> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/ja/zheng-ming-shu-guan-li/manage-certificates.md).

# 失効

SCEPman を使用した OCSP による Microsoft Intune または Jamf Pro での証明書の自動失効。

SCEPman では、証明書の管理と失効を行ういくつかの方法を提供しています。利用可能なオプションは、

* その証明書が MDM ソリューション経由で自動登録されたか、あるいは以下を通じて生成されたかによって異なります。 [Certificate Master UI](/ja/zheng-ming-shu-guan-li/certificate-master.md) / [Enrollment REST API](/ja/zheng-ming-shu-guan-li/api-certificates.md),
* (自動) 登録に使用される MDM システム、および
* SCEPman の構成によって決まります。

以下のセクションでは、さまざまな管理オプションと失効メカニズム、およびそれらがどのような場合に利用可能かの概要を示します。

## 自動失効

{% hint style="info" %}
利用可能なのは **Microsoft Intune** および/または **Jamf Pro** が証明書登録の MDM ソリューションとして使用される場合です。あるいは、Microsoft Entra ID でデバイスおよび/またはユーザー オブジェクトを同期できる任意のサードパーティ製 MDM でも利用できます（つまり、 [静的 AAD 検証](/ja/scepman-gou-cheng/application-settings/scep-endpoints/staticaad-validation.md) を使用できます）。
{% endhint %}

{% hint style="success" %}
でサポート **OCSP**.
{% endhint %}

### 背景

自動失効は **常に有効です** 。各証明書をユーザーやデバイス ID などのディレクトリ オブジェクトに関連付けることで、便利な証明書ライフサイクル管理を実現します。このオブジェクト バインディング メカニズムにより、SCEPman は、関連付けられたオブジェクトの特定のライフサイクル特性に基づいて失効状態を推測できます。オブジェクトのライフサイクル状態から証明書の失効状態へのマッピングは、長年のセキュリティおよびエンドポイント管理の経験に基づくベスト プラクティスに合うように実装されています。

ディレクトリ オブジェクト（ユーザーまたはデバイス）と証明書の関連付けは、Subject Name または Subject Alternative Name プロパティの SCEP プロファイルに適切な変数を導入することで確立されます。MDM で管理されたクライアントから Certificate Signing Request（CSR）を受信すると、SCEPman は関連付けられたオブジェクトを識別し、その情報をクライアントに返す前に証明書のシリアル番号にエンコードします。証明書の検証時に SCEPman の OCSP レスポンダーへ送信されるのはこのシリアル番号であり、SCEPman はそれを使ってオブジェクト情報をデコードし、適切なディレクトリを検索し、最終的に失効状態を判断できます。

### 失効動作

{% hint style="success" %}
以下のいずれかのシナリオでは、関連付けられたオブジェクトの状態が変化した時点で、失効は即時に有効になったとみなすことができます。ただし、クライアント側での OCSP 応答のローカル キャッシュによっては、そうでないように見える場合があることにご注意ください。
{% endhint %}

{% hint style="warning" %}
テスト中は、各ディレクトリ/MDM ソリューションからデバイスを削除/除去する操作は不可逆であり、その後デバイスを再登録する必要があることに留意してください。
{% endhint %}

<table><thead><tr><th width="262">関連付けられたオブジェクト</th><th>ディレクトリから削除</th><th>ディレクトリで無効化</th><th>任意</th></tr></thead><tbody><tr><td>Intune デバイス <code>{{DeviceId}}</code></td><td><strong>削除</strong>, <a href="https://learn.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe#wipe"><strong>ワイプ</strong></a><strong>*</strong>, <a href="https://learn.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe#retire"><strong>退役</strong></a><strong>*</strong>: <em>永続的な失効</em></td><td>利用不可</td><td><ul><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-compliancecheck"><strong>Intune デバイス準拠</strong></a>: <em>可逆的な失効</em></li><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>エンドポイント一覧</strong></a>: <em>永続的な失効</em></li></ul></td></tr><tr><td>Entra（Azure AD）デバイス<br><code>{{AAD_Device_ID}}</code><br></td><td><strong>削除</strong>: <em>永続的な失効</em></td><td><strong>無効化</strong>: <em>可逆的な失効</em></td><td><ul><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-compliancecheck"><strong>Entra（Azure AD）デバイス準拠</strong></a>: <em>可逆的な失効</em></li><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>エンドポイント一覧</strong></a>: <em>永続的な失効</em></li></ul></td></tr><tr><td>Entra（Azure AD）ユーザー<br><code>{{UserPrincipalName}}</code></td><td><strong>削除</strong>: <em>永続的な失効</em></td><td><strong>無効化</strong>: <em>可逆的な失効</em></td><td><ul><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse"><strong>ユーザー リスク</strong></a>: <em>可逆的な失効</em></li><li><a href="/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>エンドポイント一覧</strong></a>: <em>永続的な失効</em></li></ul></td></tr><tr><td><a href="/ja/zheng-ming-shu-guan-li/jamf/computers.md">Jamf コンピュータ</a><br><code>CN=$JSSID,OU=computers</code></td><td><strong>削除</strong>: <em>永続的な失効</em></td><td>利用不可</td><td>利用不可</td></tr><tr><td><a href="/ja/zheng-ming-shu-guan-li/jamf/devices.md">Jamf デバイス</a><br><code>CN=$JSSID,OU=devices</code></td><td><strong>削除</strong>: <em>永続的な失効</em></td><td>利用不可</td><td>利用不可</td></tr><tr><td><a href="/ja/zheng-ming-shu-guan-li/jamf/users.md#user-certificates-on-computers">コンピュータ上の Jamf ユーザー</a><br><code>CN=$JSSID,OU=users-on-computers</code><br></td><td><ul><li><strong>削除（コンピュータ）</strong>: <em>永続的な失効</em></li><li><strong>削除（ユーザー）</strong>: <em>永続的な失効</em></li></ul></td><td>利用不可</td><td>利用不可</td></tr><tr><td><a href="/ja/zheng-ming-shu-guan-li/jamf/users.md#user-certificates-on-devices">デバイス上の Jamf ユーザー</a><br><code>CN=$JSSID,OU=users-on-devices</code></td><td><ul><li><strong>削除（デバイス）</strong>: <em>永続的な失効</em></li><li><strong>削除（ユーザー）</strong>: <em>永続的な失効</em></li></ul></td><td>利用不可</td><td>利用不可</td></tr></tbody></table>

\*: Wipe を選択する場合は、"Wipe device, but keep enrollment state and associated user account" が **無効**であることを確認してください。失効が即時となるのは、 [AppConfig:IntuneValidation:RevokeCertificatesOnWipe](/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-revokecertificatesonwipe) が true（既定値）に設定されている場合のみです。

## 手動失効

{% hint style="warning" %}
SCEPman Enterprise Edition のみ
{% endhint %}

{% hint style="info" %}
この機能にはバージョン **2.3** 以上が必要です。
{% endhint %}

{% hint style="success" %}
でサポート **OCSP** および [**CRL**](/ja/scepman-gou-cheng/application-settings/crl.md).
{% endhint %}

### 背景

手動失効は、SCEPman が発行した任意の証明書に対して利用できます。MDM 経由で自動登録されたもの、Certificate Master から手動発行されたもの、Enrollment REST API 経由で展開されたものを問いません。自動失効が利用できない場合や、自動失効の経路だけでは特定の要件を満たせない場合に、手動失効は有用です。

手動失効を容易にするために、SCEPman は発行する証明書の特定のメタデータを保存する必要があります。Certificate Master UI および Enrollment REST API 経由で発行された証明書については既定でこれが行われますが、それ以外の証明書タイプでは行われません。そのため、 [関連する設定](#storing-certificate-metadata-in-the-certificate-database) を要件に応じて確認してください。

Certificate Master とその検索・フィルター オプションを活用して手動失効がどのように処理されるかを知るには、引き続きお読みください。

### Certificate Master

SCEPman Certificate Master を使うと、SCEPman PKI が発行した証明書を検索、確認、管理できます。

{% content-ref url="/pages/64fe198a8bf5d86e7c799e649274e13e6b73751d" %}
[証明書の管理](/ja/zheng-ming-shu-guan-li/certificate-master/manage-certificates.md)
{% endcontent-ref %}

## 自動失効と手動失効

SCEPman は、OCSP 要求が到着したときに証明書が有効かどうかを判断するために、失効情報の異なるソースを使用します。さらに、SCEPman の失効ロジックは **OR 結合のアプローチ**に従っており、どの失効ソースでも証明書が無効と判断された場合は、自動か手動かにかかわらず、失効済みとして報告されることを意味します。

なお、Certificate Master のテーブルに表示されるのは手動失効の状態のみで、その他のソースは表示されません。したがって、たとえば対応するデバイスが Intune で削除された（自動失効）ために実際には失効済みと見なされている場合でも、テーブル上では証明書が有効と表示されることがあります。

## 詳細情報

* 上記のいくつかのシナリオにおける（自動）失効のテスト方法や証明書の有効性のトラブルシューティングに関する情報は [こちら](/ja/sono/troubleshooting/general.md#problems-with-the-validity-of-certificates).
* Azure および M365 のデバイス ディレクトリに関する一般情報は [こちら](/ja/scepman-gou-cheng/device-directories.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.scepman.com/ja/zheng-ming-shu-guan-li/manage-certificates.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.