Antes de poder integrar Jamf Pro con Active Directory Certificate Services (AD CS), debes instalar el Jamf AD CS Connector. Este servicio transfiere de forma segura toda la comunicación entre Jamf Pro y AD CS.

Cuando instalas el Jamf AD CS Connector, el instalador hace lo siguiente automáticamente:

Instala y configura las aplicaciones necesarias para ejecutar el Jamf AD CS Connector. Si quieres más información, consulta Aplicaciones instaladas.
Instala el Jamf AD CS Connector.
Genera los certificados requeridos para proteger la comunicación con Jamf Pro. Si quieres más información, consulta Certificados del Jamf AD CS Connector.

Aplicaciones instaladas

Cuando instalas el Jamf AD CS Connector, se instala automáticamente Microsoft Internet Information Services (IIS) para Windows Server. Microsoft IIS es el servidor de aplicaciones web que ejecuta el Jamf AD CS Connector. Se instala un directorio llamado AD CS Proxy en la siguiente ubicación:
C:\inetpub\wwwroot\adcsproxy

Si quieres más información sobre IIS, visita el siguiente sitio web:
https://www.iis.net

Además, lo siguiente se configura automáticamente cuando instalas el Jamf AD CS Connector:

IIS Client Certificate Mapping Authentication: IIS se configura automáticamente para activar la comunicación entre Jamf Pro y el Jamf AD CS Connector con IIS Client Certificate Mapping Authentication.
Si quieres más información sobre IIS Client Certificate Mapping Authentication, consulta la documentación de referencia para la configuración de Microsoft.
ASP.NET: Proporciona el marco de aplicaciones para el Jamf AD CS Connector y se integra con la instancia de la aplicación web IIS.

Certificados del Jamf AD CS Connector

Cuando instalas el Jamf AD CS Connector, se generan los siguientes certificados automáticamente:

Certificado

Detalles

Certificado de servidor (.pem o
.cer)

Este certificado garantiza la confianza entre Jamf Pro y el Jamf AD CS Connector. Es un certificado SSL autofirmado generado cuando el Jamf AD CS Connector se instala y permite que IIS valide certificados de cliente.

El certificado de servidor se exporta al directorio de trabajo actual con el siguiente nombre de archivo:
adcs-proxy-ca.cer

Nota: El certificado de servidor es necesario para configurar Jamf Pro para que se comunique con el Jamf AD CS Connector.

Certificado de cliente (.pfx o
.p12)

Este certificado permite que Jamf Pro gestione la autenticación con el Jamf AD CS Connector. El certificado de cliente se genera cuando el Jamf AD CS Connector es instalado y firmado por el certificado de servidor. Se exporta en formato PFX mediante una contraseña generada aleatoriamente que se envía a la shell durante la instalación del Jamf AD CS Connector.

Nota: El certificado de cliente y la contraseña generada aleatoriamente son necesarios para configurar Jamf Pro para que se comunique con el Jamf AD CS Connector.

Ambos certificados son necesarios para configurar Jamf Pro para que se comunique con el servicio proxy de AD CS.

Requisitos

El Jamf AD CS Connector requiere un servidor con lo siguiente:

Windows Server 2016 conectado a un dominio que tiene una relación de confianza con el dominio de la autoridad certificadora
Si quieres más información sobre la conexión de un servidor a un dominio que tiene una relación de confianza con el dominio de la autoridad certificadora, consulta la siguiente documentación de Microsoft:
Unir equipos servidor al dominio e iniciar sesión
.NET Framework 4.5 o posterior
Si quieres información sobre .NET Framework, consulta el siguiente sitio web:
https://www.microsoft.com/net
PowerShell 5.1 (para el script de instalación)

Comunicación de red

El Jamf AD CS Connector requiere los siguientes protocolos y puertos TCP:

DCOM— El Jamf AD CS Connector usa Modelo de Objetos de Componentes Distribuido (DCOM) de Microsoft para comunicarse con AD CS. Debes tener los siguientes puertos TCP abiertos para esta comunicación:
- 135
- 49152-65535
Si quieres más información sobre Microsoft DCOM, visita el siguiente sitio web:
https://docs.microsoft.com/openspecs/windows_protocols/ms-dcom/4a893f3d-bd29-48cd-9f43-d9777a4415b0

HTTPS: Jamf Pro inicia conexiones HTTPS con el Jamf AD CS Connector, normalmente por el puerto TCP 443. El puerto HTTPS tiene que estar abierto y ser entrante en el firewall de tu red y también en el Firewall de Windows en el servidor en el que se ha instalado el Jamf AD CS Connector.

Además, como el host del Jamf AD CS Connector debe estar vinculado al dominio, los puertos requeridos por Microsoft para dar servicio a la vinculación deben estar abiertos entre el host del Jamf AD CS Connector y el controlador de dominio AD.

Si quieres más información, consulta el artículo de la base de conocimientos Puertos de red usados por Jamf Pro.

Instalación del Jamf AD CS Connector

Inicia sesión en Jamf Nation y accede a la siguiente página:
https://www.jamf.com/jamf-nation/my/products
Descarga el Jamf AD CS Connector en el servidor en el que vayas a instalarlo.
Inicia sesión en el servidor como usuario con privilegios de administrador.
Haz doble clic en el Jamf AD CS Connector para descomprimirlo.
Abre PowerShell como administrador y ejecuta un comando parecido al siguiente para iniciar el instalador:

.\deploy.ps1 -fqdn my.adcs-proxy.url -jamfProDn my.domain.name -cleanInstall

Este comando instala el Jamf AD CS Connector y genera los certificados de servidor y cliente.

Una vez completada la instalación del Jamf AD CS Connector, puedes configurar ajustes en Jamf AD CS Connector para activar la comunicación entre Jamf Pro y el Jamf AD CS Connector.