認証ポリシー管理

DigiCert® Device Trust Manager の 認証ポリシーは、SCEP、EST、REST など各種のプロトコルを使用して証明書を要求するときにデバイスが使用できるクレデンシャルと手法を定義します。認証ポリシーは、デバイスグループと証明書管理ポリシーの両方に適用できます。

ヒント

申請プロファイルからの移行 DigiCert® IoT Trust Manager は、申請プロファイルを使用して、クレデンシャルと証明書発行の両方を管理します。 Device Trust Manager は、これらの機能を、デバイス認証を処理する認証ポリシーと、証明書の処理を制御する証明書管理ポリシーとに分離します。この変更に伴って、同じクレデンシャルを複数の証明書管理ポリシーにまたがって適用できるようになるため、柔軟性と制御性が向上しています。

Device Trust Manager における認証ポリシーでは、証明書を要求する際にデバイスが使用しなければならないクレデンシャルを指定します。これらのポリシーは、デバイスグループと証明書管理ポリシーの両方に適用でき、正しいクレデンシャルが正しいデバイスとプロトコルに適用されるようにします。そのため、管理者はさまざまな証明書発行プロトコルのセキュリティと柔軟性を維持しながら、規模に応じて認証を管理することができます。

サポートされるクレデンシャルタイプ

認証ポリシーを使用してさまざまなクレデンシャルタイプを指定し、証明書リクエストに対するデバイスの認証方法を定義できます。

表 1. 認証ポリシーがサポートするクレデンシャルタイプ

クレデンシャルタイプ	説明
パスコード	限定的または 1 回限りの認証に使用できる一時的なコード。パスコードは、使用制限や有効期間によって制限することができます。
認証証明書	安全な証明書ベースの認証のためにデバイスに発行される証明書。これには、使用制限や日付の制約も含まれます。
認証 CA	認証局（CA）が発行する証明書。デバイスは、同じ証明書を共有するか、CA が発行した固有の証明書を使用することができます。このメソッドには、利用制限は適用されません。
ACME クレデンシャル	ACME プロトコルによる証明書管理に特化して使用される ACME ベースのクレデンシャル。

重要

認証ポリシーおよび関連するクレデンシャルは、SCEP、EST、REST、または ACME 経由で証明書を要求する際のデバイスの認証方法を定義します。これらのポリシーはデバイスにのみ適用され、ユーザー認証や API アクセスには適用されません。ユーザー管理、API アクセス、サービスユーザーの詳細については、DigiCert® Account Manager のドキュメントを参照してください。

クレデンシャルのプロパティ

パスコードと認証証明書はどちらも、クレデンシャルがいつどのように使用されるかを制御する追加のプロパティの構成に対応しています。これらの特性により、認証する内容をさまざまな要件に合わせて微調整することができます。

使用制限: クレデンシャルを使用できる回数を指定します。
有効期間開始日/有効期間終了日クレデンシャルが有効な期限を定義します。
登録値: クレデンシャルが使用されるときに一致する必要がある特定の証明書サブジェクト情報を定義します。

認証ポリシーの適用

認証ポリシーは、デバイスグループと証明書管理ポリシーの両方に適用できます。

デバイスグループ: 認証ポリシーがデバイスグループに適用されると、そのグループ内のデバイスが証明書を要求するときにどのクレデンシャルを認証に使用しなければならないかが管理されます。この設定によって、管理者は特定の認証方法（パスコードや認証証明書など）を個別のデバイスセットに割り当てることができます。
証明書管理ポリシー: 認証ポリシーが証明書管理ポリシーに適用される場合、SCEP、EST、または REST などのプロトコルを使用して証明書を要求するときに、デバイスが使用しなければならないクレデンシャルのタイプを定義します。この接続によって、証明書発行プロセスに基づいて適切なセキュリティ対策が適用されることが保証されます。

Certificate management policy versus device group

When a device requests a certificate, it uses an authentication policy. Which policy gets used depends on how the certificate policy is set up for the device group.

If you assign a certificate management policy to a device group, the authentication rules defined in that certificate management policy is used.
If you do not assign a certificate management policy to a device group (for example, if you’re using a Essentials plan), the authentication rules defined when you created the certificate management policy are used.
When a policy is tied to a device group, the authentication policy chosen during policy creation for that device group is applied.
For example, your EST enrollment endpoint URL may resemble:
```
https://clientauth.demo.one.digicert.com/.well-known/est/devicetrustmanager/IOT_<device-group-id>/device-group/<group-id>/simpleenroll
```
Device in a group, includes /device-group/<group-id>/
When a policy is not tied to a device group, the authentication policy chosen when the certificate management policy was created is applied.
For example, your EST enrollment endpoint URL may resemble:
```
https://clientauth.demo.one.digicert.com/.well-known/est/devicetrustmanager/IOT_<device-id>/simpleenroll
```
Device not in a group, includes only the specific /IOT_<device-id>/

Mark authentication certificates as Disallowed

You can control device authentication by marking specific authentication certificates as Disallowed. This option is primarily used to immediately block compromised, retired, or unauthorized certificates from authenticating. You don't need to delete the certificate record or change the Authentication CA configuration.

Example scenario

A trusted CA might issue certificates to many devices. If one certificate should no longer be used, you can mark only that certificate as Disallowed while allowing other valid certificates from the same CA to continue authenticating.

How it works

Change a certificate's status: You can change a certificate's status between Allowed and Disallowed at any time
Status is checked first: During authentication through SCEP, EST, REST, or ACME, DigiCert® Device Trust Managerchecks the certificate status before performing other validation steps. If the certificate is marked Disallowed, the authentication request is rejected immediately
Disallowed certificates take priority: If a matching certificate is marked Disallowed, Device Trust Manager rejects the request and doesn't perform serial number or Authentication CA fallback lookups

重要

Marking a certificate as Disallowed immediately blocks device enrollment and authentication requests that use that certificate. This action doesn't revoke the certificate at the CA level. It only prevents Device Trust Manager from accepting the certificate for authentication.

Benefits

Block individual certificates without affecting the issuing CA
Respond quickly when a certificate is compromised or unauthorized
Avoid broader CA configuration changes
Improve access control enforcement

What to expect after marking a certificate as Disallowed

表 2. Disallowed certificate

Scenario	Outcome
A device attempts to authenticate using a `Disallowed` certificate	Authentication is rejected immediately, before any other policy or constraint checks are evaluated
A device attempts to authenticate using an `Allowed` certificate	Authentication proceeds through the standard policy, validity, and constraint checks
No matching certificate record is found during the initial lookup	Device Trust Managerperforms a fallback lookup using the certificate serial number together with the applicable authentication policy and Authentication CA context
A Disallowed certificate status is found during any stage of lookup	The Disallowed result takes precedence and authentication is rejected, regardless of any subsequent lookup results

次の手順

認証ポリシーの作成

このセクションの内容: