AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています
ID 証明書について
802.1X 認証では、ID 証明書がクライアントとサーバーを認証します。これは特に EAP-TLS（Extensible Authentication Protocol-Transport Layer Security）方式で重要です。EAP-TLS は、デジタル証明書を使用してクライアント（サプリカント）とサーバー（認証サーバー）の両方を認証します。この相互認証により、安全な接続を確立する前に、双方が互いの ID を信頼できることが保証されます。ID 証明書は、Wi-Fi Library Item と Ethernet Library Item の両方で使用できます。
ID 証明書を構成する
特定の種類の認証では、デバイスの ID を検証するために ID 証明書を指定する必要がある、または指定できます。これらの証明書はさまざまなソースから取得できます。ネットワーク認証の場合は、ID 証明書の拡張キー使用法（EKU）にクライアント認証の権限が含まれていることを確認してください。ネットワーク管理者と協力して、証明書サービスとテンプレートがネットワークに合わせて適切に構成されていることを確認してください。 Microsoft Active Directory 証明書サービスを使用している場合は、AD CS 連携の概要を通じて ID 証明書を発行できます。AD CS サーバーは AD CS 連携の構成時に追加され、証明書リクエストは構成済みの AD CS コンピュータ証明書テンプレートに依存します。AD CS を使用して ID 証明書を取得する
Microsoft Active Directory 証明書サービスを使用して ID 証明書を取得できます。AD CS 証明書を展開するには、まず AD CS 連携を構成する必要があります。
1
AD CS の ID ソースを選択する
Identity certificate で AD CS Certificate を選択します。
2
AD CS の構成を開く
Configure AD CS Certificate を選択して、AD CS の構成ドロワーを開きます。
3
証明書名を入力する
Certificate name を入力します。これはシステム設定の構成プロファイルに表示されます。
4
証明書のサブジェクトを入力する
Certificate subject を入力します。これは通常、証明機関内でデバイスを識別するものです。静的な値、または
$SERIAL_NUMBER などのグローバル変数を使用できます。5
サブジェクト代替名を構成する
証明書リクエストで送信する必要な**サブジェクト代替名（SAN）**を追加します。
6
必要に応じて強力なマッピングの URI を追加する
Windows Update KB5014754 の強力な証明書マッピングの要件に対応するには、URI の SAN 値
$ADCS_STRONG_MAPPING_ID を追加します。詳しいガイダンスについては、Active Directory の強力な証明書マッピングの構成を参照してください。7
テンプレートと AD CS サーバーを設定する
AD CS 証明書の生成に使用する AD CS コンピュータ証明書テンプレートの Template name を入力し、ドロップダウンから AD CS server を選択します。
8
キーサイズと秘密鍵のオプションを選択する
Key size を選択します。セキュリティ要件に応じて、オプションで Allow apps to access the private key と Prevent the private key data from being extracted from the keychain を選択します。
9
構成を保存する
完了 を選択します。
SCEP を使用して ID 証明書を取得する
Simple Certificate Enrollment Protocol（SCEP）を使用して ID 証明書を取得できます。1
SCEP 証明書の種類を選択する
クライアントデバイスが SCEP サービスから ID 証明書を取得するようにする場合は、Identity certificate で SCEP を選択します。
2
SCEP 証明書を構成する
Configure SCEP Certificate を選択します。SCEP のオプションを構成するためのドロワーが開きます。
3
SCEP サーバーの詳細を構成する
URL に SCEP サーバーの URL を入力します。オプションで、SCEP サーバーで必要な 名前（多くの場合、SCEP サービスが証明書を要求する CA の名前）を指定します。オプションで、SCEP サーバーが想定する事前共有キーを Challenge として入力します。オプションで、証明機関の証明書の想定される Fingerprint を入力します。
4
証明書のサブジェクトを構成する
オプションで、証明書 ID の 件名 として表示する名前を指定します。静的な値、または CN=$EMAIL などのグローバル変数を使用できます。
5
サブジェクト代替名を構成する
証明書 ID に SAN を指定する場合は、Specify Subject Alternative Names (SAN) を選択します。指定する SAN ごとに Add SAN Type を選択し、追加する SAN の種類（DNS Name、RFC 822 Name、Uniform Resource Identifier、NT Principal Name）を選択して、各 SAN の種類に追加する値を入力します。静的な値またはグローバル変数を使用できます。
6
キーの設定を構成する
Key size を選択します。互換性のあるキーサイズを選択するよう、ネットワーク管理者と協力してください。一般に、キーが長いほどセキュリティが強化されます。Key usage では、キーを Signing、Encryption、Both signing and encryption、なし のいずれに使用できるようにするかを選択します。必要な権限については、ネットワーク管理者と相談して決定してください。
7
再試行の設定を構成する
最初の試行が失敗した場合にデバイスが自動的に証明書の取得を再試行するようにするには、Retries を選択し、再試行回数を入力します。デフォルトは 3 回です。再試行の間に遅延を設ける場合は、Retry delay を選択し、再試行間の秒数を指定します。デフォルトは再試行間 10 秒の遅延です。
8
セキュリティとアクセスの設定を構成する
macOS キーチェーンから証明書 ID の秘密鍵がエクスポートされないようにするには、Don’t allow key to be extracted を選択します。すべてのアプリが証明書 ID の秘密鍵に自動的にアクセスして使用できるようにする場合は、Allow access to all apps を選択します。
9
証明書の管理を構成する
Certificate expiration notification を選択し、証明書の有効期限の何日前からユーザーへの通知を開始するかを指定します。デフォルトでは、有効期限の 14 日前にユーザーに通知します。有効期限の指定日数前に証明書を自動的に更新するには、Automatic profile redistribution を選択します。デフォルトでは、有効期限の 30 日前に証明書を自動的に更新します。
Automatic profile redistribution が有効な場合、証明書にユーザー情報が必要であれば、サブジェクト代替名（SAN）でユーザーのグローバル変数を指定してください。これは、証明書の更新を追跡するために、証明書のサブジェクトの Common Name に Wi-Fi Library Item の ID が追加されるため必要です。
10
SCEP の構成を保存する
完了 を選択して、SCEP 証明書の構成を保存します。
PKCS #12 ファイルをインポートする
PKCS #12 形式のファイルをアップロードすることで、構成済みのすべてのデバイスに単一の ID 証明書を提供できます。これはすべてのデバイスが同じ証明書を使用することを意味し、ネットワーク管理者がログインによって個々のデバイスを識別することが難しくなります。また、証明書が侵害された場合、その証明書を使用してネットワークにアクセスされる可能性があります。この証明書を失効させると、構成済みのすべてのデバイスがネットワークにアクセスできなくなります。1
PKCS #12 証明書の種類を選択する
PKCS #12 形式の証明書を提供する場合は、Identity certificate で PKCS #12 を選択します。
2
PKCS #12 証明書を構成する
Configure PKCS #12 を選択して、Configure PKCS #12 ドロワーを開きます。
3
証明書をアップロードする
証明書 に PKCS #12 でエンコードされた証明書をアップロードします（ファイルをドラッグするか、ファイルを選択します）。使用できるファイルの種類は
.p12 と .pfx です。4
証明書のパスワードを入力する
Certificate password フィールドに証明書のパスワードを入力します。
5
Apple 専用の設定を構成する
Apple only settings を展開し、必要に応じて以下を構成します。
- Certificate name: 証明書の表示名を入力します。
- Allow apps to access the private key: すべてのアプリに秘密鍵へのアクセスを許可する場合は、このオプションを選択します。
- Prevent the private key data from being extracted in the keychain: キーチェーンから秘密鍵データを抽出できないようにする場合は、このオプションを選択します。デフォルトでは、秘密鍵データは抽出可能です。
6
構成を完了する
完了 を選択して、PKCS #12 証明書の構成を完了します。
関連記事
ネットワーク認証の概要
Wi-Fi 認証の種類と、エンタープライズと非エンタープライズのオプションを使い分けるタイミングを比較します
Wi-Fi Library Item の構成
ネットワーク展開用に Wi-Fi Library Item を構成します
Ethernet Library Item の構成
有線ネットワークの 802.1X 認証を構成します
EAP（Extensible Authentication Protocol）の種類の構成
802.1X 認証の EAP の種類を構成します