Microsoft Cloud PKI for Microsoft Intune の概要

Microsoft クラウド PKI を使用して、Intune で管理されているデバイスの証明書を発行します。 Microsoft クラウド PKI は、Intune で管理されるデバイスの証明書ライフサイクル管理を簡略化および自動化するクラウドベースのサービスです。 オンプレミスのサーバー、コネクタ、またはハードウェアを必要とせずに、organization専用の公開キー基盤 (PKI) を提供します。 Intune がサポートするすべてのプラットフォームの証明書の発行、更新、失効を処理します。

この記事では、Microsoft Cloud PKI for Intune の概要、そのしくみ、およびそのアーキテクチャについて説明します。

PKI とは

PKI は、デジタル証明書を使用して、デバイスとサービス間のデータを認証および暗号化するシステムです。 PKI 証明書は、VPN、Wi-Fi、メール、Web、デバイス ID など、さまざまなシナリオを保護するために不可欠です。 ただし、PKI 証明書の管理は、特に多数のデバイスとユーザーを抱える組織では、困難、コスト、複雑さになる可能性があります。 Microsoft クラウド PKI を使用すると、デバイスとユーザーのセキュリティと生産性を強化し、フル マネージド クラウド PKI サービスへのデジタル変革を加速できます。 さらに、クラウド PKI サービスを利用して、Active Directory 証明書サービス (ADCS) またはプライベート オンプレミス証明機関のワークロードを軽減できます。

前提条件

Microsoft Intune 管理センターでクラウド PKI を管理する

Microsoft クラウド PKI オブジェクトは、Microsoft Intune 管理センターで作成および管理されます。 そこから、次のことができます。

• 組織のために Microsoft Cloud PKI を設定して使用します organization。
• テナントでクラウド PKI を有効にします。
• 証明書プロファイルを作成してデバイスに割り当てます。
• 発行された証明書を監視する。

クラウド PKI 発行 CA を作成すると、数分で証明書の発行を開始できます。

機能の概要

次の表に、Microsoft Cloud PKI と Microsoft Intune でサポートされている機能とシナリオを示します。

アーキテクチャ

Microsoft クラウド PKI は、公開キー基盤の複雑さと管理を簡素化するために連携するいくつかの主要コンポーネントで構成されています。 これには、証明機関を作成してホストするためのクラウド PKI サービスと、Intune に登録されたデバイスからの受信証明書要求を自動的に処理する証明書登録機関が含まれています。 登録機関は、Simple Certificate Enrollment Protocol (SCEP) をサポートしています。

* サービスの内訳については 、コンポーネントを参照してください 。

コンポーネント:

• A - Microsoft Intune

• B - Microsoft クラウド PKI サービス

  • B1 - Microsoft クラウド PKI サービス
  • B2 - Microsoft クラウド PKI SCEP サービス
  • B3 - Microsoft クラウド PKI SCEP 検証サービス

  証明書の登録機関は、図の B2 と B3 を構成しています。

これらのコンポーネントにより、オンプレミスの証明機関、NDES、Intune 証明書コネクタが不要になります。

操作:

デバイスを Intune サービスにチェックインする前に、Microsoft クラウド PKI サービスを管理するアクセス許可を持つ Intune 管理者または Intune ロールは、次のアクションを完了する必要があります。

• Microsoft Intune でルート CA と発行 CA に必要なクラウド PKI 証明機関を作成します。
• ルート CA と発行 CA に必要な信頼証明書プロファイルを作成して割り当てます。
• 必要なプラットフォーム固有の SCEP 証明書プロファイルを作成して割り当てます。

これらのアクションには、コンポーネント B1、B2、B3 が必要です。

フローは、図に A1 から A5 として示されているように、次のアクションが続きます。

A1. デバイスは Intune サービスにチェックインし、信頼できる証明書と SCEP プロファイルを受け取ります。

A2. SCEP プロファイルに基づいて、デバイスは証明書署名要求(CSR)を作成します。 秘密キーはデバイス上に作成され、デバイスから離れることはありません。 CSR と SCEP チャレンジは、クラウドの SCEP サービスに送信されます (SCEP プロファイルの SCEP URI プロパティ)。 SCEP チャレンジは、Intune の SCEP RA キーを使用して暗号化および署名されます。

A3. SCEP 検証サービスは、SCEP チャレンジに対して CSR を検証します。 検証により、要求が登録済みの管理対象デバイスから確実に送信されます。 また、チャレンジが改ざんされておらず、SCEP プロファイルで予期される値と一致します。 これらのチェックのいずれかが失敗した場合、証明書の要求は拒否されます。

A4. CSR が検証されると、SCEP 検証サービス ( 登録機関とも呼ばれます) は、発行元の CA が CSR に署名するように要求します。

A5: 署名された証明書は、Intune MDM に登録されているデバイスに配信されます。

Microsoft Cloud PKI を試す

試用期間中は、Intune 管理センターで Microsoft クラウド PKI 機能を試すことができます。 利用可能な試用版は次のとおりです。

• Microsoft Intune Suite 試用版
• スタンドアロン クラウド PKI 試用版

試用期間中は、テナントに最大 3 つの CA を作成できます。 試用版中に作成されたクラウド PKI CA は、ソフトウェアに裏付けられたキーを使用し、 System.Security.Cryptography.RSA を使用してキーの生成と署名を行います。 クラウド PKI ライセンスを購入した後も、引き続き CA を使用できます。 ただし、キーはソフトウェアに基づくままであり、HSM に基づくキーに変換することはできません。 Microsoft Intune サービスで管理される CA キー。 Azure HSM 機能には Azure サブスクリプションは必要ありません。

CA の構成例

発行 CA と持ち込み CA を発行する 2 層クラウド PKI ルート & は、Intuneで共存できます。 例として提供される次の構成を使用して、Microsoft クラウド PKI で CA を作成できます。

• 1 つのルート CA と 2 つの発行 CA

• 1 つのルート CA と 1 つの発行 CA、および 1 つの持ち込み CA。

• 3 つの個人持ち込み CA

既知の問題と制限事項

最新の変更と追加については、「Microsoft Intune の新機能」を参照してください。

• Intune テナントには、最大 3 つの CA を作成できます。

  • ライセンス認証されたクラウド PKI - Azure mHSM キーを使用して合計 3 つの CA を作成できます。

  • 試用版クラウド PKI - Intune スイートまたはスタンドアロン クラウド PKI の試用中に、合計 3 つの CA を作成できます。

• 次の CA タイプは CA 容量にカウントされます。

  • クラウド PKI ルート CA
  • クラウド PKI 発行元の CA
  • BYOCA 発行元の CA

• 現在、クラウド PKI を使用しているお客様は、 データ所在地オプション をご利用いただけません。