Configuration Manager (現在のブランチ) に適用
Configuration Manager に必要となる可能性のある公開キー基盤 (PKI) 証明書を次の表に示します。 この情報は、PKI 証明書の基本的な知識を前提としています。
任意の PKI を使用して、Configuration Manager のほとんどの証明書を作成、展開、管理できます。 Configuration Manager がモバイル デバイスと Mac コンピューターに登録するクライアント証明書の場合、Active Directory 証明書サービスを使用する必要があります。
Active Directory 証明書サービスと証明書テンプレートを使用する場合、この Microsoft PKI ソリューションを使用すると、証明書の管理が容易になります。 以下のセクションの Microsoft 証明書テンプレート リファレンスを使用して、証明書の要件に最も近い証明書テンプレートを特定します。 テンプレートベースの証明書を使用できるのは、Windows Server の Enterprise Edition または Datacenter Edition で実行されるエンタープライズ証明機関 (CA) のみです。
詳細については、次の記事を参照してください。
サポートされている証明書の種類
セキュア ハッシュ アルゴリズム 2 (SHA-2) 証明書
SHA-256 と SHA-512 を含む SHA-2 で署名された新しいサーバーおよびクライアント認証証明書を発行します。 インターネットに接続するすべてのサービスで SHA-2 証明書を使用する必要があります。 たとえば、クラウド管理ゲートウェイで使用するパブリック証明書を購入する場合は、必ず SHA-2 証明書を購入してください。
Windows は、SHA-1 で署名された証明書を信頼しません。 詳細については、「 Windows における SHA1 証明書の使用停止措置」を参照してください。
CNG v3 証明書
Configuration Manager では、暗号化: 次世代 (CNG) v3 証明書がサポートされています。 Configuration Manager クライアントは、CNG キー格納プロバイダー (KSP) で秘密キーを持つ PKI クライアント認証証明書を使用できます。 KSP のサポートにより、Configuration Manager クライアントは、PKI クライアント認証証明書用の TPM KSP などのハードウェア ベースの秘密キーをサポートします。
詳細については、「 CNG v3 証明書の概要」を参照してください。
サーバーの PKI 証明書
IIS を実行し、HTTPS クライアント接続をサポートするサイト システム
この Web サーバー証明書は、次の目的で使用されます。
- クライアントに対してサーバーを認証する
- クライアントとこれらのサーバーの間で転送されるすべてのデータを TLS で暗号化します。
適用対象:
- 管理ポイント
- 配布ポイント
- ソフトウェアの更新ポイント
- 状態移行ポイント
- 登録ポイント
- 登録プロキシ ポイント
- 証明書の登録ポイント
証明書の要件:
証明書の目的: サーバー認証
Microsoft 証明書テンプレート: Web サーバー
[拡張キー使用法] の値には、
Server Authentication (1.3.6.1.5.5.7.3.1)サブジェクト名:
サイト システムがインターネットからの接続を受け入れる場合、 サブジェクト名 または サブジェクトの別名 にはインターネット完全修飾ドメイン名 (FQDN) が含まれている必要があります。
サイト システムがイントラネットからの接続を受け入れる場合、 サブジェクト名 または サブジェクトの別名 には、サイト システムのセットアップ方法に応じて、イントラネットの FQDN (推奨) またはコンピューターの名前のいずれかが含まれている必要があります。
サイト システムがインターネットとイントラネットの両方からの接続を受け入れる場合は、インターネット FQDN とイントラネット FQDN (またはコンピューター名) の両方を指定する必要があります。 2 つの名前の間にはアンパサンド (
&) 記号で区切ります。
注:
ソフトウェアの更新ポイントがインターネットからのクライアント接続のみを受け入れる場合、証明書にはインターネット FQDN とイントラネット FQDN の両方が含まれている必要があります。
キーの長さ: Configuration Manager は、この証明書でサポートされている最大のキー長を指定していません。 この証明書のキー サイズに関する問題については、PKI および IIS のドキュメントを参照してください。
ほとんどのサイト システムの役割では、証明書秘密キーのキー ストレージ プロバイダーがサポートされています (v3)。 詳細については、「 CNG v3 証明書の概要」を参照してください。
この証明書は、コンピューター証明書ストアの個人用ストアにある必要があります。
クラウド管理ゲートウェイ (CMG)
このサービス証明書は、次の目的で使用されます。
Azure の CMG サービスを Configuration Manager クライアントに認証する
TLS を使用して、それらの間で転送されるすべてのデータを暗号化します。
この証明書を Public Key Certificate Standard (PKCS #12) 形式でエクスポートします。 CMG を作成するときに証明書をインポートできるように、パスワードを知っている必要があります。
証明書の要件:
証明書の目的: サーバー認証
Microsoft 証明書テンプレート: Web サーバー
[拡張キー使用法] の値には、
Server Authentication (1.3.6.1.5.5.7.3.1)サブジェクト名には、クラウド管理ゲートウェイの特定のインスタンスの共通名として、顧客定義のサービス名が含まれている必要があります。
秘密キーはエクスポート可能である必要があります。
サポートされるキーの長さ: 2048 ビットまたは 4096 ビット
この証明書は、証明書秘密キーのキー ストレージ プロバイダーをサポートします (v3)。
詳細については、「 CMG サーバー認証証明書」を参照してください。
Microsoft SQL Server を実行するサイト システム サーバー
この証明書はサーバー間の認証に使用されます。
証明書の要件:
証明書の目的: サーバー認証
Microsoft 証明書テンプレート: Web サーバー
[拡張キー使用法] の値には、
Server Authentication (1.3.6.1.5.5.7.3.1)サブジェクト名には、イントラネットの完全修飾ドメイン名 (FQDN) が含まれている必要があります
サポートされている最大キー長は 2,048 ビットです。
この証明書は、コンピューター証明書ストアの個人用ストアにある必要があります。 Configuration Manager は、サーバーとの信頼を確立する必要がある可能性がある Configuration Manager 階層内のサーバーの Trusted People Store に自動的にコピーします。
SQL Server Always Onフェールオーバー クラスター インスタンス
この証明書はサーバー間の認証に使用されます。
証明書の要件:
証明書の目的: サーバー認証
Microsoft 証明書テンプレート: Web サーバー
[拡張キー使用法] の値には、
Server Authentication (1.3.6.1.5.5.7.3.1)サブジェクト名には、クラスターのイントラネットの完全修飾ドメイン名 (FQDN) が含まれている必要があります
秘密キーはエクスポート可能である必要があります
フェールオーバー クラスター インスタンスを使用するように Configuration Manager を構成する場合、証明書の有効期間は少なくとも 2 年必要です
サポートされている最大キー長は 2,048 ビットです。
クラスター内の 1 つのノードにこの証明書を要求してインストールします。 次に、証明書をエクスポートして他のノードにインポートします。
この証明書は、コンピューター証明書ストアの個人用ストアにある必要があります。 Configuration Manager は、サーバーとの信頼を確立する必要がある可能性がある Configuration Manager 階層内のサーバーの Trusted People Store に自動的にコピーします。
サイト システムの監視
適用対象:
- 管理ポイント
- 状態移行ポイント
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)コンピューターの [サブジェクト名 ] フィールドまたは [ サブジェクトの別名] フィールドに一意の値が必要です。
注:
サブジェクトの別名に複数の値を使用している場合は、最初の値のみが使用されます。
サポートされている最大キー長は 2,048 ビットです。
この証明書は、Configuration Manager クライアントがインストールされていない場合でも、一覧表示されているサイト システム サーバーで必要です。 この構成により、サイトはこれらのサイト システムの役割の正常性を監視し、レポートできます。
これらのサイト システムの証明書は、コンピューター証明書ストアの個人用ストアにある必要があります。
ネットワーク デバイス登録サービス (NDES) 役割サービスで Configuration Manager ポリシー モジュールを実行するサーバー
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)証明書の サブジェクト名 または サブジェクトの別名 (SAN) に関する特定の要件はありません。 ネットワーク デバイス登録サービスを実行している複数のサーバーに対して同じ証明書を使用できます。
サポートされるキー長: 1,024 ビットと 2,048 ビット。
配布ポイントがインストールされているサイト システム
この証明書には 2 つの目的があります。
配布ポイントがステータス メッセージを送信する前に、HTTPS 対応の管理ポイントに対して配布ポイントを認証します。
注:
すべての管理ポイントを HTTPS 用に構成する場合、HTTPS 対応の配布ポイントでは、PKI 発行の証明書を使用する必要があります。 管理ポイントで証明書を使用している場合は、配布ポイントで自己署名証明書を使用しないでください。 それ以外の場合、問題が発生する可能性があります。 たとえば、配布ポイントは状態メッセージを送信しません。
PXE 対応の配布ポイントは、この証明書をコンピューターに送信します。 タスク シーケンスにクライアント ポリシーの取得やインベントリ情報の送信などのクライアント アクションが含まれている場合、コンピューターは OS 展開プロセス中に HTTPS 対応の管理ポイントに接続できます。
注:
この PXE シナリオでは、この証明書は OS 展開プロセス中にのみ使用されます。 クライアントにインストールされていません。 この一時的な使用のため、複数のクライアント証明書を使用しない場合は、すべての OS 展開に同じ証明書を使用できます。
この証明書の要件は、タスク シーケンス メディアのクライアント証明書と同じです。 要件は同じであるため、同じ証明書ファイルを使用できます。
配布ポイントを HTTPS 対応に指定する証明書は、OS 展開だけでなく、すべてのコンテンツ配布操作に適用されます。
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)証明書の サブジェクト名 または サブジェクトの別名 (SAN) に関する特定の要件はありません。 配布ポイントごとに異なる証明書を使用することをお勧めしますが、同じ証明書を使用できます。
秘密キーはエクスポート可能である必要があります。
サポートされている最大キー長は 2,048 ビットです。
この証明書を Public Key Certificate Standard (PKCS #12) 形式でエクスポートします。 配布ポイントのプロパティに証明書をインポートするためには、パスワードを知っている必要があります。
インターネット ベースのクライアント管理用のプロキシ Web サーバー
サイトがインターネット ベースのクライアント管理をサポートしており、着信インターネット接続に SSL 終端 (ブリッジング) を使用してプロキシ Web サーバーを使用する場合、プロキシ Web サーバーには次の証明書が必要です。
注:
SSL 終端 (トンネリング) なしでプロキシ Web サーバーを使用する場合、プロキシ Web サーバーに追加の証明書は必要ありません。
証明書の要件:
証明書の目的: サーバー認証 と クライアント認証
Microsoft 証明書テンプレート: Web サーバー と ワークステーションの認証
[ サブジェクト名 ] または [ サブジェクトの別名] フィールドのインターネット FQDN。 Microsoft 証明書テンプレートを使用する場合、 サブジェクトの別名 はワークステーション テンプレートでのみ使用できます。
この証明書は、インターネット クライアントに対して次のサーバーを認証するため、およびクライアントとこのサーバー間で転送されるすべてのデータを TLS で暗号化するために使用されます。
- インターネット ベースの管理ポイント
- インターネットベースの配布ポイント
- インターネット ベースのソフトウェアの更新ポイント
クライアント認証は、Configuration Manager クライアントとインターネット ベースのサイト システム間のクライアント接続のブリッジとして使用されます。
クライアントの PKI 証明書
Windows クライアント コンピューター
ソフトウェアの更新ポイントを除き、この証明書は、IIS を実行し、HTTPS クライアント接続をサポートするサイト システムに対してクライアントを認証します。
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)[キー使用法] の値には、
Digital Signature, Key Encipherment (a0)クライアント コンピューターの [サブジェクト名 ] または [ サブジェクトの別名] フィールドに一意の値が必要です。 使用する場合、代替の証明書選択条件が指定されていない限り、[ サブジェクト名] フィールドにはローカル コンピューター名が含まれている必要があります。 詳細については、「 PKI クライアント証明書の選択の計画」を参照してください。
注:
サブジェクトの別名に複数の値を使用している場合は、最初の値のみが使用されます。
サポートされているキーの最大長はありません。
既定では、Configuration Manager は、コンピューター証明書ストアの個人用ストアでコンピューター証明書を検索します。
オペレーティング システムを展開するためのタスク シーケンス メディア
この証明書は OSD タスク シーケンスによって使用され、OS 展開プロセス中にコンピューターが HTTPS 対応の管理ポイントおよび配布ポイントに接続できるようにします。 管理ポイントおよび配布ポイントへの接続には、管理ポイントからのクライアント ポリシーの取得や、配布ポイントからのコンテンツのダウンロードなどのアクションが含まれる場合があります。
この証明書は、OS の展開プロセス中にのみ使用されます。 これは、Windows および ConfigMgr のセットアップ作業中にクライアントがインストールされる場合や、デバイスにインストールされる場合、クライアントのインストール プロパティの一部としては使用されません。 この一時的な使用のため、複数のクライアント証明書を使用しない場合は、すべての OS 展開に同じ証明書を使用できます。
HTTPS のみの環境の場合、タスク シーケンス メディアには有効な証明書が必要です。 この証明書により、デバイスはサイトと通信し、展開を続行できます。 タスク シーケンスが完了した後、デバイスが Active Directory に参加すると、クライアントは GPO を介して PKI 証明書を自動的に生成するか、別の方法を使用して PKI 証明書をインストールできます。
注:
この証明書の要件は、配布ポイントの役割を持つサイト システムのサーバー証明書と同じです。 要件は同じであるため、同じ証明書ファイルを使用できます。
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)証明書の [サブジェクト名 ] フィールドまたは [ サブジェクト別名 (SAN)] フィールドには、特定の要件はありません。 すべてのタスク シーケンス メディアに同じ証明書を使用できます。
秘密キーはエクスポート可能である必要があります。
サポートされている最大キー長は 2,048 ビットです。
この証明書を Public Key Certificate Standard (PKCS #12) 形式でエクスポートします。 タスク シーケンス メディアの作成時に証明書をインポートできるように、パスワードを知っている必要があります。
重要
ブート イメージには、サイトと通信するための PKI 証明書が含まれていません。 代わりに、ブート イメージは、タスク シーケンス メディアに追加された PKI 証明書を使用してサイトと通信します。
タスク シーケンス メディアへの PKI 証明書の追加の詳細については、「 起動可能なメディアの作成 」および「 事前ステージ メディアの作成」を参照してください。
macOS クライアント コンピューター
この証明書は、通信するサイト システム サーバーに対して macOS クライアント コンピューターを認証します。 たとえば、管理ポイントと配布ポイントです。
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート:
- Configuration Manager の登録の場合: 認証されたセッション
- Configuration Manager に依存しない証明書のインストールの場合: ワークステーション認証
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)サブジェクト名:
- ユーザー証明書を作成する Configuration Manager の場合、証明書のサブジェクト値には、macOS コンピューターを登録したユーザーのユーザー名が自動的に入力されます。
- Configuration Manager の登録を使用しないが、Configuration Manager とは独立してコンピューター証明書を展開する証明書をインストールする場合、証明書のサブジェクトの値は一意である必要があります。 たとえば、コンピューターの FQDN を指定します。
- [ サブジェクトの別名] フィールドはサポートされていません。
サポートされている最大キー長は 2,048 ビットです。
モバイル デバイス クライアント
この証明書は、通信するサイト システム サーバーに対してモバイル デバイス クライアントを認証します。 たとえば、管理ポイントと配布ポイントです。
証明書の要件:
証明書の目的: クライアント認証
Microsoft 証明書テンプレート: 認証済みセッション
[拡張キー使用法] の値には、
Client Authentication (1.3.6.1.5.5.7.3.2)サポートされている最大キー長は 2,048 ビットです。
これらの証明書は、Distinguished Encoding Rules (DER) でエンコードされたバイナリ X.509 形式である必要があります。 Base64 でエンコードされた X.509 形式はサポートされていません。
ルート証明機関 (CA) 証明書
この証明書は、標準のルート CA 証明書です。
適用対象:
- OS の展開
- クライアント証明書の認証
- モバイル デバイスの登録
証明書の目的: 信頼できるソースへの証明書チェーン
クライアントが通信サーバーの証明書を信頼できるソースにチェーンする必要がある場合は、ルート CA 証明書を提供する必要があります。 クライアント証明書が、管理ポイント証明書を発行した CA 階層とは異なる CA 階層によって発行されている場合は、クライアントのルート CA 証明書を提供する必要があります。