La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro
Fechas de aplicación y requisitos
Revisa el siguiente calendario de aplicación y los requisitos de los certificados antes de cambiar los Library Items o las versiones del Connector.11 de febrero de 2025
11 de febrero de 2025
Comenzó la aplicación predeterminada de la asignación segura de certificados.
10 de septiembre de 2025
10 de septiembre de 2025
El modo de compatibilidad ya no es compatible.
Acción necesaria para los certificados
Acción necesaria para los certificados
Todos los certificados usados para la autenticación de Active Directory deben incluir el identificador de seguridad (SID) del usuario en el campo Subject Alternative Name (SAN).
¿Quién debe tomar medidas?
Esto se aplica a los clientes que usan Microsoft AD CS para la autenticación basada en certificados que depende de atributos de usuario en los certificados (por ejemplo, Wi-Fi o Ethernet con 802.1X).Requisitos previos
Confirma lo siguiente antes de actualizar el AD CS Connector, SCIM o los Library Items para la asignación segura de certificados.Asignaciones de usuarios en Iru Endpoint
Asignaciones de usuarios en Iru Endpoint
Asigna usuarios a los registros de dispositivos en Iru Endpoint antes de continuar con las actualizaciones de certificados.
Host del Connector: SO, .NET, TPM, WebView, dominio
Host del Connector: SO, .NET, TPM, WebView, dominio
Si usas el AD CS Connector de Iru Endpoint para certificados emitidos desde AD CS, instala .NET 8 o posterior en el host con Windows Server 2019 o posterior que ejecuta el Connector. El host del Connector a menudo no es la misma máquina que tu entidad de certificación (CA) de AD CS. Para ver la lista completa de requisitos, incluidos TPM o vTPM, consulta Requisitos del servidor del AD CS Connector en Instalación del AD CS Connector.
Pasos necesarios
Actualizar el AD CS Connector de Iru Endpoint
La asignación segura de certificados requiere el AD CS Connector de Iru Endpoint actualizado en una versión 2.x compatible (consulta los requisitos previos anteriores). En Windows Server, descarga el Iru Endpoint AD CS Connector más reciente desde Integraciones > Active Directory Certificate Services (puedes usar Redownload Connector en la tarjeta del Connector) e instálalo en el host. Para actualizar un Connector actualizado en Iru Endpoint, consulta Actualizar el Iru AD CS Connector. Para reemplazar el Connector de Kandji heredado después de la migración del tenant, consulta Migrar de Kandji a Iru con AD CS en Integración de AD CS: descripción general. Cuando aparezca un registro nuevo actualizado junto a una fila de Connector heredado, completa Asignar servidores y quita la entrada heredada como se describe en Migrar de Kandji a Iru con AD CS o Actualizar el Iru AD CS Connector. Para el flujo de instalación, inicio de sesión y URL de registro, consulta Inicialización en Instalación del AD CS Connector.Actualizar la integración de directorio de usuarios SCIM
1
Inicia sesión en el centro de administración de Microsoft Entra
Inicia sesión en el centro de administración de Microsoft Entra.
2
Abre Entra ID
Abre el menú del portal y, a continuación, selecciona Entra ID.
3
Abre Enterprise applications
En el menú Entra ID, selecciona Enterprise applications.
4
Abre tu app SCIM
Busca y abre la app SCIM que usas con Iru Endpoint.
5
Abre la configuración de aprovisionamiento
En Gestionar, selecciona Provisioning.
6
Abre la asignación de atributos
En Gestionar, selecciona Attribute Mapping (Preview).
7
Selecciona la asignación de usuarios de Microsoft Entra ID
Selecciona Provision Microsoft Entra ID Users.
8
Muestra las opciones avanzadas
Desplázate hasta el final y marca la casilla para mostrar las opciones avanzadas.
9
Edita la lista de atributos
Selecciona Edit attribute list for Provision Microsoft Entra ID Users.
10
Agrega el atributo onPremisesSecurityIdentifier
Agrega un nuevo campo:
onPremisesSecurityIdentifier (deja el tipo como String).11
Guarda la lista de atributos
Selecciona Guardar.
12
Inicia una nueva asignación
Vuelve a Attribute Mapping, desplázate hacia abajo y selecciona Add New Mapping.
13
Configura los campos de la asignación
Configura la asignación:
- Mapping type: Direct (predeterminado)
- Atributo de origen:
onPremisesSecurityIdentifier - Atributo de destino:
onPremisesSecurityIdentifier
14
Guarda la asignación
Selecciona OK y, a continuación, Guardar.
Actualizar los Library Items de certificados
Para Library Items de certificados SCEP
1
Abre los Library Items de SCEP asignados
En Iru Endpoint, busca los Library Items de SCEP asignados en tus Blueprints.
2
Edita el Library Item
Selecciona Editar en el elemento.
3
Agrega un valor de SAN
En la sección Subject Alternative Name (SAN), selecciona Añadir.
4
Selecciona el tipo de SAN URI
Agrega un SAN de tipo Uniform Resource Identifier.
5
Introduce el valor de asignación segura
Introduce exactamente este valor:
$ADCS_STRONG_MAPPING_ID.6
Guarda los cambios
Selecciona Guardar.
Para Library Items de certificados que usan el AD CS Connector
1
Abre los Library Items de certificados asignados
En Iru Endpoint, busca y abre los Library Items de certificados asignados en tus Blueprints.
2
Edita el Library Item
Selecciona Editar.
3
Agrega un valor de SAN
En la sección Subject Alternative Name (SAN), selecciona Añadir.
4
Selecciona el tipo de SAN URI
Agrega un SAN de tipo Uniform Resource Identifier.
5
Introduce el valor de asignación segura
Introduce exactamente este valor:
$ADCS_STRONG_MAPPING_ID.6
Guarda los cambios
Selecciona Guardar.
Para Library Items de Wi-Fi o Ethernet que usan certificados SCEP o AD CS para EAP-TLS
1
Abre los Library Items de Wi-Fi o Ethernet asignados
En Iru Endpoint, busca y abre los Library Items de Wi-Fi o Ethernet asignados en tus Blueprints.
2
Edita el Library Item
Selecciona Editar.
3
Abre la configuración de Identity Certificate
Desplázate hasta la sección Identity Certificate y selecciona Configurar.
4
Agrega un valor de SAN
En la sección Subject Alternative Name (SAN), selecciona Añadir.
5
Selecciona el tipo de SAN URI
Agrega un SAN de tipo Uniform Resource Identifier.
6
Introduce el valor de asignación segura
Introduce exactamente este valor:
$ADCS_STRONG_MAPPING_ID.7
Guarda los cambios
Selecciona Guardar.
Implementación y reemisión de certificados
Después de actualizar los Library Items:- Iru Endpoint reemite automáticamente los certificados a los dispositivos que tienen asignados los Library Items actualizados mediante sus Blueprints
- Los nuevos certificados contendrán el SID del usuario en el campo SAN, lo que cumple los requisitos de asignación segura de certificados de Microsoft
- Cualquier conexión Wi-Fi o Ethernet reconfigurada usará automáticamente los nuevos certificados
Próximos pasos
Después de guardar los cambios en los Library Items:1
Valida en dispositivos de prueba
Ejecuta las actualizaciones en un Blueprint de prueba pequeño antes de ampliarlas a producción.
2
Revisa el orden de implementación de AD CS (opcional)
Consulta Integración de AD CS: descripción general para ver el diagrama de la ruta de configuración de AD CS y el orden de implementación.
Consideraciones
Evita bloqueos de red
Evita bloqueos de red
Actualizar incorrectamente los certificados usados para la conectividad de red puede hacer que los dispositivos se desconecten de la red.
Valida primero en un Blueprint de prueba
Valida primero en un Blueprint de prueba
Prueba estos cambios en un subconjunto de dispositivos usando un Blueprint de prueba con Library Items de prueba antes de aplicar los cambios a los Library Items de producción.