この証明書登録は、 XCEP および WSTEP プロトコルに基づいています。これらは、最近のすべてのWindowsバージョンでネイティブにサポートされています。Active Directory環境では、必要な設定をグループ ポリシー（GPO）経由で適用し、AD参加コンピューターがSCEPmanから証明書を登録できるようにします。
このシナリオでは、完全に自動化された証明書の展開のために 3 つのグループ ポリシー設定が必要です。
CEP（Certificate Enrollment Policy）サーバー（SCEPman の一部）は、認証済みクライアントに対して、Active Directory 登録用に SCEPman で構成されたすべての証明書テンプレートを含むポリシーを提供します。CEP サーバーは、クライアント上のレジストリに追加する必要があります。Windows には、GUI で必要な設定を構成するための GPO テンプレートが含まれています。
証明書テンプレートについては デバイス および DC、次へ移動する必要があります コンピューターの構成 ハイブ。User については、 ユーザー、 ユーザーの構成 ハイブ内を移動します。両方の種類の証明書テンプレートを使用する場合は、両方を構成する必要があります。その場合、通常は 2 つの GPO を使用し、1 つは User Configuration でユーザーに適用し、もう 1 つは Computer Configuration でコンピューターに適用します。
デバイス
DC
ユーザー
コンピューターの構成 / ユーザーの構成 └-ポリシー └-Windows の設定 └-セキュリティの設定 └-公開キーのポリシー └-Certificate Services Client - 証明書登録ポリシー サーバー
設定では、一覧に新しい CEP サーバーを追加し、対応する入力欄にポリシー サーバーの URI を入力します。この URI は SCEPman のホームページからコピーできます。形式は次のとおりです https://scepman.contoso.com/step/policy。CEP サーバーを入力して検証したら、追加してダイアログを確定すれば設定を完了できます。
https://scepman.contoso.com/step/policy
構成プロセス中、クライアントはすでに CEP サーバーへの検証呼び出しを行います。そのため、構成に使用するアカウント コンテキストには、SCEPman の CEP エンドポイントにアクセスする権限、つまり Kerberos で認証する権限と、SCEPman の 443 番ポートへの送信ネットワーク アクセスが必要です。
次を参照してください： 既知の問題 CEP サーバーの検証中にエラーが発生した場合のセクション。
既存の ADCS と並行して SCEPman の CEP サーバーを使用している場合は、既定のサーバーを選択し、既存の登録ポリシーを維持するようにしてください。
登録済みの CEP サーバーがあれば、ユーザー/コンピューターは SCEPman から証明書を要求できます。通常は、ユーザー操作なしで自動的に実行させたいはずなので、そのためには自動登録を有効にする必要があります。以前に Microsoft Active Directory Certificate Services（AD CS）で Autoenrollment を使用していた場合は、すでに有効になっていることがあります。
コンピューターの構成 / ユーザーの構成 └-ポリシー └-Windows の設定 └-セキュリティの設定 └-公開キーのポリシー └-証明書サービス クライアント - 自動登録
必ず確認してください 証明書テンプレートを使用する証明書を更新する ことで、自動登録を有効にします。
証明書テンプレートを使用する証明書を更新する
登録ポリシー サーバーと自動登録の設定が整ったら、あとは対象のデバイスまたはユーザーが SCEPman の CA 証明書を信頼していることを確認するだけです。そのためには、対応する GPO 設定に CA 証明書をインポートする必要があります。
コンピューターの構成 / ユーザーの構成 └-ポリシー └-Windows の設定 └-セキュリティの設定 └-公開キーのポリシー └-信頼されたルート証明機関 └- インポート（コンテキスト メニュー）
SCEPman のホームページから CA 証明書をダウンロードし、このダイアログで必ずインポートしてください。
最終更新 7 か月前
役に立ちましたか？
