AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています
AD CS Connector について
この記事では、ドメインに参加している Windows Server に Iru Endpoint AD CS Connector をインストールして登録する方法を説明します。Connector は Mac コンピュータや Windows クライアントコンピュータにはインストールできません。Iru Endpoint で Connector が 有効 かつ 接続済み になると、AD CS が発行した証明書が Library Items を通じて登録済みの Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro に配信されます。 Iru Endpoint での updated Connector の更新、または AD CS を使用した Kandji からの移行については、AD CS 連携: 概要の Iru AD CS Connector の更新および AD CS を使用した Kandji から Iru への移行を参照してください。仕組み
Connector は、Iru Endpoint との永続的な接続に TCP ポート 443 経由の WebSocket プロトコルを使用し、AD CS 環境との通信に Microsoft の Remote Procedure Call（RPC）フレームワークを使用します。登録後、Connector は Iru Endpoint から開始された証明書リクエストを処理します。前提条件
Windows Server に Connector をインストールする前に、以下を確認してください。AD CS 証明書テンプレート
AD CS 証明書テンプレート
CA のドキュメントとセキュリティ基準に従い、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro への展開方法に合った証明書テンプレートが AD CS にあることを確認してください。Connector ホストのコンピュータ証明書については、AD CS 連携: コンピュータ証明書テンプレートの作成に従ってください。
ネットワークパスとファイアウォールルール
ネットワークパスとファイアウォールルール
エンタープライズネットワークでの Iru の使用の AD CS 連携のネットワーク要件を満たしてください。updated Connector の場合は、そこに記載されている Iru Web アプリ、Iru Identity、テナント API（
subdomain.gateway.iru.com、subdomain.gateway.eu.iru.com、subdomain.clients.*）、adcsconn エンドポイントを許可してください。updated Connector では Auth0 の許可リストだけに依存しないでください。ネットワークでは、Iru Endpoint、Connector ホスト、AD CS 間のトラフィックを許可する必要があります。これには、SSL インスペクションによって経路が妨げられない、Connector から Iru Endpoint への HTTPS 通信が含まれます。ネットワーク上にまだ残っている legacy Connector
ネットワーク上にまだ残っている legacy Connector
updated Connector にアップグレードするまで legacy Connector を実行しているホストがある場合は、それらのホストが updated Connector を実行するまで、エンタープライズネットワークでの Iru の使用の legacy Auth0 許可リストの行を維持してください。
SSL インスペクション
SSL インスペクション
セキュリティポリシーで許可されている場合は、Iru Endpoint と Connector ホスト間の必要な経路で SSL インスペクションを無効にするか、バイパスしてください。
連携の開始とインストーラーの入手元
連携の開始とインストーラーの入手元
Iru Endpoint Web アプリで、インストーラーを入手できるところまで AD CS 連携を開始します。ウィザード全体、スクリーンショット、連携カードの動作については、AD CS 連携: 連携の構成を参照してください。インストールまたはアップグレードの際は、テナントの Connector 連携カードから最新の Iru Endpoint AD CS Connector をダウンロードしてください。updated Connector のインストーラーは 2.x バージョンです。インテグレーション には常に最新のものが表示されます。
Connector ホスト: OS、.NET、TPM、WebView、ドメイン
Connector ホスト: OS、.NET、TPM、WebView、ドメイン
発行 CA が対象とする Active Directory フォレストにドメイン参加し、.NET 8 以降とインストーラーが提供する Microsoft Edge WebView2 ランタイムを備えた、物理または仮想の Windows Server 2019 以降を使用してください。TPM または vTPM と完全なチェックリストについては、以下の AD CS Connector サーバーの要件を参照してください。
Windows Server と Iru の管理者アクセス
Windows Server と Iru の管理者アクセス
Connector をホストする Windows Server への管理者アクセスと、Connector アプリ内でサインインしてブラウザでの承認を完了するための Iru Endpoint 管理者アカウントが必要です。
AD CS Connector サーバーの要件
以下の要件を満たす物理または仮想の Windows Server にインストールします。オペレーティングシステム
オペレーティングシステム
Windows Server 2019 以降
.NET
.NET
.NET 8 以降
TPM または vTPM
TPM または vTPM
正常に機能する **Trusted Platform Module（TPM）または仮想 TPM（vTPM）**が必要です。Connector は TPM ベースの暗号化に依存しています。VM では、ハイパーバイザーで vTPM を有効にしてください（例: vTPM を使用する Hyper-V 第 2 世代）。Microsoft Learn の記事 トラステッド プラットフォーム モジュール テクノロジの概要を参照してください。
WebView ランタイム
WebView ランタイム
Microsoft Edge WebView2（Connector のインストーラーには互換性のあるランタイムが同梱されています）
Active Directory ドメイン
Active Directory ドメイン
サーバーは、発行 CA が対象とする Active Directory フォレストにドメイン参加している必要があります。
インストール
1
インストーラーを転送する
Connector のインストーラーファイルを Windows Server に転送します。
2
インストーラーを起動する
インストールを開始するには、インストーラーをダブルクリックします。
3
インストールを開始する
Install Iru Endpoint AD CS Connector 画面で Start を選択します。
4
認証を構成する
Authenticate with Certificate Authority 画面で、CA ポリシーで専用アカウントが必要な場合を除き、Local System を選択します。サービスアカウントを使用する場合は、Service Account を選択し、CA が登録を許可する資格情報を入力してから Install を選択します。選択したアカウントは、AD CS 連携: コンピュータ証明書テンプレートの作成のコンピュータ証明書テンプレートで 読み取り と 登録 の権限を持つプリンシパルと一致している必要があります。Local System を選択した状態で Install を選択します。
5
UAC プロンプトを承認する
UAC プロンプトが表示されたら、はい を選択します。
6
インストールを完了する
Connector のインストールが完了したら、閉じる を選択します。
初期化
1
Connector アプリケーションを起動する
Connector が自動的に開かない場合は、スタートメニューから Iru Endpoint AD CS Connector を開きます。通知領域にそのアイコンが表示されることを確認します。
2
テナント URL を入力する
Enter Iru domain に、Iru Endpoint のテナント URL を入力します。インストーラーをダウンロードしたテナントと同じテナントを使用してください。異なるテナントを使用するとサインインに失敗します。
3
サインインする
テナントで必要な方法を使用して、WebView ウィンドウでサインインを完了します。
4
登録 URL を開く
サインイン後、リクエストを承認できるコンピュータのサポートされているブラウザで登録 URL を開きます。登録リンクは 1 時間で期限切れになります。
5
登録 URL を取得できない場合
Connector に 登録 URL を取得できません。後でもう一度お試しください。 と表示される場合は、少し待ってから New URL を選択します。問題が解決しない場合は、Iru Endpoint へのネットワークアクセスを確認し、ログを添えて Iru サポートにお問い合わせください。
6
Iru Endpoint で登録を承認する
Iru Endpoint Web アプリで、Approve AD CS connector registration に移動します。デバイス名が Connector サーバーと一致していることを確認し、Approve または 拒否 を選択します。
7
Connector のステータスを確認する
承認すると、Connector に 接続済み と表示され、連携には Connector が 有効 として表示されます。拒否すると、Iru Endpoint は Connector のエントリを削除します。別の登録リンクが必要な場合は、Connector アプリから再度サインインし、New URL を選択してください。
8
アプリケーションウィンドウを閉じる
Connector ウィンドウは閉じても問題ありません。トレイで引き続き実行されます。
9
発行 CA を追加してサーバーを割り当てる
AD CS サーバーを追加して Connector に割り当てるの説明に従って、Servers タブで発行 CA を追加し、サーバーを割り当て を使用します。AD CS 連携: 連携の構成から割り当てを完了することもできます。
AD CS サーバーを追加して Connector に割り当てる
Connector が Iru Endpoint で 有効、Windows ホストから 接続済み の状態になったら:1
Servers タブを開く
AD CS 連携で Servers タブを開きます。
2
各発行 CA を追加する
Server name に
ca_server_fqdn\issuing_ca_name の形式（例: subordinateca.example.com\Contoso Issuing CA）で各発行 CA を追加します。発行 CA 名は、発行 CA サーバーの証明機関コンソールに表示されます。サーバーごとに 追加 を選択します。新しいサーバーは、有効 かつ 接続済み の Connector に割り当てるまで Disconnected と表示されます。3
この Connector にサーバーを割り当てる
Connector の概要で、Connector カードのアクションメニュー（…）を開き、サーバーを割り当て を選択します。この Connector が使用する AD CS サーバーを選択し、確定します。
Apple デバイスに証明書を配信する
少なくとも 1 つの Connector が 有効 かつ 接続済み で、AD CS サーバーが割り当てられている場合、Iru Endpoint は AD CS ベースの Library Items を登録済みの Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro に配信できます。1
Library Item を追加する
Library に移動し、Library Item を追加 を選択します。
2
証明書に対応した Library Item を選択する
証明書、Wi-Fi、VPN など、AD CS を通じて証明書を発行する Library Item を追加します。
3
AD CS の設定を構成する
発行 CA とテンプレートを選択します。PKI とデバイスでの証明書の使用方法に合わせて、サブジェクト、サブジェクト代替名、キー使用法を設定します。
4
Blueprints に割り当てる
Library Item を受け取る Blueprints に割り当てます。
5
デバイスで検証する
デバイスがチェックインするのを待ちます。Mac では、キーチェーンアクセスでインストールを確認します。iPhone、iPad、Apple TV、Apple Vision Pro では、デバイスに証明書がインストールされていることを確認します。
次のステップ
Connector が 有効、接続済み になり、AD CS サーバーが割り当てられた後:1
必要に応じて強力な証明書マッピングを追加する
ユーザーベースの 802.1X などに AD CS を使用する場合は、Active Directory の強力な証明書マッピングの構成を参照してください。
2
Library Items を作成または更新する
Certificate、Wi-Fi、Ethernet、または VPN の Library Items を作成し、Blueprints に割り当てます。
3
AD CS の展開順序を確認する（オプション）
AD CS セットアップパスの図と展開順序については、AD CS 連携: 概要を参照してください。
別の Connector ホストを追加する
1
連携を開く
インテグレーション で Active Directory Certificate Services を開き、Add connector を選択します。
2
追加のサーバーにインストールする
インストーラーをダウンロードし、ドメインに参加している別の Windows Server でインストール、サインイン、登録の承認を繰り返します。
3
AD CS サーバーを割り当てる
ネットワークと可用性の設計に従って、各 Connector に AD CS サーバーを割り当てます。
AD CS Connector を更新する
Windows Server で、Iru テナント上の Iru Endpoint AD CS Connector をアップグレードするには、AD CS 連携: 概要の Iru AD CS Connector の更新のワークフローを使用します。AD CS を使用して Kandji から移行する場合は、代わりに AD CS を使用した Kandji から Iru への移行に従ってください。この手順には、テナントのアップグレード、legacy Connector のアンインストール、updated Connector の登録が含まれます。AD CS Connector をアンインストールする
コントロールパネル > プログラムと機能から Connector と Edge ランタイムを削除できます。Windows Server 2019 以降では、代わりに 設定 > アプリ > インストールされているアプリを使用できます。1
プログラムと機能またはインストールされているアプリを開く
スタートメニューから Control Panel > Programs and Features を開くか、Windows Server 2019 以降では 設定 > アプリ > Installed apps を開きます。
2
AD CS Connector をアンインストールする
Iru Endpoint AD CS Connector を見つけて、Uninstall を選択します。
3
アンインストールを確定する
Uninstall Iru Endpoint AD CS Connector ウィンドウが表示されたら、Uninstall を選択します。
4
Connector のアンインストールを完了する
アンインストールが完了したら、閉じる を選択します。
5
WebView ランタイムをアンインストールする
Microsoft Edge WebView2 Runtime を見つけて、Uninstall を選択します。
6
データフォルダを削除する
コンポーネントのアンインストール後、File Explorer を開いて
C:\ProgramData に移動し、セキュリティポリシーでクリーンなホストが求められる場合は iru フォルダを削除します。ProgramData はデフォルトで非表示になっています。トラブルシューティング
Connector に Something went wrong と表示される
Connector に Something went wrong と表示される
Connector ウィンドウにトグルがオフの状態で Something went wrong と表示される場合は、Iru Endpoint へのネットワークアクセスを確認し、サーバーの TPM が準備できていることを確認してから、再認証 を試すか、スタートメニューから Connector アプリを再起動してください。状態が解消されない場合は、
C:\ProgramData\iru からログを収集し、Iru サポートにお問い合わせください。認証に失敗する、または Connector に Try Again と表示される
認証に失敗する、または Connector に Try Again と表示される
初期化中、Connector は WebView ウィンドウで Iru テナントにサインインします。サインインに失敗する、ループする、またはウィンドウに Try Again と表示される場合は、Connector を実行している Windows ユーザープロファイルのキャッシュされたサインインデータが古くなっている可能性があります。まず、正しい Iru テナント URL（インテグレーション > Active Directory Certificate Services からインストーラーをダウンロードしたのと同じテナント）を入力したこと、およびサーバーが Iru Endpoint にアクセスできることを確認してください。エンタープライズネットワークでの Iru の使用の AD CS 連携のネットワーク要件を参照してください。利用可能な場合は、Connector アプリで 再認証 を選択することもできます。キャッシュされた Connector データを消去するには:
- 通知領域またはタスクマネージャーから Iru Endpoint AD CS Connector を終了します。
- File Explorer を開き、
%LOCALAPPDATA%\Iru（例:C:\Users\<username>\AppData\Local\Iru）に移動します。 - Iru 内のすべてのファイルとフォルダを削除します。
- Iru Endpoint AD CS Connector を再度開き、テナント URL を入力するから初期化を繰り返します。
C:\ProgramData\iru を削除しないでください。このディレクトリには WebView のサインインキャッシュではなく、Connector のログとサービスファイルが保存されています。このセクションのデータディレクトリの内容を確認するを参照してください。%LOCALAPPDATA%\Iru を消去しても認証に失敗する場合は、C:\ProgramData\iru からログを収集し、Iru サポートにお問い合わせください。Iru Endpoint で Connector が Pending のままになる
Iru Endpoint で Connector が Pending のままになる
登録 URL を開き、Approve AD CS connector registration でリクエストを承認し、正しいテナントにサインインしたことを確認してください。登録コードの有効期限が切れた場合は、Connector アプリで New URL を選択します。承認しようとしたときに Iru Endpoint Web アプリで登録 URL の有効期限が切れたと表示される場合は、このトラブルシューティングセクションの登録の承認時に登録 URL の有効期限が切れているを参照してください。
登録の承認時に登録 URL の有効期限が切れている
登録の承認時に登録 URL の有効期限が切れている
Iru Endpoint Web アプリの Approve AD CS connector registration で登録 URL の有効期限が切れたと表示される場合、Connector アプリの New URL だけでは登録を回復できない段階に達しています。Windows Server で、AD CS Connector をアンインストールするに従って Iru Endpoint AD CS Connector（および同梱の WebView ランタイム、必要に応じて
C:\ProgramData\iru）を削除します。その後、インテグレーション > Active Directory Certificate Services から最新のインストーラーをダウンロードし、そのホストでインストールと初期化を繰り返します。AD CS サーバーを割り当てられない
AD CS サーバーを割り当てられない
サーバーを割り当てるには、Connector が Iru Endpoint で 有効、Windows ホストから 接続済み になっている必要があります。
Connector に Connected と表示されているが、デバイスが証明書を受け取らない
Connector に Connected と表示されているが、デバイスが証明書を受け取らない
AD CS サーバーが追加・割り当てられていること、Library Item が正しい Blueprints を対象としていること、デバイスが登録されていることを確認してください。テスト用デバイスでテンプレートの権限とサブジェクトのルールを検証してください。
インストールパスを確認する
インストールパスを確認する
AD CS Connector アプリは
C:\Program Files\Iru\AD CS Connector にインストールされています。データディレクトリの内容を確認する
データディレクトリの内容を確認する
ログ、設定、サービスファイルは
C:\ProgramData\iru にあります。これは Windows Server 上の非表示ディレクトリです。Windows イベントログを調べる
Windows イベントログを調べる
Windows イベントビューアーを使用して、
Event Viewer > Applications and Services Logs > Iru で AD CS Connector のログを確認します。Windows インストーラーのログを有効にする
Windows インストーラーのログを有効にする
Windows インストーラーのログは、Microsoft のガイドに従って有効にできます。
Connector サービスのステータスを検証する
Connector サービスのステータスを検証する
AD CS Connector は Windows サービスとして実行されます。Services アプリケーション（
services.msc）で実行中であることを確認してください。Connector プロセスを再起動する
Connector プロセスを再起動する
タスクマネージャーでは、Connector プロセスは adcs-connector-app という名前です。Iru Endpoint テナントのドメインを入力した後に WebView のサインイン画面が表示されない場合は、adcs-connector-app プロセスを終了し、スタートメニューから Iru Endpoint AD CS Connector を再度起動してください。
ベストプラクティス
信頼性の高いネットワークパスを維持する
AD CS Connector と Iru Endpoint テナント間のネットワーク接続が適切であることを確認し、WebSocket 通信のために TCP ポート 443 にアクセスできることを確認してください。
SSL インスペクションを無効にする
接続と認証の問題を回避するため、Iru Endpoint と AD CS Connector 間の必要なネットワーク通信で SSL インスペクションを無効にしてください。
専用のサービスアカウントを使用する
CA テンプレートで許可されている場合は、AD CS Connector に専用のサービスアカウントを使用し、登録権限をそのアカウントに限定してください。
updated Connector を最新の状態に保つ
修正とセキュリティアップデートを受け取るため、Iru Endpoint テナント（インテグレーション > Active Directory Certificate Services）から最新の Iru Endpoint AD CS Connector をインストールしてください。これらのアップデートは updated Connector に適用され、legacy Connector には提供されません。
考慮事項
正しい Iru Endpoint テナントを使用する
正しい Iru Endpoint テナントを使用する
Connector アプリと Approve AD CS connector registration は、接続しようとしている同じ Iru Endpoint テナントを対象にする必要があります。
Active Directory ドメインへのバインド
Active Directory ドメインへのバインド
証明書の操作を成功させるには、AD CS Connector をホストする Windows Server が Active Directory ドメインにバインドされている必要があります。
トラブルシューティングのために Connector のログを確認する
トラブルシューティングのために Connector のログを確認する
Windows Server の
C:\ProgramData\iru にあるログファイルを確認してください（このディレクトリはデフォルトで非表示です）。接続、認証、証明書の問題を診断する際は、Connector アプリケーションと Windows イベントビューアーと併せてこれらのログを使用してください。PowerShell で TPM のステータスを確認する
PowerShell で TPM のステータスを確認する
Connector の Windows Server で PowerShell を開き、
Get-Tpm を実行します。TpmPresent、TpmEnabled、TpmActivated が使用可能な TPM を示していることを確認してください。プロパティの定義については、Microsoft の Get-Tpm リファレンスを参照してください。VM の場合は、ハイパーバイザーの設定で vTPM が有効になっていることを確認してください。TPM が使用できない場合は、本番環境で使用する前にファームウェア、ハイパーバイザー、またはゲストの設定を解決してください。Connector のログに次のメッセージを含む System.Security.Cryptography.CryptographicException が記録されている場合、TPM が有効になっていないか、使用できる状態ではない可能性があります。上記の確認を再実行し、ファームウェアの設定を確認してください。System.Security.Cryptography.CryptographicException: The device that is required by this cryptographic provider is not ready for use.