この記事は自動的に翻訳されています。翻訳には不正確な表現が含まれる場合があります。
英語の原文はこちらをご覧ください。
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

一般設定

SCEPman が受信 SOAP リクエストを正常に処理できるようにするには、いくつかの手順が必要です:

1

Custom Domain

SCEPman で正常に認証するには、A レコードを使用するカスタム ドメインが A レコード App Service を指している必要があります。そうでないと、クライアントはドメイン コントローラーから有効な Kerberos チケットを要求できません。

カスタム ドメインが AD ドメインの FQDN に似ている必要はありません。つまり、次のようなドメインを持っていても ad.contoso.local 、SCEPman 用に同一または類似のカスタム ドメインが必要になるわけではありません。

次の既知の問題を参照してください: WS_E_ENDPOINT_ACCESS_DENIED 詳細については。

SCEPman がカスタム ドメインを使用してアクセス可能になるよう構成されていることを確認してください:

カスタム ドメイン
2

BaseUrl

正常に認証できるようにするには、次のことを確認してください: AppConfig:BaseUrl 変数がカスタム ドメインと一致していること。

設定
Value

AppConfig:BaseUrl

例: scepman.contoso.com

あるいは、他の SCEPman エンドポイントとは異なる URL で AD エンドポイントにアクセスしたい場合は、専用の AppConfig:ActiveDirectory:BaseUrl 設定を使用してください。

設定
Value

AppConfig:ActiveDirectory:BaseUrl

例: adendpoint.contoso.com

3

Service Principal を作成

次を使用します: New-SCEPmanADPrincipal オンプレミスの Active Directory ドメインに Service Principal を作成するための、SCEPman PowerShell モジュールの Cmdlet です。さらに、このアカウントから keytab をエクスポートし、SCEPman の CA 証明書で暗号化します。

このコマンドは、次の機能がインストールされているドメイン コントローラーまたはドメイン参加済みサーバーで実行できます: RSAT-AD-Tools 機能。さらに、Service Principal を作成する OU で次の権限が必要です:

OU 自体に対して:

  • コンピューター オブジェクトの作成

子孫のコンピューター オブジェクトに対して:

  • パスワードのリセット

  • 書き込み msDS-SupportedEncryptionTypes

  • 書き込み servicePrincipalName

  • 書き込み userPrincipalName

以下のバリアントでは、SCEPman インスタンスへの送信 HTTPS ネットワーク アクセスも必要です。

ドメイン コントローラーにアクセスできるコンピューターにネットワーク アクセスがない場合でも動作する Cmdlet のバリアントがありますが、SCEPman CA 証明書のダウンロードや、Cmdlet を実行するマシンへの CA のコピーなど、追加の準備が必要です。

Install-Module SCEPman -Force
New-SCEPmanADPrincipal -Name "SCEPmanAD" -AppServiceUrl "scepman.contoso.com" -OU
"OU=Example,DC=contoso,DC=local"

このコマンドを実行すると、次の処理が行われます:

  1. 次の場所にコンピューター オブジェクトを作成します: OU=Example,DC=contoso,DC=local 組織単位。

  2. 手順 5 で keytab を暗号化するために、SCEPman の CA 証明書をダウンロードします。

  3. コンピューター オブジェクトに service principal name (SPN) を追加します。

  4. コンピューターのパスワードに基づく暗号化キーを含む、コンピューター アカウント用の keytab を作成します。

  5. SCEPman の CA 証明書で keytab を暗号化し、CA の秘密鍵を使って SCEPman だけが再度復号できるようにします。

  6. 暗号化された keytab を出力し、SCEPman の構成に転送できるようにします。

Base64 エンコードされた出力を、次の環境変数に追加する必要があります: AppConfig:ActiveDirectory:Keytab SCEPman App Service に設定します。

4

SCEPman に Keytab を追加

次の環境変数を SCEPman App Service に追加することで、統合を簡単に有効化できます: SCEPman App Service。 ユースケースに応じて、利用可能な証明書テンプレートを 1 つ以上有効にしてください:

すべての証明書テンプレートを有効にした例:

設定
Value

AppConfig:ActiveDirectory:Keytab

次で作成した Service Principal 用の Base64 エンコード済み keytab 手順 3

AppConfig:ActiveDirectory:Computer:Enabled

true

AppConfig:ActiveDirectory:User:Enabled

true

AppConfig:ActiveDirectory:DC:Enabled

true

AppConfig:ActiveDirectory:RdpServer:Enabled

true

既知の問題

WS_E_ENDPOINT_ACCESS_DENIED

エラー: WS_E_ENDPOINT_ACCESS_DENIED 
16 進数: 0x803d0005
10 進数: -2143485947

このエラーは、次を使用している場合の CEP サーバーの検証中に発生することが知られています: 既定の Azure App Service の URI。これは Kerberos プロトコルが、アクセス対象のサービスの service principal name を要求することによって発生します。 A レコード ものです。たとえば、既定の app service ドメインの場合、 contoso.azurewebsites.net は CNAME であり、 A レコード 次のようなものを指しています:

waws-prod-ab1-234-c56d.westeurope.cloudapp.azure.com

この A レコード インフラストラクチャ ホストのものは将来的に一貫性が保証されないため、このホストに service principal name を追加することは 推奨されません.

App Service にカスタム ドメインを追加し、 A レコード DNS プロバイダー内でそれを使用して、App Service を指すようにします。 CNAME.

カスタム ドメイン

ERROR_INVALID_PARAMETER

エラー: ERROR_INVALID_PARAMETER
16 進数: 0x80070057
10 進数: -2147024809

CEP サーバーの登録中に、次で始まる URI を入力するとこのエラーが発生します: http://。CEP サーバーの登録には次のみを使用してください: https:// .

ERROR_ACCESS_DENIED

マシン コンテキストで CEP サーバーを登録する場合、実行ユーザー（次を開始したアカウント） gpmc.mscは、GPO の編集中、そのコンピューターのローカル Administrators グループのメンバーである必要があります。

次を必ず起動してください gpmc.msc この場合は管理者権限で。

最終更新

役に立ちましたか？