この記事では、Microsoft Intune および Microsoft クラウド PKI サービスでサポートされている展開モデルについて説明します。
次の 2 つの展開オプションがあります。
Microsoft クラウド PKI ルート CA: ルートを使用し、クラウドで発行 CA を使用して Microsoft クラウド PKI をデプロイします。
独自の証明機関 (BYOCA) を使用する: 独自のプライベート CA を使用して Microsoft クラウド PKI をデプロイします。
Microsoft クラウド PKI ルート CA アプローチを使用すると、単一の Intune テナント内に 1 つ以上の PKI を作成できます。 この方法でクラウド PKI を展開すると、2 層の階層が作成されるため、ルート CA の下位に複数の発行元 CA を持つことができます。 これらの CA はパブリックではありません。 代わりに、ルート CA と発行 CA の両方を、Intune テナントにプライベートなクラウドに作成します。 発行元の CA は、デバイス構成 SCEP 証明書プロファイルを使用して、Intune マネージド デバイスに証明書を発行します。
または、 独自の証明機関 (BYOCA) を持ち込むこともできます。 この方法では、独自のプライベート CA を使用して Microsoft クラウド PKI をデプロイします。 このオプションでは、Intune テナントに対してプライベートなクラウドに発行 CA を作成する必要があります。 発行元の CA は、Active Directory 証明書サービス (ADCS) などのプライベート CA に固定されています。 クラウド PKI BYOCA 発行 CA を作成すると、証明書署名要求 (CSR) も Intune に作成されます。 CSR に署名するには、プライベート CA が必要です。
開始する前に
展開を開始する前に、証明書信頼チェーンを確認して理解することが重要です。 PKI の概念と基礎の詳細については、「 Microsoft Cloud PKI の基礎」を参照してください。
証明書利用者を特定する
証明書利用者を特定します。 証明書利用者は、PKI によって生成された証明書を使用するユーザーまたはシステムです。 証明書利用者の例を次に示します。
- RADIUS 証明書ベースの認証を使用する Wi-Fi アクセス ポイント。
- リモート ユーザーを認証する VPN サーバー。
- Web ブラウザーで TLS/SSL で保護された Web サイトにアクセスするユーザー。
トラスト アンカーの場所を決定する
ルート トラスト アンカーの場所を決定します。 トラスト アンカーは、証明書信頼またはパス検証の開始点として証明書利用者が使用する CA 証明書または CA の公開キーです。 証明書利用者は、複数のソースから派生した 1 つまたは複数のトラスト アンカーを持つことができます。 トラスト アンカーには、ルート CA の公開キーを指定することも、証明書利用者にエンド エンティティ証明書を発行する CA の公開キーを指定することもできます。
信頼チェーンを確保する
証明書を使用して証明書ベースの認証を実行する場合は、TLS/SSL ベースの通信に関連するすべての証明書の CA 証明書信頼チェーン (公開キーとルート CA を含む) を両証明書利用者が持っていることを確認します。 このコンテキストでは、証明書利用者は次のとおりです。
- Intune マネージド デバイス。
- Wi-Fi、VPN、または Web サービスで使用される認証サービス。
発行元の CA 証明書がない場合、証明書利用者はネイティブ OS プラットフォーム証明書チェーン エンジンを使用して、証明書の機関情報アクセス (AIA) プロパティを介して要求できます。
注:
Wi-Fi アクセス ポイントや VPN サーバーなどの証明書利用者に接続する場合、TLS/SSL 接続は、接続を試みたときに、まず管理対象Intuneデバイスによって確立されます。 Microsoft クラウド PKI は、これらの TLS/SSL 証明書を提供しません。 これらの証明書は、別の PKI または CA サービスを通じて取得する必要があります。 その結果、Wi-Fi または VPN プロファイルを作成するときは、信頼できる証明書プロファイルも作成し、それを管理対象デバイスに割り当てて、TLS/SSL 接続を信頼する必要があります。 信頼できる証明書プロファイルには、TLS/SSL 証明書の発行を担当するルート CA と発行 CA の公開キーが含まれている必要があります。
展開オプション
このセクションでは、Microsoft クラウド PKI の Microsoft Intune でサポートされている展開オプションについて説明します。
Intune によって管理されていない証明書利用者に CA 証明書を展開する方法があります。 証明書ベースの認証をサポートする、半径サーバー、Wi-Fi アクセス ポイント、VPN サーバー、Web アプリ サーバーなどの証明書利用者。
証明書利用者が Active Directory ドメインのメンバーである場合は、グループ ポリシーを使用して CA 証明書を展開します。 詳細については、以下を参照してください:
証明書利用者が Active Directory ドメインのメンバーでない場合は、Microsoft クラウド PKI ルートと発行元 CA の CA 証明書信頼チェーンが証明書利用者のセキュリティ ストアにインストールされていることを確認します。 適切なセキュリティ ストアは、OS プラットフォームおよびサービスを提供するホスティング アプリケーションによって異なります。
他の証明機関をサポートするために必要な証明書利用者ソフトウェアの構成も考慮します。
オプション 1: Microsoft クラウド PKI ルート CA
クラウド PKI ルート CA の展開中は、クラウド PKI ルート証明書をすべての証明書利用者に展開する必要があります。 発行元の CA 証明書が証明書利用者に存在しない場合、証明書利用者は証明書の検出を開始することで、証明書を自動的に取得してインストールできます。 証明書チェーン エンジン (CCE) と呼ばれるこのプロセスは、プラットフォーム固有のものであり、不足している親証明書を取得するために使用されます。 発行元 CA 証明書の URL は、リーフ証明書 (クラウド PKI 発行 CA を使用してデバイスに発行された証明書) の AIA プロパティにあります。 証明書利用者は、AIA プロパティを使用して親 CA 証明書を取得できます。 プロセスは CRL のダウンロードに似ています。
注:
Android OS では、サーバーが証明書チェーン全体を返す必要があり、AIA パスに従って証明書の検出を行いません。 Android での証明書チェーンの要件の詳細については、 Android SSL セキュリティに関するドキュメントを参照してください。 Android の管理対象デバイスと証明書利用者には、完全な証明書チェーンを展開してください。
Intune マネージド デバイスは、OS プラットフォームに関係なく、次の CA 証明書信頼チェーンを必要とします。
| CA 証明書の種類 | CA 証明書信頼チェーン | 展開方法 |
|---|---|---|
| クラウド PKI CA 証明書 | ルート CA 証明書が必要です。CA の発行は省略可能ですが推奨 | Intune の信頼された証明書構成プロファイル |
| プライベート CA 証明書 | ルート CA 証明書が必要です。CA 証明書の発行は省略可能ですが、推奨されます | Intune の信頼された証明書構成プロファイル |
証明書利用者には、次の CA 証明書信頼チェーンが必要です。
| CA 証明書の種類 | CA 証明書信頼チェーン | 展開方法 |
|---|---|---|
| クラウド PKI CA 証明書 | ルート CA 証明書が必要です。CA の発行は省略可能ですが推奨 | 証明書利用者のサーバーまたはサービスが Active Directory (AD) ドメインのメンバー サーバーである場合は、グループ ポリシーを使用して CA 証明書を展開します。 AD ドメインにない場合は、手動インストール方法が必要になることがあります。 |
| プライベート CA 証明書 | ルート CA 証明書が必要です。CA 証明書の発行は省略可能ですが推奨 | 証明書利用者のサーバーまたはサービスが Active Directory (AD) ドメインのメンバー サーバーである場合は、グループ ポリシーを使用して CA 証明書を展開します。 AD ドメインにない場合は、手動インストール方法が必要になることがあります。 |
次の図は、クライアントと証明書利用者の両方で使われている証明書を示しています。
次の図は、管理対象デバイスと証明書利用者の両方に展開する必要があるそれぞれの CA 証明書信頼チェーンを示しています。 CA 信頼チェーンは、Intune マネージド デバイスに発行されたクラウド PKI 証明書が信頼され、証明書利用者に対する認証に使用できることを保証します。
オプション 2: 独自の CA を持ち込む (BYOCA)
独自の CA 持ち込みの展開中、Intune 管理対象デバイスには次の CA 証明書が必要です。
- BYOCA CSR への署名を担当する CA のプライベート CA 信頼チェーン (ルート証明書と発行 CA 証明書を含む)。
- BYOCA 発行元 CA 証明書。
すべての証明書利用者は、すでにプライベート CA 証明書チェーンを持っている必要があります。
Intune マネージド デバイスは、OS プラットフォームに関係なく、次の CA 証明書信頼チェーンを必要とします。
| CA 証明書の種類 | CA 証明書信頼チェーン | 展開方法 |
|---|---|---|
| クラウド PKI CA 証明書 | 発行元 CA 省略可能だが推奨 | Intune の信頼された証明書構成プロファイル |
| プライベート CA 証明書 | ルート CA 証明書が必要です。CA の発行は省略可能ですが推奨 | Intune の信頼された証明書構成プロファイル |
証明書利用者には、すでにプライベート CA 証明書チェーンがある必要があります。 ただし、BYOCA 発行の CA 証明書も証明書利用者に展開する必要があります。 証明書利用者が Active Directory ドメインのメンバー サーバーである場合は、展開方法として GPO を使用します。
注:
クラウド PKI BYOCA 発行 CA 証明書が証明書利用者プラットフォームに展開されていない場合、証明書利用者の CCE はクラウド PKI 発行 SCEP 証明書 (エンド エンティティ/リーフ証明書) の AA (URL) プロパティを使用して、クラウド PKI BYOCA 発行 CA 証明書 (公開キー) を信頼ストアに要求してインストールできます。 ただし、この動作は保証されておらず、CCE の各 OS/プラットフォーム実装に依存します。 BYOCA 発行 CA 証明書を管理対象デバイスと証明書利用者に展開することがベスト プラクティスです。
証明書利用者は、証明書利用者に既に存在するプライベート CA 信頼チェーンにチェーン接続するため、管理対象デバイスに対してクラウド PKI BYOCA が発行した SCEP 証明書を信頼します。
次の図は、それぞれの CA 証明書信頼チェーンが Intune マネージド デバイスに展開される方法を示しています。
*この図で、プライベートは Active Directory 証明書サービスまたは Microsoft 以外のサービスを指しています。
概要
クラウド PKI は両方のデプロイ モデルを同時にサポートできるため、クラウド PKI ルートと発行 CA、およびプライベート CA に固定された BYOCA 発行 CA は同じテナントに存在できます。
展開を開始して証明書を発行する前に、 ルート信頼アンカーの場所を決定します。 クラウド PKI ルートまたはプライベート ルート CA に存在できます。 場所によって、Intune の管理対象デバイスと証明書利用者の両方に必要な証明書信頼チェーンが決まります。
- クラウド PKI ルート CA: CA 公開キーを発行するルート & で構成されるクラウド PKI 証明書信頼チェーンをすべての証明書利用者に展開する必要があります。
- プライベート ルート CA を使用したクラウド PKI BYOCA 発行 CA: ルート CA と発行 CA で構成されるプライベート CA 証明書の信頼チェーンは、インフラストラクチャ全体の証明書利用者にすでに展開されている必要があります。 必須ではありませんが、クラウド PKI BYOCA 発行 CA 証明書を作成することをお勧めします。