# Certificate Master RBAC

{% hint style="warning" %}
SCEPman Enterprise Edition のみ
{% endhint %}

{% hint style="info" %}
SCEPman Certificate Master バージョン 2.5 以降に適用されます
{% endhint %}

ユーザーが SCEPman Certificate Master にアクセスする際、ユーザーの役割により実行できる操作や表示できる証明書が決まります。役割は Enterprise Application *SCEPman-CertMaster* （Microsoft Entra ID (Azure AD)）で決定されます。SCEPman をバージョン 2.5 より前にインストールしている場合、Microsoft Entra ポータルに役割を表示するために SCEPman PS モジュールから Complete-SCEPmanInstallation CMDlet を再実行する必要があります。利用可能な役割は次のとおりです：

<figure><img src="https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2F0UxE3cdi27MLABvFARnw%2F2023-10-23%2014_50_14-Select%20a%20role.png?alt=media&#x26;token=e3ac2dd1-1e7a-4834-a28e-16cc65b20b69" alt=""><figcaption></figcaption></figure>

## 利用可能な役割

* **Admin.Full**：この役割のメンバーは SCEPman Certificate Master 内であらゆる操作が可能です。将来のバージョンで新機能が追加された場合、この役割のメンバーはそれらの機能にアクセスできます。
* **Manage.All**：この役割のメンバーはすべての証明書を表示および取り消すことができます。これには Certificate Master データベース内の証明書と Intune 経由で登録された証明書が含まれます。
* **Manage.All.Read**：メンバーはすべての証明書を表示できますが、取り消すことはできません。
* **Manage.Intune**：メンバーは Intune 経由で登録された証明書を表示および取り消すことができます。
* **Manage.Intune.Read**：メンバーは Intune 経由で登録された証明書を表示できますが、取り消すことはできません。
* **Manage.Storage**：メンバーは Certificate Master データベース内の証明書を表示および取り消すことができます。
* **Manage.Storage.Read**：メンバーは Certificate Master データベース内の証明書を表示できますが、取り消すことはできません。
* **Request.All**：メンバーはあらゆる種類の証明書を要求できます。これには任意の種類の CSR リクエストの提出が含まれます。ユーザーが CSR リクエストを提出する必要がある場合、この役割が必要です。
* **Request.Client**：リクエストはクライアント証明書、つまり手動で作成されたデバイス証明書に限定されます。これらはクライアント認証の拡張キー使用法（EKU）を持ち、サブジェクトはカスタマイズ可能です。
* **Request.CodeSigning**：リクエストはコード署名用証明書のみ可能です。
* **Request.Server**：メンバーはサーバー証明書のみ要求できます。これらはサーバー認証の EKU を持ちます。
* **Request.SubCa**：メンバーは下位認証局（Subordinate CA）用の証明書を要求できます。ただし、拡張キー使用法によりこれらの CA はサーバー認証証明書のみを発行できるよう制限されます。これにより、ファイアウォールで使用される TLS インターセプトのような目的には使用できますが、他の目的には使用できません。これはセキュリティ上の機能です。もし他の目的で使用するための下位認証局が必要な場合は、CSR を作成して Certificate Master に提出する必要があり、そのためには *Request.All* 役割が必要です。
* **Request.User**：メンバーはユーザー証明書のみ要求できます。これらはクライアント認証の EKU を持ち、要求者によって選択された UPN を持ちます。SCEPman 2.6 以降では Smart Card Logon EKU も可能です。注意すべき点として、この役割を持つ人物は他のユーザーのために証明書を要求できることです。AD や AAD で証明書ベース認証を有効にし、SCEPman CA をこの目的のために AD または AAD で信頼済みとして追加している場合、これを使って他のユーザーになりすますことが可能になります。

{% hint style="info" %}
これはポストインストール構成中に追加されるデフォルトの役割セットです。必要に応じて追加できるより複雑な役割がいくつかあります： [csr-tofmunorru](https://docs.scepman.com/ja/scepman-gou-cheng/rbac/csr-tofmunorru "mention")
{% endhint %}

## 役割の割り当て

{% stepper %}
{% step %}

### SCEPman-CertMaster に移動します

Azure > Enterprise Applications > フィルターをクリア > SCEPman-CertMaster<br>

<figure><img src="https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FYAuIaRUSB98yeb46IsUm%2Fimage.png?alt=media&#x26;token=4f059ffc-b6ad-4d47-9ce9-53a94e746eab" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### ユーザー/グループを割り当てる

Manage > Users and Groups に移動し、希望する管理者とその役割を選択します。\
管理者と役割を選択したら、割り当てボタンを押します。\
![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FdnKmNw3XbiSocezcUJzl%2Fimage.png?alt=media\&token=edfa6c8d-a0ea-4316-bef6-0ce65f7c140d)<br>

<figure><img src="https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FCHLvR2GG8XRtZwPaJ5H6%2Fimage.png?alt=media&#x26;token=539dc662-10db-4afe-9932-a1545deec10f" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### ウェブブラウザのキャッシュをクリアする（任意）

場合によっては、管理者の権限が変更された後でも見た目上は同じに見えることがあります。この問題を回避するために、Certificate Master のクッキーをすべてクリアしてください。
{% endstep %}
{% endstepper %}
