> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configuración de la asignación segura de certificados de Active Directory

> Actualiza las plantillas de AD CS y los Library Items de Iru Endpoint para cumplir los requisitos de asignación segura de certificados de Microsoft KB5014754 para la autenticación de AD.

<Callout icon="apple" color="#B84A7A" iconType="regular">La implementación de certificados de AD CS admite computadoras Mac, iPhone, iPad, dispositivos Apple TV y Apple Vision Pro</Callout>

Microsoft introdujo cambios significativos en la autenticación con certificados de Active Directory Certificate Services (AD CS) con [KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16). Estos cambios aplican la asignación segura de certificados para abordar vulnerabilidades de elevación de privilegios relacionadas con la suplantación de certificados. Los cambios afectan a las organizaciones que usan Microsoft AD CS para la autenticación basada en certificados que depende de atributos de usuario en los certificados (por ejemplo, Wi-Fi o Ethernet con 802.1X).

<Warning>
  **Importante:** a partir del 11 de febrero de 2025, Windows aplica estos cambios de forma predeterminada. Si los certificados no se pueden asignar de forma segura a cuentas de Active Directory, se denegará la autenticación.
</Warning>

### Fechas de aplicación y requisitos

Revisa el siguiente calendario de aplicación y los requisitos de los certificados antes de cambiar los Library Items o las versiones del Connector.

<AccordionGroup>
  <Accordion title="11 de febrero de 2025" icon="calendar">
    Comenzó la aplicación predeterminada de la asignación segura de certificados.
  </Accordion>

  <Accordion title="10 de septiembre de 2025" icon="calendar">
    El modo de compatibilidad ya no es compatible.
  </Accordion>

  <Accordion title="Acción necesaria para los certificados" icon="triangle-exclamation">
    Todos los certificados usados para la autenticación de Active Directory deben incluir el identificador de seguridad (SID) del usuario en el campo Subject Alternative Name (SAN).
  </Accordion>
</AccordionGroup>

### ¿Quién debe tomar medidas?

Esto se aplica a los clientes que usan Microsoft AD CS para la autenticación basada en certificados que depende de atributos de usuario en los certificados (por ejemplo, Wi-Fi o Ethernet con 802.1X).

### Requisitos previos

Confirma lo siguiente antes de actualizar el AD CS Connector, SCIM o los Library Items para la asignación segura de certificados.

<AccordionGroup>
  <Accordion title="Asignaciones de usuarios en Iru Endpoint" icon="users">
    [Asigna usuarios a los registros de dispositivos en Iru Endpoint](/es/endpoint/devices/device-record-management/assigning-and-unassigning-users-to-devices) antes de continuar con las actualizaciones de certificados.
  </Accordion>

  <Accordion title="Host del Connector: SO, .NET, TPM, WebView, dominio" icon="server">
    Si usas el AD CS Connector de Iru Endpoint para certificados emitidos desde AD CS, instala **.NET 8 o posterior** en el host con **Windows Server 2019 o posterior** que ejecuta el Connector. El host del Connector a menudo no es la misma máquina que tu entidad de certificación (CA) de AD CS. Para ver la lista completa de requisitos, incluidos TPM o vTPM, consulta [Requisitos del servidor del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#ad-cs-connector-server-requirements) en [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).
  </Accordion>
</AccordionGroup>

### Pasos necesarios

#### Actualizar el AD CS Connector de Iru Endpoint

<Warning>
  Esta actualización solo es necesaria si usas el AD CS Connector de Iru Endpoint para emitir certificados.
</Warning>

La asignación segura de certificados requiere el AD CS Connector de Iru Endpoint **actualizado** en una versión **2.x** compatible (consulta los [requisitos previos](#prerequisites) anteriores). En Windows Server, descarga el **Iru Endpoint AD CS Connector** más reciente desde **Integraciones** > **Active Directory Certificate Services** (puedes usar **Redownload Connector** en la tarjeta del Connector) e instálalo en el host. Para actualizar un Connector **actualizado** en Iru Endpoint, consulta [Actualizar el Iru AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector). Para reemplazar el Connector de Kandji **heredado** después de la migración del tenant, consulta [Migrar de Kandji a Iru con AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) en **Integración de AD CS: descripción general**.

Cuando aparezca un registro **nuevo** **actualizado** junto a una fila de Connector **heredado**, completa **Asignar servidores** y quita la entrada heredada como se describe en [Migrar de Kandji a Iru con AD CS](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) o [Actualizar el Iru AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector). Para el flujo de instalación, inicio de sesión y **URL de registro**, consulta [Inicialización](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#initialization) en [Instalación del AD CS Connector](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation).

#### Actualizar la integración de directorio de usuarios SCIM

<Warning>
  Estos pasos se refieren a las integraciones SCIM de Microsoft Entra ID. Las integraciones nativas de Microsoft Entra ID no requieren configuración adicional.
</Warning>

<Steps>
  <Step title="Inicia sesión en el centro de administración de Microsoft Entra">
    Inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com).
  </Step>

  <Step title="Abre Entra ID">
    Abre el menú del portal y, a continuación, selecciona **Entra ID**.
  </Step>

  <Step title="Abre Enterprise applications">
    En el menú **Entra ID**, selecciona **Enterprise applications**.
  </Step>

  <Step title="Abre tu app SCIM">
    Busca y abre la app SCIM que usas con Iru Endpoint.
  </Step>

  <Step title="Abre la configuración de aprovisionamiento">
    En **Gestionar**, selecciona **Provisioning**.
  </Step>

  <Step title="Abre la asignación de atributos">
    En **Gestionar**, selecciona **Attribute Mapping (Preview)**.
  </Step>

  <Step title="Selecciona la asignación de usuarios de Microsoft Entra ID">
    Selecciona **Provision Microsoft Entra ID Users**.
  </Step>

  <Step title="Muestra las opciones avanzadas">
    Desplázate hasta el final y marca la casilla para mostrar las opciones avanzadas.
  </Step>

  <Step title="Edita la lista de atributos">
    Selecciona **Edit attribute list for Provision Microsoft Entra ID Users**.
  </Step>

  <Step title="Agrega el atributo onPremisesSecurityIdentifier">
    Agrega un nuevo campo: `onPremisesSecurityIdentifier` (deja el tipo como String).
  </Step>

  <Step title="Guarda la lista de atributos">
    Selecciona **Guardar**.
  </Step>

  <Step title="Inicia una nueva asignación">
    Vuelve a **Attribute Mapping**, desplázate hacia abajo y selecciona **Add New Mapping**.
  </Step>

  <Step title="Configura los campos de la asignación">
    Configura la asignación:

    * **Mapping type**: Direct (predeterminado)
    * **Atributo de origen**: `onPremisesSecurityIdentifier`
    * **Atributo de destino**: `onPremisesSecurityIdentifier`
  </Step>

  <Step title="Guarda la asignación">
    Selecciona **OK** y, a continuación, **Guardar**.
  </Step>
</Steps>

<Warning>
  El atributo `onPremisesSecurityIdentifier` aparecerá en los atributos de usuario después de la próxima sincronización SCIM de Entra ID (cada 20-40 minutos).
</Warning>

#### Actualizar los Library Items de certificados

##### Para Library Items de certificados SCEP

<Steps>
  <Step title="Abre los Library Items de SCEP asignados">
    En Iru Endpoint, busca los Library Items de SCEP asignados en tus Blueprints.
  </Step>

  <Step title="Edita el Library Item">
    Selecciona **Editar** en el elemento.
  </Step>

  <Step title="Agrega un valor de SAN">
    En la sección **Subject Alternative Name (SAN)**, selecciona **Añadir**.
  </Step>

  <Step title="Selecciona el tipo de SAN URI">
    Agrega un SAN de tipo Uniform Resource Identifier.
  </Step>

  <Step title="Introduce el valor de asignación segura">
    Introduce exactamente este valor: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Guarda los cambios">
    Selecciona **Guardar**.
  </Step>
</Steps>

##### Para Library Items de certificados que usan el AD CS Connector

<Steps>
  <Step title="Abre los Library Items de certificados asignados">
    En Iru Endpoint, busca y abre los Library Items de certificados asignados en tus Blueprints.
  </Step>

  <Step title="Edita el Library Item">
    Selecciona **Editar**.
  </Step>

  <Step title="Agrega un valor de SAN">
    En la sección **Subject Alternative Name (SAN)**, selecciona **Añadir**.
  </Step>

  <Step title="Selecciona el tipo de SAN URI">
    Agrega un SAN de tipo Uniform Resource Identifier.
  </Step>

  <Step title="Introduce el valor de asignación segura">
    Introduce exactamente este valor: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Guarda los cambios">
    Selecciona **Guardar**.
  </Step>
</Steps>

##### Para Library Items de Wi-Fi o Ethernet que usan certificados SCEP o AD CS para EAP-TLS

<Steps>
  <Step title="Abre los Library Items de Wi-Fi o Ethernet asignados">
    En Iru Endpoint, busca y abre los Library Items de Wi-Fi o Ethernet asignados en tus Blueprints.
  </Step>

  <Step title="Edita el Library Item">
    Selecciona **Editar**.
  </Step>

  <Step title="Abre la configuración de Identity Certificate">
    Desplázate hasta la sección **Identity Certificate** y selecciona **Configurar**.
  </Step>

  <Step title="Agrega un valor de SAN">
    En la sección **Subject Alternative Name (SAN)**, selecciona **Añadir**.
  </Step>

  <Step title="Selecciona el tipo de SAN URI">
    Agrega un SAN de tipo Uniform Resource Identifier.
  </Step>

  <Step title="Introduce el valor de asignación segura">
    Introduce exactamente este valor: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="Guarda los cambios">
    Selecciona **Guardar**.
  </Step>
</Steps>

### Implementación y reemisión de certificados

Después de actualizar los Library Items:

* Iru Endpoint reemite automáticamente los certificados a los dispositivos que tienen asignados los Library Items actualizados mediante sus Blueprints
* Los nuevos certificados contendrán el SID del usuario en el campo SAN, lo que cumple los requisitos de asignación segura de certificados de Microsoft
* Cualquier conexión Wi-Fi o Ethernet reconfigurada usará automáticamente los nuevos certificados

### Próximos pasos

Después de guardar los cambios en los Library Items:

<Steps>
  <Step title="Valida en dispositivos de prueba">
    Ejecuta las actualizaciones en un Blueprint de prueba pequeño antes de ampliarlas a producción.
  </Step>

  <Step title="Revisa el orden de implementación de AD CS (opcional)">
    Consulta [Integración de AD CS: descripción general](/es/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview) para ver el diagrama de la **ruta de configuración de AD CS** y el orden de implementación.
  </Step>
</Steps>

### Consideraciones

<AccordionGroup>
  <Accordion title="Evita bloqueos de red" icon="triangle-exclamation">
    Actualizar incorrectamente los certificados usados para la conectividad de red puede hacer que los dispositivos se desconecten de la red.
  </Accordion>

  <Accordion title="Valida primero en un Blueprint de prueba" icon="flask">
    Prueba estos cambios en un subconjunto de dispositivos usando un Blueprint de prueba con Library Items de prueba antes de aplicar los cambios a los Library Items de producción.
  </Accordion>
</AccordionGroup>