英語で読む

次の方法で共有

Microsoft Intune で認証に証明書を使用する

  • [アーティクル]

Intune で証明書を使用し、VPN、Wi-Fi、電子メール プロファイルを介してアプリケーションや企業リソースに対してユーザーが本人であることを確認します。 証明書を使用してこれらの接続を認証する場合、エンド ユーザーはユーザー名とパスワードを入力する必要がなく、アクセスがシームレスになる可能性があります。 証明書は、S/MIME を使用した電子メールの署名と暗号化にも使用されます。

Intune での証明書の概要

証明書により、次の 2 つのフェーズを通じて、遅延なく認証されたアクセスが提供されます。

  • 認証フェーズ: ユーザーの信頼性をチェックし、ユーザーが主張しているとおりの人物であることを確認します。
  • 承認フェーズ: ユーザーには、ユーザーにアクセス権を付与する必要があるかどうかを判断する条件が適用されます。

証明書の一般的な使用シナリオは次のとおりです。

  • デバイスまたはユーザーの証明書を使用したネットワーク認証 (802.1x など)
  • デバイスまたはユーザーの証明書を使用した VPN サーバーでの認証
  • ユーザー証明書に基づいた電子メールへの署名

Intune により、デバイスに証明書をプロビジョニングする方法として、Simple Certificate Enrollment Protocol (SCEP)、公開キー暗号化標準 (PKCS)、インポートされた PKCS 証明書がサポートされています。 プロビジョニング方法が異なれば、要件と結果も異なります。 例:

  • SCEP によって、証明書の各要求に固有の証明書がプロビジョニングされます。
  • PKCS によって各デバイスに一意の証明書がプロビジョニングされます。
  • インポートされた PKCS を使用すると、メール サーバーなどのソースからエクスポートしたものと同じ証明書を複数の受信者に展開できます。 この共有証明書は、すべてのユーザーまたはデバイスが、その証明書によって暗号化された電子メールを、確実に暗号化を解除できるようにするのに役立ちます。

特定の種類の証明書を使用してユーザーまたはデバイスをプロビジョニングするために、Intune により証明書プロファイルが使用されます。

3 つの証明書の種類とプロビジョニング方法に加えて、信頼された証明機関 (CA) からの信頼されたルート証明書が必要です。 CA には、オンプレミスの Microsoft 証明機関、またはサードパーティの証明機関を使用できます。 信頼されたルート証明書によって、デバイスから、他の証明書の発行元であるルートまたは中間 (発行元) CA への信頼が確立されます。 この証明書を展開するには、 信頼された証明書 プロファイルを使用し、SCEP、PKCS、およびインポートされた PKCS の証明書プロファイルを受け取るのと同じデバイスとユーザーに展開します。

ヒント

Intune により、スマートカードを使用する必要がある環境での派生資格情報の使用もサポートされています。

証明書の使用に必要なもの

  • 証明機関。 CA は、証明書が認証のために参照する信頼のソースです。 Microsoft CA またはサードパーティの CA を使用できます。
  • オンプレミス インフラストラクチャ。 必要なインフラストラクチャは、使用する証明書の種類によって異なります。
  • 信頼されたルート証明書。 SCEP または PKCS 証明書プロファイルを展開する前に、"信頼された証明書" プロファイルを使用して、CA から信頼されたルート証明書を展開します。 このプロファイルは、デバイスから CA への信頼を確立するのに役立ち、他の証明書プロファイルで必要になります。

信頼されたルート証明書が展開されたら、証明書プロファイルを展開して、認証用の証明書を持つユーザーとデバイスをプロビジョニングする準備が整いました。

使用する証明書プロファイル

次の比較は包括的なものではありませんが、さまざまな種類の証明書プロファイルの使用を区別するために用意されています。

プロファイルの種類 詳細
信頼された証明書 ルート CA または中間 CA からユーザーおよびデバイスに公開キー (証明書) を展開して、ソース CA への信頼を確立するために使用します。 その他の証明書プロファイルには、信頼された証明書プロファイルとそのルート証明書が必要です。
SCEP 証明書 証明書要求のテンプレートをユーザーとデバイスに展開します。 SCEP を使用してプロビジョニングされた各証明書は一意であり、証明書を要求するユーザーまたはデバイスに関連付けられています。

SCEP を使用すると、SCEP を使用して KIOSK またはユーザーレス デバイスで証明書をプロビジョニングするなど、ユーザー アフィニティがないデバイスに証明書を展開できます。
PKCS 証明書 ユーザーまたはデバイスの証明書の種類を指定する証明書要求のテンプレートを展開します。

- 証明書の種類のユーザーに対する要求には、常にユーザー アフィニティが必要です。 ユーザーに展開すると、各ユーザーのデバイスは一意の証明書を受け取ります。 ユーザーがいるデバイスに展開すると、そのユーザーがそのデバイスの証明書に関連付けられます。 ユーザーがいないデバイスに展開すると、証明書はプロビジョニングされません。
- 証明書の種類がデバイスのテンプレートでは、証明書をプロビジョニングするためにユーザー アフィニティは必要ありません。 デバイスに展開することでデバイスがプロビジョニングされます。 ユーザーに展開すると、ユーザーがサインインしているデバイスが証明書を使ってプロビジョニングされます。
PKCS のインポートされた証明書 1 つの証明書を複数のデバイスとユーザーに展開します。これにより、S/MIME 署名や暗号化などのシナリオがサポートされます。 たとえば、各デバイスに同じ証明書を展開することにより、各デバイスは、同じメール サーバーから受信した電子メールの暗号化を解除できます。

SCEP は要求ごとに一意の証明書を作成し、PKCS はユーザーごとに異なる証明書を関連付け、異なるユーザーが異なる証明書を受け取るので、このシナリオでは他の証明書の展開方法は不十分です。

Intune でサポートされている証明書と使用方法

Type 認証 S/MIME 署名 S/MIME 暗号化
公開キー暗号化標準 (PKCS) のインポートされた証明書 サポート対象 サポート
PKCS#12 (または PFX) サポート対象 サポート
Simple Certificate Enrollment Protocol (SCEP) サポート対象 サポート

これらの証明書を展開するには、証明書プロファイルを作成してデバイスに割り当てます。

作成する証明書プロファイルは、1 つにつきプラットフォームを 1 つサポートします。 たとえば、PKCS 証明書を使用する場合は、Android 用の PKCS 証明書プロファイルと、iOS/iPadOS 用の個別の PKCS 証明書プロファイルを作成します。 これら 2 つのプラットフォームにも SCEP 証明書を使用する場合は、Android 用の SCEP 証明書プロファイルと、iOS/iPadOS 用の SCEP 証明書プロファイルを作成します。

Microsoft の証明機関を使用する場合の一般的な考慮事項

Microsoft の証明機関 (CA) を使用する場合:

サードパーティの証明機関を使用する場合の一般的な考慮事項

サードパーティ (Microsoft 以外) の証明機関 (CA) を使用する場合:

  • SCEP 証明書プロファイルでは、Microsoft Intune証明書コネクタを使用する必要はありません。 代わりに、サード パーティの CA が証明書の発行と管理を直接処理します。 Intune証明書コネクタなしで SCEP 証明書プロファイルを使用するには:

    • サポートされているパートナーのいずれかからのサードパーティの CA との統合を構成します。 セットアップには、サードパーティの CA からの指示に従って、CA と Intune の統合を完了することも含まれます。
    • MICROSOFT ENTRA IDで、SCEP 証明書チャレンジ検証を実行するIntune権限を委任するアプリケーションを作成します。

    詳細については、「サード パーティの CA 統合を設定する」を参照してください。

  • PKCS インポートされた証明書では、Microsoft Intune証明書コネクタを使用する必要があります。 Microsoft Intuneの証明書コネクタのインストールに関するページを参照してください。

  • 次のメカニズムで証明書を展開します。

サポートされているプラットフォームと証明書プロファイル

プラットフォーム 信頼された証明書プロファイル PKCS 証明書プロファイル SCEP 証明書プロファイル PKCS のインポートされた証明書プロファイル
Android デバイス管理者 サポートされています
( 注 1 を参照)		 サポート対象 サポート対象 サポート
Android Enterprise
- フル マネージド (デバイス所有者)		 サポート対象 サポート対象 サポート対象 サポート
Android Enterprise
- 専用 (デバイス所有者)		 サポート対象 サポート対象 サポート対象 サポート
Android Enterprise
- Corporate-Owned 仕事用プロファイル		 サポート対象 サポート対象 サポート対象 サポート
Android Enterprise
- Personally-Owned 仕事用プロファイル		 サポート対象 サポート対象 サポート対象 サポート
Android (AOSP) サポート対象 サポート対象 サポート
iOS/iPadOS サポート対象 サポート対象 サポート対象 サポート
macOS サポート対象 サポート対象 サポート対象 サポート
Windows 8.1 以降 サポート対象 サポート
Windows 10 または 11 サポートされています
( 注 2 を参照)		 サポートされています
( 注 2 を参照)		 サポートされています
( 注 2 を参照)		 サポート

重要

2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。

現在Windows 8.1を使用している場合は、Windows 10/11 デバイスに移動します。 Microsoft Intune には、Windows 10/11 クライアント デバイスを管理するセキュリティ機能とデバイス機能が組み込まれています。

重要

Android デバイス管理者の管理は非推奨となり、Google Mobile Services (GMS) にアクセスできるデバイスでは使用できなくなります。 現在デバイス管理者管理を使用している場合は、別の Android 管理オプションに切り替えることをお勧めします。 サポートとヘルプのドキュメントは、Android 15 以前を実行している GMS を使用しない一部のデバイスで引き続き利用できます。 詳細については、「 GMS デバイスでの Android デバイス管理者のサポートの終了」を参照してください。

関連コンテンツ

その他のリソース:

証明書プロファイルの作成:

Certificate Connector for Microsoft Intune について学習する