Configuration Manager での PKI 証明書の計画

Configuration Manager (現在のブランチ) に適用

Configuration Manager では、公開キー基盤 (PKI) ベースのデジタル証明書が利用可能な場合、使用します。 セキュリティを強化するためにこれらの証明書を使用することをお勧めしますが、ほとんどのシナリオでは必須ではありません。 これらの証明書は、Configuration Manager とは別に展開および管理する必要があります。

この記事では、実装の計画に役立つ Configuration Manager の PKI 証明書に関する情報を提供します。 Configuration Manager での証明書の使用に関する一般的な情報については、「Configuration Manager の証明書」を参照してください。

PKI 証明書の失効

Configuration Manager で PKI 証明書を使用する場合は、証明書失効リスト (CRL) の使用を計画します。 デバイスは、CRL を使用して、接続しているコンピューター上の証明書を確認します。 CRL は、証明機関 (CA) が作成して署名するファイルです。 CA が発行したが失効した証明書の一覧が含まれています。 証明書管理者が証明書を取り消すと、その拇印が CRL に追加されます。 たとえば、発行された証明書が侵害されていることがわかっているか、侵害されている疑いがある場合です。

IIS は常に CRL でクライアント証明書を確認します。Configuration Manager でこの構成を変更することはできません。 既定では、Configuration Manager クライアントは常にサイト システムの CRL をチェックします。 サイト プロパティと CCMSetup プロパティを指定することによって、この設定を無効にします。

証明書失効チェックを使用しているが CRL を見つけることができないコンピューターは、証明書チェーン内のすべての証明書が失効されたかのように動作します。 この動作は、証明書が証明書失効リストに含まれているかどうかを確認できないために発生します。 このシナリオでは、証明書が必要で CRL チェックを含むすべての接続が失敗します。 HTTP の場所を参照して CRL にアクセスできることを検証する場合は、Configuration Manager クライアントがローカル システムとして実行されることに注意することが重要です。 ユーザー コンテキストで Web ブラウザーを使用した CRL アクセシビリティのテストは成功する場合がありますが、同じ CRL URL に HTTP 接続を試みると、コンピューター アカウントがブロックされる可能性があります。 たとえば、プロキシなどの内部 Web フィルター ソリューションのためにブロックされる可能性があります。 CRL URL を、任意の Web フィルタリング ソリューションの承認済みリストに追加します。

証明書が使用されるたびに CRL を確認すると、失効された証明書の使用に対するセキュリティが強化されます。 接続の遅延が発生し、クライアントでの処理が増えます。 organization では、インターネットまたは信頼されていないネットワーク上のクライアントに対して、このセキュリティ チェックが必要になる場合があります。

Configuration Manager クライアントが CRL をチェックする必要があるかどうかを判断する前に、PKI 管理者に問い合わせてください。 次の両方の条件に当てはまる場合は、Configuration Manager でこのオプションを有効にしておくことを検討してください。

• PKI インフラストラクチャは CRL をサポートしており、すべての Configuration Manager クライアントが見つけることができる場所に公開されます。 これらのクライアントには、インターネット上のデバイスや信頼されていないフォレスト内のデバイスが含まれる場合があります。

• PKI 証明書を使用するように構成されたサイト システムへの接続ごとに CRL をチェックする要件は、次の要件よりも大きくなります。

  • より高速な接続
  • クライアントでの効率的な処理
  • クライアントが CRL を見つけられない場合にサーバーへの接続に失敗するリスク

PKI の信頼されたルート証明書

IIS サイト システムが HTTP 経由のクライアント認証、または HTTPS 経由のクライアント認証と暗号化に PKI クライアント証明書を使用している場合は、ルート CA 証明書をサイト プロパティとしてインポートする必要がある場合があります。 次の 2 つのシナリオがあります。

• Configuration Manager を使用してオペレーティング システムを展開しますが、管理ポイントは HTTPS クライアント接続のみを受け入れます。

• 管理ポイントが信頼するルート証明書にチェーンしない PKI クライアント証明書を使用します。

  注:

  管理ポイントに使用するサーバー証明書を発行するのと同じ CA 階層からクライアント PKI 証明書を発行する場合、このルート CA 証明書を指定する必要はありません。 ただし、複数の CA 階層を使用し、それらが相互に信頼しているかどうかがわからない場合は、クライアントの CA 階層のルート CA をインポートします。

Configuration Manager 用にルート CA 証明書をインポートする必要がある場合は、発行元の CA またはクライアント コンピューターからエクスポートします。 ルート CA でもある発行元 CA から証明書をエクスポートする場合は、秘密キーをエクスポートしないでください。 エクスポートした証明書ファイルは、改ざんを防ぐために安全な場所に保存します。 サイトをセットアップするときにファイルにアクセスする必要があります。 ネットワーク経由でファイルにアクセスする場合は、IPsec を使用して通信が改ざんされないように保護する必要があります。

インポートするルート CA 証明書が更新されている場合は、更新された証明書をインポートします。

これらのインポートされたルート CA 証明書と各管理ポイントのルート CA 証明書により、証明書発行者の一覧が作成されます。 Configuration Manager コンピューターは、この一覧を次の方法で使用します。

• クライアントが管理ポイントに接続すると、管理ポイントは、クライアント証明書がサイトの証明書発行者リスト内の信頼されたルート証明書にチェーンされていることを確認します。 そうでない場合、証明書は拒否され、PKI 接続は失敗します。

• クライアントが PKI 証明書を選択し、証明書発行者の一覧を持つ場合、証明書発行者の一覧内の信頼されたルート証明書にチェーンする証明書を選択します。 一致するものがない場合、クライアントは PKI 証明書を選択しません。 詳細については、「 PKI クライアント証明書の選択」を参照してください。

PKI クライアント証明書の選択

IIS サイト システムが HTTP 経由のクライアント認証または HTTPS 経由のクライアント認証と暗号化に PKI クライアント証明書を使用している場合は、Windows クライアントが Configuration Manager に使用する証明書を選択する方法を計画します。

多くの場合、既定の構成と動作で十分です。 Windows コンピューター上の Configuration Manager クライアントは、次の順序で条件を使用して複数の証明書をフィルター処理します。

1. 証明書発行者の一覧: 証明書は、管理ポイントによって信頼されているルート CA にチェーンされます。

2. 証明書は、 個人用の既定の証明書ストアにあります。

3. 証明書は有効で、失効しておらず、期限切れになっていません。 検証チェックでは、秘密キーにアクセスできることも確認します。

4. 証明書にはクライアント認証機能があります。

5. 証明書のサブジェクト名には、ローカル コンピューター名が部分文字列として含まれます。

6. 証明書の有効期間が最も長い。

次のメカニズムを使用して、証明書発行者の一覧を使用するようにクライアントを構成します。

• Configuration Manager サイト情報と共に Active Directory Domain Services に発行します。

• クライアント プッシュを使用してクライアントをインストールします。

• クライアントは、 サイトに正常に割り当てられた後、管理ポイントからそれをダウンロードします。

• これは、クライアントのインストール時に CCMCERTISSUERS の CCMSetup client.msi プロパティとして指定します。

クライアントに最初のインストール時に証明書発行者の一覧がなく、まだサイトに割り当てられていない場合、このチェックはスキップされます。 クライアントに証明書発行者リストがあり、証明書発行者リスト内の信頼されたルート証明書にチェーンする PKI 証明書がない場合、証明書の選択は失敗します。 クライアントが他の証明書選択条件を続行しません。

ほとんどの場合、Configuration Manager クライアントは一意で適切な PKI 証明書を正しく識別します。 この動作が該当しない場合は、クライアント認証機能に基づいて証明書を選択する代わりに、次の 2 つの代替選択方法を設定できます。

• クライアント証明書のサブジェクト名で文字列の部分的な一致。 このメソッドでは、大文字と小文字は区別されません。 サブジェクト フィールドでコンピューターの完全修飾ドメイン名 (FQDN) を使用していて、証明書の選択にドメイン サフィックス ( contoso.com など) に基づいて行う場合に適しています。 この選択方法を使用して、証明書のサブジェクト名に含まれる、クライアント証明書ストア内の他の証明書と区別するための連続した文字列を識別できます。

  注:

  部分的な文字列一致をサブジェクト代替名 (SAN) とサイト設定として使用することはできません。 CCMSetup を使用して SAN に部分的な文字列一致を指定できますが、次のシナリオではサイト プロパティによって上書きされます。

  • クライアントは、Active Directory Domain Services に公開されているサイト情報を取得します。
  • クライアントは、クライアント プッシュ インストールを使用してインストールされます。

  SAN で文字列の部分一致を使用するのは、クライアントを手動でインストールする場合、およびクライアントが Active Directory Domain Services からサイト情報を取得しない場合にのみです。 たとえば、これらの条件はインターネット専用クライアントに適用されます。

• クライアント証明書のサブジェクト名属性値またはサブジェクト代替名 (SAN) 属性値が一致する。 このメソッドでは、大文字と小文字が区別されます。 RFC 3280 に準拠した X500 識別名または同等のオブジェクト識別子 (OID) を使用していて、属性値に基づいて証明書を選択する場合に適しています。 証明書を一意に識別または検証し、証明書ストア内の他の証明書と区別するために必要な属性とその値のみを指定できます。

次の表に、クライアント証明書の選択条件に対して Configuration Manager がサポートする属性値を示します。

選択基準を適用した後に複数の適切な証明書が見つかった場合は、既定の構成を上書きして、有効期間が最も長い証明書を選択できます。 代わりに、証明書を選択しないように指定できます。 このシナリオでは、クライアントは PKI 証明書を使用して IIS サイト システムと通信できません。 クライアントは、割り当てられたフォールバック ステータス ポイントにエラー メッセージを送信して、証明書選択の失敗を警告します。 その後、証明書の選択条件を変更または絞り込むことができます。

クライアントの動作は、失敗した接続が HTTPS 経由か HTTP 経由かによって異なります。

• 失敗した接続が HTTPS 経由の場合: クライアントは HTTP 経由で接続を試み、クライアントの自己署名証明書を使用します。

• 失敗した接続が HTTP 経由の場合: クライアントは、自己署名クライアント証明書を使用して、HTTP 経由でもう一度接続しようとします。

一意の PKI クライアント証明書を識別するために、コンピューター ストアの既定の [個人] 以外のカスタム ストアを指定することもできます。 Configuration Manager の外部でカスタム証明書ストアを作成します。 このカスタム ストアに証明書をデプロイし、有効期間が切れる前に証明書を更新できる必要があります。

詳細については、「 クライアント PKI 証明書の設定を構成する」を参照してください。

PKI 証明書の移行戦略

Configuration Manager の柔軟な構成オプションを使用すると、クライアントとサイトを PKI 証明書を使用するように段階的に移行し、クライアント エンドポイントをセキュリティで保護できます。 PKI 証明書を使用すると、セキュリティが強化され、インターネット クライアントを管理できます。

この計画では、最初に HTTP 経由の認証のみの PKI 証明書を導入し、次に HTTPS 経由の認証と暗号化に PKI 証明書を導入します。 この計画に従ってこれらの証明書を段階的に導入すると、クライアントが管理されなくなるリスクを軽減できます。 また、Configuration Manager がサポートする最高のセキュリティの恩恵も受けられます。

Configuration Manager には構成オプションや選択肢が多数あるため、すべてのクライアントで HTTPS 接続を使用するようにサイトを移行する方法は 1 つしかありません。 次の手順は、一般的なガイダンスを提供します。

1. Configuration Manager サイトをインストールし、サイト システムが HTTPS および HTTP 経由のクライアント接続を受け入れるように構成します。

2. サイト プロパティの [通信セキュリティ ] タブを構成します。 [サイト システム設定] を HTTP または HTTPS に設定し、使用可能な場合は [PKI クライアント証明書 (クライアント認証機能) を使用する] を選択します。 詳細については、「 クライアント PKI 証明書の設定を構成する」を参照してください。

3. クライアント証明書の PKI ロールアウトをパイロットします。 展開例については、「 Windows コンピューターのクライアント証明書を展開する」を参照してください。

4. クライアント プッシュ インストール方法を使用してクライアントをインストールします。 詳細については、「クライアント プッシュを使用して Configuration Manager クライアントをインストールする方法」を参照してください。

5. Configuration Manager コンソールのレポートと情報を使用して、クライアントの展開と状態を監視します。

6. [資産とコンプライアンス] ワークスペースの [デバイス] ノードの [クライアント証明書] 列を表示して、クライアント PKI 証明書を使用しているクライアントの数を追跡します。

   注:

   PKI 証明書も持つクライアントの場合、Configuration Manager コンソールにはクライアント証明書プロパティが自己署名として表示されます。 クライアント コントロール パネル のクライアント証明書 プロパティに PKI が表示されます。

   Configuration Manager HTTPS 準備評価ツール (CMHttpsReadiness.exe) をコンピューターに展開することもできます。 次に、レポートを使用して、Configuration Manager でクライアント PKI 証明書を使用できるコンピューターの数を表示します。

   注:

   Configuration Manager クライアントをインストールすると、%windir%\CCM フォルダーに CMHttpsReadiness.exe ツールがインストールされます。 このツールを実行すると、次のコマンド ライン オプションを使用できます。

   • /Store:<Certificate store name>: このオプションは CCMCERTSTORE client.msi プロパティと同じです。-/Issuers:<Case-sensitive issuer common name>: このオプションは CCMCERTISSUERS client.msi プロパティと同じです。
   • /Criteria:<Selection criteria>: このオプションは CCMCERTSEL client.msi プロパティと同じです
   • /SelectFirstCert: このオプションは CCMFIRSTCERT client.msi プロパティと同じです

   このツールは、 CCM\Logs ディレクトリ内のCMHttpsReadiness.logに情報を出力します。

   詳細については、「 クライアントのインストールプロパティについて」を参照してください。

7. 十分な数のクライアントが HTTP 経由の認証にクライアント PKI 証明書を正常に使用していることを確信したら、次の手順を実行します。

   1. サイトの別の管理ポイントを実行しているメンバー サーバーに PKI Web サーバー証明書を展開し、その証明書を IIS で構成します。 詳細については、「 IIS を実行するサイト システムの Web サーバー証明書を展開する」を参照してください。

   2. このサーバーに管理ポイントの役割をインストールします。 HTTPS の管理ポイント プロパティで [クライアント接続] オプションを構成します。

8. HTTPS を使用して、PKI 証明書を持つクライアントが新しい管理ポイントを使用することを監視および検証します。 IIS ログまたはパフォーマンス カウンターを使用して確認できます。

9. HTTPS クライアント接続を使用するように他のサイト システムの役割を再構成します。 インターネット上のクライアントを管理する場合は、サイト システムにインターネット FQDN があることを確認します。 インターネットからのクライアント接続を受け入れるように個々の管理ポイントと配布ポイントを構成します。

   重要

   インターネットからの接続を受け入れるようにサイト システムの役割を設定する前に、インターネット ベースのクライアント管理の計画情報と前提条件を確認してください。 詳細については、「 エンドポイント間の通信」を参照してください。

10. IIS を実行するクライアントおよびサイト システムに対して PKI 証明書ロールアウトを拡張します。 必要に応じて、HTTPS クライアント接続とインターネット接続のサイト システムの役割を設定します。

11. 最高のセキュリティの場合: すべてのクライアントが認証と暗号化にクライアント PKI 証明書を使用していることを確証したら、HTTPS のみを使用するようにサイト プロパティを変更します。

次の手順

• セキュリティを構成する

• 暗号化コントロールのテクニカル リファレンス

• PKI 証明書の要件