この記事は自動的に翻訳されています。翻訳には不正確な表現が含まれる場合があります。
英語の原文はこちらをご覧ください。
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Windows

SCEPman を使用して Intune の SCEP 経由で Windows デバイスに証明書を配布します。

以下の記事では、Windows デバイス向けにデバイス証明書および/またはユーザー証明書を展開する方法について説明します。SCEPman ルート証明書の展開は必須です。その後、デバイス証明書、ユーザー証明書、またはその両方を展開するかを選択できます。

ルート証明書

SCEP 証明書を展開するための基本は、SCEPman のルート証明書を信頼することです。そのため、CA ルート証明書をダウンロードし、次のように展開する必要があります。 信頼された証明書 Microsoft Intune 経由のプロファイル:

Trusted certificate と SCEP プロファイルの割り当てには、同じグループを使用する必要があることに注意してください。そうしないと、Intune の展開が失敗する場合があります。

デバイス証明書

証明書の種類: デバイス

このケースではデバイス証明書を設定しています

サブジェクト名の形式: CN={{DeviceName}} または CN={{DeviceId}} または CN={{AAD_Device_ID}}

推奨: 使用する {{DeviceName}}を CN RDN に使用すると、デバイス上で証明書の意味のある名前になり、証明書を検索するときにも便利です。

オプション: 次のように構成されている場合 CN={{DeviceId}} または CN={{AAD_Device_ID}}, SCEPman はサブジェクト名の CN フィールドを使用してデバイスを識別し、証明書シリアル番号生成のシードとして使用します。Microsoft Entra ID (Azure AD) と Intune は 2 種類の ID を提供します:

  • {{DeviceId}}: この ID は Intune によって生成され、使用されます。 (次の設定が必要です AppConfig:IntuneValidation:DeviceDirectory を Intune または AADAndIntune)

  • {{AAD_Device_ID}}: この ID は Microsoft Entra ID (Azure AD) によって生成され、使用されます。

次のいずれも CN={{DeviceId}} も CN={{AAD_Device_ID}} が CN フィールドに使用されない場合（例: CN={{DeviceName}})、SCEPman は Intune デバイス ID（(URI) 値: IntuneDeviceId://{{DeviceId}}）に基づいて、サブジェクト代替名（SAN）内の値を使用してデバイスを識別します。

これらの変数と静的テキストをテキストボックスに指定できます。たとえば、次の名前のデバイスの共通名は Device1 次のように追加できます CN={{DeviceName}}YourDomain.com

重要: CN フィールドの選択は、 証明書の自動失効動作 に影響し、Intune で管理されているデバイスに発行された証明書に反映されます。

必要に応じて他の RDN を追加できます（例: CN={{DeviceId}}, O=Contoso, CN={{WiFiMacAddress}}）。サポートされている変数は Microsoft docs.

サブジェクト代替名: (URI)値: IntuneDeviceId://{{DeviceId}}

URI フィールドは Microsoft によって推奨されています NAC ソリューションが Intune デバイス ID に基づいてデバイスを識別するためです。値は次のようにする必要があります:

この URI フィールドは必須です 次のいずれも CN={{DeviceId}} も CN={{AAD_Device_ID}} が サブジェクト名の形式 フィールドに使用されていない場合。

必要に応じて、DNS などの他の SAN 値を追加できます。

証明書の有効期間: 1 年

証明書の有効期限が切れるまでの残り時間です。既定値は 1 年です。

SCEPman は、設定 AppConfig:ValidityPeriodDaysで構成された最大値に証明書の有効期間を制限しますが、それ以外は要求で構成された有効期間を使用します。

キー ストレージ プロバイダー (KSP): Trusted Platform Module (TPM) KSP に登録し、それ以外は失敗

この設定は、エンドユーザー証明書の秘密鍵の保存場所を決定します。TPM には鍵の盗難を防ぐための追加のセキュリティ層があるため、TPM に保存する方がソフトウェア保存よりも安全です。

注意: 一部の古い TPM ファームウェア バージョンには 、TPM に保持された秘密鍵で作成された一部の署名を無効にしてしまう不具合があります。その場合、Wi-Fi や VPN 接続で一般的な EAP 認証に証明書を使用できません。さらに、Autopilot のオンボーディング プロセスが失敗する可能性があります。

影響を受ける TPM ファームウェア バージョンには次が含まれます:

  • STMicroelectronics: 71.12, 73.4.17568.4452, 71.12.17568.4100, 73.20.17568.6684

  • Intel: 11.8.50.3399, 2.0.0.2060

  • Infineon: 7.63.3353.0

  • IFX: バージョン 3.19 / 仕様 1.2

  • IFX バージョン 7.63.3353.0 仕様 2.0

このファームウェアで TPM を使用している場合は、ファームウェアを新しいバージョンに更新するか、キー ストレージ プロバイダーとして「Software KSP」を選択してください。

更新: 問題の原因となっている RSA-PSS 署名アルゴリズムをレジストリから削除することで、TPM の不具合を回避できます。詳細については次を参照してください Richard Hicks の記事 および Microsoft Q&A

キー使用法: デジタル署名 および 鍵の暗号化

両方の暗号操作を有効にしてください。

SCEPman は Key usage を自動的に デジタル署名 および 鍵の暗号化 に設定し、設定 AppConfig:UseRequestedKeyUsages が true.

キー サイズ（ビット）: 2048

SCEPman は 2048 ビットをサポートしています。

ハッシュ アルゴリズム: SHA-2

SCEPman は SHA-2 アルゴリズムをサポートしています。

ルート証明書: 前の手順のプロファイル（ルート証明書プロファイル）

次から Intune プロファイルを選択してください #ルート証明書。 Intermediate CA を使用している場合は、ルート CA ではなく、Intermediate CA 用の Trusted certificate プロファイルを選択する必要があります！ Intermediate CA、ルート CA ではなく、Intermediate CA 用の Trusted certificate プロファイルを選択する必要があります！

拡張キー使用法: Client Authentication, 1.3.6.1.5.5.7.3.2

次を選択してください Client Authentication (1.3.6.1.5.5.7.3.2) の下の 定義済みの値。他のフィールドは自動的に入力されます。

更新しきい値（%）: 20

この値は、デバイスが証明書を更新できる時期を定義します（既存証明書の残存有効期間に基づきます）。 証明書の有効期間 の下の注意を読み、デバイスが長期間にわたって証明書を更新できる適切な値を選択してください。20% を指定すると、有効期間が 1 年の証明書を持つデバイスは、有効期限の 73 日前に更新を開始できます。

SCEP サーバー URL: SCEPman ポータルを開き、 Intune MDM

例

例

ユーザー証明書

次の手順に従ってください #デバイス証明書 および、次の違いに注意してください:

証明書の種類: ユーザー

このセクションでは、ユーザー証明書を設定しています。

サブジェクト名の形式: CN={{UserName}},E={{EmailAddress}}

必要に応じて RDN を定義できます。サポートされている変数は Microsoft docsに一覧があります。ユーザー名（例: janedoe）とメールアドレス（例: janedoe@contoso.com）を基本設定として含めることを推奨します。

サブジェクト代替名: (UPN)値: {{UserPrincipalName}}

ユーザー プリンシパル名をサブジェクト代替名として追加する必要があります。 型がユーザー プリンシパル名（UPN）のサブジェクト代替名として '{{UserPrincipalName}}' を追加します。 これにより、SCEPman は AAD のユーザー オブジェクトに証明書を関連付けられるようになります。'Subject name format' の設定は自由に選択できます。

必要に応じて、メール アドレスなどの他の SAN 値を追加できます。

顧客からのフィードバックによると、一部の VPN クライアント（例: Azure VPN Client for Virtual WAN）は、TPM に保存されたユーザー証明書を検出できないようです。代わりにソフトウェア KSP に登録してみてください。

例

ユーザー デジタル署名証明書

SCEPman をトランザクション用に使用できます デジタル署名 。つまり、Microsoft Outlook での S/MIME 署名に使用できます。メッセージ署名に証明書を使用する予定がある場合は、Intune プロファイル設定に対応する拡張キー使用法を追加する必要があります。

しないでください SCEPman を使用 メール暗号化に 。つまり、Microsoft Outlook での S/MIME メール暗号化に使用しないでください（鍵管理用の別技術なしで）。 SCEP プロトコルの性質上、秘密鍵の素材をバックアップまたはアーカイブする仕組みは含まれていません。 メール暗号化に SCEP を使用すると、後でメッセージを復号するための鍵を失う可能性があります。

次の用途で使用するユーザー証明書を展開するには デジタル署名 次の手順に従ってください #ユーザー証明書 および、次の違いと注意事項に気を付けてください:

サブジェクト代替名

  • （必須）ユーザー プリンシパル名（UPN）: {{UserPrincipalName}}

  • （必須）メール アドレス: {{EmailAddress}}

デジタル署名証明書を展開するには、UPN とメール アドレスを追加する必要があります。

キー使用法: のみ デジタル署名

拡張キー使用法: Secure Email (1.3.6.1.5.5.7.3.4)

次を選択してください Secure Email (1.3.6.1.5.5.7.3.4) の下の 定義済みの値。他のフィールドは自動的に入力されます。

更新しきい値（%）: 50

S/MIME 署名証明書を発行する場合、少なくとも有効期限の 6 か月前までに証明書が更新されるよう、更新しきい値（%）を設定することを推奨します。これは、期限切れの証明書で署名されたメールは Outlook で無効な署名として表示され、ユーザーを混乱させるためです。古い証明書が期限切れになるかなり前に新しい証明書を用意しておけば、古いメールだけがこの状態になり、ユーザーが目にする可能性は低くなります。たとえば、署名証明書の有効期間が 1 年であれば、更新しきい値を少なくとも 50 % に設定する必要があります。

例

プロファイルの同期に成功した後、意図した用途としてユーザー証明書が表示されるはずです Secure Email

この証明書は、たとえば Outlook でデジタル署名用途に使用できます。以下は使用例です

Outlook で S/MIME 署名を有効にする

クライアント マシンに S/MIME 署名証明書を展開したら、署名メールを送信する前に、Outlook がこれらの証明書を使用するよう構成する必要があります。

新しい Outlook

新しい Outlook の S/MIME は 手動で.

Classic Outlook

Classic Outlook の S/MIME は 手動で または、次のものを使ってすばやく設定できます PowerShell スクリプト.

Outlook on the Web

Outlook on the Web の S/MIME は 手動で または、次のコマンドを使って PowerShell で有効化できます:

追加の PowerShell コマンドは こちら.

最終更新

役に立ちましたか？