このトピックでは、証明書の登録ポリシーの設定の構成に使用する手順とアプリケーションについて説明します。

グループ ポリシーを使用して証明書の登録ポリシーの設定を構成する

この手順を完了するために最低限必要なグループ メンバーシップは、Domain Admins です。

グループ ポリシーを使用して証明書の登録ポリシーの設定を構成するには

  1. [スタート] ボタンをクリックし、[プログラムとファイルの検索] ボックスに「gpmc.msc」と入力して、Enter キーを押します。

  2. コンソール ツリーで、編集するポリシーが含まれているフォレストおよびドメインを展開し、[グループ ポリシー オブジェクト] をクリックします。

  3. 編集するポリシーを右クリックし、[編集] をクリックします。

  4. コンソール ツリーで、[コンピューターの構成\ポリシー\Windows の設定\セキュリティの設定] の [公開キーのポリシー] をクリックします。

  5. [証明書サービス クライアント - 証明書登録ポリシー] をダブルクリックします。このダイアログ ボックスの設定の詳細については、このトピックの「[証明書サービス クライアント - 証明書登録ポリシーのプロパティ] ダイアログ ボックス」の表を参照してください。

  6. [追加] をクリックして [証明書の登録ポリシー サーバー] ダイアログ ボックスを開きます。このダイアログ ボックスの設定の詳細については、このトピックの「[証明書の登録ポリシー サーバー] ダイアログ ボックス」の表を参照してください。

  7. 次のいずれかの操作を行います。

    • Active Directory ドメイン サービス (AD DS) によって提供される登録ポリシーを追加するには、[既定の Active Directory ドメイン コントローラー URI を使用する] チェック ボックスをオンにします。

    • [登録ポリシー サーバー URI の入力] ボックスに、証明書の登録ポリシー サーバーの URI を入力します。

  8. [認証の種類] の一覧で、登録ポリシー サーバーに必要な認証の種類を選択します。

  9. [検証] をクリックし、[証明書の登録ポリシー サーバーのプロパティ] の領域に表示されるメッセージを確認します。登録ポリシー サーバーの URI と認証の種類が有効な場合、[追加] ボタンが利用可能になります。

  10. [追加] をクリックします。
注

追加した登録ポリシー サーバーが、既に [証明書登録ポリシーの一覧] に表示されている登録ポリシーをサポートする場合は、追加したサーバーは個別に表示されません。[プロパティ] をクリックして、追加した登録ポリシー サーバーが [登録ポリシー サーバー] の一覧に表示されていることを確認します。このダイアログ ボックスの設定の詳細については、このトピックの「[証明書の登録ポリシー サーバーのプロパティ] ダイアログ ボックス」の表を参照してください。

ユーザー インターフェイス リファレンス

次の各表では、[証明書サービス クライアント - 証明書登録ポリシーのプロパティ] ダイアログ ボックス、[証明書の登録ポリシー サーバー] ダイアログ ボックス、および [証明書の登録ポリシー サーバーのプロパティ] ダイアログ ボックスで利用可能な設定について説明します。

[証明書サービス クライアント - 証明書登録ポリシーのプロパティ] ダイアログ ボックス

設定説明

構成モデル

グループ ポリシーでポリシー設定を有効にするかどうかを指定します。

証明書登録ポリシーの一覧

ポリシー設定に含まれる登録ポリシーの一覧を表示します。表示されたポリシーの 1 つは、[既定値] チェック ボックスをオンにして、既定のポリシーに指定する必要があります。

追加

登録ポリシー サーバーの追加に使用する [証明書の登録ポリシー サーバー] ダイアログ ボックスを開きます。

削除

選択した登録ポリシーおよび関連するすべての登録ポリシー サーバーを一覧から削除します。

プロパティ

ポリシーの詳細と選択した登録ポリシーの登録ポリシー サーバーの一覧を表示する [証明書の登録ポリシー サーバーのプロパティ] ダイアログ ボックスを開きます。

ユーザーが構成した登録ポリシー サーバーを無効にする

ユーザーおよびアプリケーションによって構成された登録ポリシー サーバーを無効にします。グループ ポリシーに構成されている登録ポリシーのみが使用されます。


[証明書の登録ポリシー サーバー] ダイアログ ボックス

設定説明

既定の Active Directory ドメイン コントローラー URI を使用する

既定の登録ポリシー サーバーの LDAP URI と認証の種類として Windows 統合を指定します。

フレンドリ名の構成

このボタンは、[既定の Active Directory ドメイン コントローラー URI を使用する] チェック ボックスがオンにされた場合のみ利用可能です。

既定のポリシー名または登録ポリシー ID の代わりに表示される登録ポリシーの名前の構成に使用されます。指定した名前は、証明書登録ウィザードや他のアプリケーションでユーザーに対して表示されます。

注

複数の登録ポリシー サーバーが同じ登録ポリシーをサポートする場合、同じ登録ポリシーのフレンドリ名を使用するように各サーバーを構成する必要があります。登録ポリシー Web サービスでは、フレンドリ名の値は、サーバー マネージャーを使用して構成するアプリケーション設定の 1 つです。既に各登録ポリシー Web サービスにフレンドリ名の設定が構成されている場合は、ドメイン コントローラーの LDAP URI を追加する前に、登録ポリシー Web サービスの URI を追加します。これにより、フレンドリ名の値を同じにすることができます。

登録ポリシー サーバー URI の入力

証明書の登録ポリシー Web サービスの URI を指定します。この URI は HTTPS を使用する必要があります。

認証の種類

指定した URI への接続に使用する認証の種類を指定します。指定する認証の種類は、証明書の登録ポリシー Web サービスが必要とする認証の種類と同じである必要があります。

次の認証の種類を利用できます。

  • [匿名]。証明書の登録ポリシー サーバーへの接続時に、資格情報が提供されません。

  • [Windows 統合]。Windows 統合認証では、Kerberos プロトコルが使用されます。AD DS ドメイン メンバーの認証に適しています。

  • [ユーザー名/パスワード]。証明書の登録中に、ユーザー名とパスワードの入力が求められます。

  • [X.509 証明書]。証明書の登録中に、認証に使用する証明書の選択が求められます。

検証

指定された URI に指定された認証の種類を使用して接続し、次の事項を確認します。

  • 登録ポリシー サーバーへの SSL 接続が存在する。

  • 有効な登録ポリシーが登録ポリシー サーバーによって返される。

  • 登録ポリシーが既にグループ ポリシー設定に含まれていない。

検証を行わないと、登録ポリシー サーバーの URI は追加できません。指定された URI と認証の種類が有効な場合、登録ポリシーの ID とフレンドリ名が表示されます。検証で問題がある場合は、警告またはエラー メッセージが表示されます。

追加

登録ポリシー サーバーの URI と検証済みの登録ポリシーをグループ ポリシー設定に追加します。登録ポリシー サーバーの URI と認証の種類が検証されると、[追加] ボタンが利用可能になります。


[証明書の登録ポリシー サーバーのプロパティ] ダイアログ ボックス

設定説明

登録ポリシー サーバーの一覧

登録ポリシーをサポートする登録ポリシー サーバーの一覧を表示します。

削除

選択した登録ポリシー サーバーを削除します。すべての登録ポリシー サーバーが削除されると、登録ポリシーも削除されます。

自動登録と自動更新に対して有効にする

自動登録が有効な場合に自動登録に使用される登録ポリシーを指定します。

ドメイン メンバーではない Windows 7 を実行するコンピューターでは、自動登録は既定で有効です。ドメイン メンバーであるコンピューターでは、自動登録はグループ ポリシーを使用して有効にする必要があります。自動登録の構成手順については、証明書の登録の管理に関するページ (英語の可能性あり) (https://go.microsoft.com/fwlink/?LinkId=143282) を参照してください。

登録時に強力な検証を行う

登録クライアントが、登録中に発行元 CA の証明書パスを検証する必要があることを指定します。


その他の参照情報

目次