AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています
Active Directory 証明書サービスとは
Microsoft Active Directory 証明書サービス（AD CS）は、組織が内部で使用する証明書の発行、検証、失効を行えるオンプレミスの公開鍵基盤（PKI）を構築します。Iru Endpoint の AD CS 連携は、既存の Microsoft AD CS 環境と連携して AD CS に証明書を要求します。その後、Library Items を通じてそれらの証明書を Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro にプッシュすることで、証明書ベースの認証が可能になり、ユーザーはエンタープライズ Wi-Fi ネットワークなどの企業リソースにアクセスできるようになります。Kandji と Iru Endpoint の AD CS の違い
Kandji では、AD CS は legacy Connector（Auth0 サインイン）を使用します。Iru にアップグレードした後、Iru Endpoint は updated Connector（Iru ID と登録の承認）を使用します。Kandji の AD CS 環境を Iru に移行するには、AD CS を使用した Kandji から Iru への移行を参照してください。Iru Endpoint ですでに updated Connector を実行していて、新しいビルドが必要な場合は、Iru AD CS Connector の更新を参照してください。 Iru の Connector には、legacy の Kandji 環境よりも厳しい Windows Server、.NET、TPM、ファイアウォールの要件があります。ホストのチェックリストとインストール手順については AD CS Connector のインストールを、Connector の世代による許可リストの違いについてはネットワーク要件を参照してください。証明書リクエストのフロー
この図は、Iru Endpoint、ネットワーク上の AD CS Connector、Microsoft AD CS、登録済みデバイスの間で証明書リクエストがどのように流れるかをまとめたものです。
1
Iru Endpoint から証明書リクエストを送信する
Iru Endpoint は、TCP ポート 443 経由の WebSocket 接続を通じて、Iru Endpoint AD CS Connector に証明書リクエストを送信します。
2
キーペアを生成して署名リクエストを送信する
AD CS Connector は証明書のキーペアをローカルで生成し、DCE/RPC を使用して証明書署名リクエストを Microsoft AD CS に送信します。秘密鍵は Library Items を通じて管理対象エンドポイントに配信されます。Connector はデバイス ID の秘密鍵を保存しません。
3
AD CS から証明書を発行する
AD CS はリクエストを処理して証明書を発行し、署名済みの証明書を AD CS Connector に返します。
4
暗号化された証明書バンドルを Iru Endpoint に返す
AD CS Connector は、暗号化された .p12 ファイルをリクエスト ID とともに WebSocket 接続経由で Iru Endpoint に返します。
5
クライアントデバイスに証明書を配信する
Iru Endpoint は、構成プロファイルのペイロードを通じて証明書バンドル（.p12 ファイル）をクライアントデバイスに配信します。
AD CS のセットアップパス
この図を展開のチェックリストとして使用してください。左側のネットワーク許可リストから始めます。ネットワーク要件のガイダンスと、エンタープライズネットワークでの Iru の使用の AD CS 連携のネットワーク要件の表を完了してから、左から右へ順にガイドに従います。各記事の最後にある次のステップで、次のタスクが案内されます。ネットワーク許可リスト
エンタープライズネットワークでの Iru の使用
エンタープライズネットワークでの Iru の使用
コンピュータ証明書テンプレート
（AD CS）
（AD CS）
AD CS 連携の構成
（Iru Endpoint）
（Iru Endpoint）
AD CS Connector のインストール
（Windows Server）
（Windows Server）
強力な証明書マッピング
（必要な場合）
（必要な場合）
Library Items
デバイスへの展開
デバイスへの展開
ネットワーク要件
Connector をインストールする前、または連携ウィザードを完了する前に、以下を確認してください。ネットワークパスとファイアウォールルール
ネットワークパスとファイアウォールルール
ホスト名、ポート、プロトコル、および updated と legacy の Connector の行の違いについては、エンタープライズネットワークでの Iru の使用の AD CS 連携のネットワーク要件セクションを参照してください。updated Connector は Auth0 を使用しません。そこに記載されている Iru Web アプリ、Iru Identity、テナント API、
adcsconn の宛先を許可してください。ネットワーク上にまだ残っている legacy Connector
ネットワーク上にまだ残っている legacy Connector
移行中に legacy Connector を実行しているホストがある場合は、各ホストが updated Connector を実行するまで、その記事の legacy Auth0 許可リストの行を維持してください。置き換えのワークフロー全体については、AD CS を使用した Kandji から Iru への移行を参照してください。
次のステップ
この概要を読み終えたら:1
発行 CA でコンピュータ証明書テンプレートを作成する
AD CS 連携: コンピュータ証明書テンプレートの作成を参照してください。
Connector のバージョン
updated コネクタ
updated AD CS Connector は、インテグレーション > Active Directory Certificate Services からダウンロードする Iru Endpoint パッケージです。サインインに Iru ID を使用し、サインイン後に登録 URL を表示します。Approve AD CS connector registration で Connector ホストを承認します。製品アップデートとセキュリティアップデートは、このパッケージに対してのみ提供されます。インストーラーは 2.x バージョンです。legacy コネクタ
legacy AD CS Connector は、Kandji テナント向けのリリースです。Auth0 ベースのサインインを使用します。Iru Endpoint はこれに対するアップデートを提供しません。テナントを Iru にアップグレードした後、Windows Server から legacy Connector をアンインストールし、Iru テナントから updated Connector をインストールしてください。Iru AD CS Connector の更新
テナントがすでに Iru Endpoint で稼働していて Windows Server で新しい updated Connector ビルドが必要な場合、またはすでに Iru ID で登録済みのホストで Connector を更新する場合に、このワークフローを使用します。このセクションは、Iru テナント上の updated Connector ビルドを対象としています。AD CS を使用して Kandji から移行する場合は、まず AD CS を使用した Kandji から Iru への移行を完了してください。
1
最新のビルドをダウンロードしてインストールする
インテグレーション > Active Directory Certificate Services から、最新の Iru Endpoint AD CS Connector をダウンロードします。既存の Connector カードでは、代わりにアクションメニュー（…）を開いて Redownload Connector を選択します。Connector の Windows Server でインストーラーを実行します。アップデーターは、新しいビルドをインストールする前に以前のビルドをアンインストールする場合があります。
2
サインインして登録を承認する
Connector アプリでプロンプトが表示されたら、Iru テナント URL を再入力してサインインを完了します。Iru Endpoint から要求されたら、ブラウザで登録 URL を開き、Approve AD CS connector registration でデバイスを承認します。初期化の詳しい手順については、AD CS Connector のインストールの初期化を参照してください。
3
Connector のステータスを確認する
Connector アプリに 接続済み と表示され、連携カードに 有効 と表示されていることを確認します。Control Panel > Programs and Features（Windows Server 2019 以降では 設定 > アプリ > Installed apps）で、インストールされている Iru Endpoint AD CS Connector のバージョンが想定どおりの最新の 2.x ビルドであることを確認します。
4
必要に応じて発行 CA を割り当て、古い legacy 行を削除する
legacy Connector の行の隣に新しい updated Connector の登録が表示された場合は、新しい Connector カードで サーバーを割り当て を開き、legacy Connector に割り当てられていた各発行 CA を関連付けます。updated Connector が 接続済み になり CA が割り当てられたら、legacy Connector カードのアクションメニュー（…）を開いてそのエントリを削除します。すでに updated Connector を実行しているホストでビルドをアップグレードするだけで、同じ Connector カードが 有効 のままの場合は、CA の再割り当てや legacy 行の削除は不要です。
5
オプション: Connector を別の Windows Server に移動する
ドメインに参加している新しい Windows Server を使用するには、そのサーバーに最新の Connector をダウンロードしてインストールし、登録を完了してから、新しい Connector カードで サーバーを割り当て を使用して発行 CA を古い Connector エントリから移動します。完了したら古いサーバーを廃止します。
AD CS を使用した Kandji から Iru への移行
Windows Server で AD CS Connector を置き換える前に、Iru へのプラットフォームのアップグレードを完了してください。テナントの移行直後は、サーバーで legacy Connector をアンインストールして updated Connector を登録するまで、Iru Endpoint で legacy Connector が引き続き 接続済み と表示される場合があります。Kandji Web アプリでは、AD CS は legacy Connector を使用します。アップグレード後は、サイドバーの アカウントメニューボタン を選択して インテグレーション を開きます。Iru Endpoint では、設定 はその場所にはありません。
1
テナントを Iru にアップグレードする
Iru へのアップグレードに従います。設定 > アクセス で Start migration を選択し、認証接続を構成し、免責事項に同意して Complete migration を選択します。新しい Iru ドメイン（
{{subdomain}}.iru.com）にサインインします。テナントのアップグレードが完了したら、AD CS を使用した Kandji から Iru への移行に戻り、以下の次の手順に進んで AD CS Connector を置き換えます。2
Iru Endpoint で AD CS 連携を開く
サイドバーで アカウントメニューボタン を選択し、インテグレーション を選択します。Active Directory Certificate Services を開きます。Windows Server に legacy Connector がインストールされている場合、連携には引き続き 接続済み と表示される場合があります。
3
Windows Server で legacy Connector をアンインストールする
Connector ホストで Control Panel > Programs and Features（または 設定 > アプリ > Installed apps）を開きます。legacy の Iru Endpoint AD CS Connector（または Kandji 時代の AD CS Connector のエントリ）を見つけてアンインストールします。アンインストールが完了するまでプロンプトに従います。legacy ビルドは通常 1.0.0.x バージョンです。必要に応じた WebView ランタイムの削除を含むアンインストールの完全な手順については、AD CS Connector のインストールの AD CS Connector のアンインストールを参照してください。
4
Connector に Disconnected と表示されることを確認する
Iru Endpoint で Active Directory Certificate Services ページを更新します。サーバーから legacy パッケージを削除すると、Connector には Disconnected と表示されます。
5
updated Connector をダウンロードする
Add connector を選択し、Iru テナントから Iru Endpoint AD CS Connector のインストーラーをダウンロードします。ブラウザがダウンロードをブロックした場合は、ファイルが保存されるよう Keep または Keep anyway を選択します。インストールと登録が完了するまで、連携では新しい Connector が 保留中 と表示されます。
6
updated Connector をインストールする
インストーラーを Windows Server に転送して実行します。Authenticate with Certificate Authority で、CA ポリシーでサービスアカウントが必要な場合を除き Local System を選択し、Install を選択します。インストールが完了したら、閉じる を選択します。AD CS Connector のインストールのインストールを参照してください。
7
サインインして登録を承認する
スタートメニューから Iru Endpoint AD CS Connector を開きます。Enter Iru domain に、Iru テナント URL（例:
{{subdomain}}.iru.com。Iru Endpoint Web アプリに表示されるものと同じホスト名）を入力します。サインインを完了し、登録 URL を開いて、プロンプトが表示されたら Approve AD CS connector registration でデバイスを承認します。Connector アプリに 接続済み と表示されます。8
接続と Connector のバージョンを確認する
Iru Endpoint で AD CS 連携を更新し、Connector に 接続済み と表示されていることを確認します。Windows Server で再度 Programs and Features を開き、インストールされている Iru Endpoint AD CS Connector が legacy の 1.0.0.x リリースではなく 2.x ビルドであることを確認します。
9
発行 CA を割り当てて legacy 行を削除する
AD CS の 概要 ページで、新しい Connector カードの サーバーを割り当て を開き、legacy Connector に割り当てられていた各発行 CA を関連付けます。updated Connector が 接続済み になり CA が割り当てられたら、legacy Connector カードのアクションメニュー（…）を開いてそのエントリを削除します。