> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Active Directory の強力な証明書マッピングの構成

> AD 認証に関する Microsoft KB5014754 の強力な証明書マッピング要件を満たすよう、AD CS テンプレートと Iru Endpoint の Library Items を更新します。

<Callout icon="apple" color="#B84A7A" iconType="regular">AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています</Callout>

Microsoft は、[KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16) で Active Directory 証明書サービス（AD CS）の証明書認証に大幅な変更を加えました。これらの変更により、証明書のなりすましに関連する特権昇格の脆弱性に対処するため、強力な証明書マッピングが適用されます。この変更は、証明書内のユーザー属性に依存する証明書ベースの認証（802.1X を使用した Wi-Fi や Ethernet など）に Microsoft AD CS を使用している組織に影響します。

<Warning>
  **重要:** 2025 年 2 月 11 日以降、Windows はこれらの変更をデフォルトで適用しています。証明書を Active Directory アカウントに強力にマッピングできない場合、認証は拒否されます。
</Warning>

### 適用日と要件

Library Items や Connector のバージョンを変更する前に、以下の適用スケジュールと証明書の要件を確認してください。

<AccordionGroup>
  <Accordion title="2025 年 2 月 11 日" icon="calendar">
    強力な証明書マッピングの適用がデフォルトで開始されました。
  </Accordion>

  <Accordion title="2025 年 9 月 10 日" icon="calendar">
    互換モードはサポートされなくなりました。
  </Accordion>

  <Accordion title="証明書に必要な対応" icon="triangle-exclamation">
    Active Directory 認証に使用するすべての証明書には、サブジェクト代替名（SAN）フィールドにユーザーのセキュリティ識別子（SID）が含まれている必要があります。
  </Accordion>
</AccordionGroup>

### 対応が必要なユーザー

これは、証明書内のユーザー属性に依存する証明書ベースの認証（802.1X を使用した Wi-Fi や Ethernet など）に Microsoft AD CS を使用しているお客様に適用されます。

### 前提条件

強力な証明書マッピングのために AD CS Connector、SCIM、または Library Items を更新する前に、以下を確認してください。

<AccordionGroup>
  <Accordion title="Iru Endpoint でのユーザーの割り当て" icon="users">
    証明書の更新を進める前に、[Iru Endpoint でデバイスレコードにユーザーを割り当て](/ja/endpoint/devices/device-record-management/assigning-and-unassigning-users-to-devices)てください。
  </Accordion>

  <Accordion title="Connector ホスト: OS、.NET、TPM、WebView、ドメイン" icon="server">
    AD CS から発行される証明書に Iru Endpoint AD CS Connector を使用する場合は、Connector を実行する **Windows Server 2019 以降**のホストに **.NET 8 以降**をインストールしてください。Connector ホストは、多くの場合 AD CS 証明機関（CA）とは別のマシンです。TPM または vTPM を含む完全な要件リストについては、[AD CS Connector のインストール](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation)の [AD CS Connector サーバーの要件](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#ad-cs-connector-server-requirements)を参照してください。
  </Accordion>
</AccordionGroup>

### 必要な手順

#### Iru Endpoint AD CS Connector を更新する

<Warning>
  この更新は、Iru Endpoint AD CS Connector を使用して証明書を発行している場合にのみ必要です。
</Warning>

強力な証明書マッピングには、サポートされている **2.x** バージョンの **updated** Iru Endpoint AD CS Connector が必要です（上記の[前提条件](#prerequisites)を参照）。Windows Server で、**インテグレーション** > **Active Directory Certificate Services** から最新の **Iru Endpoint AD CS Connector** をダウンロードし（Connector カードの **Redownload Connector** を使用できます）、ホストにインストールします。Iru Endpoint での **updated** Connector のアップグレードについては、[Iru AD CS Connector の更新](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector)を参照してください。テナントの移行後に **legacy** Kandji Connector を置き換える場合は、**AD CS 連携: 概要**の [AD CS を使用した Kandji から Iru への移行](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs)を参照してください。

**legacy** Connector の行の隣に**新しい** **updated** の登録が表示された場合は、[AD CS を使用した Kandji から Iru への移行](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs)または [Iru AD CS Connector の更新](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector)の説明に従って、**サーバーを割り当て** を完了し、legacy のエントリを削除してください。インストール、サインイン、**登録 URL** のフローについては、[AD CS Connector のインストール](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation)の[初期化](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#initialization)を参照してください。

#### SCIM ユーザーディレクトリ連携を更新する

<Warning>
  これらの手順は、Microsoft Entra ID の SCIM 連携に関するものです。ネイティブの Microsoft Entra ID 連携では、追加の構成は不要です。
</Warning>

<Steps>
  <Step title="Microsoft Entra 管理センターにサインインする">
    [Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインします。
  </Step>

  <Step title="Entra ID を開く">
    ポータルメニューを開き、**Entra ID** を選択します。
  </Step>

  <Step title="エンタープライズアプリケーションを開く">
    **Entra ID** メニューで **Enterprise applications** を選択します。
  </Step>

  <Step title="SCIM アプリを開く">
    Iru Endpoint で使用している SCIM アプリを見つけて開きます。
  </Step>

  <Step title="プロビジョニングの設定を開く">
    **管理** で **Provisioning** を選択します。
  </Step>

  <Step title="属性マッピングを開く">
    **管理** で **Attribute Mapping (Preview)** を選択します。
  </Step>

  <Step title="Microsoft Entra ID ユーザーのマッピングを選択する">
    **Provision Microsoft Entra ID Users** を選択します。
  </Step>

  <Step title="詳細オプションを表示する">
    一番下までスクロールし、詳細オプションを表示するチェックボックスをオンにします。
  </Step>

  <Step title="属性リストを編集する">
    **Edit attribute list for Provision Microsoft Entra ID Users** を選択します。
  </Step>

  <Step title="onPremisesSecurityIdentifier 属性を追加する">
    新しいフィールド `onPremisesSecurityIdentifier` を追加します（型は String のままにします）。
  </Step>

  <Step title="属性リストを保存する">
    **保存** を選択します。
  </Step>

  <Step title="新しいマッピングを開始する">
    **Attribute Mapping** に戻り、下にスクロールして **Add New Mapping** を選択します。
  </Step>

  <Step title="マッピングのフィールドを構成する">
    マッピングを構成します。

    * **Mapping type**: Direct（デフォルト）
    * **ソース属性**: `onPremisesSecurityIdentifier`
    * **ターゲット属性**: `onPremisesSecurityIdentifier`
  </Step>

  <Step title="マッピングを保存する">
    **OK** を選択し、**保存** を選択します。
  </Step>
</Steps>

<Warning>
  `onPremisesSecurityIdentifier` は、次回の Entra ID SCIM 同期（20〜40 分ごと）の後にユーザー属性に表示されます。
</Warning>

#### 証明書 Library Items を更新する

##### SCEP 証明書 Library Items の場合

<Steps>
  <Step title="割り当て済みの SCEP Library Items を開く">
    Iru Endpoint で、Blueprints に割り当てられている SCEP Library Items を見つけます。
  </Step>

  <Step title="Library Item を編集する">
    アイテムで **編集** を選択します。
  </Step>

  <Step title="SAN の値を追加する">
    **Subject Alternative Name (SAN)** セクションで **追加** を選択します。
  </Step>

  <Step title="URI の SAN の種類を選択する">
    Uniform Resource Identifier の SAN を追加します。
  </Step>

  <Step title="強力なマッピングの値を入力する">
    次の値を正確に入力します: `$ADCS_STRONG_MAPPING_ID`。
  </Step>

  <Step title="変更を保存する">
    **保存** を選択します。
  </Step>
</Steps>

##### AD CS Connector を使用する Certificate Library Items の場合

<Steps>
  <Step title="割り当て済みの Certificate Library Items を開く">
    Iru Endpoint で、Blueprints に割り当てられている Certificate Library Items を見つけて開きます。
  </Step>

  <Step title="Library Item を編集する">
    **編集** を選択します。
  </Step>

  <Step title="SAN の値を追加する">
    **Subject Alternative Name (SAN)** セクションで **追加** を選択します。
  </Step>

  <Step title="URI の SAN の種類を選択する">
    Uniform Resource Identifier の SAN を追加します。
  </Step>

  <Step title="強力なマッピングの値を入力する">
    次の値を正確に入力します: `$ADCS_STRONG_MAPPING_ID`。
  </Step>

  <Step title="変更を保存する">
    **保存** を選択します。
  </Step>
</Steps>

##### EAP-TLS に SCEP または AD CS 証明書を使用する Wi-Fi または Ethernet Library Items の場合

<Steps>
  <Step title="割り当て済みの Wi-Fi または Ethernet Library Items を開く">
    Iru Endpoint で、Blueprints に割り当てられている Wi-Fi または Ethernet Library Items を見つけて開きます。
  </Step>

  <Step title="Library Item を編集する">
    **編集** を選択します。
  </Step>

  <Step title="Identity Certificate の設定を開く">
    **Identity Certificate** セクションまでスクロールし、**構成** を選択します。
  </Step>

  <Step title="SAN の値を追加する">
    **Subject Alternative Name (SAN)** セクションで **追加** を選択します。
  </Step>

  <Step title="URI の SAN の種類を選択する">
    Uniform Resource Identifier の SAN を追加します。
  </Step>

  <Step title="強力なマッピングの値を入力する">
    次の値を正確に入力します: `$ADCS_STRONG_MAPPING_ID`。
  </Step>

  <Step title="変更を保存する">
    **保存** を選択します。
  </Step>
</Steps>

### 展開と証明書の再発行

Library Items を更新した後:

* Iru Endpoint は、Blueprints を通じて更新された Library Items が割り当てられているデバイスに証明書を自動的に再発行します
* 新しい証明書には SAN フィールドにユーザーの SID が含まれ、Microsoft の強力な証明書マッピングの要件を満たします
* 再構成された Wi-Fi または Ethernet 接続では、新しい証明書が自動的に使用されます

### 次のステップ

Library Item の変更を保存した後:

<Steps>
  <Step title="テストデバイスで検証する">
    本番環境に展開する前に、小規模なテスト用 Blueprint で更新を実行します。
  </Step>

  <Step title="AD CS の展開順序を確認する（オプション）">
    **AD CS セットアップパス**の図と展開順序については、[AD CS 連携: 概要](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview)を参照してください。
  </Step>
</Steps>

### 考慮事項

<AccordionGroup>
  <Accordion title="ネットワークからの締め出しを防ぐ" icon="triangle-exclamation">
    ネットワーク接続に使用する証明書を誤って更新すると、デバイスがネットワークから切断される可能性があります。
  </Accordion>

  <Accordion title="まずテスト用 Blueprint で検証する" icon="flask">
    本番環境の Library Items に変更を適用する前に、テスト用の Library Items を含むテスト用 Blueprint を使用して、一部のデバイスでこれらの変更をテストしてください。
  </Accordion>
</AccordionGroup>