Windows端末用の証明書配付設定・確認 | Soliton OneGate 管理ガイド

Intune側でWindows端末に証明書を配付するための設定を行い、配付結果を確認します。

ポイント

証明書の配付設定を行う前に

事前に以下の設定を完了してください。

MDM方式（Intune連携）の事前設定

Windows端末用の証明書を配付する場合、以下の設定・確認操作を順に行います。

CA証明書配付用プロファイルを登録する

CA証明書を配付するための構成プロファイルを作成します。

Microsoft Intune管理センター（https://intune.microsoft.com/）に管理者としてサインインする
［デバイス］＞［プラットフォーム別-Windows］＞［デバイスの管理］＞［構成］を順にクリックする
［＋作成］をクリックする

以下の項目を設定し、［作成］をクリックする

プラットフォーム	対象のWindowsのバージョンを選択します。
プロファイルの種類	「テンプレート」を選択します。
テンプレート名	検索欄に「信頼」と入力し、「信頼済み証明書」を選択します。

「名前」に任意のプロファイル名を入力し、［次へ］をクリックする

以下の項目を設定し、［次へ］をクリックする

証明書ファイル	事前設定2の「構成プロファイル用の設定情報を確認する」でダウンロードしたルート証明書ファイル（.cer）を選択します。構成プロファイル用の設定情報を確認する
保存先ストア	「コンピューター証明書ストア‐ルート」を選択します。

必要に応じて、割り当てる（除外する）グループ・ユーザーを追加し、［次へ］をクリックする

この例では、「組み込まれたグループ」にグループを1つ追加します。
必要に応じて適用性ルールを設定し、［次へ］をクリックする
設定内容を確認し、［作成］をクリックする

CA証明書配付用の構成プロファイルが作成されます。

SCEP証明書配付用プロファイルを登録する

続けて、SCEP証明書を配付するための構成プログラムを作成します。

「構成」画面で、［＋作成］をクリックする

以下の項目を設定し、［作成］をクリックする

プラットフォーム	対象のWindowsのバージョンを選択します。
プロファイルの種類	「テンプレート」を選択します。
テンプレート名	検索欄に「SCEP」と入力し、「SCEP証明書」を選択します。

「名前」に任意のプロファイル名を入力し、［次へ］をクリックする

以下の項目を設定し、［次へ］をクリックする

証明書の種類	任意の証明書を選択します。「デバイス」を選択した場合、ローカルコンピューターの証明書ストアに証明書がインポートされます。
サブジェクト名の形式	「CN={{UserName}},E={{EmailAddress}}」を選択します。「UserName」＝ユーザープリンシパル名の＠より前の部分指定できるサブジェクト名についてはMicrosoftの仕様を確認してください。 https://learn.microsoft.com/ja-jp/mem/intune/protect/certificates-profile-scep
証明書の有効期間	任意の期間を設定します。
キー記憶域プロバイダー	任意のプロバイダーを設定します。 PasswordManagerのV1.18以前で証明書を使用する場合、「ソフトウェア KSPに登録する」を選択してください。
キー使用法	「デジタル署名」を選択します。
キーサイズ	任意のサイズを選択します。
ハッシュアルゴリズム	「SHA-2」を選択します。
ルート証明書	先ほど作成したCA証明書配付用構成プロファイルを選択します。 CA証明書配付用構成プロファイルを登録
拡張キー使用法	Microsoft Intune連携設定時に事前に設定した拡張キー使用方法を選択します。 Microsoft Intune連携設定
更新しきい値	「更新しきい値」は、証明書の更新を開始するタイミングを、有効期間の残りの割合（%）で指定する値になります。任意のしきい値を設定します。例）20％
SCEPサーバーのURL	構成プロファイル用の設定情報確認時にコピーした「SCEPサーバーのURL」を入力します。構成プロファイル用の設定情報確認

ポイント

「証明書の種類」で「デバイス」を選択した場合、ローカルコンピューターの証明書ストアに証明書がインポートされます。

「サブジェクト名の形式」で指定できるサブジェクト名については、Microsoftの仕様を確認してください。

Microsoftの仕様

https://learn.microsoft.com/ja-jp/mem/intune/protect/certificates-profile-scep

必要に応じて、割り当てる（除外する）グループ・ユーザーを追加し、［次へ］をクリックする

この例では、「組み込まれたグループ」にグループを1つ追加します。
必要に応じて適用性ルールを設定し、［次へ］をクリックする
設定内容を確認し、［作成］をクリックする

SCEP証明書配付用の構成プロファイルが作成されます。

デバイス登録を行う

最後に、証明書を配付するWindows端末をIntuneに登録します。

ここでは、Entra ID joinのデバイス登録手順を説明します。

ローカルアカウントでログインした状態で「設定」＞「アカウント」＞「職場または学校にアクセスする」を順に選択し、［接続］をクリックする
［このデバイスをMicrosoft Entra IDに参加させる］をクリックする
Entra IDユーザーのユーザープリンシパル名とパスワードを入力し、ログインする
「接続先」、「ユーザー名」および「ユーザーの種類」を確認し、［参加する］をクリックする
［完了］をクリックする

続けて、登録状況を確認します。
サインイン後、「設定」＞「アカウント」＞「職場または学校にアクセスする」を選択し、「○○のEntra IDに接続しました」と表示されていることを確認する

　　

Windows端末のIntune登録は完了です。

登録したデバイスをグループに追加する

登録した端末をCA証明書およびSCEP証明書配付用のプロファイル作成時に登録したグループに追加します。

Microsoft Intune管理センターの「デバイス」＞「プラットフォーム別-Windows」を選択し、登録した端末が表示されることを確認する
［グループ］をクリックし、CA証明書およびSCEP証明書配付用のプロファイル作成時に「③割り当て」画面で登録したグループ名を選択して、「メンバー」の［＋メンバーの追加］をクリックする
CA証明書配付用プロファイルを登録

SCEP証明書配付用プロファイルを登録
適切なグループに端末を追加する

グループに動的メンバーシップがある場合は、端末が正常に追加されていることを確認してください。