> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/ja/scepman-gou-cheng/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md). # Intune の強力なマッピング SCEPman を使用して Intune で SCEP および PKCS 証明書の強力なマッピングを実装します。 [現在、Microsoft は顧客に対して PKI を再確認するよう案内しています](https://techcommunity.microsoft.com/t5/intune-customer-success/support-tip-implementing-strong-mapping-in-microsoft-intune/ba-p/4053376): 2022 年 5 月 10 日の Windows 更新プログラム（[KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)）により、証明書のなりすましに関連する権限昇格の脆弱性を緩和するため、Windows Server 2008 以降のバージョンにおける Active Directory Kerberos Key Distribution (KDC) の動作が変更されました。 [この変更の影響については、脆弱性が最初に公開されたときに説明しました](/ja/sono/troubleshooting/certifried.md). ### 対象範囲 まず、この脆弱性は、証明書が AD フォレストの NTAuth ストアに公開されている CA にのみ適用されます。オンプレミスの AD に対する認証に証明書を使用しない場合は、CA 証明書を NTAuth ストアに公開する必要はなく、その場合、この攻撃に対して影響を受けません。なお、Microsoft ADCS は既定で CA 証明書を NTAuth ストアに公開します。 ネットワーク認証に関して、CA 証明書を NTAuth ストアで必要とする NAC は、私たちが把握している限り Microsoft NPS だけです。オンプレミス認証や NTAuth ストアを必要としない NAC には、RADIUSaaS、Cisco ISE、Aruba Clearpass があります。証明書をこの用途にのみ使用している場合は、CA 証明書がフォレストの NTAuth ストアにないことを確認するだけでよく、強力な証明書マッピングを心配する必要はありません。 CA 証明書を NTAuth ストアで必要とする用途がある場合、たとえば当社の [Domain Controller 証明書](/ja/zheng-ming-shu-guan-li/domain-controller-certificates.md)、エンドユーザー証明書をオンプレミス認証に使いたくない場合もあるでしょう。この場合も、これらの証明書に対して強力な証明書マッピングを行う必要はありません *これらの証明書に対して*。したがって、Full Enforcement Mode を有効にすべきですが、オンプレミスの SID を証明書に追加してはいけません。 オンプレミス認証にエンド証明書を使用している場合にのみ、SID が追加されていることを確認すべきです。このユースケースの最も一般的な例は、Microsoft NPS を使用している場合、または RDP を使用してオンプレミスの VM にパスワードを使わずにログオンするために証明書ベース認証を使用している場合です。 ### 強力な証明書マッピングを有効にする ADCS/KDC の変更に対応するため、Microsoft Intune は登録された証明書に SID を含めることができます。値が "{{OnPremisesSecurityIdentifier}}" の URI 型の SAN を追加することで SID を含めることができ、証明書には次のように表示されます。 ``` URL=tag:microsoft.com,2022-09-14:sid: ``` この変更により、この新機能は 2024 年 10 月/11 月にすべての Microsoft Intune 顧客向けに展開されます。 {% hint style="success" %} SCEPman はこの変更に対応しています。SCEPman 側での変更は不要で、Intune の構成のみが必要です。 {% endhint %} この機能を使用したい場合は、Microsoft の手順に従って Intune の SCEP 構成プロファイルを更新する必要があります。SCEPman がこの SAN 形式をサポートし、すべての SCEPman バージョンで動作することをテスト済みです。 あるいは、 [SID 拡張を](/ja/scepman-gou-cheng/application-settings/certificates.md#appconfig-addsidextension) SCEPman で追加することもできます。これは、私たちが KDC の問題に対処した方法です [2023 年 7 月](https://docs.scepman.com/ja/scepman-gou-cheng/pages/7a4dda0d73b4ed35b1dc0b3c7e4173758a529693#scepman-2.5.892) オンプレミスの ADCS が行うのと同じ方法で実現しました。したがって、SCEPman のお客様は新しい SAN フィールドを必要としません。特に、すでに SID 拡張を使用している場合はなおさらです。 SCEPman のお客様は、SID 拡張を使うか SID SAN 値を使うかを選択できます。前者には SCEPman の構成設定が必要で、後者には上記のとおり SCEP 構成プロファイルの変更が必要です。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.scepman.com/ja/scepman-gou-cheng/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.