> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/ja/scepman-no/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md).

# RDP 向けの証明書ベース認証

SCEPman を使用して、ユーザーに Smart Card Login 証明書を発行できます。ユーザーを Windows Hello for Business (*Microsoft Passport Key Storage Provider*) に登録することで、Hello PIN または生体認証オプションを使用してオンプレミス リソースに対してこれらの証明書で認証できます。

これにより、たとえばユーザーは Windows Hello for Business 資格情報を使用して、Remote Desktop Protocol (RDP) 経由で他のクライアントに接続できるようになります。

## Active Directory のセットアップ

### 要件

* SCEPman の CA 証明書は、次に公開されている必要があります **NTAuth** Active Directory でユーザーを認証するために、ストアに
* スマートカード ユーザーを認証するには、Domain Controllers にはドメイン コントローラー証明書が必要です
* Domain Controllers と対象マシンは、SCEPman のルート CA を信頼する必要があります

Domain Controller 証明書に関するガイドに従って、SCEPman ルート CA 証明書を次に公開してください **NTAuth** ストアに公開し、ドメイン コントローラーに証明書を発行します:

{% content-ref url="/pages/86727d9eb8bf2a627ad20eea5f00e3ca3bfffa65" %}
[Active Directory](/ja/zheng-ming-shu-guan-li/active-directory.md)
{% endcontent-ref %}

次のものを作成できます **Group Policy Object** 関係するマシンへのルート証明書の配布を処理するために: [Group Policy を使用してクライアント コンピューターに証明書を配布するには](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

{% content-ref url="/pages/6af221f91d98672279e158b718d0757b8f457d40" %}
[グループ ポリシー](/ja/zheng-ming-shu-guan-li/active-directory/group-policy.md)
{% endcontent-ref %}

この証明書は、認証を処理するすべての Domain Controllers と、この方法でユーザーが接続する対象のすべてのマシンに展開する必要があります。

{% hint style="danger" %}
SCEPman のルート証明書が NTAuth ストアに公開されると、SCEPman によって発行された証明書の内容に影響を与えられるユーザー（例: Intune 管理者）は、任意の Active Directory プリンシパルになりすますことができるため、ご注意ください。
{% endhint %}

## Intune を使用して Smart Card 証明書を展開する

### 信頼された証明書プロファイル

クライアントは次を行う必要があります [SCEPman のルート証明書を信頼する](/ja/zheng-ming-shu-guan-li/microsoft-intune/windows-10.md#root-certificate).

すでに SCEPman を使用してクライアントに証明書を展開している場合、このプロファイルはすでに設定されています。

### スマートカード証明書

次のためのプロファイルを作成します **Windows 10 以降** 種類 **SCEP 証明書** を Microsoft Intune で作成し、次のようにプロファイルを構成します:

<details>

<summary>証明書の種類: <code>ユーザー</code></summary>

</details>

<details>

<summary>サブジェクト名の形式: <code>CN={{UserPrincipalName}}</code></summary>

対象ユーザーの Entra ID の UPN サフィックスが Active Directory で使用されているものと異なる場合は、次を使用してください `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>サブジェクト代替名: UPN 値: <code>{{UserPrincipalName}}</code> および URI 値: <code>{{OnPremisesSecurityIdentifier}}</code></summary>

SID を含む URI は、次を実現するために必要です。 [Strong Certificate Mapping](/ja/scepman-gou-cheng/application-settings/certificates.md#appconfig-addsidextension) AD で。あるいは、SCEPman を構成して [SID を含む拡張機能を追加するように](/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse) ユーザー証明書に追加し、URI を構成しないようにできます。

</details>

<details>

<summary>キー ストレージ プロバイダー (KSP): <code>Windows Hello for Business に登録し、それ以外は失敗します (Windows 10 以降)</code></summary>

</details>

<details>

<summary>キー使用法: <code>デジタル署名</code> および <code>キー暗号化</code></summary>

</details>

<details>

<summary>キー サイズ (ビット): <code>2048</code></summary>

</details>

<details>

<summary>ハッシュ アルゴリズム: <code>SHA-2</code></summary>

</details>

<details>

<summary>ルート証明書: <code>前の手順のプロファイル (信頼された証明書プロファイル)</code></summary>

</details>

<details>

<summary>拡張キー使用法: <code>クライアント認証</code> および <code>スマートカード ログ</code>で</summary>

`クライアント認証, 1.3.6.1.5.5.7.3.2`

`スマートカード ログオン, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>SCEP サーバー URL: SCEPman ポータルを開き、次の URL をコピーします: <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Windows Hello for Business を使用してリモート ホストに接続する

認証クライアントに証明書を展開したら、リモート ホストに接続し、構成済みの Windows Hello for Business 資格情報プロバイダーを選択します。

<figure><img src="https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&amp;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/ja/scepman-no/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.