トークン署名証明書

[アーティクル]
02/13/2024

フェデレーションサーバーでは、攻撃者がフェデレーションリソースに無許可でアクセスし、セキュリティトークンを改ざんまたは偽造するのを防ぐために、トークン署名証明書を使用する必要があります。トークン署名証明書で使用されるプライベート/公開キーの組み合わせは、フェデレーションパートナーシップの最も重要な検証メカニズムです。これらのキーは、有効なパートナーフェデレーションサーバーによってセキュリティトークンが発行されたこと、およびトークンが転送中に変更されていないことを確認するためです。

トークン署名証明書の要件

AD FS を操作するには、トークン署名証明書が次の要件を満たしている必要があります:

トークン署名証明書がセキュリティトークンに正常に署名するには、トークン署名証明書にプライベートキーが含まれている必要があります。
AD FS サービスアカウントは、ローカルコンピューターの個人用ストアにあるトークン署名証明書のプライベートキーにアクセスできる必要があります。この処理は、セットアップによって行われます。また、AD FS 管理スナップインを使用して、トークン署名証明書を後で変更した場合にこのアクセスを確認することもできます。

注意

これは、プライベートキーを複数の目的で共有しないようにするための公開キー基盤 (PKI) のベストプラクティスです。そのため、トークン署名証明書としてフェデレーションサーバーにインストールしたサービス通信証明書は使用しないでください。

パートナー間でトークン署名証明書を使用する方法

すべてのトークン署名証明書には、暗号化の秘密キーと公開キーが含まれています。これらのキーは、秘密キーの手法に基づいてセキュリティトークンにデジタル署名する場合に使用されます。後で、パートナーフェデレーションサーバーによってトークン署名証明書が受信されると、これらのキーが公開キーの手法に基づいて使用され、暗号化されたセキュリティトークンの信頼性が確認されます。

各セキュリティトークンにはアカウントパートナーによってデジタル署名が付加されるため、リソースパートナーはセキュリティトークンが実際にアカウントパートナーによって発行され、変更されていないことを確認できます。デジタル署名は、パートナーのトークン署名証明書の公開キー部分によって検証されます。署名が検証されると、リソースフェデレーションサーバーはその組織に対して独自のセキュリティトークンを生成し、独自のトークン署名証明書を使用してセキュリティトークンに署名します。

フェデレーションパートナー環境で、トークン署名証明書が CA によって発行されている場合は、次のことを確認してください:

証明書の証明書失効リスト (CRL) は、証明書利用者とフェデレーションサーバーを信頼する Web サーバーにアクセスできます。
ルート CA 証明書は、フェデレーションサーバーを信頼する証明書利用者と Web サーバーによって信頼されています。

リソースパートナーの Web サーバーは、トークン署名証明書の公開キーを使用して、セキュリティトークンがリソースフェデレーションサーバーによって署名されていることを確認します。その後、Web サーバーがクライアントに適切にアクセスできるようになります。