グループポリシー

CEPサーバーの登録

CEP（Certificate Enrollment Policy）サーバー（SCEPmanの一部）は、認証されたクライアントにActive Directory登録用にSCEPmanで構成されたすべての証明書テンプレートを含むポリシーを提供します。CEPサーバーはクライアントのレジストリに追加する必要があります。Windowsには、GUIで必要な設定を構成するためのGPOテンプレートが含まれています。

ポリシー設定

証明書テンプレートについては デバイス および DCに移動する必要があります コンピューターの構成 セクションでは、 ユーザーに移動してください ユーザーの構成 ハイブ（設定領域）。両方の種類の証明書テンプレートを使用する場合は、両方を構成する必要があります。その場合、通常は2つのGPOを使用します。1つはユーザーに適用するUser Configuration、もう1つはコンピューターに適用するComputer Configurationです。

コンピューターの構成 / ユーザーの構成
└-ポリシー
  └-Windows の設定
    └-セキュリティの設定
      └-公開鍵ポリシー
        └-証明書サービス クライアント - 証明書登録ポリシー サーバー

その設定で、リストに新しいCEPサーバーを追加し、該当する入力欄にポリシーサーバーのURIを入力します。このURIはSCEPmanのホームページからコピーできます。形式は次のとおりです。 https://scepman.contoso.com/step/policy。CEPサーバーを入力して検証したら、それを追加してダイアログを確認することで設定を完了できます。

自動登録を有効にする

登録されたCEPサーバーがあれば、ユーザーやコンピューターはSCEPmanに証明書を要求できます。通常、これをユーザーの操作なしで自動的に行いたいため、自動登録を有効にする必要があります。以前にMicrosoft Active Directory Certificate Services（AD CS）で自動登録を使用していた場合は、既に有効になっている可能性がある点に注意してください。

コンピューターの構成 / ユーザーの構成
└-ポリシー
  └-Windows の設定
    └-セキュリティの設定
      └-公開鍵ポリシー
        └-証明書サービス クライアント - 自動登録

必ず次をチェックしてください 証明書テンプレートを使用する証明書を更新する 自動登録を有効にするために。

信頼されたルートCAのインストール

登録ポリシーサーバーと自動登録設定が整ったら、対象デバイスやユーザーがSCEPmanのCA証明書を信頼していることを確認するだけです。そのためには、対応するGPO設定にCA証明書をインポートする必要があります。

コンピューターの構成 / ユーザーの構成
└-ポリシー
  └-Windows の設定
    └-セキュリティの設定
      └-公開鍵ポリシー
        └-信頼されたルート証明機関
          └- インポート（コンテキストメニュー）

SCEPmanのホームページからCA証明書をダウンロードし、このダイアログにインポートしてください。