permitidos de Auth0 heredadas de ese artículo hasta que cada host ejecute el Connector actualizado. Consulta Migrar de Kandji a Iru con AD CS para ver el flujo de trabajo de reemplazo completo.
Próximos pasos
Después de terminar esta descripción general:1
Crea la plantilla de certificado de equipo en tu CA emisora
Versiones del Connector
Connector actualizado
El AD CS Connector actualizado es el paquete de Iru Endpoint que descargas desde Integraciones > Active Directory Certificate Services. Usa la identidad de Iru para iniciar sesión y muestra una URL de registro después de iniciar sesión. Aprueba el host del Connector en Approve AD CS connector registration. Las actualizaciones de producto y de seguridad solo se publican para este paquete. Los instaladores son versiones 2.x.Connector heredado
El AD CS Connector heredado es la versión para tenants de Kandji. Usa un inicio de sesión basado en Auth0. Iru Endpoint no publica actualizaciones para él. Después de actualizar el tenant a Iru, desinstala el Connector heredado de Windows Server e instala el Connector actualizado desde tu tenant de Iru.Actualizar el Iru AD CS Connector
Usa este flujo de trabajo cuando tu tenant ya se ejecuta en Iru Endpoint y necesitas una compilación más reciente del Connector actualizado en Windows Server, o cuando actualizas el Connector en un host que ya se ha registrado con la identidad de Iru.Esta sección es para compilaciones del Connector actualizado en un tenant de Iru. Si vas a migrar desde Kandji con AD CS, completa primero Migrar de Kandji a Iru con AD CS.
1
Descarga e instala la compilación más reciente
Desde Integraciones > Active Directory Certificate Services, descarga el Iru Endpoint AD CS Connector más reciente. En una tarjeta de Connector existente, abre el menú de acciones (…) y selecciona Redownload Connector en su lugar. En el Windows Server del Connector, ejecuta el instalador. El actualizador puede desinstalar la compilación anterior antes de instalar la nueva.
2
Inicia sesión y aprueba el registro
Vuelve a introducir la URL de tu tenant de Iru y completa el inicio de sesión cuando la app del Connector te lo solicite. Abre la URL de registro en un navegador y aprueba el dispositivo en Approve AD CS connector registration cuando Iru Endpoint lo solicite. Para ver la inicialización paso a paso, consulta Inicialización en Instalación del AD CS Connector.
3
Verifica el estado del Connector
Confirma que la app del Connector muestra Conectado y que la tarjeta de la integración muestra Activo. En Control Panel > Programs and Features (o Configuración > Apps > Installed apps en Windows Server 2019 y versiones posteriores), confirma que la versión instalada de Iru Endpoint AD CS Connector es la compilación 2.x actual que esperas.
4
Asigna las CA emisoras y quita una fila heredada obsoleta cuando sea necesario
Si aparece un nuevo registro del Connector actualizado junto a una fila de Connector heredado, abre Asignar servidores en la tarjeta del Connector nuevo y vincula cada CA emisora que estaba asignada al Connector heredado. Cuando el Connector actualizado esté Conectado y las CA estén asignadas, abre el menú de acciones (…) en la tarjeta del Connector heredado y elimina esa entrada. Si solo actualizas compilaciones en un host que ya ejecuta el Connector actualizado y la misma tarjeta de Connector sigue Activo, no necesitas reasignar las CA ni eliminar una fila heredada.
5
Opcional: traslada el Connector a otro Windows Server
Para usar un nuevo Windows Server unido al dominio, descarga e instala el Connector más reciente en ese servidor, completa el registro y, a continuación, usa Asignar servidores en la nueva tarjeta del Connector para trasladar las CA emisoras desde la entrada del Connector antiguo. Retira el servidor antiguo cuando hayas terminado.
Migrar de Kandji a Iru con AD CS
Completa la actualización de la plataforma a Iru antes de reemplazar el AD CS Connector en Windows Server. Es posible que el Connector heredado siga apareciendo como Conectado en Iru Endpoint inmediatamente después de la migración del tenant, hasta que desinstales el Connector heredado del servidor y registres el Connector actualizado.En la aplicación web de Kandji, AD CS usa el Connector heredado. Después de la actualización, selecciona el Botón del menú de la cuenta en la barra lateral y abre Integraciones. Configuración ya no se encuentra en esa ubicación en Iru Endpoint.
1
Actualiza el tenant a Iru
Sigue Actualizar a Iru. En Configuración > Acceso, selecciona Start migration, configura tus conexiones de autenticación, acepta el aviso y selecciona Complete migration. Inicia sesión en tu nuevo dominio de Iru (
{{subdomain}}.iru.com). Cuando se complete la actualización del tenant, vuelve a Migrar de Kandji a Iru con AD CS y continúa con el siguiente paso para reemplazar el AD CS Connector.2
Abre la integración de AD CS en Iru Endpoint
En la barra lateral, selecciona el Botón del menú de la cuenta y, a continuación, Integraciones. Abre Active Directory Certificate Services. Es posible que la integración siga mostrando Conectado si el Connector heredado está instalado en Windows Server.
3
Desinstala el Connector heredado en Windows Server
En el host del Connector, abre Control Panel > Programs and Features (o Configuración > Apps > Installed apps). Busca el Iru Endpoint AD CS Connector heredado (o la entrada del AD CS Connector de la época de Kandji) y desinstálalo. Sigue las indicaciones hasta que se complete la desinstalación. La compilación heredada suele ser una versión 1.0.0.x. Para ver los pasos completos de desinstalación, incluida la eliminación del runtime de WebView cuando sea necesario, consulta Desinstalar el AD CS Connector en Instalación del AD CS Connector.
4
Confirma que el Connector muestra Disconnected
Actualiza la página Active Directory Certificate Services en Iru Endpoint. El Connector debería mostrar Disconnected después de quitar el paquete heredado del servidor.
5
Descarga el Connector actualizado
Selecciona Add connector y, a continuación, descarga el instalador del Iru Endpoint AD CS Connector desde tu tenant de Iru. Si tu navegador bloquea la descarga, elige Keep o Keep anyway para que el archivo se guarde. La integración muestra el nuevo Connector como Pendiente hasta que completes la instalación y el registro.
6
Instala el Connector actualizado
Transfiere el instalador al Windows Server y ejecútalo. En Authenticate with Certificate Authority, selecciona Local System, a menos que la política de tu CA requiera una cuenta de servicio, y luego selecciona Install. Cuando finalice la instalación, selecciona Cerrar. Consulta Instalación en Instalación del AD CS Connector.
7
Inicia sesión y aprueba el registro
Abre Iru Endpoint AD CS Connector desde el menú Inicio. En Enter Iru domain, introduce la URL de tu tenant de Iru (por ejemplo,
{{subdomain}}.iru.com, el mismo nombre de host que se muestra en la aplicación web de Iru Endpoint). Completa el inicio de sesión, abre la URL de registro y aprueba el dispositivo en Approve AD CS connector registration cuando se te solicite. La app del Connector debería mostrar Conectado.8
Verifica la conexión y la versión del Connector
Actualiza la integración de AD CS en Iru Endpoint y confirma que el Connector muestra Conectado. En el Windows Server, vuelve a abrir Programs and Features y confirma que el Iru Endpoint AD CS Connector instalado es una compilación 2.x, no la versión heredada 1.0.0.x.
9
Asigna las CA emisoras y quita la fila heredada
En la página Información general de AD CS, abre Asignar servidores en la tarjeta del Connector nuevo y vincula cada CA emisora que estaba asignada al Connector heredado. Cuando el Connector actualizado esté Conectado y las CA estén asignadas, abre el menú de acciones (…) en la tarjeta del Connector heredado y elimina esa entrada.