macOS

SCEPman を使用して、Intune の SCEP 経由で macOS デバイスに証明書を展開します。

次の記事では、macOS デバイスにデバイス証明書および/またはユーザー証明書を展開する方法について説明します。SCEPman ルート証明書の展開は必須です。その後、デバイス証明書、ユーザー証明書、または両方の種類を展開するかを選択できます。

macOS では、実際の SCEP 証明書プロファイルに加えて、SCEP プロファイルが参照されている各デバイス構成プロファイルごとに、個別のクライアント認証証明書が登録されることに注意してください。注を参照こちら

ルート証明書

SCEP 証明書の展開の基本は、SCEPman のルート証明書を信頼することです。そのため、CA ルート証明書をダウンロードし、次のように展開する必要があります。 信頼済み証明書 プロファイルを Microsoft Intune で:

SCEPman ポータルから CA 証明書をダウンロードします:

macOS 用のプロファイルを次の種類で 信頼済み証明書 Microsoft Intune に作成します:

以前にダウンロードした .cer ファイル.
これで、このプロファイルをデバイスに展開できます。割り当てには、すべてのユーザーおよび/またはすべてのデバイス、もしくは専用のグループを選択してください。

注意: 次を使用する必要があります 割り当てに同じグループを その 信頼済み証明書 と SCEP プロファイル。そうしないと、Intune の展開が失敗する可能性があります。

デバイス証明書

SCEPman ポータルを開き、次の URL をコピーします Intune MDM:

macOS 用のプロファイルを次の種類で SCEP 証明書 Microsoft Intune に作成します:

次のようにプロファイルを構成します:

証明書の種類: デバイス

このセクションでは、デバイス証明書を設定しています。

サブジェクト名の形式: CN={{DeviceName}} または CN={{DeviceId}} または CN={{AAD_Device_ID}}

推奨: 使用してください {{DeviceName}}CN RDN には、デバイス上で証明書に意味のある名前を付けたり、証明書を検索したりしやすくするために {{DeviceName}} を使用してください。

任意: 次に設定されている場合 CN={{DeviceId}} または CN={{AAD_Device_ID}}、SCEPman はサブジェクト名の CN フィールドを使用してデバイスを識別し、証明書シリアル番号生成のシードとしても使用します。Microsoft Entra ID (Azure AD) と Intune では 2 つの異なる ID が提供されています:

{{DeviceId}}: この ID は Intune によって生成され、使用されます。\n\n（ AppConfig:IntuneValidation:DeviceDirectory 次のいずれかに設定する必要があります Intune または AADAndIntune)
{{AAD_Device_ID}}: この ID は Microsoft Entra ID (Azure AD) によって生成され、使用されます。

次のいずれも CN={{DeviceId}} も CN={{AAD_Device_ID}} が CN フィールドに使用されていない場合 (例: CN={{DeviceName}})、SCEPman はデバイスを Intune デバイス ID ((URI) 値: IntuneDeviceId://{{DeviceId}}) を、サブジェクト代替名 (SAN) に含まれるものとして使用して識別します。

重要: CN フィールドの選択は、証明書の自動失効動作に影響します。Intune で管理されているデバイスに発行された証明書に対してです。

必要に応じて、他の RDN を追加できます (例: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}})。サポートされている変数は Microsoft のドキュメント.

サブジェクト代替名: URI 値:IntuneDeviceId://{{DeviceId}}

URI フィールドは Microsoft により推奨されています NAC ソリューションが Intune デバイス ID に基づいてデバイスを識別するために。

IntuneDeviceId://{{DeviceId}}

この URI フィールドは必須です 次のいずれも CN={{DeviceId}} も CN={{AAD_Device_ID}} が サブジェクト名の形式 フィールドで使用されていない場合。

必要に応じて、DNS などの他の SAN 値を追加できます。

証明書の有効期間: 1年

重要: macOS デバイスは、Intune を介した有効期間の構成を無視します。 AppConfig:ValidityPeriodDays そのため、必ず固定値に設定してください。証明書の有効期間設定は 1 年のままにしておいても問題ありません。いずれにせよ無視されます。 重要: また、 macOS 上の証明書は、 デバイスが ロック解除済み、オンライン、同期中、かつ更新しきい値の範囲内にある場合にのみ、Intune によって更新されます。証明書が期限切れになっている場合 (例: デバイスが長期間オフラインおよび/またはロックされていた場合)、それ以上更新されません。そのため、ここではより高い値を選ぶことをお勧めします。

キー使用法: デジタル署名 と 鍵の暗号化

両方の暗号操作を有効にしてください。

鍵サイズ (ビット): 2048

SCEPman は 2048 ビットをサポートしています。

ルート証明書: 前の手順のプロファイル

次の Intune プロファイルを選択してください #ルート証明書

拡張キー使用法: クライアント認証、1.3.6.1.5.5.7.3.2

選択してください クライアント認証 (1.3.6.1.5.5.7.3.2) の下の 定義済みの値。他のフィールドは自動的に入力されます。

重要: macOS デバイスは、 クライアント認証 以外の拡張キー使用法 (EKU) をサポートしていません。つまり、このプロファイルで構成された他の EKU は無視されます。

更新しきい値 (%): 50

この値は、デバイスが証明書を更新できる時点を定義します（既存証明書の残り有効期間に基づきます）。下の「証明書の有効期間」の注記を読んでください 証明書の有効期間 を参照し、デバイスが長期間にわたって証明書を更新できる適切な値を選択してください。50% に設定すると、有効期間 1 年の証明書を持つデバイスは、期限切れの 182 日前に更新を開始できます。

SCEP サーバー URL: SCEPman ポータルを開き、次の URL をコピーします Intune MDM

例

https://scepman.contoso.com/certsrv/mscep/mscep.dll

ここで示した設定により、 Apple の証明書要件を満たします.

例

これで、このプロファイルをデバイスに展開できます。割り当てには、信頼済み証明書プロファイルと同じグループを選択してください。

ユーザー証明書

次のセクションでは、macOS X 10.12（以降）デバイス上で、Intune の証明書プロファイルを使用してユーザー証明書を展開する方法を説明します。

注意: SCEP プロトコルを通じてプロビジョニングされた証明書は、種類（ユーザーまたはデバイス）に関係なく、常にデバイスのシステムキーチェーン（System store）に配置されます。

サードパーティ製アプリケーションがそのような証明書へのアクセスを必要とする場合（例: サードパーティ製 VPN クライアント）、 プライベートキーへのすべてのアプリのアクセスを許可 のキーチェーン内のスライダーを有効.

次の手順に従ってください #デバイス証明書を参照し、次の違いに注意してください:

証明書の種類: ユーザー

このセクションでは、ユーザー証明書を設定しています。

サブジェクト名の形式: CN={{UserName}},E={{EmailAddress}}

必要に応じて RDN を定義できます。サポートされている変数は Microsoft のドキュメント。ベースライン設定として、ユーザー名（例: janedoe）とメールアドレス（例: janedoe@contoso.com）を含めることをお勧めします。

サブジェクト代替名: UPN 値:{{UserPrincipalName}}

SCEPman は SAN 内の UPN を使用してユーザーを識別し、証明書シリアル番号生成のシードとしても使用します（例: janedoe@contoso.com）。\n\n必要に応じて、メールアドレスなどの他の SAN 値を追加できます。

ここで示した設定により、 Apple の証明書要件を満たします

例

最終更新 1 か月前

役に立ちましたか？