Configuration Manager でセキュリティを構成する

Configuration Manager (現在のブランチ) に適用

この記事の情報は、Configuration Manager のセキュリティ関連のオプションを設定するのに役立ちます。 開始する前に、 セキュリティのためのプランがあることを確認してください。

クライアント PKI 証明書

インターネット インフォメーション サービス (IIS) を使用するサイト システムへのクライアント接続に公開キー基盤 (PKI) 証明書を使用する場合は、次の手順に従ってこれらの証明書の設定を構成します。

1. Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サイト] ノードを選択します。 構成するプライマリ サイトを選択します。

2. リボンの [プロパティ] を選びます。 次に、[ 通信セキュリティ ] タブに切り替えます。

3. IIS を使用するサイト システムの設定を選択します。

   • HTTPS のみ: サイトに割り当てられているクライアントは、IIS を使用するサイト システムに接続するときに常にクライアント PKI 証明書を使用します。 たとえば、管理ポイントと配布ポイントです。

   • HTTPS または HTTP: クライアントに PKI 証明書を使用する必要はありません。

   • HTTP サイト システムに対して Configuration Manager で生成された証明書を使用する: この設定の詳細については、「拡張 HTTP」を参照してください。

4. クライアント コンピューターの設定を選びます。

   • 使用可能な場合はクライアント PKI 証明書 (クライアント認証機能) を使用する: HTTPS または HTTP サイト サーバー設定を選択した場合、HTTP 接続にクライアント PKI 証明書を使用するには、このオプションを選択します。 クライアントは、自己署名証明書の代わりにこの証明書を使用して、サイト システムに対して自身を認証します。 HTTPS のみを選択した場合、このオプションは自動的に選択されます。

     1 つのクライアントで複数の有効な PKI クライアント証明書を使用できる場合は、[ 変更] を選択してクライアント証明書の選択方法を構成します。 クライアント証明書の選択方法の詳細については、「 PKI クライアント証明書の選択の計画」を参照してください。

   • クライアントがサイト システムの証明書失効リスト (CRL) をチェックする: クライアントがorganizationの CRL で失効した証明書をチェックするように、この設定を有効にします。 クライアントの CRL チェックの詳細については、「 PKI 証明書失効の計画」を参照してください。

5. 信頼されたルート証明機関の証明書をインポート、表示、および削除するには、[ 設定] を選択します。 詳細については、「 PKI の信頼されたルート証明書と証明書発行者リストの計画」を参照してください。

階層内のすべてのプライマリ サイトに対して、この手順を繰り返します。

信頼されたルート キーを管理する

次の手順を使用して、Configuration Manager クライアントの信頼されたルート キーを事前にプロビジョニングし、確認します。

信頼されたルート キーの詳細については、「 セキュリティの計画」を参照してください。

ファイルを使用して、信頼されたルート キーを持つクライアントを事前にプロビジョニングする

1. サイト サーバーで、Configuration Manager のインストール ディレクトリを参照します。 \bin\<platform> サブフォルダー内で、テキスト エディターで次のファイルを開きます。mobileclient.tcf

2. エントリ SMSPublicRootKey を見つけます。 その行から値をコピーし、変更を保存せずにファイルを閉じます。

3. 新しいテキスト・ファイルを作成し、mobileclient.tcf ファイルからコピーしたキー値を貼り付けます。

4. ファイルを、すべてのコンピューターからアクセスできる、かつ改ざんできない場所に保存します。

5. client.msi プロパティを受け入れる任意のインストール方法を使用してクライアントをインストールします。 次のプロパティを指定します。 SMSROOTKEYPATH=<full path and file name>

   重要

   クライアントのインストール時に信頼されたルート キーを指定する場合は、サイト コードも指定します。 次の client.msi プロパティを使用します。 SMSSITECODE=<site code>

ファイルを使用せずに、信頼されたルート キーを使ってクライアントを事前にプロビジョニングする

1. サイト サーバーで、Configuration Manager のインストール ディレクトリを参照します。 \bin\<platform> サブフォルダー内で、テキスト エディターで次のファイルを開きます。mobileclient.tcf

2. エントリ SMSPublicRootKey を見つけます。 その行から値をコピーし、変更を保存せずにファイルを閉じます。

3. client.msi プロパティを受け入れる任意のインストール方法を使用してクライアントをインストールします。 次の client.msi プロパティを指定します。 SMSPublicRootKey=<key> ここで、 <key> は mobileclient.tcf からコピーした文字列です。

   重要

   クライアントのインストール時に信頼されたルート キーを指定する場合は、サイト コードも指定します。 次の client.msi プロパティを使用します。 SMSSITECODE=<site code>

クライアントの信頼されたルート キーを確認する

1. 管理者として Windows PowerShell コンソールを開きます。

2. 次のコマンドを実行します。

   (Get-WmiObject -Namespace root\ccm\locationservices -Class TrustedRootKey).TrustedRootKey
   

返される文字列は、信頼されたルート キーです。 サイト サーバーの mobileclient.tcf ファイルの SMSPublicRootKey 値と一致することを確認します。

信頼されたルート キーを削除または置き換える

client.msi プロパティ RESETKEYINFORMATION = TRUE を使用して、クライアントから信頼されたルート キーを削除します。

信頼されたルート キーを置き換えるには、新しい信頼されたルート キーと一緒にクライアントを再インストールします。 たとえば、クライアント プッシュを使用するか、client.msi プロパティ SMSPublicRootKey を指定します。

これらのインストールプロパティの詳細については、「 クライアントのインストール パラメーターとプロパティについて」を参照してください。

署名と暗号化

サイト内のすべてのクライアントがサポートできるサイト システムの最も安全な署名と暗号化の設定を構成します。 これらの設定は、HTTP 経由で自己署名証明書を使用してクライアントがサイト システムと通信できるようにする場合に特に重要です。

1. Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サイト] ノードを選択します。 構成するプライマリ サイトを選択します。

2. リボンで [プロパティ] を選択し、[ 署名と暗号化 ] タブに切り替えます。

   このタブは、プライマリ サイトでのみ使用できます。 [ 署名と暗号化 ] タブが表示されない場合は、サーバーの全体管理サイトまたはセカンダリ サイトに接続していないことを確認してください。

3. クライアントがサイトと通信するための署名および暗号化のオプションを構成します。

   • 署名が必要: クライアントは、管理ポイントに送信する前にデータに署名します。

   • SHA-256 が必要: クライアントは、データに署名するときに SHA-256 アルゴリズムを使用します。

     警告

     すべてのクライアントがこのハッシュ アルゴリズムをサポートしていることを最初に確認せずに、 SHA-256 は必要 としないでください。 これらのクライアントには、将来サイトに割り当てられる可能性があるクライアントが含まれます。

     このオプションを選択し、自己署名証明書を持つクライアントが SHA-256 をサポートできない場合、Configuration Manager はそれらを拒否します。 SMS_MP_CONTROL_MANAGER コンポーネントは、メッセージ ID 5443 をログに記録します。

   • 暗号化を使用する: クライアントは、管理ポイントに送信する前に、クライアントのインベントリ データと状態メッセージを暗号化します。

階層内のすべてのプライマリ サイトに対して、この手順を繰り返します。

ロールベース管理

ロールベースの管理では、セキュリティ ロール、セキュリティ スコープ、および割り当てられたコレクションを組み合わせて、各管理ユーザーの管理スコープを定義します。 スコープには、ユーザーがコンソールで表示できるオブジェクトと、実行アクセス許可を持つそれらのオブジェクトに関連するタスクが含まれます。 役割ベースの管理構成は、階層内の各サイトに適用されます。

詳細については、「 ロールベースの管理の構成」を参照してください。 この記事では、次のアクションについて詳しく説明します。

• カスタム セキュリティ ロールを作成する

• セキュリティ ロールの構成

• オブジェクトのセキュリティ スコープを構成する

• コレクションを構成してセキュリティを管理する

• 新しい管理ユーザーを作成する

• 管理ユーザーの管理スコープを変更する

アカウントの管理

Configuration Manager は、さまざまなタスクと用途で Windows アカウントをサポートします。 さまざまなタスク用に構成されているアカウントを表示し、Configuration Manager が各アカウントに使用するパスワードを管理するには、次の手順に従います。

1. Configuration Manager コンソールで、[管理] ワークスペースに移動し、[セキュリティ] を展開して、[アカウント] ノードを選択します。

2. アカウントのパスワードを変更するには、一覧からアカウントを選択します。 次に、リボンの [プロパティ] を選びます。

3. [ 設定 ] を選択して [Windows ユーザー アカウント ] ダイアログ ボックスを開きます。 このアカウントに使用する Configuration Manager の新しいパスワードを指定します。

   注:

   指定するパスワードは、Active Directory でのこのアカウントのパスワードと一致する必要があります。

詳細については、「Configuration Manager で使用されるアカウント」を参照してください。

Microsoft Entra ID

Configuration Manager を Microsoft Entra ID と統合して、環境を簡素化してクラウド対応にします。 サイトとクライアントが Microsoft Entra ID を使用して認証できるようにします。

詳細については、「Azure サービスの構成」の「クラウド管理サービス」を参照してください。

SMS プロバイダー認証

管理者が Configuration Manager サイトにアクセスするための最小認証レベルを指定できます。 この機能により、管理者は Configuration Manager にアクセスする前に、必要なレベルで Windows にサインインする必要があります。 詳細については、「 SMS プロバイダー認証の計画」を参照してください。

この設定を構成するには、次の手順に従います。

1. まず、目的の認証レベルを使用して Windows にサインインします。

2. Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サイト] ノードを選択します。

3. リボンの [ 階層設定] を選択します。

4. [ 認証 ] タブに切り替えます。目的の 認証レベルを選択し、[ OK] を選択します。

   • 必要な場合にのみ、[ 追加] を選択して特定のユーザーまたはグループを除外します。 詳細については、「 除外」を参照してください。

除外

[階層設定] の [認証 ] タブから、特定のユーザーまたはグループを除外することもできます。 このオプションは慎重に使用してください。 たとえば、特定のユーザーが Configuration Manager コンソールにアクセスする必要があるが、必要なレベルで Windows に認証できない場合などです。 また、システム アカウントのコンテキストで実行される自動化またはサービスにも必要になる場合があります。

次の手順

• TLS 1.2 を有効にする方法

• 暗号化コントロールのテクニカル リファレンス

• エンドポイント間の通信