これらのポートのファイアウォールルールを作成する際は、アウトバウンドトラフィックを許可する必要があります。
グローバルな Web アプリへのアクセス
リージョンに関係なく、すべての Iru テナントは単一のグローバルドメインsubdomain.iru.com を通じて Web アプリにアクセスします。
以下のリージョン別の表には、Web アプリへのアクセスドメインとして
subdomain.kandji.io と subdomain.eu.kandji.io も記載されています。これらは同じ Iru サービスにルーティングされるレガシーのホスト名です。必要なドメインとポート
すべてのリージョンで共通のドメイン
次のドメインは、リージョンに関係なくすべてのテナントで必要です。リージョン固有のドメイン
- US リージョン
- EU リージョン
US ホストリージョンのドメイン
AD CS インテグレーションのネットワーク要件
Active Directory Certificate Services インテグレーションを使用する場合は、AD CS Connector のセットアップと証明書リクエストのフローのために、次のネットワーク経路を許可してください。インテグレーションの全体像については、AD CS Integration: Overview.更新された AD CS Connector は、Iru のサインインと、Iru Endpoint Web アプリでの登録 URL の承認を使用します。Auth0 は使用しません。標準の許可リストには Updated AD CS Connector の表を使用してください (記載されている Iru テナント、Iru テナント API、Iru Identity、
adcsconn、内部の AD CS CA トラフィック)。この記事の他の箇所にある Iru Web アプリと追加の Iru Identity の宛先も、テナントに該当する場合は含めてください。移行中にレガシーのコネクタをまだ実行している Windows Server ホストがある場合は、それらのホストがアップグレードされ、レガシーのコネクタが Iru Endpoint から削除されるまで、Legacy AD CS Connector の表の宛先も許可してください。Updated AD CS Connector
Microsoft RPC は単一の固定ハイポートではありません。各発行 CA の FQDN への TCP 135 (RPC エンドポイントマッパー) と、各 CA ホストが使用する Windows の動的 RPC ポート範囲 を許可してください。この範囲は、多くの場合、証明書サーバーのセキュリティが強化された Windows Defender ファイアウォールで RPC Dynamic Ports として表示されます。すべての発行 CA で範囲を確認し、ファイアウォールまたはプロキシのルールに反映してください。背景情報については、Microsoft Learn の Configure RPC dynamic port allocation with firewalls を参照してください。
Legacy AD CS Connector (移行時のみ)
少なくとも 1 台の Windows Server ホストがレガシーのコネクタ (セットアップ時に Auth0 ベースの WebView サインインを使用) をまだ実行している間のみ、これらの宛先を許可してください。すべてのコネクタが Iru の更新されたフローを使用するようになったら、これらの許可リストの行を削除してください。固有のデバイスドメインの確認
固有のデバイスドメインは、登録済みデバイスが MDM プロトコルと Iru Agent を介して Iru と通信するために使用されます。 US リージョンの例:UUID.web-api.kandji.ioUUID.devices.us-1.kandji.ioUUID.devices.iru.com
UUID.web-api.eu.kandji.ioUUID.devices.eu.kandji.ioUUID.devices.eu.iru.com
1
組織を開く
サイドバーで アカウントメニューボタン を選択し、組織 を選択します。
2
デバイスドメインを確認する
Endpoint の下に Device Domains パネルが表示されます。これらのドメインは、デバイスが MDM とエージェントの通信に使用します。
Mac でデバイスドメインを確認する
個々の Mac コンピュータで使用されている特定のドメインを確認するには、ターミナルで次のコマンドを実行します。Terminal
SSL/TLS インスペクション
macOS の Iru Agent は証明書のピン留めを使用しているため、信頼できるサーバーとのみ通信し、トラフィックが傍受および検査されることはありません (中間者攻撃の防止)。ネットワークまたはプロキシの管理者がデフォルトですべての SSL/TLS トラフィックを復号している場合、これが問題になることがあります。ネットワーク管理者に、テナントのデバイスドメインをインスペクションの対象から除外するよう依頼してください。プラットフォーム固有のネットワーク要件
- Apple
- Windows
- Android
Apple で必要なホストとポート
Apple デバイスを適切に登録および管理するには、さまざまな Apple サービスへのアクセスが必要です。Apple のネットワーク要件については、Apple の公式ガイド Configure devices to work with APNs を参照してください。TLS バージョンと暗号スイート
Apple のプラットフォームセキュリティガイドによると、macOS、iOS、tvOS、iPadOS デバイスの組み込みアプリとサービスは、Perfect Forward Secrecy を備えた暗号スイートを自動的に優先します。これは、開発者が CFNetwork などの高レベルのネットワーク API を使用する場合にも当てはまります。Iru Agent はこれらの高レベルのネットワーク API を使用しています。 これらの機能をよりよく理解するために、Apple のプラットフォームセキュリティガイド、特に TLS ネットワークセキュリティのセクションをお読みになることをお勧めします。こちらはここにあります。 MDM と Iru Agent の通信に使用されるドメインは、テナントに固有のものです。確認方法については、固有のデバイスドメインの確認を参照してください。Qualys SSL Server Test などのツールを使用してテナントのドメインを検査すると、現在 Iru でサポートされている暗号を把握できます。サポートされている TLS プロトコル
Iru は次の TLS プロトコルバージョンをサポートしています。暗号スイート
TLS 1.2 (サーバー優先順)
TLS 1.2 (サーバー優先順)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256TLS_ECDHE_RSA_WITH_AES_128_CBC_SHATLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHATLS_RSA_WITH_AES_128_GCM_SHA256TLS_RSA_WITH_AES_128_CBC_SHA256TLS_RSA_WITH_AES_128_CBC_SHATLS_RSA_WITH_AES_256_GCM_SHA384TLS_RSA_WITH_AES_256_CBC_SHA256TLS_RSA_WITH_AES_256_CBC_SHA
TLS 1.1 (サーバー優先順)
TLS 1.1 (サーバー優先順)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHATLS_ECDHE_RSA_WITH_AES_256_CBC_SHATLS_RSA_WITH_AES_128_CBC_SHATLS_RSA_WITH_AES_256_CBC_SHA
TLS 1.0 (サーバー優先順)
TLS 1.0 (サーバー優先順)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHATLS_ECDHE_RSA_WITH_AES_256_CBC_SHATLS_RSA_WITH_AES_128_CBC_SHATLS_RSA_WITH_AES_256_CBC_SHA