クラウド PKI で証明機関を更新する

Microsoft クラウド PKI は、継続的な証明書発行を維持し、証明書の有効期限が近づく際のサービスの中断を回避するために、証明機関 (CA) の更新をサポートしています。

CA を更新すると、以前の CA バージョンで発行された証明書および証明書失効リスト (CRL) へのアクセスを維持しながら、更新された暗号化マテリアルを使用して新しい CA 証明書が作成されます。

この記事では、CA 更新のしくみ、更新が利用可能な時期、および更新ライフサイクル中に予期できることの概要について説明します。

前提条件

クラウド PKI で証明機関を更新するには、次の前提条件を満たしていることを確認してください。

メカニズム

証明機関を更新すると、新しい公開/秘密キーのペアを持つ新しい CA 証明書が発行されます。 更新された CA は、元の証明書の有効期限を超えて証明機関の有効期間を延長します。 CA 更新の主な特徴は次のとおりです。

• 更新時には常に新しいキー ペアが生成されます。
• 既存の公開/秘密キーのペアは再利用できません。
• 以前の CA バージョンによって発行された証明書と CRL は、更新後も引き続き使用できます。
• 更新は、Intune 管理センターまたは Microsoft Graph を使用して実行できます。

クラウド PKI では、段階的な更新モデルを使用して、更新された CA をアクティブにする前に検証できます。 更新プロセスには、次の 3 つの主要な手順が含まれます:

更新の名前付けとバージョン管理

CA を更新するたびに、CA のバージョンが増分され、そのバージョンが反映されるように CA 表示名が更新されます。

発行元の CA が更新されると、Intune は次の形式で CA 表示名にバージョン サフィックスを追加します。(V#.0)。 更新するたびに、バージョン番号は 1 ずつ増分します。

例:

• 更新前: Contoso-PKI-Issuing-CA
• 最初の更新後: Contoso-PKI-Issuing-CA (V2.0)
• 2 回目の更新後: Contoso-PKI-Issuing-CA (V3.0)

バージョン サフィックスは更新時に適用され、Intune で使用される CA オブジェクト名になります。

証明機関の詳細を確認する

クラウド PKI の証明機関の詳細を確認するには:

1. Microsoft Intune 管理センターで、[テナント管理]>[クラウド PKI] を選択します。
   • 証明機関のリストの [ 更新 ] フィールドには、アクションが必要かどうか、または CA 更新の現在の状態が示されます。
2. 証明機関を選択します。
   • [ モニター] タブには、アクティブ、期限切れ、失効した証明書の数など、発行元の CA アクティビティの概要が表示されます。
   • [ プロパティ] タブには、CA の現在の状態、アクティブなバージョン、および設定が表示されます。 このタブの詳細は次のとおりです。
     • 名前
     • 説明
     • 状態
     • CA バージョン
     • シリアル番号
     • Thumbprint
     • CA の種類
     • CA キー
     • 拡張キーの使用法
     • 有効期間
     • 有効期限
     • 共通名 (CN)
     • 組織 (O)
     • 組織単位 (OU)
     • 国 (C)
     • 都道府県 (ST)
     • 地域 (L)
     • キーのサイズとアルゴリズム
     • CRL 配布ポイント
     • SCEP URI
     • 証明書のダウンロード (公開キー)
   • ステージングされた CA バージョンと以前の CA バージョンを追跡および管理するための [ バージョン] タブ。 このタブの詳細は次のとおりです。
     • 現在と以前の CA バージョンのリスト
     • ステージングされた CA を アクティブ化 または 取り消 すオプションなど、各 CA バージョンに関する詳細が表示された専用ウィンドウ。

証明機関を更新する

クラウド PKI で証明機関を更新するには、Intune マネージド CA を使用しているか、独自の CA デプロイを使用しているかによって異なります。 シナリオのタブを選択します。

ステージングされた証明機関 (CA) とその一時的な SCEP URI を使用して、アクティブ化前に証明書の発行を検証します。 ステージングされた SCEP URI を使用して SCEP プロファイルを作成し、テスト グループに割り当てます。 検証が完了したら、テスト SCEP プロファイルを削除します。

ステージングされた CA は最大 90 日間使用できます。 その期間内にアクティブ化されない場合、非アクティブになり、さらに 30 日間の猶予期間後に削除されます。

ステージングされた証明機関をアクティブ化する

更新プロセスの最後の手順は、ステージングされた証明機関をアクティブ化することです。

クラウド PKI で証明機関をアクティブ化するには:

1. Microsoft Intune 管理センターで、[テナント管理]>[クラウド PKI] を選択します。
2. アクティブ化するステージングされた証明機関を選択します。
3. [ バージョン] タブを選択します。
4. CA バージョンの一覧で、 ステージ済み 状態の CA を選択します。
5. 詳細ウィンドウで、[ アクティブ化] を選択します。

アクティブ化後、ステージングされた SCEP URI は削除され、以前の CA バージョンは廃止されます。

ステージングされた証明機関を取り消す

アクティブ化前にステージングされた証明機関を取り消す必要がある場合は、取り消すことができます。

1. Microsoft Intune 管理センターで、[テナント管理]>[クラウド PKI] を選択します。
2. アクティブ化するステージングされた証明機関を選択します。
3. [ バージョン] タブを選択します。
4. CA バージョンの一覧で、 ステージ済み 状態の CA を選択します。
5. 詳細ウィンドウで、[ 取り消し] を選択します。

証明機関の更新通知と状態

Intune 管理センターでは、有効期限が近づいた CA を追跡するのに役立つ更新通知と状態を提供します。

証明書更新バナー

証明機関は、有効期限 (半減期) の半分が経過したときに更新のできます。 次の表に、有効期限までの日数に基づいて、Intune 管理コンソールのクラウド PKI リストに表示される更新バナーを示します。

アイコン	更新バナー	説明
	有効期限までの半分	証明機関の有効期限が半分以上迫っています。 これは、認証局のライフサイクルの中間点を示します。 organization の PKI ポリシーに基づいて更新計画を確認します。
	残り 6 か月	証明機関は 6 か月で有効期限が切れます。 今すぐ更新して、SCEP、Wi-Fi、VPN、および電子メールの証明書発行が継続されるようにします。
	90 日間	証明機関は 90 日で有効期限が切れます。 今すぐ更新して、SCEP、Wi-Fi、VPN、および電子メールの証明書発行が継続されるようにします。
	30 日間	証明機関は 30 日で有効期限が切れます。 更新しないと、新しい証明書の発行が失敗する可能性があります。 既存の証明書は期限切れになるまで有効です。 デバイス証明書の配信を維持するには、今すぐ更新してください。
	Expired	証明機関の有効期限が切れています。 証明書は発行されなくなりました。 証明書の発行を復元するには、証明機関を更新するか新しい証明機関を作成します。

証明機関の状態の値

クラウド PKI CA リストには、現在の証明機関のライフサイクルの状態を示す [状態] フィールドがあります。

クラウド PKI CA リストには、証明機関の更新状態を示す [更新] フィールドがあります。

一覧から証明機関を開くと、[ バージョン] タブに、現在の CA と以前の CA の一覧が表示されます。 「 状態」 フィールドには、それぞれのライフサイクルの状態が表示されます。