> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 802.1X 認証での ID 証明書の使用

> Iru Endpoint を使用して 802.1X ネットワーク認証用の ID 証明書を展開します。SCEP、証明機関、Wi-Fi または Ethernet プロファイルを構成します。

<Callout icon="apple" color="#B84A7A" iconType="regular">AD CS 証明書の展開は、Mac コンピュータ、iPhone、iPad、Apple TV デバイス、Apple Vision Pro をサポートしています</Callout>

### ID 証明書について

802.1X 認証では、ID 証明書がクライアントとサーバーを認証します。これは特に EAP-TLS（Extensible Authentication Protocol-Transport Layer Security）方式で重要です。EAP-TLS は、デジタル証明書を使用してクライアント（サプリカント）とサーバー（認証サーバー）の両方を認証します。この相互認証により、安全な接続を確立する前に、双方が互いの ID を信頼できることが保証されます。

<Note>
  ID 証明書は、[Wi-Fi Library Item](/ja/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item) と [Ethernet Library Item](/ja/endpoint/library/library-items-profiles/configure-the-ethernet-library-item) の両方で使用できます。
</Note>

### ID 証明書を構成する

特定の種類の認証では、デバイスの ID を検証するために ID 証明書を指定する必要がある、または指定できます。これらの証明書はさまざまなソースから取得できます。ネットワーク認証の場合は、ID 証明書の拡張キー使用法（EKU）にクライアント認証の権限が含まれていることを確認してください。ネットワーク管理者と協力して、証明書サービスとテンプレートがネットワークに合わせて適切に構成されていることを確認してください。

Microsoft Active Directory 証明書サービスを使用している場合は、[AD CS 連携の概要](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview)を通じて ID 証明書を発行できます。AD CS サーバーは [AD CS 連携の構成](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-configure-the-integration)時に追加され、証明書リクエストは構成済みの [AD CS コンピュータ証明書テンプレート](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-create-a-computer-certificate-template)に依存します。

### AD CS を使用して ID 証明書を取得する

Microsoft Active Directory 証明書サービスを使用して ID 証明書を取得できます。

<Note>
  AD CS 証明書を展開するには、まず [AD CS 連携](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview)を構成する必要があります。
</Note>

<Steps>
  <Step title="AD CS の ID ソースを選択する">
    **Identity certificate** で **AD CS Certificate** を選択します。
  </Step>

  <Step title="AD CS の構成を開く">
    **Configure AD CS Certificate** を選択して、AD CS の構成ドロワーを開きます。
  </Step>

  <Step title="証明書名を入力する">
    **Certificate name** を入力します。これはシステム設定の構成プロファイルに表示されます。
  </Step>

  <Step title="証明書のサブジェクトを入力する">
    **Certificate subject** を入力します。これは通常、証明機関内でデバイスを識別するものです。静的な値、または `$SERIAL_NUMBER` などのグローバル変数を使用できます。
  </Step>

  <Step title="サブジェクト代替名を構成する">
    証明書リクエストで送信する必要な\*\*サブジェクト代替名（SAN）\*\*を追加します。
  </Step>

  <Step title="必要に応じて強力なマッピングの URI を追加する">
    Windows Update [KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16) の強力な証明書マッピングの要件に対応するには、URI の SAN 値 `$ADCS_STRONG_MAPPING_ID` を追加します。詳しいガイダンスについては、[Active Directory の強力な証明書マッピングの構成](/ja/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-strong-mapping-configuration)を参照してください。
  </Step>

  <Step title="テンプレートと AD CS サーバーを設定する">
    AD CS 証明書の生成に使用する AD CS コンピュータ証明書テンプレートの **Template name** を入力し、ドロップダウンから **AD CS server** を選択します。
  </Step>

  <Step title="キーサイズと秘密鍵のオプションを選択する">
    **Key size** を選択します。セキュリティ要件に応じて、オプションで **Allow apps to access the private key** と **Prevent the private key data from being extracted from the keychain** を選択します。
  </Step>

  <Step title="構成を保存する">
    **完了** を選択します。
  </Step>
</Steps>

### SCEP を使用して ID 証明書を取得する

Simple Certificate Enrollment Protocol（SCEP）を使用して ID 証明書を取得できます。

<Steps>
  <Step title="SCEP 証明書の種類を選択する">
    クライアントデバイスが SCEP サービスから ID 証明書を取得するようにする場合は、**Identity certificate** で **SCEP** を選択します。
  </Step>

  <Step title="SCEP 証明書を構成する">
    **Configure SCEP Certificate** を選択します。SCEP のオプションを構成するためのドロワーが開きます。
  </Step>

  <Step title="SCEP サーバーの詳細を構成する">
    **URL** に SCEP サーバーの URL を入力します。オプションで、SCEP サーバーで必要な **名前**（多くの場合、SCEP サービスが証明書を要求する CA の名前）を指定します。オプションで、SCEP サーバーが想定する事前共有キーを **Challenge** として入力します。オプションで、証明機関の証明書の想定される **Fingerprint** を入力します。
  </Step>

  <Step title="証明書のサブジェクトを構成する">
    オプションで、証明書 ID の **件名** として表示する名前を指定します。静的な値、または CN=\$EMAIL などのグローバル変数を使用できます。
  </Step>

  <Step title="サブジェクト代替名を構成する">
    証明書 ID に SAN を指定する場合は、**Specify Subject Alternative Names (SAN)** を選択します。指定する SAN ごとに **Add SAN Type** を選択し、追加する SAN の種類（**DNS Name**、**RFC 822 Name**、**Uniform Resource Identifier**、**NT Principal Name**）を選択して、各 SAN の種類に追加する値を入力します。静的な値またはグローバル変数を使用できます。
  </Step>

  <Step title="キーの設定を構成する">
    **Key size** を選択します。互換性のあるキーサイズを選択するよう、ネットワーク管理者と協力してください。一般に、キーが長いほどセキュリティが強化されます。**Key usage** では、キーを **Signing**、**Encryption**、**Both signing and encryption**、**なし** のいずれに使用できるようにするかを選択します。必要な権限については、ネットワーク管理者と相談して決定してください。

    <Frame>
      <img src="https://mintcdn.com/iru/Ly6qLp_EGhIu2ep-/assets/media/images/iru-configure-scep-details.png?fit=max&auto=format&n=Ly6qLp_EGhIu2ep-&q=85&s=f8ec74ea0b5dc3de4d3cc092a7f10ce1" alt="SCEP 証明書の詳細構成インターフェイス" width="1962" height="1970" data-path="assets/media/images/iru-configure-scep-details.png" />
    </Frame>
  </Step>

  <Step title="再試行の設定を構成する">
    最初の試行が失敗した場合にデバイスが自動的に証明書の取得を再試行するようにするには、**Retries** を選択し、再試行回数を入力します。デフォルトは 3 回です。再試行の間に遅延を設ける場合は、**Retry delay** を選択し、再試行間の秒数を指定します。デフォルトは再試行間 10 秒の遅延です。
  </Step>

  <Step title="セキュリティとアクセスの設定を構成する">
    macOS キーチェーンから証明書 ID の秘密鍵がエクスポートされないようにするには、**Don't allow key to be extracted** を選択します。すべてのアプリが証明書 ID の秘密鍵に自動的にアクセスして使用できるようにする場合は、**Allow access to all apps** を選択します。
  </Step>

  <Step title="証明書の管理を構成する">
    **Certificate expiration notification** を選択し、証明書の有効期限の何日前からユーザーへの通知を開始するかを指定します。デフォルトでは、有効期限の 14 日前にユーザーに通知します。有効期限の指定日数前に証明書を自動的に更新するには、**Automatic profile redistribution** を選択します。デフォルトでは、有効期限の 30 日前に証明書を自動的に更新します。

    <Note>
      **Automatic profile redistribution** が有効な場合、証明書にユーザー情報が必要であれば、サブジェクト代替名（SAN）でユーザーのグローバル変数を指定してください。これは、証明書の更新を追跡するために、証明書のサブジェクトの Common Name に Wi-Fi Library Item の ID が追加されるため必要です。
    </Note>
  </Step>

  <Step title="SCEP の構成を保存する">
    **完了** を選択して、SCEP 証明書の構成を保存します。
  </Step>
</Steps>

### PKCS #12 ファイルをインポートする

PKCS #12 形式のファイルをアップロードすることで、構成済みのすべてのデバイスに単一の ID 証明書を提供できます。これはすべてのデバイスが同じ証明書を使用することを意味し、ネットワーク管理者がログインによって個々のデバイスを識別することが難しくなります。また、証明書が侵害された場合、その証明書を使用してネットワークにアクセスされる可能性があります。この証明書を失効させると、構成済みのすべてのデバイスがネットワークにアクセスできなくなります。

<Steps>
  <Step title="PKCS #12 証明書の種類を選択する">
    PKCS #12 形式の証明書を提供する場合は、**Identity certificate** で **PKCS #12** を選択します。
  </Step>

  <Step title="PKCS #12 証明書を構成する">
    **Configure PKCS #12** を選択して、**Configure PKCS #12** ドロワーを開きます。
  </Step>

  <Step title="証明書をアップロードする">
    **証明書** に PKCS #12 でエンコードされた証明書をアップロードします（ファイルをドラッグするか、ファイルを選択します）。使用できるファイルの種類は `.p12` と `.pfx` です。
  </Step>

  <Step title="証明書のパスワードを入力する">
    **Certificate password** フィールドに証明書のパスワードを入力します。

    <Frame>
      <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-certificate-type-pkcs12.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=ba093d448a0e5b85f54a21c4cebce04a" alt="証明書のアップロードと証明書のパスワードのフィールドが表示された PKCS 12 証明書の種類" width="898" height="1050" data-path="assets/media/images/iru-certificate-type-pkcs12.png" />
    </Frame>
  </Step>

  <Step title="Apple 専用の設定を構成する">
    **Apple only settings** を展開し、必要に応じて以下を構成します。

    * **Certificate name**: 証明書の表示名を入力します。
    * **Allow apps to access the private key**: すべてのアプリに秘密鍵へのアクセスを許可する場合は、このオプションを選択します。
    * **Prevent the private key data from being extracted in the keychain**: キーチェーンから秘密鍵データを抽出できないようにする場合は、このオプションを選択します。デフォルトでは、秘密鍵データは抽出可能です。

    <Frame>
      <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-certificate-pkcs12-apple-only-options.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=c003c8e025d95c751e7100a0e0783530" alt="Certificate name と秘密鍵のオプションが表示された PKCS 12 の Apple 専用設定" width="1750" height="540" data-path="assets/media/images/iru-certificate-pkcs12-apple-only-options.png" />
    </Frame>
  </Step>

  <Step title="構成を完了する">
    **完了** を選択して、PKCS #12 証明書の構成を完了します。
  </Step>
</Steps>

### 関連記事

<CardGroup cols={2}>
  <Card title="ネットワーク認証の概要" icon="wifi" href="/ja/endpoint/networking-and-connectivity/network-authentication-overview">
    Wi-Fi 認証の種類と、エンタープライズと非エンタープライズのオプションを使い分けるタイミングを比較します
  </Card>

  <Card title="Wi-Fi Library Item の構成" icon="wifi" href="/ja/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item">
    ネットワーク展開用に Wi-Fi Library Item を構成します
  </Card>

  <Card title="Ethernet Library Item の構成" icon="network-wired" href="/ja/endpoint/library/library-items-profiles/configure-the-ethernet-library-item">
    有線ネットワークの 802.1X 認証を構成します
  </Card>

  <Card title="EAP（Extensible Authentication Protocol）の種類の構成" icon="apple" href="/ja/endpoint/library/deployment-guides/apple/configure-eap-extensible-authentication-protocol-types">
    802.1X 認証の EAP の種類を構成します
  </Card>
</CardGroup>