Microsoft クラウド PKI の構成 - 独自の CA を使用する

この記事では、独自の証明機関 (CA) を使用して Intune 用に Microsoft クラウド PKI を構成する方法について説明します。 Intune でサポートされている独自の CA (BYOCA) デプロイ モデルを使用すると、クラウド内のプライベート発行 CA を作成し、オンプレミスまたはプライベート CA に固定できます。 プライベート CA は N+1 の CA 階層で構成できます。

前提条件

主要な概念と要件など、Microsoft Cloud PKI 用にテナントを準備する方法の詳細については、次を参照してください。

  • Microsoft Cloud PKI for Intune の概要: アーキテクチャ、テナントの要件、機能の概要、既知の問題と制限事項を確認します。

  • 展開モデル: Microsoft クラウド PKI 展開オプションを確認します。

  • 基本事項: 構成と展開の前に知っておくべき重要な PKI の基礎と概念を確認します。

役割ベースのアクセス制御

Microsoft Intune 管理センターへのサインインに使用するアカウントには、証明機関 (CA) を作成するためのアクセス許可が必要です。 Microsoft Entra Intune管理者 (Intuneサービス管理者とも呼ばれます) アカウントには、CA を作成するための適切な組み込みアクセス許可があります。 または、クラウド PKI CA アクセス許可を管理者ユーザーに割り当てることもできます。 詳細については、「Microsoft Intune でのロールベースのアクセス制御 (RBAC)」を参照してください。

手順 1: 発行元の CA と証明書の署名要求を作成する

Microsoft Intune 管理センターで発行元 CA を作成します。

  1. [テナント管理]>Cloud PKI に移動し、[作成] を選択します。

    [作成] ボタンが強調表示されたテナント管理のクラウド PKI ページ。

  2. [ 基本] に次のプロパティを入力します。

    • 名前: CA オブジェクトのわかりやすい名前を入力します。 後で簡単に識別できるように名前を付けます。 例: Contoso BYOCA 発行 CA
    • 説明: CA オブジェクトの説明を入力します。 この設定は省略可能ですが、推奨されます。 例: オンプレミスの ADCS 発行 CA に固定された bring-your-own-root-CA を使用して CA を発行するクラウド PKI

  3. [ 次へ ] を選択して 構成設定に進みます。

  4. CA タイプとルート CA ソースを選択します。

    [CA タイプ] と [ルート CA ソース構成] フィールドを独自の CA に持ち込むための [CA タイプ] フィールドと [ルート CA ソース構成] フィールド。

    発行元の CA に対して次の設定を構成します。

    • CA の種類: 発行元の CA を選択します。
    • ルート CA ソース: [独自のルート CA] を選択します。 この設定では、発行元の CA を固定するルート CA ソースを指定します。

  5. 有効期間をスキップします。 この設定は構成できません。 BYOCA 証明書署名要求の署名に使用している CA によって、有効期間が決まります。

  6. 拡張 キー使用法で、CA の使用方法を選択します。

    [拡張キー使用法] オプションを含む [構成設定] タブ。

    潜在的なセキュリティ リスクを防ぐために、CA の使用は選択的に制限されます。 次のようなオプションがあります:

    • 種類: CA の目的を選択します。 Any Purpose (2.5.29.37.0) 拡張キーの使用法は、過度に寛容であり、潜在的なセキュリティ リスクがあるため、使用できません。 詳細については、「 特権 EKU を使用して過度に寛容な証明書テンプレートを編集する」を参照してください。
    • または、カスタムの拡張キー使用法を作成するには、 名前 と オブジェクト識別子を入力します。

  7. [サブジェクトの属性] で、発行元の CA の共通名 (CN) を入力します。

    クラウド PKI サブジェクト属性の構成フィールド。

    オプションの属性は次のとおりです。

    • 組織 (O)
    • 組織単位 (OU)
    • 国 (C)
    • 都道府県 (ST)
    • 地域 (L)

    PKI 標準に準拠するために、Intune は国/地域に 2 文字の制限を適用します。

  8. [ 暗号化] で、 キー サイズを入力します。

    クラウド PKI 構成のキー サイズとアルゴリズムの設定。

    次のようなオプションがあります:

    • RSA-2048

    • RSA-3072

    • RSA-4096

    この設定は、Intune でデバイス構成 SCEP 証明書プロファイルを構成するときに使用できる上限キー サイズを適用します。 これにより、クラウド PKI 発行 CA に設定されているサイズまで、任意のキー サイズを選択できます。 1024 キー サイズと SHA-1 ハッシュはクラウド PKI ではサポートされていないことに注意してください。 ただし、ハッシュ アルゴリズムを指定する必要はありません。 CSR への署名に使用している CA によって、ハッシュ アルゴリズムが決まります。

  9. [ 次へ ] を選択して [ タグの範囲指定] に進みます。

  10. 必要に応じて、スコープ タグを追加して、この CA への可視性とアクセスを制御できます。

  11. [ 次へ ] を選択して、[ レビュー + 作成] に進みます。

  12. 提供された要約を確認します。 すべての準備が整ったら、[ 作成] を選択します。

    重要

    CA を作成した後は、これらのプロパティを編集することはできません。 [ 戻る] を選択して設定を編集し、それらが正しく、PKI 要件を満たしていることを確認します。 後で EKU を追加する必要がある場合は、新しい CA を作成する必要があります。

  13. 管理センターの Microsoft クラウド PKI CA リストに戻ります。 [ 更新] を選択して、新しい CA を表示します。

  14. CA を選択します。 [ 基本] の下のステータスは、[ 署名が必要] と表示されます。

  15. [ プロパティ] に移動します。

  16. [ CSR のダウンロード] を選択します。 Intune が CA の名前を持つ REQ 形式のファイルをダウンロードするまで待ちます。 例: Contoso BYOCA 発行 CA.req

手順 2: 証明書署名要求に署名する

ダウンロードした証明書署名要求 (CSR) ファイルに署名するには、プライベート CA が必要です。 署名 CA は、プライベート CA の任意の層のルートまたは発行 CA にすることができます。 署名するには、次の 2 つの方法があります。

  • オプション 1: Active Directory 証明書サービス (ADCS) の機能である証明機関の Web 登録を使用します。 このオプションは、証明書の要求や更新などの管理者固有のタスクを実行できる単純な Web インターフェイスを提供します。

  • オプション 2: Windows ADCS コマンド ライン ツール certreq.exe 実行可能ファイルを使用します。

次の表に、BYOCA 展開で使用される署名証明書でサポートされているオブジェクト識別子 (OID) を示します。

サブジェクト名プロパティ オブジェクト識別子
共通名 (CN) OID.2.5.4.3
組織 (O) OID.2.5.4.10
組織単位 (OU) OID.2.5.4.11
地域 (L) OID.2.5.4.7
都道府県 OID.2.5.4.8
国 (C) OID.2.5.4.6
タイトル (T) OID.2.5.4.12
シリアル番号 OID.2.5.4.5
Email (E) OID.1.2.840.113549.1.9.1
ドメイン コンポーネント (DC) OID.0.9.2342.19200300.100.1.25
Street OID.2.5.4.9
名 OID.2.5.4.42
Initials OID.2.5.4.43
郵便番号 OID.2.5.4.17
識別名修飾子 OID.2.5.4.46

証明書署名の詳細については、ご利用の CA が提供するヘルプ ドキュメントを参照してください。

オプション 1: 証明機関の Web 登録

これらの手順を完了するには、Windows デバイスで notepad.exe を使用するか、macOS 上の同等のプログラムを使用します。

  1. 発行元の CA を作成した後にダウンロードした REQ ファイルを開きます。 ファイルの内容をコピー (CTRL + C) します。

  2. CA Web Enrollment を実行している Web ホストにアクセスできるデバイスでブラウザを開きます。 例: https://WebSrv_running_CAWebEnrollment/certsrv

  3. [ 証明書の要求] を選択します。

  4. [高度な証明書要求] を選択します。

  5. 先ほどコピーした内容を [Saved Request ] 領域に貼り付けます。

  6. [ 証明書テンプレート] で [ 下位証明機関] を選択します。

    注:

    下位 CA テンプレートは、証明書に署名する CA で公開され、利用できるようにする必要があります。 デバイスで certsrv.msc - 証明機関管理コンソールを開き、使用可能な証明書テンプレートを表示します。

  7. [ 送信 ] を選択して続行します。

  8. [ 発行された証明書] で、[ DER エンコード] または [Base 4 エンコード] を選択します。 クラウド PKI では、両方のファイル形式がサポートされています。 次に、次の手順を実行します。

    1. [ 証明書のダウンロード] を選択します。 証明書ファイルがダウンロードされ、 certnew.cerとして保存されます。

    2. [ 証明書チェーンのダウンロード] を選択します。 署名された証明書がダウンロードされます。これには、完全な証明書チェーン、ルート CA、およびプライベート CA 階層内の中間または発行 CA 証明書が含まれます。 ファイルは certnew.p7b という名前で保存されます。

    Intune では、クラウド PKI BYOCA の発行元 CA を有効にするために、これらのファイルの両方が必要です。

  9. この記事の「署名付き証明書のアップロード」に進み、 BYOCA 発行 CA を有効にし ます。

注:

2 つの異なるワークステーションから管理センターと CA Web 登録コンソールを使用する場合は、管理センター ワークステーションから 2 つの証明書ファイルをコピーするか、ファイルにアクセスできる必要があります。

オプション 2: Windows ADCS コマンド ライン ツール

certreq.exe コマンド ライン ツールを使用して、証明書要求を CA に送信します。ここで、証明書テンプレートと署名 CA を指定できます。 以前にダウンロードした REQ ファイルは、コマンド ライン ツールを実行している Windows コンピューター上にある必要があります。

コマンド ラインで次の構文を使用して、選択したテンプレートと署名 CA で証明書要求を送信できます。

certreq -submit -attrib "CertificateTemplate:<template_name>" -config "<CA_server_name>\<CA_name>" <request_file> <response_file>

コマンドの変数を次のように置き換えます。

  1. <template_name> を、使用する証明書テンプレートの名前に置き換えます。

  2. <CA_server_name><CA_name>を、証明書要求の署名に使用する CA サーバー名と CA の名前にそれぞれ置き換えます。

<request_file>と<response_file>に必要な操作はありません。 これらはそれぞれ、証明書要求を含むファイルの名前と CA からの応答を含むファイルの名前に置き換えられます。

次の例では、下位 CA テンプレートを使用して証明書要求を送信する方法と、署名する方法について説明します。

  • 例 1: 署名 CA ContosoCA は、 CA-Server という名前のサーバーで実行されています。 次のコマンドを使用できます。

    certreq -submit -attrib "CertificateTemplate:SubCA" -config "CA-Server\ContosoCA" certreq.req certnew.cer

  • 例 2: 署名 CA の名前は CaleroCorp SubCA (US) で、Win2k16-subCA という名前のサーバーで実行されています。 次のコマンドを使用できます。

    certreq -submit -attrib "CertificateTemplate:SubCA" -config "Win2k16-subCA\CaleroCorp SubCA (US)" "c:\users\bill.CORP\Documents\CC BYORCA Issuing CA2.csr" c:\Users\bill.CORP\CC-BYOCA-IssuingCA-Signed.cer"

  • 例 3: または、パラメーターなしで certreq.exe を実行すると、Windows は最初に REQ ファイルを識別するように求めるメッセージを表示します。 このアプローチでは、Windows UI を使用して署名プロセスをガイドします。

署名された証明書に加えて、プライベート CA の完全なキー チェーンが必要です。 完全なキー チェーンには、ルート CA と、チェーン内のすべての中間 CA、発行 CA、または下位 CA が含まれます。 コマンド ライン ツールで次の構文を使用して、完全なキー チェーンを P7B ファイルにエクスポートします。

certutil [options] -ca.chain OutCACertChainFile [Index]

ADCS へのネットワーク アクセスがある Windows ドメインに参加しているコンピューターからコマンドを実行します。 例:

certutil -ca.chain c:\temp\fullChain.p7b

エクスポートされたチェーンを表示し、エクスポートが Windows エクスプローラーで実行されたことを確認するには、次の手順を実行します。

  1. ファイルがエクスポートされたパスの場所に移動します。
  2. ファイルをダブルクリックして開きます。

ファイル内には、ルート CA と中間 CA を含むフル チェーンが表示されます。

注:

または、 certmgr.msc または certlm.msc を使用して、プライベート CA チェーン内の各 CA の個々の公開キーをエクスポートすることもできます。 これらのファイルにはそれぞれ CER 拡張子が付いています。

手順 3: 署名付き証明書をアップロードして BYOCA 発行 CA を有効にする

BYOCA クラウド PKI 発行 CA 署名必須プロセスを完了し、クラウド内の CA が Intune 管理対象デバイスの証明書の発行を開始できるようにするには、次が必要です。

  • BYOCA 発行元 CA 用の署名済み証明書。
  • 証明書要求の署名に使用されるプライベート CA のフル チェーン。

続行するために必要なこれらのタスクを完了する方法の詳細については、「 手順 2: 証明書署名要求に署名する」を参照してください。 ファイルは、Microsoft Intune 管理センターが実行されている同じコンピューターで使用できる必要があります。

  1. 管理センターのクラウド PKI CA リストに戻ります。 CA を選択します。 そのステータスは 「署名必須」と表示されます。

  2. [ プロパティ] に移動し、[ 署名付き証明書のアップロード] を選択します。

  3. [ 署名済み証明書のアップロード] ウィンドウが開きます。 [署名済み証明書 (.cer、.crt、または .pem) ファイルのアップロード] で、[参照] を選択します。 署名済みの証明書ファイルを選択します。

  4. [ 1 つ以上の信頼チェーン証明書 (.cer、.crt、.pem、または .p7b) をアップロードする] で、ファイルをドラッグ アンド ドロップするか、[ 参照] を選択してコンピューター上のファイルを検索します。

  5. [保存して待機する] を選択し、Intune が証明書をアップロードするまで待機します。 これには数分かかる場合があります。

  6. CA リストを更新します。 これで、CA の状態列が [アクティブ] と表示されます。 ルート共通名は、 外部ルート CA として表示されます。

    アクティブ状態を示す新しく作成された CA を含むクラウド PKI CA リスト。

    一覧で CA を選択すると、使用可能なプロパティを表示できます。 プロパティの例としては、以下があります。

    • 証明書失効リスト (CRL) 配布ポイント URI。
    • 機関情報アクセス (AIA) URI。
    • クラウド PKI 発行元の CA は、SCEP URI を表示します。 SCEP URI は、プラットフォーム発行のすべての証明書の SCEP 構成プロファイルにコピーする必要があります。

    CA 信頼公開キーをダウンロードする準備ができたら、[ ダウンロード] を選択します。

    注:

    BYOCA 発行 CA の AIA プロパティは、プライベート CA によって定義され、プライベート CA の AIA 構成によって定義されたプロパティが含まれています。 ADCS では、既定の LDAP AIA の場所が使用されます。 プライベート CA が HTTP AIA の場所を提供する場合、BYOCA プロパティには HTTP AIA の場所が表示されます。

手順 4: 証明書信頼プロファイルを作成する

プライベート CA に固定されているクラウド PKI BYOCA 発行 CA を使用する場合は、プライベート CA 階層内の各 CA 証明書に対して Intune 信頼された証明書プロファイルを作成する必要があります。 この手順は、クラウド PKI SCEP 証明書を発行するすべてのプラットフォーム (Windows、Android、iOS/iPad、macOS) の要件です。 SCEP プロトコルをサポートするクラウド PKI 証明書登録機関との信頼を確立する必要があります。

プロファイルを作成する方法の詳細については、「 信頼できる証明書プロファイル」を参照してください。

証明書のエクスポート

エクスポートされた証明書は、チェーン内の各 CA に対して Intune で信頼された証明書プロファイルを作成するために使用されます。 プライベート CA を使用している場合は、そのツールを使用して、CA キーチェーンを、CER 拡張子を持つ DER または Base 4 でエンコードされた形式のファイル セットにエクスポートする必要があります。 ADCS がプライベート CA の場合は、Windows certutil.exe コマンド ライン ツールを使用して、CA の完全なキーチェーンを .p7b ファイルにエクスポートできます。

ADCS へのネットワーク アクセスがある Windows ドメインに参加しているコンピューターから、次のコマンドを実行します。

certutil [options] -ca.chain OutCACertChainFile [Index]

例:

certutil -ca.chain c:\temp\fullChain.p7b

エクスポートされたチェーンは、Windows エクスプローラーを使用して表示できます。

  1. .p7b ファイルがエクスポートされたパスの場所に移動し、ファイルをダブルクリックします。 チェーン内のルート CA と中間 CA を含む、完全なチェーンが表示されます。

  2. 一覧内の各証明書を右クリックします。

  3. [すべてのタスク>エクスポート] を選択します。 信頼された証明書を DER 形式でエクスポートします。 certmgr ユーティリティの [発行先 ] 列に表示される CA と同じ共通名を使用して、エクスポートした証明書ファイルに名前を付けることをお勧めします。 この名前を使用すると、[発行先] と [発行元] の共通名が同じになるため、リストでルート CA を見つけやすくなります。

プライベート ルート CA の信頼された証明書プロファイルの作成

ダウンロードしたエクスポート済みルート CA ファイルを使用して、信頼できる証明書プロファイルを作成します。 管理センターで、プライベート CA ルート証明書を使用している対象とする OS プラットフォームごとに、信頼できる証明書プロファイルを作成します。

プライベート下位 CA の信頼された証明書プロファイルを作成する

ダウンロードしたエクスポート済み中間 CA ファイルまたは発行 CA ファイルを使用して、信頼できる証明書プロファイルを作成します。 管理センターで、発行元の CA ルート証明書を使用している対象とする各 OS プラットフォームの信頼できる証明書プロファイルを作成します。

CA を発行するための信頼された証明書プロファイルを作成する

ヒント

CA リストで BYOCA CA を見つけるには、次の値を持つ CA を探します。

  • 型: 発行
  • ルート共通名: 外部ルート CA

  1. 管理センターで、[テナント管理]>[クラウドPKI] に移動します。

  2. クラウド PKI BYOCA 発行 CA を選択します。

  3. [ プロパティ] に移動します。

  4. [ダウンロード] を選択します。 発行元の CA の公開キーがダウンロードされるまで待ちます。

  5. 管理センターで、対象とする各 OS プラットフォームの信頼できる証明書プロファイルを作成します。 手順については、「 信頼できる証明書プロファイルの作成」を参照してください。 プロンプトが表示されたら、ダウンロードした公開キーを入力します。

クラウド PKI BYOCA 用にダウンロードした発行元 CA 証明書を、すべての証明書利用者にインストールする必要があります。

ダウンロードした公開キーに付けられたファイル名は、CA で指定された共通名に基づきます。 Microsoft Edge などの一部のブラウザーでは、.cerやその他の既知の証明書拡張子を持つファイルをダウンロードすると警告が表示されます。 この警告が表示された場合は、[ 保持] を選択します。

[保持] ボタン付きのブラウザーのダウンロード警告ダイアログ。

手順 5: SCEP 証明書プロファイルを作成する

注:

Intune マネージド デバイスに SCEP 証明書を発行するために使用できるのは、クラウド PKI 発行 CA と BYOCA 発行 CA のみです。

信頼できる証明書プロファイルの場合と同様に、対象とする OS プラットフォームごとに SCEP 証明書プロファイルを作成します。 SCEP 証明書プロファイルは、発行元 CA からリーフ クライアント認証 証明書を要求するために使用されます。 この種類の証明書は、Wi-Fi や VPN アクセスなど、証明書ベースの認証シナリオで使用されます。

  1. テナント管理>クラウド PKI に戻ります。

  2. 発行の種類を持つ CA を選択します。

  3. [ プロパティ] に移動します。

  4. SCEP URI をクリップボードにコピーします。

  5. 管理センターで、対象とする各 OS プラットフォームの SCEP 証明書プロファイルを作成します。 手順については、「 SCEP 証明書プロファイルの作成」を参照してください。

  6. プロファイルの [ルート証明書] で、信頼できる証明書プロファイルをリンクします。 選択する信頼済み証明書は、発行元 CA が CA 階層に固定されているルート CA 証明書である必要があります。

    ルート CA 証明書が選択されたルート証明書設定。

  7. SCEP サーバー URL の場合は、SCEP URI を貼り付けます。 文字列はそのまま {{CloudPKIFQDN}} しておくことが重要です。 プロファイルがデバイスに配信されるときに、Intune はこのプレースホルダー文字列を適切な FQDN に置き換えます。 FQDN は、コア Intune エンドポイントである *.manage.microsoft.com 名前空間内に表示されます。 Intune エンドポイントの詳細については、「Microsoft Intune のネットワーク エンドポイント」を参照してください。

  8. 次のベスト プラクティスに従って、残りの設定を構成します。

    • サブジェクト名の形式: 指定された変数が Microsoft Entra ID のユーザーまたはデバイス オブジェクトで使用できることを確認します。 たとえば、このプロファイルのターゲット ユーザーに電子メール アドレス属性がなくても、このプロファイルの電子メール アドレスが入力されている場合、証明書は発行されません。 SCEP 証明書プロファイル レポートにもエラーが表示されます。

    • 拡張キーの使用法: Microsoft クラウド PKI では、 任意の目的 オプションはサポートされていません。

      注:

      選択した EKU がクラウド PKI 発行証明機関 (CA) で構成されていることを確認します。 クラウド PKI 発行 CA に存在しない EKU を選択すると、SCEP プロファイルでエラーが発生します。 また、デバイスに証明書が発行されません。

    • SCEP サーバー URL: NDES/SCEP URL を Microsoft クラウド PKI 発行 CA SCEP URL と組み合わせないでください。

  9. プロファイルを割り当てて確認します。 すべての準備が整ったら、[ 作成] を選択します。

  • Last updated on