ユーザークライアント認証
DigiCert証明書プロファイル
プロファイルの作成手順については、「Trust Lifecycle Manager で証明書プロファイルを作成する」を参照してください。
セキュリティ識別子（SID）
Intuneo からセキュリティ識別子（SID）をユーザーのクライアント認証証明書に含めるには、以下の手順に従います。
Intune で、該当するユーザーについて［On-premises sync enabled］フラグが［はい］に設定されている必要があります。
Trust Lifecycle Manager 証明書プロファイルの［証明書オプション］>［サブジェクト DN および SAN フィールド］で、SAN の URI フィールドを追加し、フィールド値のソースを［SCEP request］に設定します。
Intune SCEP 構成プロファイルで、属性名の URI にサブジェクトの別名フィールドを追加し、値を次の文字列のとおりに設定します。
tag:microsoft.com,2022-09-14:sid:{{OnPremisesSecurityIdentifier}}警告
The SID field is only supported for Azure AD–joined or Hybrid Azure AD–joined devices in a paid Entra ID tenant.
Microsoftデバイス構成プロファイル
これらのステップに従って、DigiCert® Trust Lifecycle Manager の特定の証明書プロファイルから証明書を取得するために、Microsoft Intune にデバイス設定プロファイルを作成します。
Microsoft エンドポイント管理センターで、［Devices］ > ［デバイスの管理］ > ［設定］> ［作成］を選択します。
プロファイルを受け取るデバイスに任意のプラットフォームを構成し、ドロップダウンまたはテンプレートリストからSCEP 証明書を選択します。
［構成の設定］について、Trust Lifecycle Manager の対応する DigiCert 証明書プロファイルと一致するように、設定と値を構成します。
設定 | コメント |
|---|---|
証明書タイプ：ユーザー | DigiCert プロファイルタイプに対応します。 プラットフォームOSの動作により、対象となるデバイス上の鍵/証明書の保存場所が決定されます。 |
サブジェクト名の形式 | Trust Lifecycle Manager 証明書プロファイルによって、SCEP 要求から供給される属性と値を含みます。 |
サブジェクトの別名 | Trust Lifecycle Manager 証明書プロファイルによって、SCEP 要求から供給される属性と値を含みます。 証明書にセキュリティ識別子（SID）を含めるには、属性名 URI の SAN フィールドを追加し、この正確な文字列 |
証明書有効期間 | Trust Lifecycle Manager 証明書プロファイルの設定と一致します。 |
鍵ストレージプロバイダ(KSP) | ターゲットプラットフォームの動作のみを決定します。 |
鍵使用方法 | DigiCert が発行する証明書には、Microsoft 構成設定に関わらず、Trust Lifecycle Manager証明書プロファイルで設定された鍵使用法（通常、デジタル署名と鍵暗号化）が含まれます。 ただし、この設定はターゲットデバイス OS が、そのデバイス上で鍵フラグの設定と用途を強制する方法にも影響する可能性があるため、Trust Lifecycle Manager 証明書プロファイル設定の意図する目的に一致するように設定することが推奨されます。 |
鍵サイズ | Trust Lifecycle Manager 証明書プロファイルの設定と一致します。 |
ハッシュアルゴリズム | 接続デバイスがサポートする、最強のセキュリティレベルを選択します。 |
ルート証明書 | Trust Lifecycle Manager 証明書プロファイルで設定された、エンドエンティティ証明書を発行する CA 証明書。 多層の CA 証明書階層を使用している場合は、ここで発行 CA 証明書ファイルを選択します。Intune の信頼された証明書プロファイルが、ルート CA と発行/中間 CA に存在することを確認します。 |
拡張鍵使用方法 | デジサートが発行する証明書には、Microsoftの構成設定に関係なく、DigiCert証明書プロファイルで設定された拡張キー使用方法が含まれます。 ただし、この設定は、ターゲットプラットフォームのOSがそのデバイス上でキーフラグの設定および使用を強制する方法にも影響する可能性があるため、DigiCert証明書プロファイル設定の意図する目的に一致するように設定することが推奨されます。 |
更新閾値 (%) | この値は、DigiCert証明書プロファイルの更新登録設定と一致するように調整する必要があります。 |
SCEP サーバ URL | 適切な形式については、SCEP URL 形式の表を参照してください。 |
 |