802.1x ワイヤード (有線) 認証を有効にする
2017 年 11 月 14 日の Windows 10 更新プログラム (ビルド 15063.726) では、Surface Hub デバイスで 802.1x の有線認証ポリシー構成が有効になりました。 この機能により、組織で IEEE 802.1x 認証プロトコルを使用する、標準化されたワイヤード (有線) ネットワーク認証を適用できます。 これは、MDM またはプロビジョニング パッケージを使用した WLAN プロファイル を使用したワイヤレス認証で既に使用できます。 このトピックでは、有線認証で使用する Surface Hub を構成する方法について説明します。
Surface Hub での 802.1x 有線認証の適用と有効化は、MDM OMA-URI プロファイル またはプロビジョニング パッケージを使用して行うことができます。
設定するプライマリ構成は LanProfile ポリシーです。 選択した認証方法によっては、EapUserData ポリシーまたはユーザーやコンピューターの証明書を追加するための MDM ポリシー (ユーザー/デバイスの証明書用の ClientCertificateInstall、デバイス証明書用の RootCATrustedCertificates など) のいずれかのポリシーが必要になる場合があります。
LanProfile ポリシー要素
サポートされている 802.1x 認証方法のいずれかを使用するように Surface Hub を構成するには、次の OMA-URI を使用します。
./Vendor/MSFT/SurfaceHub/Dot3/LanProfile
この OMA-URI ノードは、XML のテキスト文字列をパラメーターとして取得します。 パラメーターとして提供される XML は、802.1X スキーマの要素を含む ワイヤード (有線) LAN プロファイル スキーマに準拠している必要があります。
ほとんどの場合、管理者またはユーザーは、次の NETSH コマンドを使用して、ネットワーク上で既に 802.1X 用に構成されている既存の PC から LanProfile XML をエクスポートできます。
netsh lan export profile folder=.
このコマンドを実行すると、次の出力が得られ、 Ethernet.xml というタイトルのファイルが現在のディレクトリに配置されます。
Interface: Ethernet
Profile File Name: .\Ethernet.xml
1 profile(s) were exported successfully.
Surface Hub で 802.1x を完全に無効にするには、 プロビジョニング パッケージを 使用して SurfaceHub\Dot3\LanProfile ノードを次の xml に設定できます。
<?xml version="1.0" encoding="UTF-8"?>
<LANProfile xmlns="https://www.microsoft.com/networking/LAN/profile/v1">
<MSM>
<security>
<OneXEnforced>false</OneXEnforced>
<OneXEnabled>false</OneXEnabled>
</security>
</MSM>
</LANProfile>
EapUserData ポリシー要素
証明書ではなく、ユーザー名とパスワードを必要とする認証方法を選択した場合、EapUserData 要素を使用して、ネットワークで認証するために使用するデバイスの資格情報を指定できます。
./Vendor/MSFT/SurfaceHub/Dot3/EapUserData
この OMA-URI ノードは、XML のテキスト文字列をパラメーターとして取得します。 パラメーターとして提供される XML は、PEAP MS-CHAPv2 ユーザー プロパティの例に準拠している必要があります。 この例では、 テスト と ias-domain のすべてのインスタンスを自分の情報に置き換える必要があります。
証明書の追加
選択した認証方法が証明書ベースの場合は、 プロビジョニング パッケージを作成するか、 MDM を利用するか、設定 (設定>Update とセキュリティ>Certificates) から証明書をインポートして、それらの証明書を適切な証明書ストアの Surface Hub デバイスに展開する必要があります。 証明書を追加する場合、各 PFX に含まれる証明書は 1 つだけである必要があります (PFX に複数の証明書を含めることはできません)。