構成マネージャーの証明書

Configuration Manager (現在のブランチ) に適用

Configuration Manager では、自己署名証明書と公開キー基盤 (PKI) デジタル証明書を組み合わせて使用します。

可能な限り PKI 証明書を使用します。 詳細については、「 PKI 証明書の要件」を参照してください。 モバイル デバイスの登録中に Configuration Manager が PKI 証明書を要求する場合は、Active Directory Domain Services とエンタープライズ証明機関を使用します。 他のすべての PKI 証明書については、Configuration Manager とは別に展開および管理します。

クライアント コンピューターがインターネット ベースのサイト システムに接続するときは、PKI 証明書が必要です。 クラウド管理ゲートウェイにも証明書が必要です。 詳細については、「 インターネット上のクライアントの管理」を参照してください。

PKI を使用する場合は、IPsec を使用して、サイト内のサイト システム間、サイト間、およびコンピューター間のその他のデータ転送のサーバー間通信をセキュリティで保護することもできます。 IPsec の実装は Configuration Manager から独立しています。

PKI 証明書を使用できない場合、Configuration Manager は自己署名証明書を自動的に生成します。 Configuration Manager の一部の証明書は常に自己署名されます。 ほとんどの場合、自己署名証明書は Configuration Manager によって自動的に管理されるため、別の操作を実行する必要はありません。 一例として、サイト サーバー署名証明書があります。 この証明書は常に自己署名されます。 これにより、クライアントが管理ポイントからダウンロードするポリシーがサイト サーバーから送信され、改ざんされていないことを確認します。 別の例として、拡張 HTTP 用にサイトを有効にすると、サイトはサイト サーバーの役割に自己署名証明書を発行します。

CNG v3 証明書

Configuration Manager では、暗号化: 次世代 (CNG) v3 証明書がサポートされています。 Configuration Manager クライアントは、CNG キー格納プロバイダー (KSP) で秘密キーを持つ PKI クライアント認証証明書を使用できます。 KSP のサポートにより、Configuration Manager クライアントは、PKI クライアント認証証明書用の TPM KSP などのハードウェア ベースの秘密キーをサポートします。

詳細については、「 CNG v3 証明書の概要」を参照してください。

拡張 HTTP

すべての Configuration Manager 通信パスで HTTPS 通信の使用が推奨されますが、PKI 証明書を管理するオーバーヘッドが発生するため、一部のお客様にとっては困難です。 Microsoft Entra 統合の導入により、証明書要件の一部が減りますが、すべてではありません。 代わりに、拡張 HTTP を使用するようにサイトを有効にすることができます。 この構成では、一部のシナリオでは自己署名証明書と Microsoft Entra ID を使用して、サイト システム上の HTTPS がサポートされます。 PKI は必要ありません。

詳細については、「 拡張 HTTP」を参照してください。

CMG の証明書

クラウド管理ゲートウェイ (CMG) を介してインターネット上のクライアントを管理するには、証明書を使用する必要があります。 証明書の数と種類は、特定のシナリオによって異なります。

詳細については、「 CMG のセットアップ チェックリスト」を参照してください。

サイト サーバー署名証明書

サイト サーバーは常に自己署名証明書を作成します。 この証明書は複数の目的に使用されます。

クライアントは、Active Directory Domain Services およびクライアント プッシュ インストールから、サイト サーバー署名証明書のコピーを安全に取得できます。 クライアントがこれらのメカニズムのいずれかでこの証明書のコピーを取得できない場合は、クライアントをインストールするときにインストールします。 このプロセスは、クライアントとサイトの最初の通信がインターネットベースの管理ポイントと行われる場合に特に重要です。 このサーバーは信頼されていないネットワークに接続されているため、攻撃に対してより脆弱です。 この他の手順を実行しないと、クライアントは管理ポイントからサイト サーバー署名証明書のコピーを自動的にダウンロードします。

次のシナリオでは、クライアントはサイト サーバー証明書のコピーを安全に取得できません。

• クライアント プッシュを使用してクライアントをインストールするのではなく、次の手順を実行します。

  • Configuration Manager の Active Directory スキーマを拡張していません。

  • クライアントのサイトが Active Directory Domain Services に公開されていません。

  • クライアントは、信頼されていないフォレストまたはワークグループからのものです。

• インターネットベースのクライアント管理を使用していて、クライアントがインターネット上にあるときにクライアントをインストールします。

サイト サーバー署名証明書のコピーを使用してクライアントをインストールする方法の詳細については、 SMSSIGNCERT コマンド ライン プロパティを使用してください。 詳細については、「 クライアントのインストール パラメーターとプロパティについて」を参照してください。

ハードウェアに紐付けられたキー ストレージ プロバイダー

Configuration Manager は、クライアント ID に自己署名証明書を使用し、クライアント システムとサイト システム間の通信を保護します。 サイトとクライアントをバージョン 2107 以降に更新すると、クライアントはサイトからの証明書をハードウェア バインド キー ストレージ プロバイダー (KSP) に格納します。 この KSP は、通常、バージョン 2.0 以上のトラステッド プラットフォーム モジュール (TPM) です。 また、証明書はエクスポート不可としてマークされます。

クライアントにも PKI ベースの証明書がある場合、クライアントはその証明書を TLS HTTPS 通信に引き続き使用します。 自己署名証明書を使用して、サイトとのメッセージに署名します。 詳細については、「 PKI 証明書の要件」を参照してください。

バージョン 2107 以降に更新すると、PKI 証明書を持つクライアントは自己署名証明書を再作成しますが、サイトへの再登録は行われません。 PKI 証明書を持たないクライアントはサイトに再登録され、サイトで余分な処理が発生する可能性があります。 クライアントを更新するプロセスでランダム化が可能であることを確認してください。 多数のクライアントを同時に更新すると、サイト サーバーでバックログが発生する可能性があります。

Configuration Manager は、既知の脆弱な TPM を使用しません。 たとえば、TPM のバージョンが 2.0 より前である。 デバイスに脆弱な TPM がある場合、クライアントはソフトウェア ベースの KSP の使用にフォールバックします。 証明書は引き続きエクスポートできません。

OS 展開メディアはハードウェアに紐付けられた証明書を使用せず、サイトからの自己署名証明書を引き続き使用します。 本体を持つデバイス上でメディアを作成しますが、その後のメディアは任意のクライアントで実行できます。

証明書の動作をトラブルシューティングするには、クライアントで CertificateMaintenance.log を使用します。

次の手順

• Configuration Manager での PKI 証明書の計画

• セキュリティを構成する

• 暗号化コントロールのテクニカル リファレンス