Microsoft Intune 向けの信頼されたルート証明書プロファイル

Intune を使用して、会社のリソースとネットワークにアクセスするための証明書をデバイスにプロビジョニングする場合は、"信頼された証明書" プロファイルを使用して、該当するデバイスに信頼されたルート証明書を展開します。 信頼されたルート証明書によって、デバイスから、他の証明書の発行元であるルートまたは中間 (発行元) CA への信頼が確立されます。

信頼された証明書プロファイルの展開先は、Simple Certificate Enrollment Protocol (SCEP)、Public Key Cryptography Standards (PKCS)、インポートされた PKCS の証明書プロファイルを受信する同じデバイスおよびユーザーとします。

信頼されたルート CA 証明書をエクスポートする

PKCS、SCEP、PKCS インポートされた証明書を使用するには、デバイスがルート証明機関を信頼する必要があります。 信頼を確立するには、信頼されたルート CA 証明書と、中間または発行元の証明機関証明書をパブリック証明書 (.cer) としてエクスポートします。 このような証明書は、発行元 CA か、発行元 CA を信頼する任意のデバイスから取得できます。

証明書をエクスポートするには、証明機関のドキュメントを参照してください。 パブリック証明書を DER でエンコードされた .cer ファイルとしてエクスポートする必要があります。 秘密キー ( .pfx ファイル) をエクスポートしないでください。

この .cer ファイルは、 信頼された証明書プロファイルを作成 して、その証明書をデバイスに展開するときに使用します。

信頼された証明書プロファイルを作成する

SCEP、PKCS、または PKCS によってインポートされた証明書プロファイルを作成する前に、信頼された証明書プロファイルを作成してデプロイします。 信頼された証明書プロファイルを、他の証明書プロファイルの種類を受け取るのと同じグループに展開します。 この手順により、プロファイル VPN、Wi-Fi、電子メール プロファイルなど、各デバイスが CA の正当性を認識できるようになります。

SCEP 証明書プロファイルでは、信頼された証明書プロファイルが直接参照されます。 PKCS 証明書プロファイルでは、信頼された証明書プロファイルが直接参照されず、CA をホストするサーバーが直接参照されます。 PKCS のインポートされた証明書プロファイルでは、信頼された証明書プロファイルが直接参照されませんが、デバイス上で利用されることがあります。 信頼された証明書プロファイルをデバイスに配備することで、この信頼が確立されます。 デバイスがルート CA を信頼しない場合、SCEP または PKCS 証明書プロファイル ポリシーは失敗します。

SCEP、PKCS、PKCS のインポートされた証明書プロファイルと同様に、サポートするデバイス プラットフォームごとに個別の信頼された証明書プロファイルを作成します。

Android デバイス管理者向けの信頼された証明書プロファイル

この機能は、以下に適用されます。

• KNOX 以外のデバイス上の Android 10 以前
• Android 12 以前の Samsung KNOX デバイス

SCEP 証明書プロファイルでは、信頼されたルート証明書をデバイス上にインストールすること、およびその証明書を参照する信頼された証明書プロファイルを参照することが両方とも必要であるため、次の手順を使用してこの制限を回避します。

1. 信頼されたルート証明書をデバイスに手動でプロビジョニングします。 サンプルのガイダンスについては、次のセクションを参照してください。

2. デバイスに展開します。これは、デバイスにインストールした信頼されたルート証明書を参照する信頼されたルート証明書プロファイルです。

3. 信頼されたルート証明書プロファイルを参照するデバイスに SCEP 証明書プロファイルを展開します。

この問題は、SCEP 証明書プロファイルに限定されるわけではありません。 したがって、PKCS 証明書プロファイルまたは PKCS インポート証明書プロファイルの使用において必要な場合は、該当するデバイスに信頼されたルート証明書を手動でインストールすることを計画してください。

詳細については、techcommunity.microsoft.com の Android デバイス管理者向けのサポートの変更点に関するページを参照してください。

信頼されたルート証明書をデバイスに手動でプロビジョニングする

次のガイダンスは、信頼されたルート証明書を使用してデバイスを手動でプロビジョニングするために役立ちます。

1. 信頼されたルート証明書を Android デバイスにダウンロードするか、転送します。 たとえば、メールを使用して証明書をデバイス ユーザーに配布することや、セキュリティで保護された場所から証明書をユーザーにダウンロードさせることができます。 証明書をデバイスに配置したら、開いて名前を付け、保存する必要があります。 証明書を保存すると、デバイス上のユーザー証明書ストアに追加されます。

   1. ユーザーがデバイス上の証明書を開くには、証明書を見つけてタップする (開く) 必要があります。 たとえば、メールで証明書を送信した後、デバイス ユーザーは証明書の添付ファイルをタップするか、開くことができます。
   2. 証明書が開いたら、証明書を管理するために、PIN を入力するか、デバイスに対して認証を行う必要があります。

2. 認証後は証明書が開きます。ユーザー証明書ストアに保存するには名前を付ける必要があります。 証明書名は、デバイスに送信される信頼されたルート証明書プロファイル内の証明書名と一致する必要があります。 証明書に名前を付けたら、保存できます。

3. 保存後、証明書を使用する準備が整います。 ユーザーは、証明書がデバイスの正しい場所にあることを確認できます。

   1. [設定]>[セキュリティ]>[Trusted credentials]\(信頼済み資格情報\) を開きます。 [Trusted credentials]\(信頼済み資格情報\) の実際のパスは、デバイスによって異なる場合があります。
   2. [ユーザー] タブを開き、証明書を見つけます。
   3. ユーザー証明書の一覧に存在する場合、証明書は正しくインストールされています。

4. デバイスにルート証明書がインストールされている場合でも、SCEP または PKCS 証明書をプロビジョニングするには、以下を展開する必要があります。

   • その証明書を参照する信頼済み証明書プロファイル
   • 証明書プロファイルを参照して SCEP または PKCS 証明書をプロビジョニングする SCEP または PKCS プロファイル。

信頼された証明書プロファイルを作成するには

1. Microsoft Intune 管理センターにサインインします。

2. [ デバイス>管理デバイス>Configuration>Create] を選択して移動します。

   

3. 次のプロパティを入力します。

   • プラットフォーム: このプロファイルを受け取るデバイスのプラットフォームを選択します。
   • プロファイル: 選択したプラットフォームに応じて、[ 信頼された証明書 ] を選択するか、[ テンプレート>信頼された証明書] を選択します。

   重要

   2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。

   現在Windows 8.1を使用している場合は、Windows 10/11 デバイスに移動します。 Microsoft Intune には、Windows 10/11 クライアント デバイスを管理するセキュリティ機能とデバイス機能が組み込まれています。

4. [作成] を選択します。

5. [Basics]\(基本\) で次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるよう、プロファイルに名前を付けます。 たとえば、「会社全体の信頼済み証明書プロファイル」は適切なプロファイル名です。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、推奨されます。

6. [次へ] を選択します。

7. [ 構成設定] で、以前にエクスポートした信頼されたルート CA 証明書の .cer ファイルを指定します。

   Windows 8.1 および Windows 10/11 デバイスの場合のみ、信頼済み証明書の保存先ストアを以下から選択します。

   • コンピューター証明書ストア - ルート
   • コンピューター証明書ストア - 中間
   • ユーザー証明書ストア - 中間

   

8. [次へ] を選択します。

9. [ 割り当て] で、プロファイルを受信するユーザーまたはグループを選択します。 プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。

   [次へ] を選択します。

10. (Windows 10/11 のみに適用) [適用性ルール] で、適用性ルールを指定してこのプロファイルの割り当てを調整します。 デバイスの OS エディションまたはバージョンに基づいて、プロファイルを割り当てるかどうかを選択できます。

    詳細については、「Microsoft Intune でのデバイス プロファイルの作成」の「適用性ルール」を参照してください。

11. [確認と作成] で、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。

次の手順

証明書プロファイルの作成:

• Intune を使用して SCEP 証明書をサポートするようにインフラストラクチャを構成する
• Intune で PKCS 証明書を構成して管理する
• PKCS のインポートされた証明書プロファイルを作成する