ADCS EAP TLS認証用のサーバ、コンピュータ証明書を作成する

ADCS EAP TLS認証用のサーバ、コンピュータ証明書を作成する場合に参考になる情報です。

情報元はこちら。

PEAP と EAP の要件に合わせて証明書テンプレートを構成する | Microsoft Docs

PEAP - MS - CHAP v2、PEAP TLS、または EAP TLS を認証方法として使用する場合、NPS では、サーバー証明書の最小要件を満たすサーバー証明書を使用する必要があります。

クライアントコンピューターは、サーバー証明書が次の要件を満たしている場合に、サーバーの認証試行を受け入れる。

・サブジェクト名に値が指定されていること。空のサブジェクト名を持つネットワークポリシーサーバー (NPS) を実行しているサーバーに証明書を発行する場合、その証明書を使用して NPS を認証することはできません。サブジェクト名を指定して証明書テンプレートを構成するには、次の手順に従います。

①[証明書テンプレート] を開きます。
②詳細ウィンドウで、変更する証明書テンプレートを右クリックし、 [プロパティ] をクリックします。
③[サブジェクト名 ] タブをクリックし、この Active Directory 情報から [ビルド] をクリックします。
④[ サブジェクト名の形式] で、[なし] 以外の値を選択します。

・

サーバー上のコンピューター証明書は、信頼されたルート証明機関 (CA) にチェーンされ、CryptoAPI によって実行され、リモートアクセスポリシーまたはネットワークポリシーで指定されているチェックに失敗しません。

・NPS または VPN サーバーのコンピューター証明書は、拡張キー使用法 (EKU) 拡張機能のサーバー認証の目的で構成されます。 (サーバー認証のオブジェクト識別子は 1.3.6.1.5.5.7.3.1 です)。

・必要な暗号化設定を使用してサーバー証明書を構成します。

①[証明書テンプレート] を開きます。
②詳細ウィンドウで、変更する証明書テンプレートを右クリックし、 [プロパティ] をクリックします。
③[ 暗号化] タブをクリックし、次の構成を行います。
プロバイダーカテゴリ: キー Storage プロバイダー
アルゴリズム名: Rsa
プロバイダー: Microsoft Platform Crypto Provider
最小キーサイズ: 2048
ハッシュアルゴリズム: Sha2
④[次へ] をクリックします。

・サブジェクトの別名 (SubjectAltName) 拡張が使用されている場合は、これにサーバーの DNS 名が含まれていること。登録サーバーのドメインネームシステム (DNS) 名を使用して証明書テンプレートを構成するには:

①[証明書テンプレート] を開きます。
②詳細ウィンドウで、変更する証明書テンプレートを右クリックし、 [プロパティ] をクリックします。
③[サブジェクト名 ] タブをクリックし、この Active Directory 情報から [ビルド] をクリックします。
④[この情報を別のサブジェクト名に含める] で、[DNS 名] を選択します。

PEAP と EAP-TLS を使用する場合、NPS では、コンピューター証明書ストアにインストールされている証明書の一覧が表示されます。ただし、次の例外があります。

・EKU 拡張にサーバー認証目的が含まれていない証明書は表示されません。

・サブジェクト名が指定されていない証明書は表示されません。

・レジストリベースの証明書と、スマートカードによるログオンの証明書は表示されません。

クライアント証明書の最小要件
EAP-TLS または PEAP-TLS を使用している場合、サーバーは、証明書が次の要件を満たしていると、クライアントによる認証の試みを受け入れます。

・クライアント証明書は、エンタープライズ CA によって発行されます。または、内のユーザーまたはコンピューターアカウントに ( Active Directory Domain Services AD DS。 )

・クライアントのユーザーまたはコンピューター証明書が信頼されたルート CA にチェーンされ、クライアント認証のオブジェクト識別子が ( 1.3.6.1.5.5.7.3.2 の EKU 拡張機能に含まれるクライアント認証の目的が含まれます。また、CryptoAPI によって実行され、リモートアクセスポリシーまたはネットワークポリシーで指定されたチェックも、NPS ネットワークポリシーで指定されている証明書オブジェクト識別子チェックも失敗しません。 )

・802.1X クライアントが、スマートカードによるログオンの証明書またはパスワードで保護された証明書のいずれかであるレジストリベースの証明書を使用していないこと。

・ユーザー証明書の場合、証明書の Subject Alternative Name SubjectAltName 拡張機能には、ユーザープリンシパル名 ( ) ( UPN が含まれている ) 。証明書テンプレートに UPN を構成するには、次の手順に従います。

・コンピューター証明書の場合、証明書の Subject Alternative Name SubjectAltName 拡張機能には、クライアントの完全修飾ドメイン名 FQDN (DNS 名とも呼ばれる) が含まれている ( ) ( ) 必要があります。証明書テンプレートにこの名前を構成するには、次の手順に従います。