# macOS

以下の記事では、macOS デバイス向けにデバイス証明書または/およびユーザー証明書を展開する方法について説明します。SCEPman ルート証明書の展開は必須です。その後、デバイス証明書のみ、ユーザー証明書のみ、または両方の証明書タイプを展開するかを選択できます。

{% hint style="warning" %}
macOS は、実際の SCEP 証明書プロファイルに加えて、SCEP プロファイルが参照されている各デバイス構成プロファイルごとに、個別のクライアント認証証明書を登録することに注意してください。注記は [こちら](https://learn.microsoft.com/en-us/intune/intune-service/protect/certificates-profile-scep#assign-the-certificate-profile)
{% endhint %}

## ルート証明書

SCEP 証明書を展開する基盤は、SCEPman のルート証明書を信頼することです。そのため、CA ルート証明書をダウンロードし、Microsoft Intune 経由で **信頼された証明書** プロファイルとして展開する必要があります:

* [ ] SCEPman ポータルから CA 証明書をダウンロードします:

![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9170eb0435726398eb43f6fac8abd0d5f35e8cc4%2FSCEPmanHomePage.png?alt=media)

* [ ] macOS 用のプロファイルを次の種類で作成します **信頼された証明書** Microsoft Intune 内:

![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-31826810c8866a5b99ff139fd2ca755251fbb502%2FmacOSRootCrt.png?alt=media)

* [ ] 先ほどダウンロードした **.cer ファイル**.
* [ ] これで、このプロファイルをデバイスに展開できます。割り当てには、すべてのユーザーおよび/またはすべてのデバイス、または専用のグループを選択してください。

{% hint style="info" %}
なお、 **割り当てには同じグループを使用する** 必要があることに注意してください。 **信頼された証明書** および **SCEP プロファイル**。そうしないと、Intune の展開が失敗する可能性があります。
{% endhint %}

## デバイス証明書

* [ ] SCEPman ポータルを開き、 **Intune MDM**:

![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e72dec344ae0106207cac3c5039842bea56f2558%2FSCEPmanMDMURL.png?alt=media)

* [ ] macOS 用のプロファイルを次の種類で作成します **SCEP 証明書** Microsoft Intune 内:

![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-9fd63fc224dbcef7b5ea7eea7f0bdf8b4b895d02%2FmacOSDeviceCert.png?alt=media)

* [ ] プロファイルを次のように構成します:

<details>

<summary>証明書の種類: <code>デバイス</code></summary>

このセクションでは、デバイス証明書を設定しています。

</details>

<details>

<summary>サブジェクト名の形式: <code>CN={{DeviceName}}</code> または <code>CN={{DeviceId}}</code> または <code>CN={{AAD_Device_ID}}</code></summary>

**推奨:** CN RDN には `{{DeviceName}}`を使用して、デバイス上で、または証明書を検索する際に意味のある証明書名にしてください。

**任意:** もし次のように構成されている場合 `CN={{DeviceId}}` または `CN={{AAD_Device_ID}}`、SCEPman はサブジェクト名の CN フィールドを使用してデバイスを識別し、証明書シリアル番号生成のシードとして使用します。Microsoft Entra ID (Azure AD) と Intune は 2 種類の異なる ID を提供します:

* `{{DeviceId}}`: この ID は Intune によって生成および使用されます。\
  \
  (次の設定が必要です [#appconfig-intunevalidation-devicedirectory](https://docs.scepman.com/ja/scepman-gou-cheng/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-devicedirectory "mention") を **Intune** または **AADAndIntune**)
* `{{AAD_Device_ID}}`: この ID は Microsoft Entra ID (Azure AD) によって生成および使用されます。

いずれも `CN={{DeviceId}}` も `CN={{AAD_Device_ID}}` CN フィールドに使用されない場合（例: `CN={{DeviceName}})`、SCEPman は Intune Device ID に基づいてデバイスを識別します（`(URI)値:` `IntuneDeviceId://{{DeviceId}}`）これはサブジェクト代替名 (SAN) で提供されます。

**重要:** CN フィールドの選択は、 [自動失効動作](https://docs.scepman.com/ja/manage-certificates#automatic-revocation) に影響します。これは Intune 管理対象デバイスに発行された証明書に対するものです。

必要に応じて他の RDN を追加できます（例: `CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}`）。サポートされている変数は、 [Microsoft のドキュメント](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile).

</details>

<details>

<summary>サブジェクト代替名: <code>URI</code> 値:<code>IntuneDeviceId://{{DeviceId}}</code></summary>

URI フィールドは、 [Microsoft によって推奨されています](https://techcommunity.microsoft.com/t5/intune-customer-success/new-microsoft-intune-service-for-network-access-control/ba-p/2544696) 。これは NAC ソリューションが Intune Device ID に基づいてデバイスを識別するためです。

この **URI フィールドは必須です** いずれも `CN={{DeviceId}}` も `CN={{AAD_Device_ID}}` が **サブジェクト名の形式** フィールドで使用されていない場合。

必要に応じて、DNS などの他の SAN 値を追加できます。

</details>

<details>

<summary>証明書の有効期間: <code>1 年</code></summary>

<mark style="color:orange;">**重要:**</mark> <mark style="color:orange;">macOS デバイスは、Intune 経由での有効期間設定を無視します。必ず</mark> [#appconfig-validityperioddays](https://docs.scepman.com/ja/scepman-gou-cheng/application-settings/certificates#appconfig-validityperioddays "mention") <mark style="color:orange;">を固定値に設定してください。証明書の有効期間設定はどうせ無視されるため、1 年のままにしておいてかまいません。</mark>\
\ <mark style="color:orange;">**重要:**</mark> <mark style="color:orange;">また、</mark> <mark style="color:orange;">**macOS 上の証明書は更新されるのは**</mark> <mark style="color:orange;">デバイスが</mark> <mark style="color:orange;">**ロック解除され、オンラインで、同期中で、かつ更新しきい値の対象範囲内にある場合に Intune によってのみ**</mark><mark style="color:orange;">であることにも注意してください。証明書の有効期限が切れた場合（例: デバイスが長期間オフラインおよび/またはロックされていた場合）、それ以降は更新されません。そのため、ここではより大きな値を選択することをお勧めします。</mark>

</details>

<details>

<summary>キー使用法: <code>デジタル署名</code> および <code>鍵の暗号化</code>t</summary>

両方の暗号化操作を有効にしてください。

</details>

<details>

<summary>キー サイズ (ビット): <code>2048</code></summary>

SCEPman は 2048 ビットをサポートしています。

</details>

<details>

<summary>ルート証明書: <code>前の手順のプロファイル</code></summary>

から Intune プロファイルを選択してください [#ルート証明書](#root-certificate)

</details>

<details>

<summary>拡張キー使用法: <code>クライアント認証, 1.3.6.1.5.5.7.3.2</code></summary>

次を選択してください **クライアント認証 (1.3.6.1.5.5.7.3.2)** の下の **定義済みの値**。他のフィールドは自動的に入力されます。

<mark style="color:orange;">**重要:**</mark> <mark style="color:orange;">macOS デバイスは、</mark> <mark style="color:orange;">`クライアント認証`</mark> <mark style="color:orange;">以外の拡張キー使用法 (EKU) をサポートしていません。つまり、このプロファイルで構成された他の EKU は無視されます。</mark>

</details>

<details>

<summary>更新しきい値 (%): <code>50</code></summary>

この値は、デバイスがいつ証明書を更新できるかを定義します（既存証明書の残存有効期間に基づく）。 **証明書の有効期間** の下の注記を読み、デバイスが長期間にわたって証明書を更新できるように適切な値を選択してください。50% の値であれば、有効期間 1 年の証明書を持つデバイスは有効期限の 182 日前から更新を開始できます。

</details>

<details>

<summary>SCEP サーバー URL: SCEPman ポータルを開き、次の URL をコピーします <a href="#device-certificates"><strong>Intune MDM</strong></a></summary>

**例**

```
https://scepman.contoso.com/certsrv/mscep/mscep.dll
```

</details>

{% hint style="info" %}
ここで記載した設定により、 [Apple の証明書要件](https://support.apple.com/en-us/HT210176).
{% endhint %}

### 例

<figure><img src="https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2FR8HuhELOGkyKH1Qg5VvC%2F2024-03-14%2015_39_42.png?alt=media&#x26;token=0d2b0d13-9804-4129-90e1-217dc8954229" alt=""><figcaption></figcaption></figure>

* [ ] を満たします。これで、このプロファイルをデバイスに展開できます。割り当てには、信頼された証明書プロファイルと同じグループを選択してください。

## ユーザー証明書

次のセクションでは、macOS X 10.12（またはそれ以降）のデバイスで、Intune 証明書プロファイルを介してユーザー証明書を展開する方法を示します。

{% hint style="warning" %}
注意: SCEP プロトコルを通じてプロビジョニングされた証明書は、その種類（ユーザーまたはデバイス）に関係なく、常にデバイスのシステムキーチェーン（System ストア）に配置されます。

サードパーティ アプリケーションがそのような証明書へのアクセスを必要とする場合（例: サードパーティ VPN クライアント）、 **すべてのアプリに秘密キーへのアクセスを許可する** へのスライダーは **有効**.
{% endhint %}

に設定する必要があります。 [#デバイス証明書](#device-certificates) の手順に従い、次の違いに注意してください:

<details>

<summary>証明書の種類: <code>ユーザー</code></summary>

このセクションでは、ユーザー証明書を設定しています。

</details>

<details>

<summary>サブジェクト名の形式: <code>CN={{UserName}},E={{EmailAddress}}</code></summary>

必要に応じて RDN を定義できます。サポートされている変数は、 [Microsoft のドキュメント](https://docs.microsoft.com/en-us/mem/intune/protect/certificates-profile-scep#create-a-scep-certificate-profile)に一覧表示されています。ベースライン設定として、ユーザー名（例: janedoe）とメール アドレス（例: <janedoe@contoso.com>）を含めることをお勧めします。

</details>

<details>

<summary>サブジェクト代替名: <code>UPN</code> 値:<code>{{UserPrincipalName}}</code></summary>

SCEPman は SAN 内の UPN を使用してユーザーを識別し、証明書シリアル番号生成のシードとして使用します（例: <janedoe@contoso.com>）。\
\
必要に応じて、メール アドレスなどの他の SAN 値を追加できます。

</details>

{% hint style="info" %}
ここで記載した設定により、 [Apple の証明書要件](https://support.apple.com/en-us/HT210176)
{% endhint %}

### 例

![](https://114237723-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fgit-blob-e2a63d43d7111534aeb580585a0937342a34cb89%2F2022-04-05%2018macOSUserCert.png?alt=media)