> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Integración de AD CS: descripción general

> Descubre cómo la integración de AD CS de Iru Endpoint solicita certificados a Microsoft Active Directory Certificate Services y los entrega a computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro.

<Callout icon="apple" color="#B84A7A" iconType="regular">La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro</Callout>

### ¿Qué es Active Directory Certificate Services?

[Microsoft Active Directory Certificate Services](https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/active-directory-certificate-services-overview) (AD CS) crea una infraestructura de clave pública (PKI) local que permite a las organizaciones emitir, validar y revocar certificados para uso interno. La integración de AD CS de Iru Endpoint funciona con tu configuración existente de Microsoft AD CS para solicitar certificados a AD CS. Después, envías esos certificados a computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro mediante Library Items, lo que habilita la autenticación basada en certificados para que los usuarios puedan acceder a recursos corporativos como redes Wi-Fi empresariales.

#### AD CS de Kandji frente a Iru Endpoint

En **Kandji**, AD CS usa el Connector **heredado** (inicio de sesión con Auth0). Después de [actualizar a Iru](/es/iru/platform-overview/upgrade-to-iru), **Iru Endpoint** usa el Connector **actualizado** (identidad de Iru y aprobación del registro). Para trasladar una implementación de AD CS de Kandji a Iru, consulta [Migrar de Kandji a Iru con AD CS](#migrating-from-kandji-to-iru-with-ad-cs). Si ya ejecutas el Connector **actualizado** en Iru Endpoint y necesitas una compilación más reciente, consulta [Actualizar el Iru AD CS Connector](#updating-the-iru-ad-cs-connector).

El Connector de **Iru** tiene requisitos más estrictos de **Windows Server**, **.NET**, **TPM** y **firewall** que una configuración heredada de Kandji. Consulta [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#installation) para ver la lista de comprobación del host y los pasos de instalación, y [Requisitos de red](#network-requirements) para conocer las diferencias en las listas de permitidos según la generación del Connector.

### Flujo de solicitud de certificados

El diagrama resume cómo se mueven las solicitudes de certificados entre Iru Endpoint, el AD CS Connector de tu red, Microsoft AD CS y los dispositivos inscritos.

<Frame actions={false}>
  <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-overview-certificate-request-flow.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=5172062b7e1526118a47a768fbb680f5" alt="Diagrama de red del flujo de solicitud de certificados de AD CS: WebSocket sobre TCP 443 entre el tenant de Iru y el AD CS Connector, Microsoft RPC entre el Connector y Microsoft AD CS, y TCP 443 hacia los dispositivos inscritos." width="1024" height="620" data-path="assets/media/images/iru-adcs-overview-certificate-request-flow.png" />
</Frame>

<Steps>
  <Step title="Envío de la solicitud de certificado desde Iru Endpoint">
    Iru Endpoint envía una solicitud de certificado al AD CS Connector de Iru Endpoint mediante una conexión WebSocket sobre el puerto TCP 443.
  </Step>

  <Step title="Generación del par de claves y envío de la solicitud de firma">
    El AD CS Connector genera localmente el par de claves del certificado y, a continuación, envía la solicitud de firma de certificado a Microsoft AD CS mediante DCE/RPC. Las claves privadas se entregan a los endpoints administrados mediante Library Items. El Connector no almacena las claves privadas de identidad de los dispositivos.
  </Step>

  <Step title="Emisión del certificado desde AD CS">
    AD CS procesa la solicitud, emite el certificado y envía el certificado firmado de vuelta al AD CS Connector.
  </Step>

  <Step title="Devolución del paquete de certificado cifrado a Iru Endpoint">
    El AD CS Connector devuelve un archivo .p12 cifrado junto con el ID de la solicitud a Iru Endpoint a través de la conexión WebSocket.
  </Step>

  <Step title="Entrega del certificado al dispositivo cliente">
    Iru Endpoint entrega el paquete de certificado (archivo .p12) al dispositivo cliente mediante una carga útil de perfil de configuración.
  </Step>
</Steps>

### Ruta de configuración de AD CS

Usa el diagrama como lista de comprobación para la implementación. Empieza a la izquierda con **Listas de permitidos de red**; completa las indicaciones de **[Requisitos de red](#network-requirements)** y las tablas de **AD CS Integration Network Requirements** de [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements) y, a continuación, sigue las guías en orden de izquierda a derecha. Cada artículo termina con **Próximos pasos**, que te dirigen a la siguiente tarea.

<div
  style={{
display: 'flex',
justifyContent: 'center',
alignItems: 'center',
flexWrap: 'wrap',
gap: '0.35rem 0.2rem',
margin: '0.5rem 0',
}}
>
  <div style={{ border: '2px solid #5a0d6f', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#71118C', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Listas de permitidos de red<br />Usar Iru en redes empresariales
  </div>

  <Icon icon="chevron-right" size={14} style={{ color: 'var(--color-foreground-secondary, #86868b)', flexShrink: 0 }} />

  <div style={{ border: '2px solid #5a0d6f', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#71118C', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Plantilla de certificado de equipo<br />en AD CS
  </div>

  <Icon icon="chevron-right" size={14} style={{ color: 'var(--color-foreground-secondary, #86868b)', flexShrink: 0 }} />

  <div style={{ border: '2px solid #71118C', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#8B1A8B', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Configurar la integración de AD CS<br />en Iru Endpoint
  </div>

  <Icon icon="chevron-right" size={14} style={{ color: 'var(--color-foreground-secondary, #86868b)', flexShrink: 0 }} />

  <div style={{ border: '2px solid #71118C', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#8B1A8B', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Instalar el AD CS Connector<br />en Windows Server
  </div>

  <Icon icon="chevron-right" size={14} style={{ color: 'var(--color-foreground-secondary, #86868b)', flexShrink: 0 }} />

  <div style={{ border: '2px solid #71118C', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#5a0d6f', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Asignación segura de certificados<br />cuando sea necesaria
  </div>

  <Icon icon="chevron-right" size={14} style={{ color: 'var(--color-foreground-secondary, #86868b)', flexShrink: 0 }} />

  <div style={{ border: '2px solid #71118C', borderRadius: '6px', padding: '0.5rem 0.65rem', background: '#5a0d6f', color: '#fff', fontWeight: 600, fontSize: '0.8rem', textAlign: 'center', lineHeight: 1.35, maxWidth: '11rem' }}>
    Library Items<br />implementación en dispositivos
  </div>
</div>

### Requisitos de red

Confirma lo siguiente antes de instalar el Connector o finalizar el asistente de integración.

<AccordionGroup>
  <Accordion title="Rutas de red y reglas de firewall" icon="wifi">
    Para conocer los nombres de host, puertos, protocolos y la diferencia entre las filas del Connector actualizado y heredado, consulta la sección **AD CS Integration Network Requirements** en [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements). El Connector actualizado **no** usa Auth0. Permite los destinos de tu aplicación web de Iru, Iru Identity, la API del tenant y `adcsconn` como se documenta allí.
  </Accordion>

  <Accordion title="Connector heredado todavía en la red" icon="clock-rotate-left">
    Si algún host sigue ejecutando el Connector **heredado** durante la migración, conserva las filas de la lista de permitidos de Auth0 heredadas de ese artículo hasta que cada host ejecute el Connector **actualizado**. Consulta [Migrar de Kandji a Iru con AD CS](#migrating-from-kandji-to-iru-with-ad-cs) para ver el flujo de trabajo de reemplazo completo.
  </Accordion>
</AccordionGroup>

### Próximos pasos

Después de terminar esta descripción general:

<Steps>
  <Step title="Crea la plantilla de certificado de equipo en tu CA emisora">
    Consulta [Integración de AD CS: crear una plantilla de certificado de equipo](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-create-a-computer-certificate-template).
  </Step>
</Steps>

### Versiones del Connector

#### Connector actualizado

El AD CS Connector **actualizado** es el paquete de Iru Endpoint que descargas desde **Integraciones** > **Active Directory Certificate Services**. Usa la identidad de Iru para iniciar sesión y muestra una **URL de registro** después de iniciar sesión. Aprueba el host del Connector en **Approve AD CS connector registration**. Las actualizaciones de producto y de seguridad solo se publican para este paquete. Los instaladores son versiones **2.x**.

#### Connector heredado

El AD CS Connector **heredado** es la versión para tenants de **Kandji**. Usa un inicio de sesión basado en Auth0. Iru Endpoint no publica actualizaciones para él. Después de actualizar el tenant a Iru, desinstala el Connector heredado de Windows Server e instala el Connector **actualizado** desde tu tenant de **Iru**.

### Actualizar el Iru AD CS Connector

Usa este flujo de trabajo cuando tu tenant ya se ejecuta en **Iru Endpoint** y necesitas una compilación más reciente del Connector **actualizado** en Windows Server, o cuando actualizas el Connector en un host que ya se ha registrado con la identidad de Iru.

<Note>
  Esta sección es para compilaciones del Connector **actualizado** en un tenant de **Iru**. Si vas a migrar desde **Kandji** con AD CS, completa primero [Migrar de Kandji a Iru con AD CS](#migrating-from-kandji-to-iru-with-ad-cs).
</Note>

En Windows Server, descarga el **Iru Endpoint AD CS Connector** más reciente desde **Integraciones** > **Active Directory Certificate Services**, ejecuta el instalador y, a continuación, completa el inicio de sesión y la aprobación de la **URL de registro** cuando se te solicite. La integración muestra el Connector como **Pendiente** hasta que apruebes el registro y después como **Activo**; la app del Connector muestra **Conectado**.

<Steps>
  <Step title="Descarga e instala la compilación más reciente">
    Desde **Integraciones** > **Active Directory Certificate Services**, descarga el **Iru Endpoint AD CS Connector** más reciente. En una tarjeta de Connector existente, abre el menú de acciones (**...**) y selecciona **Redownload Connector** en su lugar. En el Windows Server del Connector, ejecuta el instalador. El actualizador puede desinstalar la compilación anterior antes de instalar la nueva.

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-redownload-connector.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=b7bb8ca65707f9a7c615a18c35a4cab3" alt="Menú de acciones del Connector con Redownload connector resaltado para obtener de nuevo el instalador." width="1880" height="1324" data-path="assets/media/images/iru-adcs-redownload-connector.png" />
    </Frame>
  </Step>

  <Step title="Inicia sesión y aprueba el registro">
    Vuelve a introducir la URL de tu tenant de Iru y completa el inicio de sesión cuando la app del Connector te lo solicite. Abre la **URL de registro** en un navegador y aprueba el dispositivo en **Approve AD CS connector registration** cuando Iru Endpoint lo solicite. Para ver la inicialización paso a paso, consulta [Inicialización](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#initialization) en [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).
  </Step>

  <Step title="Verifica el estado del Connector">
    Confirma que la app del Connector muestra **Conectado** y que la tarjeta de la integración muestra **Activo**. En **Control Panel** > **Programs and Features** (o **Configuración** > **Apps** > **Installed apps** en Windows Server 2019 y versiones posteriores), confirma que la versión instalada de **Iru Endpoint AD CS Connector** es la compilación **2.x** actual que esperas.
  </Step>

  <Step title="Asigna las CA emisoras y quita una fila heredada obsoleta cuando sea necesario">
    Si aparece un nuevo registro del Connector **actualizado** junto a una fila de Connector **heredado**, abre **Asignar servidores** en la tarjeta del Connector **nuevo** y vincula cada CA emisora que estaba asignada al Connector **heredado**. Cuando el Connector actualizado esté **Conectado** y las CA estén asignadas, abre el menú de acciones (**...**) en la tarjeta del Connector **heredado** y elimina esa entrada. Si solo actualizas compilaciones en un host que ya ejecuta el Connector **actualizado** y la misma tarjeta de Connector sigue **Activo**, no necesitas reasignar las CA ni eliminar una fila heredada.
  </Step>

  <Step title="Opcional: traslada el Connector a otro Windows Server">
    Para usar un nuevo Windows Server unido al dominio, descarga e instala el Connector más reciente en ese servidor, completa el registro y, a continuación, usa **Asignar servidores** en la nueva tarjeta del Connector para trasladar las CA emisoras desde la entrada del Connector antiguo. Retira el servidor antiguo cuando hayas terminado.
  </Step>
</Steps>

Para obtener detalles sobre la instalación y desinstalación en el host, consulta [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).

### Migrar de Kandji a Iru con AD CS

Completa la actualización de la plataforma a Iru antes de reemplazar el AD CS Connector en Windows Server. Es posible que el Connector heredado siga apareciendo como **Conectado** en Iru Endpoint inmediatamente después de la migración del tenant, hasta que desinstales el Connector heredado del servidor y registres el Connector **actualizado**.

<Callout icon="info" color="#4f46e5" iconType="regular">
  En la aplicación web de Kandji, AD CS usa el Connector **heredado**. Después de la actualización, selecciona el [**Botón del menú de la cuenta**](/es/iru/platform-overview/account-menu) en la barra lateral y abre **Integraciones**. **Configuración** ya no se encuentra en esa ubicación en Iru Endpoint.
</Callout>

<Steps>
  <Step title="Actualiza el tenant a Iru">
    Sigue [Actualizar a Iru](/es/iru/platform-overview/upgrade-to-iru). En **Configuración** > **Acceso**, selecciona **Start migration**, configura tus conexiones de autenticación, acepta el aviso y selecciona **Complete migration**. Inicia sesión en tu nuevo dominio de Iru (`{{subdomain}}.iru.com`). Cuando se complete la actualización del tenant, vuelve a [Migrar de Kandji a Iru con AD CS](#migrating-from-kandji-to-iru-with-ad-cs) y continúa con el siguiente paso para reemplazar el AD CS Connector.
  </Step>

  <Step title="Abre la integración de AD CS en Iru Endpoint">
    En la barra lateral, selecciona el **Botón del menú de la cuenta** y, a continuación, **Integraciones**. Abre **Active Directory Certificate Services**. Es posible que la integración siga mostrando **Conectado** si el Connector **heredado** está instalado en Windows Server.
  </Step>

  <Step title="Desinstala el Connector heredado en Windows Server">
    En el host del Connector, abre **Control Panel** > **Programs and Features** (o **Configuración** > **Apps** > **Installed apps**). Busca el **Iru Endpoint AD CS Connector** heredado (o la entrada del AD CS Connector de la época de Kandji) y desinstálalo. Sigue las indicaciones hasta que se complete la desinstalación. La compilación heredada suele ser una versión **1.0.0.x**. Para ver los pasos completos de desinstalación, incluida la eliminación del runtime de WebView cuando sea necesario, consulta [Desinstalar el AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#uninstalling-the-ad-cs-connector) en [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).
  </Step>

  <Step title="Confirma que el Connector muestra Disconnected">
    Actualiza la página **Active Directory Certificate Services** en Iru Endpoint. El Connector debería mostrar **Disconnected** después de quitar el paquete heredado del servidor.
  </Step>

  <Step title="Descarga el Connector actualizado">
    Selecciona **Add connector** y, a continuación, descarga el instalador del **Iru Endpoint AD CS Connector** desde tu tenant de **Iru**. Si tu navegador bloquea la descarga, elige **Keep** o **Keep anyway** para que el archivo se guarde. La integración muestra el nuevo Connector como **Pendiente** hasta que completes la instalación y el registro.
  </Step>

  <Step title="Instala el Connector actualizado">
    Transfiere el instalador al Windows Server y ejecútalo. En **Authenticate with Certificate Authority**, selecciona **Local System**, a menos que la política de tu CA requiera una cuenta de servicio, y luego selecciona **Install**. Cuando finalice la instalación, selecciona **Cerrar**. Consulta [Instalación](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#installation) en [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).
  </Step>

  <Step title="Inicia sesión y aprueba el registro">
    Abre **Iru Endpoint AD CS Connector** desde el menú Inicio. En **Enter Iru domain**, introduce la URL de tu tenant de Iru (por ejemplo, `{{subdomain}}.iru.com`, el mismo nombre de host que se muestra en la aplicación web de Iru Endpoint). Completa el inicio de sesión, abre la **URL de registro** y aprueba el dispositivo en **Approve AD CS connector registration** cuando se te solicite. La app del Connector debería mostrar **Conectado**.
  </Step>

  <Step title="Verifica la conexión y la versión del Connector">
    Actualiza la integración de AD CS en Iru Endpoint y confirma que el Connector muestra **Conectado**. En el Windows Server, vuelve a abrir **Programs and Features** y confirma que el **Iru Endpoint AD CS Connector** instalado es una compilación **2.x**, no la versión heredada **1.0.0.x**.
  </Step>

  <Step title="Asigna las CA emisoras y quita la fila heredada">
    En la página **Información general** de AD CS, abre **Asignar servidores** en la tarjeta del Connector **nuevo** y vincula cada CA emisora que estaba asignada al Connector **heredado**. Cuando el Connector actualizado esté **Conectado** y las CA estén asignadas, abre el menú de acciones (**...**) en la tarjeta del Connector **heredado** y elimina esa entrada.
  </Step>
</Steps>

<Warning>
  Conserva las filas **heredadas** de la lista de permitidos del firewall de Auth0 hasta que cada host del Connector ejecute el Connector **actualizado** y hayas quitado la entrada del Connector heredado de Iru Endpoint. Consulta [Requisitos de red](#network-requirements) y [AD CS Integration Network Requirements](/es/iru/requirements/using-iru-on-enterprise-networks#ad-cs-integration-network-requirements) en [Usar Iru en redes empresariales](/es/iru/requirements/using-iru-on-enterprise-networks).
</Warning>