> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# AD CS 連携: コンピュータ証明書テンプレートの作成

> Iru Endpoint の AD CS 連携で使用するため、発行証明機関で AD CS コンピュータ証明書テンプレートを複製して構成します。

<Callout icon="apple" color="#B84A7A" iconType="regular">AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています</Callout>

### 前提条件

発行 CA でコンピュータ証明書テンプレートを作成または複製する前に、以下を確認してください。

<AccordionGroup>
  <Accordion title="発行証明機関へのアクセス" icon="certificate">
    証明機関スナップインを開いて証明書テンプレートを管理できる、Active Directory フォレスト内の発行 CA へのアクセスが必要です。
  </Accordion>

  <Accordion title="テンプレートを複製・発行する権限" icon="user-shield">
    **Computer** テンプレートの複製、セキュリティの調整（AD CS Connector のコンピュータオブジェクトまたはサービスアカウントに対する **読み取り** と **登録** など）、発行用テンプレートの公開を行うための十分な権限が必要です。
  </Accordion>
</AccordionGroup>

### 証明書テンプレートに必要な設定

以下は、証明書テンプレートで構成する必要があるタブと設定です。

* テンプレートの種類: 使用するテンプレートは、デフォルトの Computer テンプレートに基づいている必要があります。
* 証明機関の互換性: Windows Server 2016
* 証明書の受信者: Windows 10/Windows Server 2016
* サブジェクト名: 要求に含まれる
* セキュリティ: Connector の登録を行う ID のみに **読み取り** と **登録** を付与します（Connector が **Local System** として実行される場合は Connector ホストのコンピュータアカウント、インストール時に Connector で **Service Account** を使用する場合は専用の**サービスアカウント**）。他のドメイン参加コンピュータが登録できないよう、**Domain Computers** などの広範な継承エントリを削除してください。

既存の AD CS 証明書テンプレートを使用する場合は、既存のテンプレートの設定が上記の設定と一致している必要があります。

### AD CS コンピュータ証明書テンプレートを作成する

<Steps>
  <Step title="証明機関を開く">
    ドメイン上の証明機関（CA）にログインします。
  </Step>

  <Step title="証明機関スナップインを開く">
    サーバーでスタートメニューを開き、証明機関スナップインを検索します。
  </Step>

  <Step title="発行 CA を選択する">
    証明機関スナップインで、発行 CA を選択します。ここでスナップインに表示される発行 CA の名前は、Iru Endpoint の AD CS 連携に AD CS サーバーを追加する際に必要になります。
  </Step>

  <Step title="証明書テンプレートの管理を開く">
    証明書テンプレートフォルダを右クリックし、管理を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-open-certificate-templates-manage.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=b1669f7a49f54a8be1ad08e2edad3da3" alt="テンプレートの管理を開くための証明書テンプレートフォルダと管理オプションが表示された証明機関スナップイン。" width="1100" height="821" data-path="assets/media/images/iru-adcs-create-template-open-certificate-templates-manage.png" />
    </Frame>
  </Step>

  <Step title="Computer テンプレートを複製する">
    証明書テンプレートウィンドウで Computer テンプレートを見つけて右クリックします。次に、テンプレートの複製を選択します。
  </Step>

  <Step title="全般タブを開く">
    プロパティウィンドウで、全般タブを選択します。
  </Step>

  <Step title="テンプレート名を設定する">
    表示名とテンプレート名を `IruEndpointDevice` などに設定します。テンプレート名は、AD CS 証明書の設定を含む Library Items を作成する際に必要になります。
  </Step>

  <Step title="互換性の設定を開く">
    次に、互換性タブを選択します。
  </Step>

  <Step title="証明機関の互換性を設定する">
    証明機関で Windows Server 2016 を選択します。変更ダイアログで **OK** を選択します。
  </Step>

  <Step title="証明書の受信者の互換性を設定する">
    証明書の受信者で Windows 10 / Windows Server 2016 を選択します。変更ダイアログで **OK** を選択します。
  </Step>

  <Step title="サブジェクト名の設定を開く">
    サブジェクト名タブを選択します。
  </Step>

  <Step title="サブジェクト名を要求に含めるよう設定する">
    要求に含めるオプションを選択し、警告ダイアログで **OK** を選択します。
  </Step>

  <Step title="セキュリティの設定を開く">
    **セキュリティ** タブを選択します。
  </Step>

  <Step title="Connector のコンピュータアカウントを追加する（Local System での登録）">
    以下の手順では、Connector ホストの**コンピュータアカウント**を追加します。Connector を Windows Server で **Local System** として実行する場合（[AD CS Connector のインストール](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#installation)のデフォルト）は、この方法を使用します。

    **Groups or user names** で **追加** を選択します。
  </Step>

  <Step title="オブジェクトの種類を開く">
    ユーザー、コンピューター、サービス アカウント、またはグループの選択ウィンドウで、オブジェクトの種類を選択します。
  </Step>

  <Step title="コンピューターのオブジェクトの種類を選択する">
    オブジェクトの種類ウィンドウで、コンピューターを選択します。
  </Step>

  <Step title="オブジェクトの種類の選択を確定する">
    **OK** を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-confirm-object-types.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=35452c4bd20128ed326b069d3b5a2c28" alt="AD CS Connector ホストのプリンシパルを選択するためにコンピューターが選択されたオブジェクトの種類ダイアログ。" width="989" height="672" data-path="assets/media/images/iru-adcs-create-template-confirm-object-types.png" />
    </Frame>
  </Step>

  <Step title="Connector ホストのコンピュータを検索する">
    オブジェクト名の検索フィールドに、AD CS Connector のホストに使用する Windows Server の名前を入力します。以下のスクリーンショットでは、`lab000001` がコンピュータ名として使用されています。

    <Frame>
      <img src="https://mintcdn.com/iru/LITOVaLBQCOy_8Cy/assets/media/images/iru-adcs-create-template-search-connector-host.png?fit=max&auto=format&n=LITOVaLBQCOy_8Cy&q=85&s=27169e94657de9cd3cd0b953834920dd" alt="Connector の Windows Server 名が検索用に入力されたユーザー、コンピューター、サービス アカウント、またはグループの選択ダイアログ。" width="404" height="258" data-path="assets/media/images/iru-adcs-create-template-search-connector-host.png" />
    </Frame>
  </Step>

  <Step title="コンピュータアカウントに Read と Enroll を付与する">
    **Groups or user names** で Connector ホストのコンピュータが選択された状態のまま、**アクセス許可** セクションの **許可** で **読み取り** と **登録** を選択します。
  </Step>

  <Note>
    **代わりにサービスアカウントで登録する場合:** インストール時に Connector で **Service Account** を使用する場合は、上記の**オブジェクトの種類**と**コンピューター**の手順をスキップしてください。**セキュリティ** タブで **追加** を選択し、サービスアカウントを入力して（オブジェクトの種類はデフォルトのまま）、**読み取り** と **登録** を付与してから次の手順に進みます。**登録** は **Domain Computers** ではなく、そのサービスアカウントのみに付与してください。
  </Note>

  <Step title="広範なデフォルト権限を削除する">
    **Domain Computers** など、大きなグループに **登録** を付与している継承されたプリンシパルを削除します。前の手順で **読み取り** と **登録** を付与したアカウント（Connector ホストのコンピュータアカウントまたはサービスアカウント）のみを残してください。

    <Warning>
      複製した **Computer** テンプレートでは、多くの場合 **Domain Computers** の登録が許可されています。Windows Server 2019 以降では、このエントリをそのままにしておくと、ドメインに参加している任意のコンピュータがこのテンプレートから証明書を要求できる可能性があります。テンプレートでは**要求に含める**を使用しているため、その証明書がフォレスト内の別のプリンシパルを表し、認証に悪用される可能性があります。これらの広範なプリンシパルを削除し、Connector の登録アカウントのみを残してください。
    </Warning>
  </Step>

  <Step title="テンプレートを適用して保存する">
    適用を選択し、OK を選択します。
  </Step>

  <Step title="テンプレートの発行メニューを開く">
    メインの証明機関スナップインに戻り、証明書テンプレートを再度右クリックして、新規作成 > 発行する証明書テンプレートを選択します。
  </Step>

  <Step title="新しいテンプレートを選択する">
    作成したテンプレート（この例では `IruEndpointDevice`）を選択します。
  </Step>

  <Step title="テンプレートの発行を確定する">
    **OK** を選択します。
  </Step>

  <Step title="テンプレートがリストに表示されることを確認する">
    テンプレートがリストに表示されていることを確認します。
  </Step>
</Steps>

### 次のステップ

テンプレートが発行リストに表示された後:

<Steps>
  <Step title="Iru Endpoint で AD CS を構成する">
    [AD CS 連携: 連携の構成](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration)で連携ウィザードを実行し、Connector のインストーラーをダウンロードします。
  </Step>
</Steps>