Unterstützung der Microsoft Active Directory Strong Certificate Mapping Anforderungen in Jamf School

Jamf School Dokumentation
Solution
Application
Content Type
Technische Dokumentation
Utilities & Services
ft:locale
de-DE

Damit die strengen Anforderungen von Microsoft Active Directory an die Zertifikatszuordnung für die zertifikatsbasierte Authentifizierung in einer AD-Domäne erfüllt werden, müssen die Zertifikateinstellungen in den Computer- oder Mobilgeräteprofilen in Jamf School aktualisiert werden.

Seit dem 11. Februar 2025 gelten die von Microsoft angekündigten Änderungen für das Verhalten der Active Directory Kerberos Key Distribution Centers (KDCs) unter Windows Server 2008 und neuer (siehe KB5014754). Domänencontroller arbeiten nun im Modus „Vollständige Erzwingung“ und verweigern die Authentifizierung, wenn ein Zertifikat nicht eindeutig zugeordnet werden kann. Der Modus „Kompatibilität“ kann jedoch noch bis zum 10. September 2025 verwendet werden.

Microsoft hat ein neues starkes Zuordnungsformat angekündigt, das mit KDCs kompatibel ist, die unter Windows Server Preview Build 25246 oder neuer laufen (siehe Vorschau von SAN-URI für starke Zertifikatszuordnung in KB5014754). Diese neue Funktion befindet sich nun nicht mehr in der Vorschauphase. In Windows Server 2019 und neuer wurde die KDC-Logik entsprechend aktualisiert, sodass Zertifikate anhand einer Subject Alternative Name (SAN)-URI bewertet werden, die die Sicherheitskennung (SID) des Benutzers oder Geräts enthält. Diese Zuordnungsmethode bietet mehr Flexibilität bei der Ausstellung von Zertifikaten, die die strengen Zuordnungsanforderungen erfüllen. Dabei wird die SID des Benutzers in einer SAN-URI verwendet, die auf Tag-Basis wie folgt formatiert ist: URL=tag:microsoft.com,2022-09-14:sid:<value>. Hier sind microsoft.com und 2022-09-14 feste Werte, die nicht verändert werden dürfen. Es muss nur der Wert <value> angegeben werden, der die Benutzer- oder Geräte-SID darstellt.

Aufgrund dieser Änderungen muss jedes Zertifikat, das für die Authentifizierung verwendet wird, einem eindeutigen Benutzer- oder Computerobjekt in Active Directory zugeordnet sein. Um diese Anforderung für alle Zertifikatsausstellungs-Workflows zu erfüllen, die Offline-Zertifikatsvorlagen (z. B. SCEP) verwenden, müssen Sie Identitätszertifikate neu bereitstellen, wobei die objectSid des Endbenutzers im Feld „SAN URI“ enthalten sein muss.

Hinweis:

Wenn Sie Fragen haben oder Unterstützung benötigen, melden Sie sich bei Jamf Account an und klicken Sie oben auf Support kontaktieren.

Anforderungen

  • Jamf School synchronisiert mit einem LDAP-Verzeichnisdienst. Weitere Informationen finden Sie unter Synchronisieren mit einem LDAP-Verzeichnisdienst.

  • Ein Profil mit konfigurierter SCEP Payload, die an Computer oder Mobilgeräte verteilt wird. Weitere Informationen zum Erstellen von Profilen finden Sie unter Geräteprofile.

  • KDCs in der Active Directory Domäne müssen unter Windows Server 2019 oder neuer ausgeführt werden.

  1. In Jamf School, navigieren Sie in der Seitenleiste zu Organisation > Einstellungen.
  2. Klicken Sie auf die Payload Synchronisierung.
  3. Geben Sie einen Wert im Feld Sicherheits-ID (SID) des Benutzers ein.
    Beispiel:

    objectSid

  4. (Optional) Um die Zuordnungskonfiguration vor dem Speichern zu testen, klicken Sie auf Zuordnungskonfiguration testen und geben Sie dann die zu testenden Gruppen- und Benutzer-OUs in das Pop-up-Fenster LDAP Mapping Configuration Test (Testen der LDAP-Zuordnungskonfiguration) ein.
  5. Klicken Sie auf Speichern.
  6. Navigieren Sie in der Seitenleiste zu Benutzer > Benutzer.
  7. Klicken Sie auf Benutzer synchronisieren, um die LDAP-Benutzer mit Jamf School zu synchronisieren.
  8. Navigieren Sie in der Seitenleiste zu Profile > Überblick.
  9. Klicken Sie auf den Namen des Profils, das die SCEP Payload enthält.
  10. Suchen Sie in der Liste der Payloads auf der linken Seite des Bereichs die Payloadkategorie Allgemeine Payload und klicken Sie auf die Payload SCEP.
  11. Wählen Sie im Pop-up-Menü Typ des alternativen Antragstellernamens die Option "Uniform Resource Identifier (URI)" aus.
  12. Geben Sie im Feld Wert des alternativen Antragstellernamens die folgende SAN-URI-Zeichenfolge ein: tag:microsoft.com,2022-09-14:sid:%UserSid%.
    Hinweis:

    • microsoft.com und 2022-09-14 sind fest codierte Werte, die nicht verändert werden dürfen. Der einzige Wert, den Sie bei Verwendung der SAN-URI angeben müssen, ist die Benutzer- oder Geräte-SID, die anstelle von <value> eingetragen wird. In Jamf School können Sie die Payloadvariable %UserSid% anstelle von <value> eingeben.

    • Wenn Sie URL= angeben, wird der SAN-Wert genau so übernommen, was einen SAN-Wert von URL=URL=... ergibt.

  13. Klicken Sie auf Speichern.

Nach der Bereitstellung des Profils erhält der Computer oder das Mobilgerät ein gültiges Client-Zertifikat mit dem angegebenen allgemeinen Namen und dem erwarteten SAN-Wert.

Nach der Installation des Zertifikats auf dem verwalteten Computer oder Mobilgerät können Sie die Authentifizierung mit dem neuen Identitätszertifikat durchführen und die Systemereignisprotokolle prüfen, um sicherzustellen, dass keine neuen Prüfereignisse entstehen. Achten Sie auf Prüfereignisse mit den IDs 39, 40 oder 41. Sie können entweder die Ereignisanzeige verwenden oder einen PowerShell-Befehl wie diesen ausführen:
#KB5014754 Audit Events
Get-EventLog -log system | 
Where-Object {
    $_.EventID -match "^39$|^40$|^41$"
} | 
Sort-Object -property TimeGenerated | 
Select-Object -last 10 | 
Format-Table -AutoSize –Wrap