ダイアログ ボックス: [1 番目の認証方法の追加] および [1 番目の認証方法の編集]

証明書を暗号で保護する場合に使用する署名アルゴリズムを指定します。

証明書を配置するストアを特定することによって、証明書の種類を指定します。

このオプションは、コンピューター証明書の使用を、正常性証明書としてマークされたものだけに制限します。正常性証明書は、ネットワーク アクセス保護 (NAP) 展開のサポートのために、CA が発行します。NAP では、正常性ポリシーを定義および強制適用することができます。これにより、ウイルス対策ソフトウェアが使用されていないコンピューターや最新のソフトウェア更新プログラムが適用されていないコンピューターなど、ネットワーク ポリシーに準拠していないコンピューターがネットワークにアクセスする可能性が低くなります。NAP を実装するには、サーバー コンピューターとクライアント コンピューターの両方で NAP の設定を構成する必要があります。Microsoft 管理コンソール (MMC) スナップインである NAP クライアント管理を使うと、クライアント コンピューターの NAP の設定を簡単に構成できます。詳細については、NAP MMC スナップインのヘルプを参照してください。この方法を使用するには、ドメイン内に NAP サーバーをセットアップする必要があります。

IPsec の証明書とアカウントのマッピングを有効にすると、インターネット キー交換 (IKE) プロトコルおよび認証済み IP (AuthIP) プロトコルは、コンピューター証明書を Active Directory ドメインまたはフォレスト内のコンピューター アカウントと関連付け (マッピングし)、コンピューター セキュリティ グループの一覧を含むアクセス トークンを取得します。この処理によって、IPsec ピアが提供する証明書がドメイン内のアクティブなコンピューター アカウントに対応するようになり、このコンピューターは証明書を使用できるようになります。

証明書とアカウントのマッピングは、そのマッピングを実行するコンピューターと同じフォレスト内にあるコンピューター アカウントにのみ使用できます。有効な証明書チェーンを受け付けるだけの認証よりも、より強力な認証方法を提供します。たとえば、この機能を使用して、同じフォレスト内のコンピューターへのアクセスを制限できます。ただし、証明書とアカウントのマッピングでは、特定の信頼されるコンピューターが必ず IPsec アクセスを許可されるとは限りません。

Active Directory ドメイン サービス (AD DS) 展開に統合されていない公開キー基盤 (PKI) から証明書を受け取っている場合には特に、証明書とアカウントのマッピングが便利です。たとえば、ビジネス パートナーが Microsoft 以外のプロバイダーから証明書を取得する場合などです。証明書を特定のルート CA のドメイン コンピューター アカウントにマップするように、IPsec ポリシー認証方法を構成することができます。また、1 つの CA から発行されたすべての証明書を 1 つのコンピューター アカウントにマップすることもできます。これにより、多くのフォレストが存在し、それぞれが単一の内部ルート CA に基づいて自動登録を実行する環境では、IKE 証明書認証を使用して、IPsec アクセスを許可されるフォレストを制限できます。証明書とアカウントのマッピングが適切に処理されていないと、認証に失敗し、IPsec で保護されている接続がブロックされます。