Configuration Manager (現在のブランチ) に適用
Configuration Manager は、署名と暗号化を使用して、Configuration Manager 階層内のデバイスの管理を保護します。 署名では、転送中にデータが変更された場合、破棄されます。 暗号化は、攻撃者がネットワーク プロトコル アナライザーを使用してデータを読み取ることを防ぐのに役立ちます。
Configuration Manager が署名に使用する主なハッシュ アルゴリズムは SHA-256 です。 2 つの Configuration Manager サイトが相互に通信するときに、SHA-256 で通信に署名します。
バージョン 2107 以降、Configuration Manager で使用される主要な暗号化アルゴリズムは AES-256 です。 暗号化は主に次の 2 つの領域で発生します。
サイトで [暗号化を使用する] を有効にした場合、クライアントは管理ポイントに送信するインベントリ データと状態メッセージを暗号化します。
クライアントがシークレット ポリシーをダウンロードすると、管理ポイントは常にこれらのポリシーを暗号化します。 たとえば、パスワードを含む OS 展開タスク シーケンスです。
注:
HTTPS 通信を構成すると、これらのメッセージは 2 回暗号化されます。 メッセージは AES で暗号化され、HTTPS トランスポートは AES-256 で暗号化されます。
HTTPS 経由でのクライアント通信を使用する場合は、最大のハッシュ アルゴリズムと最大のキー長を持つ証明書を使用するように公開キー基盤 (PKI) を構成します。 CNG v3 証明書を使用する場合、Configuration Manager クライアントは RSA 暗号化アルゴリズムを使用する証明書のみをサポートします。 詳細については、「 PKI 証明書の要件 」と 「CNG v3 証明書の概要」を参照してください。
トランスポート セキュリティのために、TLS を使用するものはすべて AES-256 をサポートします。 このサポートは、 拡張 HTTP (E-HTTP) または HTTPS 用にサイトを構成する場合に適用されます。 オンプレミス サイト システムの場合は、TLS 暗号スイートを制御できます。 クラウド管理ゲートウェイ (CMG) などのクラウドベースのロールの場合、TLS 1.2 を有効にすると、Configuration Manager によって暗号スイートが構成されます。
Windows ベースのオペレーティング システムでのほとんどの暗号化操作では、Configuration Manager は Windows CryptoAPI ライブラリ rsaenh.dll からこれらのアルゴリズムを使用します。
特定の機能の詳細については、「 サイト操作」を参照してください。
サイト運営
Configuration Manager の情報は、署名および暗号化できます。 PKI 証明書の有無にかかわらず、これらの操作がサポートされます。
ポリシーの署名と暗号化
サイトは、自己署名証明書を使用してクライアント ポリシーの割り当てに署名します。 この動作は、侵害された管理ポイントのセキュリティ リスクが改ざんされたポリシーを送信するのを防ぐのに役立ちます。 インターネット ベースのクライアント管理を使用する場合、インターネットに接続する管理ポイントが必要であるため、この動作は重要です。
ポリシーに機密データが含まれている場合、バージョン 2107 以降では、管理ポイントはそれを AES-256 で暗号化します。 機密データを含むポリシーは、承認されたクライアントにのみ送信されます。 サイトは、機密データを含まないポリシーを暗号化しません。
クライアントは、ポリシーを格納するときに、Windows データ保護アプリケーション プログラミング インターフェイス (DPAPI) を使用してポリシーを暗号化します。
ポリシー ハッシュ
クライアントはポリシーを要求すると、最初にポリシーの割り当てを取得します。 その後、どのポリシーが適用されるかがわかり、それらのポリシー本文のみを要求できます。 各ポリシー割り当てには、対応するポリシー本文の計算されたハッシュが含まれます。 クライアントは、適用可能なポリシー本文をダウンロードし、各ポリシー本文のハッシュを計算します。 ポリシー本文のハッシュがポリシー割り当てのハッシュと一致しない場合、クライアントはポリシー本文を破棄します。
ポリシーのハッシュ アルゴリズムは SHA-256 です。
コンテンツ ハッシュ
サイト サーバー上の配布マネージャー サービスは、すべてのパッケージのコンテンツ ファイルをハッシュします。 ポリシー プロバイダーは、ソフトウェア配布ポリシーにハッシュを含めます。 Configuration Manager クライアントがコンテンツをダウンロードすると、クライアントはハッシュをローカルで再生成し、ポリシーで指定されたものと比較します。 ハッシュが一致する場合、コンテンツは変更されず、クライアントによってインストールされます。 コンテンツの 1 バイトが変更された場合、ハッシュは一致しないため、クライアントはソフトウェアをインストールしません。 このチェックは、実際のコンテンツがポリシーと比較されるため、正しいソフトウェアがインストールされていることを確認するのに役立ちます。
コンテンツの既定のハッシュ アルゴリズムは SHA-256 です。
すべてのデバイスでコンテンツ ハッシュをサポートできるわけではありません。 例外は次のとおりです。
- App-V コンテンツをストリーミングする Windows クライアント。
インベントリの署名と暗号化
クライアントがハードウェアまたはソフトウェアのインベントリを管理ポイントに送信するときは、常にインベントリに署名します。 クライアントが E-HTTP または HTTPS 経由で管理ポイントと通信するかどうかは関係ありません。 E-HTTP を使用している場合は、このデータを暗号化することも選択できます。これは推奨されます。
状態移行の暗号化
タスク シーケンスが OS 展開用にクライアントからデータをキャプチャするときは、常にデータが暗号化されます。 バージョン 2103 以降では、タスク シーケンスは AES-256 暗号化アルゴリズムを使用してユーザー状態移行ツール (USMT) を実行します。
マルチキャスト パッケージの暗号化
すべての OS 展開パッケージについて、マルチキャストを使用するときに暗号化を有効にすることができます。 この暗号化では、 AES-256 アルゴリズムが使用されます。 暗号化を有効にした場合、他の証明書を構成する必要はありません。 マルチキャスト対応の配布ポイントは、パッケージを暗号化するための対称キーを自動的に生成します。 各パッケージには異なる暗号化キーがあります。 キーは、標準の Windows API を使用してマルチキャスト対応の配布ポイントに保存されます。
クライアントがマルチキャスト セッションに接続すると、キー交換は暗号化されたチャネルを介して行われます。 クライアントが HTTPS を使用する場合は、PKI 発行のクライアント認証証明書を使用します。 クライアントが E-HTTP を使用する場合は、自己署名証明書を使用します。 クライアントは、マルチキャスト セッション中にのみ暗号化キーをメモリに格納します。
OS 展開メディアの暗号化
メディアを使用してオペレーティング システムを展開するときは、メディアを保護するために常にパスワードを指定する必要があります。 パスワードを使用すると、タスク シーケンスの環境変数が AES-128 で暗号化されます。 パッケージやアプリケーションのコンテンツなど、メディア上のその他のデータは暗号化されません。
クラウドベースのコンテンツの暗号化
クラウド管理ゲートウェイ (CMG) を有効にしてコンテンツを格納すると、コンテンツは AES-256 で暗号化されます。 コンテンツは、更新するたびに暗号化されます。 クライアントがコンテンツをダウンロードすると、HTTPS 接続によって暗号化および保護されます。
ソフトウェア更新プログラムへのサインイン
改ざんを防ぐために、すべてのソフトウェア更新プログラムには信頼できる発行元によって署名されている必要があります。 クライアント コンピューターでは、Windows Update エージェント (WUA) がカタログから更新プログラムをスキャンします。 ローカル コンピューター上の信頼された発行元ストアでデジタル証明書が見つからない場合、更新プログラムはインストールされません。
System Center Updates Publisher を使用してソフトウェア更新プログラムを発行すると、デジタル証明書がソフトウェア更新プログラムに署名されます。 PKI 証明書を指定するか、ソフトウェア更新プログラムに署名する自己署名証明書を生成するように Updates Publisher を構成することができます。 WSUS Publishers の自己署名などの自己署名証明書を使用して更新プログラム カタログを公開する場合は、証明書がローカル コンピューター上の信頼されたルート証明機関の証明書ストアに存在している必要もあります。 WUA は、ローカル コンピューターで [ イントラネットの Microsoft 更新サービスの場所から署名済みコンテンツを許可 する] グループ ポリシー設定が有効になっているかどうかも確認します。 WUA が System Center Updates Publisher を使用して作成および発行された更新プログラムをスキャンするには、このポリシー設定を有効にする必要があります。
コンプライアンス設定の署名済み構成データ
構成データをインポートすると、Configuration Manager はファイルのデジタル署名を確認します。 ファイルに署名されていない場合、または署名チェックが失敗した場合は、インポートを続行するように警告されます。 発行元とファイルの整合性を明示的に信頼している場合にのみ、構成データをインポートします。
クライアント通知の暗号化とハッシュ
クライアント通知を使用する場合、すべての通信では TLS と、サーバーとクライアントがネゴシエートできる最高のアルゴリズムが使用されます。 クライアント通知中に転送されるパケットのハッシュについても同じネゴシエーションが行われます。 SHA-2 が使用されます。
証明書
Configuration Manager で使用できる公開キー基盤 (PKI) 証明書の一覧、特別な要件や制約事項、および証明書の使用方法については、「PKI 証明書の要件」を参照してください。 この一覧には、サポートされているハッシュ アルゴリズムとキーの長さが含まれています。 ほとんどの証明書は、 SHA-256 および 2048 ビットのキー長をサポートします。
証明書を使用するほとんどの Configuration Manager 操作では、v3 証明書もサポートされています。 詳細については、「 CNG v3 証明書の概要」を参照してください。
注:
Configuration Manager で使用するすべての証明書のサブジェクト名またはサブジェクト別名には、1 バイト文字のみが含まれる必要があります。
Configuration Manager では、次のシナリオで PKI 証明書が必要です。
インターネット上で Configuration Manager クライアントを管理する場合
クラウド管理ゲートウェイ (CMG) を使用する場合
認証、署名、または暗号化に証明書を必要とする他のほとんどの通信では、Configuration Manager では PKI 証明書が使用可能な場合は、自動的に使用されます。 これらが利用できない場合、Configuration Manager は自己署名証明書を生成します。
モバイル デバイス管理と PKI 証明書
注:
2021 年 11 月以降、モバイル デバイス管理は非推奨になりました。この役割をアンインストールすることをお勧めします。
OS の展開と PKI 証明書
Configuration Manager を使用してオペレーティング システムを展開し、管理ポイントで HTTPS クライアント接続が必要な場合、クライアントが管理ポイントと通信するには証明書が必要です。 この要件は、クライアントがタスク シーケンス メディアや PXE 対応の配布ポイントからの起動などの移行フェーズにある場合でも同様です。 このシナリオをサポートするには、PKI クライアント認証証明書を作成し、秘密キーを使用してエクスポートします。 次に、サイト サーバー プロパティにインポートし、管理ポイントの信頼されたルート CA 証明書も追加します。
起動可能なメディアを作成する場合は、起動可能なメディアの作成時にクライアント認証証明書をインポートします。 タスク シーケンスで構成された秘密キーなどの機密データを保護するために、起動可能なメディアでパスワードを構成します。 起動可能なメディアから起動するすべてのコンピューターは、クライアント ポリシーの要求などのクライアント機能に必要な管理ポイントと同じ証明書を使用します。
PXE を使用する場合は、クライアント認証証明書を PXE 対応の配布ポイントにインポートします。 PXE 対応の配布ポイントから起動するすべてのクライアントに同じ証明書を使用します。 タスク シーケンスで秘密キーやその他の機密データを保護するために、PXE のパスワードが必要です。
これらのクライアント認証証明書のいずれかが侵害されている場合は、[管理] ワークスペースのセキュリティ ノードの [証明書] ノードで証明書をブロックします。 これらの証明書を管理するには、 オペレーティング システム展開証明書を管理するためのアクセス許可が必要です。
Configuration Manager が OS を展開した後、クライアントは、HTTPS クライアント通信のために独自の PKI クライアント認証証明書を必要とします。
ISV プロキシ ソリューションと PKI 証明書
独立系ソフトウェア ベンダー (ISV) は、Configuration Manager を拡張するアプリケーションを作成できます。 たとえば、ISV は Windows 以外のクライアント プラットフォームをサポートする拡張機能を作成できます。 ただし、サイト システムで HTTPS クライアント接続が必要な場合は、これらのクライアントもサイトとの通信に PKI 証明書を使用する必要があります。 Configuration Manager には、ISV プロキシ クライアントと管理ポイント間の通信を可能にする証明書を ISV プロキシに割り当てる機能が含まれています。 ISV プロキシ証明書を必要とする拡張機能を使用する場合は、その製品のドキュメントを参照してください。
ISV 証明書が侵害された場合は、[管理] ワークスペースの [セキュリティ] ノードの [証明書] ノードで証明書をブロックします。
ISV プロキシ証明書の GUID をコピーする
バージョン 2111 以降では、これらの ISV プロキシ証明書の管理を簡略化するために、Configuration Manager コンソールでその GUID をコピーできるようになりました。
Configuration Manager コンソールで、[管理] ワークスペースに移動します。
[ セキュリティ] を展開し、[ 証明書] ノードを選択します。
証明書のリストを [ 種類 ] 列で並べ替えます。
ISV プロキシの種類の証明書を選択します。
リボンで、[ 証明書 GUID のコピー] を選択します。
このアクションでは、この証明書の GUID がコピーされます。次に例を示します。 aa05bf38-5cd6-43ea-ac61-ab101f943987
資産インテリジェンスと証明書
注:
2021 年 11 月以降、資産インテリジェンスは非推奨になりました。この役割をアンインストールすることをお勧めします。
Azure サービスと証明書
クラウド管理ゲートウェイ (CMG) には、サーバー認証証明書が必要です。 これらの証明書を使用すると、サービスはインターネット経由でクライアントに HTTPS 通信を提供できます。 詳細については、「 CMG サーバー認証証明書」を参照してください。
クライアントが CMG およびオンプレミス管理ポイントと通信するために、別の種類の認証を必要とします。 Microsoft Entra ID、PKI 証明書、またはサイト トークンを使用できます。 詳しくは、 クラウド管理ゲートウェイのクライアント認証の構成を参照してください。
クライアントでは、クラウドベースのストレージを使用するためにクライアント PKI 証明書は必要ありません。 管理ポイントに対して認証した後、管理ポイントは Configuration Manager アクセス トークンをクライアントに発行します。 クライアントは、コンテンツにアクセスするためにこのトークンを CMG に提示します。 トークンは 8 時間有効です。
PKI 証明書の CRL チェック
PKI 証明書失効リスト (CRL) を使用すると、全体的なセキュリティが向上しますが、いくらかの管理オーバーヘッドと処理オーバーヘッドが必要になります。 CRL チェックを有効にしても、クライアントが CRL にアクセスできない場合、PKI 接続は失敗します。
IIS では CRL チェックが既定で有効になっています。 PKI 展開で CRL を使用する場合は、IIS を実行するほとんどのサイト システムを構成する必要はありません。 ただし、ソフトウェア更新プログラムの場合は例外で、CRL チェックを有効にしてソフトウェア更新プログラム ファイルの署名を確認するには手動の手順が必要です。
クライアントが HTTPS を使用する場合、CRL チェックは既定で有効になります。
次の接続では、Configuration Manager での CRL チェックはサポートされません。
- サーバー間接続
サーバー通信
Configuration Manager は、サーバー通信に次の暗号化制御を使用します。
サイト内のサーバー通信
各サイト システム サーバーは、証明書を使用して、同じ Configuration Manager サイト内の他のサイト システムにデータを転送します。 一部のサイト システムの役割では、認証に証明書も使用します。 たとえば、登録プロキシ ポイントを 1 つのサーバーにインストールし、登録ポイントを別のサーバーにインストールすると、この ID 証明書を使用して相互に認証できます。
Configuration Manager がこの通信に証明書を使用する場合、サーバー認証機能で使用できる PKI 証明書がある場合は、Configuration Manager がそれを自動的に使用します。 それ以外の場合、Configuration Manager は自己署名証明書を生成します。 この自己署名証明書にはサーバー認証機能があり、SHA-256 を使用し、キー長は 2048 ビットです。 Configuration Manager は、サイト システムを信頼する必要がある可能性がある他のサイト システム サーバー上の Trusted People ストアに証明書をコピーします。 その後、サイト システムはこれらの証明書と PeerTrust を使用して相互に信頼することができます。
サイト システム サーバーごとにこの証明書に加えて、Configuration Manager はほとんどのサイト システムの役割に対して自己署名証明書を生成します。 同じサイト内にサイト システムの役割のインスタンスが複数ある場合、それらは同じ証明書を共有します。 たとえば、同じサイトに複数の管理ポイントがある場合があります。 この自己署名証明書は SHA-256 を使用し、キー長は 2048 ビットです。 信頼する必要がある可能性があるサイト システム サーバー上の Trusted People Store にコピーされます。 次のサイト システムの役割によって、この証明書が生成されます。
資産インテリジェンス同期ポイント
Endpoint Protection ポイント
フォールバック ステータス ポイント
管理ポイント
マルチキャスト対応の配布ポイント
レポート サービス ポイント
ソフトウェアの更新ポイント
状態移行ポイント
Configuration Manager は、これらの証明書を自動的に生成して管理します。
配布ポイントから管理ポイントにステータス メッセージを送信するために、Configuration Manager はクライアント認証証明書を使用します。 HTTPS 用に管理ポイントを構成する場合、PKI 証明書が必要です。 管理ポイントが E-HTTP 接続を受け入れる場合は、PKI 証明書を使用できます。 また、クライアント認証機能を備えた自己署名証明書を使用することもできます。SHA-256 を使用し、キー長は 2048 ビットです。
サイト間のサーバー通信
Configuration Manager は、データベース レプリケーションとファイル ベースのレプリケーションを使用して、サイト間でデータを転送します。 詳細については、「 サイト間のデータ転送 」および 「エンドポイント間の通信」を参照してください。
Configuration Manager によって、サイト間のデータベース レプリケーションが自動的に構成されます。 使用可能な場合は、サーバー認証機能を備えた PKI 証明書を使用します。 利用できない場合、Configuration Manager はサーバー認証用に自己署名証明書を作成します。 どちらの場合も、PeerTrust を使用する Trusted People ストア内の証明書を使用してサイト間の認証を行います。 この証明書ストアを使用して、Configuration Manager 階層 SQL Server のみがサイト間レプリケーションに参加することを確認します。
サイト サーバーは、自動的に行われる安全なキー交換を使用して、サイト間の通信を確立します。 送信側サイト サーバーはハッシュを生成し、秘密キーで署名します。 受信側のサイト サーバーは、公開キーを使用して署名を確認し、ハッシュとローカルで生成された値を比較します。 それらが一致する場合、受信サイトはレプリケートされたデータを受け入れます。 値が一致しない場合、Configuration Manager はレプリケーション データを拒否します。
Configuration Manager のデータベース レプリケーションでは、SQL Server Service Broker を使用してサイト間でデータを転送します。 以下のメカニズムを使用します。
SQL Server から SQL Server: この接続では、サーバー認証に Windows 資格情報が使用され、AES アルゴリズムでデータに署名および暗号化される 1024 ビットの自己署名証明書が使用されます。 使用可能な場合は、サーバー認証機能を備えた PKI 証明書を使用します。 コンピューターの個人用証明書ストア内の証明書のみを使用します。
SQL Service Broker: このサービスは、認証に 2048 ビットの自己署名証明書を使用し、AES アルゴリズムでデータに署名および暗号化します。 SQL Server マスター データベース内の証明書のみを使用します。
ファイル ベースのレプリケーションでは、サーバー メッセージ ブロック (SMB) プロトコルが使用されます。 SHA-256 を使用して、暗号化されておらず、機密データを含まないデータに署名します。 このデータを暗号化するには、Configuration Manager とは別に実装する IPsec を使用します。
HTTPS を使用するクライアント
サイト システムの役割がクライアント接続を受け入れる場合は、HTTPS 接続と HTTP 接続を受け入れるか、HTTPS 接続のみを受け入れるように構成できます。 インターネットからの接続を受け入れるサイト システムの役割は、HTTPS 経由のクライアント接続のみを受け入れます。
HTTPS 経由のクライアント接続では、公開キー基盤 (PKI) と統合してクライアントとサーバー間の通信を保護することにより、より高いレベルのセキュリティを提供します。 ただし、PKI の計画、展開、運用を十分に理解せずに HTTPS クライアント接続を構成すると、脆弱なままになる可能性があります。 たとえば、ルート証明機関 (CA) をセキュリティで保護していない場合、攻撃者は PKI インフラストラクチャ全体の信頼を危険にさらす可能性があります。 制御されたセキュリティで保護されたプロセスを使用して PKI 証明書を展開および管理できない場合、管理対象外のクライアントが重要なソフトウェア更新プログラムやパッケージを受信できない場合があります。
重要
Configuration Manager がクライアント通信に使用する PKI 証明書は、クライアントと一部のサイト システム間の通信のみを保護します。 サイト サーバーとサイト システム間またはサイト サーバー間の通信チャネルは保護されません。
クライアントが HTTPS を使用する場合の暗号化されていない通信
クライアントが HTTPS 経由でサイト システムと通信する場合、ほとんどのトラフィックは暗号化されます。 次の状況では、クライアントは暗号化を使用せずにサイト システムと通信します。
クライアントはイントラネットで HTTPS 接続の確立に失敗し、サイト システムでこの構成が許可されている場合に HTTP の使用にフォールバックします。
次のサイト システムの役割への通信:
クライアントはフォールバック ステータス ポイントに状態メッセージを送信します。
クライアントは、PXE 対応の配布ポイントに PXE 要求を送信します。
クライアントは管理ポイントに通知データを送信します。
HTTP または HTTPS を使用するようにレポート サービス ポイントをクライアント通信モードとは別に構成します。
E-HTTP を使用するクライアント
クライアントがサイト システムの役割に対して E-HTTP 通信を使用する場合は、クライアント認証に PKI 証明書を使用するか、Configuration Manager が生成する自己署名証明書を使用できます。 Configuration Manager が自己署名証明書を生成すると、署名および暗号化のためのカスタム オブジェクト識別子が用意されます。 これらの証明書は、クライアントを一意に識別するために使用されます。 これらの自己署名証明書は SHA-256 を使用し、キー長は 2048 ビットです。
OS のデプロイと自己署名証明書
Configuration Manager を使用して自己署名証明書でオペレーティング システムを展開する場合、クライアントには管理ポイントと通信するための証明書も必要です。 この要件は、コンピューターがタスク シーケンス メディアや PXE 対応の配布ポイントからの起動などの移行段階にある場合でも同様です。 E-HTTP クライアント接続でこのシナリオをサポートするために、Configuration Manager は、署名および暗号化用のカスタム オブジェクト識別子を持つ自己署名証明書を生成します。 これらの証明書は、クライアントを一意に識別するために使用されます。 これらの自己署名証明書は SHA-256 を使用し、キー長は 2048 ビットです。 これらの自己署名証明書が侵害されている場合は、攻撃者が信頼されたクライアントになりすますために使用できないようにします。 [管理] ワークスペースの [セキュリティ] ノードの [証明書] ノードで証明書をブロックします。
クライアント サーバー認証
クライアントが E-HTTP 経由で接続する場合、Active Directory Domain Services または Configuration Manager の信頼されたルート キーを使用して、管理ポイントを認証します。 クライアントは、状態移行ポイントやソフトウェア更新ポイントなど、他のサイト システムの役割を認証しません。
管理ポイントが自己署名クライアント証明書を使用してクライアントを最初に認証する場合、どのコンピューターでも自己署名証明書を生成できるため、このメカニズムでは最小限のセキュリティしか提供されません。 クライアントの承認を使用して、このプロセスを強化します。 Configuration Manager によって自動的に、または管理者ユーザーによって手動で、信頼されたコンピューターのみを承認します。 詳細については、「 クライアントの管理」を参照してください。
SSL の脆弱性について
Configuration Manager クライアントとサーバーのセキュリティを向上させるには、次のアクションを実行します。
すべてのデバイスとサービスで TLS 1.2 を有効にします。 Configuration Manager で TLS 1.2 を有効にするには、「Configuration Manager で TLS 1.2 を有効にする方法」を参照してください。
SSL 3.0、TLS 1.0、および TLS 1.1 を無効にします。
TLS 関連の暗号スイートを並べ替えます。
詳細については、次の記事を参照してください。
これらの手順は、Configuration Manager の機能には影響しません。
注:
Updates to Configuration Manager は、暗号スイートの要件を持つ Azure コンテンツ配信ネットワーク (CDN) からダウンロードします。 詳細については、「Azure Front Door: TLS 構成に関する FAQ」を参照してください。