Configuration Manager (現在のブランチ) に適用
Microsoft では、すべての Configuration Manager 通信パスで HTTPS 通信を使用することをお勧めしますが、PKI 証明書を管理するオーバーヘッドのために一部のお客様にとっては困難です。 拡張 HTTP を使用すると、Configuration Manager は特定のサイト システムに自己署名証明書を発行することにより、安全な通信を提供できます。
この構成には、次の 2 つの主な目標があります。
PKI サーバー認証証明書を必要とせずに、機密性の高いクライアント通信をセキュリティで保護できます。
クライアントは、ネットワーク アクセス アカウント、クライアント PKI 証明書、または Windows 認証を必要とせずに、配布ポイントからコンテンツに安全にアクセスできます。
他のすべてのクライアント通信は HTTP 経由で行われます。 拡張 HTTP は、クライアント通信やサイト システムで HTTPS を有効にすることと同じではありません。
注:
PKI 証明書は、次の要件を持つお客様にとっても有効なオプションです。
- すべてのクライアント通信は HTTPS 経由で行われます
- 署名インフラストラクチャの高度な制御
既に PKI を使用している場合、拡張 HTTP を有効にしていても、サイト システムでは IIS でバインドされた PKI 証明書が使用されます。
シナリオ
次のシナリオは、拡張 HTTP の恩恵を受けます。
シナリオ 1: クライアントから管理ポイントへ
Microsoft Entra 参加済みデバイスおよび Configuration Manager が発行したトークンを持つデバイスは、サイトで拡張 HTTP を有効にした場合、HTTP 用に構成された管理ポイントと通信できます。 拡張 HTTP を有効にすると、サイト サーバーは管理ポイントの証明書を生成し、セキュリティで保護されたチャネル経由で通信できるようにします。
注:
このシナリオでは、HTTPS 対応の管理ポイントを使用する必要はありませんが、拡張 HTTP を使用する代わりにサポートされています。 HTTPS 対応の管理ポイントの使用の詳細については、「 HTTPS の管理ポイントを有効にする」を参照してください。
シナリオ 2: クライアントから配布ポイントへ
ワークグループまたは Microsoft Entra に参加しているクライアントは、HTTP 用に構成された配布ポイントから、セキュリティで保護されたチャネルを介してコンテンツを認証し、ダウンロードできます。 これらの種類のデバイスは、HTTPS 用に構成された配布ポイントからコンテンツを認証し、クライアントに PKI 証明書を必要とせずに、コンテンツをダウンロードすることもできます。 ワークグループまたは Microsoft Entra に参加しているクライアントにクライアント認証証明書を追加するのは困難です。
この動作には、ブート メディア、PXE、またはソフトウェア センターから実行されるタスク シーケンスを含む OS 展開シナリオが含まれます。 詳細については、「 ネットワーク アクセス アカウント」を参照してください。
シナリオ 3: Microsoft Entra デバイス ID
Microsoft Entra ユーザーがサインインしていない Microsoft Entra 参加済みまたはハイブリッド Microsoft Entra デバイスは、割り当てられたサイトと安全に通信できます。 クラウドベースのデバイス ID は、デバイス中心のシナリオで CMG と管理ポイントで認証するのに十分になりました。 (ユーザー中心のシナリオでは、ユーザー トークンが引き続き必要です)。
機能
次の Configuration Manager 機能は、拡張 HTTP をサポートしているか、または拡張 HTTP を必要とします。
- クラウド管理ゲートウェイ
- ネットワーク アクセス アカウントを使用しない OS の展開
- 新しいインターネットベースの Windows デバイスの共同管理を有効にする
- メールによるアプリの承認
- Administration Services
- 最近接続した本体を表示する
- BitLocker 管理キーの回復 (バージョン 2103 以降)
- ソフトウェア センター のユーザー用アプリケーション (バージョン 2107 以降)
- 共同管理されたデバイスのポータル サイト (バージョン 2107 以降)
注:
ソフトウェアの更新ポイントと関連するシナリオでは、クライアントとクラウド管理ゲートウェイとのセキュリティで保護された HTTP トラフィックが常にサポートされています。 証明書ベース認証やトークンベースの認証とは異なる管理ポイントのメカニズムを使用します。
対象外のシナリオ
拡張 HTTP は現在、Configuration Manager のすべての通信をセキュリティで保護しているわけではありません。 次の一覧は、引き続き HTTP であるいくつかの主要機能をまとめたものです。
- コンテンツのクライアントのピアツーピア通信
- 状態移行ポイント
- リモート ツール
- レポート サービス ポイント
注:
このリストは、完全ではありません。
前提条件
HTTP クライアント接続用に構成された管理ポイント。 管理ポイント ロール プロパティの [ 全般 ] タブでこのオプションを設定します。
HTTP クライアント接続用に構成された配布ポイント。 このオプションは、配布ポイントの役割プロパティの [通信] タブで設定します。 [クライアントに匿名接続を許可する] オプションを有効にしないでください。
Microsoft Entra 認証が必要なシナリオの場合は、クラウド管理のためにサイトを Microsoft Entra ID にオンボードします。 サイトを Microsoft Entra ID にオンボードしない場合でも、拡張 HTTP を有効にすることができます。
シナリオ 3 の場合のみ: サポートされているバージョンの Windows 10 以降を実行し、Microsoft Entra ID に参加しているクライアント。 クライアントでは、Microsoft Entra デバイス認証にこの構成が必要です。
注:
Configuration Manager クライアントがサポートする内容以外に、OS バージョンの要件はありません。
サイトの構成
Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サイト] ノードを選択します。 サイトを選択し、リボンの [プロパティ] を選択します。
[ 通信セキュリティ ] タブに切り替えます。 HTTPS または HTTP のオプションを選択します。 次に、[HTTP サイト システム用に Configuration Manager で生成された証明書を使用する] オプションを有効にします。
ヒント
管理ポイントがサイトから新しい証明書を受信して構成するまで、最大 30 分待ちます。
サーバーの全体管理サイト (CAS) の拡張 HTTP を有効にすることもできます。 これと同じプロセスを使用して、CAS のプロパティを開きます。 このアクションでは、CAS で SMS プロバイダーの役割の拡張 HTTP のみが有効になります。 これは、階層内のすべてのサイトに適用されるグローバル設定ではありません。
この構成を使用してクライアントが管理ポイントおよび配布ポイントと通信する方法の詳細については、「 クライアントからサイト システムおよびサービスへの通信」を参照してください。
証明書を検証する
これらの証明書は、Configuration Manager コンソールで確認できます。 [管理] ワークスペースに移動し、[セキュリティ] を展開して、[証明書] ノードを選択します。 SMS 発行ルート証明書と、SMS 発行ルートによって発行されたサイト サーバーの役割証明書を探します。
拡張 HTTP を有効にすると、サイト サーバーは SMS ロール SSL 証明書という名前の自己署名証明書を生成します。 この証明書は、ルート SMS 発行 証明書によって発行されます。 管理ポイントは、この証明書をポート 443 にバインドされた IIS 既定の Web サイトに追加します。
構成の状態を確認するには、 mpcontrol.logを確認します。
概念図
この図は、Configuration Manager の拡張 HTTP 機能の主な側面の一部を要約し、視覚化しています。
Microsoft Entra ID を使用した接続が推奨されますが、省略可能です。 これにより、Microsoft Entra 認証を必要とするシナリオが可能になります。
拡張 HTTP のサイト オプションを有効にすると、サイトは管理ポイントや配布ポイントの役割などのサイト システムに自己署名証明書を発行します。
サイト システムが引き続き HTTP 接続用に構成されている場合、クライアントは HTTPS 経由でサイト システムと通信します。
よく寄せられる質問
拡張 HTTP の利点は何ですか?
主な利点は、安全でないプロトコルである純粋な HTTP の使用を減らすことができることです。 Configuration Manager は既定でセキュリティを確保しようとしており、Microsoft はデバイスを簡単にセキュリティで保護できるようにしたいと考えています。 PKI ベースの HTTPS を有効にすることは、より安全な構成ですが、多くのお客様にとって複雑な構成になる可能性があります。 HTTPS を実行できない場合は、拡張 HTTP を有効にします。 Microsoft では、この構成をサポートする機能が現在使用されていない環境でも、この構成を推奨します。
重要
Configuration Manager バージョン 2103 以降では、HTTP クライアント通信を許可するサイトは非推奨です。 HTTPS または拡張 HTTP 用にサイトを構成します。 詳細については、「 サイトで HTTPS のみまたは拡張 HTTP を有効にする」を参照してください。
拡張 HTTP を有効にするには Microsoft Entra ID を使用する必要がありますか?
その必要はありません。 強化された HTTP の恩恵を受けるシナリオと機能の多くは、Microsoft Entra 認証に依存しています。 サイトを Microsoft Entra ID にオンボードせずに拡張 HTTP を有効にすることができます。 その後、管理サービスなどの機能がサポートされ、ネットワーク アクセス アカウントの必要性が軽減されます。 Microsoft Entra ID は、サポート機能の 1 つで必要な場合にのみ必要です。
注:
管理サービス REST API を直接使用しない場合でも、一部の Configuration Manager 機能 (Configuration Manager コンソールの一部を含む) がネイティブで使用します。
クライアントはサイト システムとどのように通信しますか?
拡張 HTTP を有効にすると、サイトはサイト システムに証明書を発行します。 たとえば、管理ポイントと配布ポイントです。 そうすれば、これらのサイト システムは、現在サポートされているシナリオでセキュリティで保護された通信をサポートできます。
クライアントの観点からは、管理ポイントが各クライアントにトークンを発行します。 クライアントは、このトークンを使用して、サイト システムとの通信をセキュリティで保護します。 この動作は、Configuration Manager クライアントがサポートする機能以外では、OS バージョンに依存しません。
一部のサイト システムが既に HTTPS である場合、拡張 HTTP を有効にすることはできますか?
はい。 サイト システムは常に PKI 証明書を優先します。 たとえば、1 つの管理ポイントに既に PKI 証明書がありますが、他の管理ポイントにはありません。 サイトで拡張 HTTP を有効にすると、HTTPS 管理ポイントは引き続き PKI 証明書を使用します。 他の管理ポイントは、拡張 HTTP にサイト発行の証明書を使用します。