NPS 構成を確認する

[スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「nps.msc」と入力して、Enter キーを押します。

NPS コンソール ツリーで、[RADIUS クライアントとサーバー] をダブルクリックし [RADIUS クライアント] をクリックします。

詳細ウィンドウで、NPS がインストールされ RADIUS プロキシとして構成されている HRA サーバーに対応する RADIUS クライアントのフレンドリ名をダブルクリックします。RADIUS クライアント エントリが存在しない場合は、次の手順を実行して新しい RADIUS クライアントを作成します。この手順は、リモート HRA サーバーが、接続要求を NPS を実行するローカル サーバーに転送するように構成されている場合にのみ適用されます。

1. [RADIUS クライアント] を右クリックし、[新規] をクリックします。
   
   
2. [フレンドリ名] に、RADIUS クライアントの名前 (たとえば「HRA-1」) を入力します。
   
   
3. [アドレス (IP または DNS)] に、リモート HRA サーバーの IP アドレスまたは DNS 名を入力し、[確認]、[解決] の順にクリックします。
   
   
4. 表示された IP アドレスが、正しいリモート HRA サーバーに対応することを確認し、[OK] をクリックします。
   
   
5. [共有シークレット] と [共有シークレットの確認入力] に、リモート HRA サーバー上のリモート RADIUS サーバー グループ設定で構成されているシークレットを入力します。
   
   
6. リモート HRA サーバーのリモート RADIUS サーバー グループ構成設定で、メッセージ認証属性が有効になっている場合は、[Access-Request メッセージに Message-Authenticator 属性を必要とする] チェック ボックスをオンにします。リモート HRA サーバーでこのオプションが有効になっていない場合には、このチェック ボックスがオフになっていることを確認します。
   
   
7. [RADIUS クライアントが NAP に対応している] チェック ボックスをオンにし、[OK] をクリックします。
   
   
8. 現在の手順を再開して、新しい RADIUS クライアントの構成を確認します。
   
   

[プロパティ] ウィンドウで、[この RADIUS クライアントを有効にする] チェック ボックスがオンになっていることを確認します。

[RADIUS クライアントが NAP に対応している] チェック ボックスがオンになっていることを確認します。

リモート HRA サーバーが、アクセス要求にメッセージ認証属性が含まれることを必要とするように構成されている場合には、[Access-Request メッセージに Message-Authenticator 属性を必要とする] チェック ボックスがオンになっていることを確認します。そうでない場合は、このチェック ボックスがオフになっていることを確認します。

[ベンダー名] で、[RADIUS Standard] が選択されていることを確認します。

[アドレス (IP または DNS)] に表示されている DNS 名または IP アドレスが、正しいリモート HRA サーバーに対応していることを確認し、[確認] をクリックします。

[クライアントの確認] ダイアログ ボックスで [解決] をクリックします。

[IP アドレス] で、表示されている IP アドレスが、NPS を実行するローカル サーバーに要求を転送するように構成された HRA サーバーに対応していること、および NPS を実行するローカル サーバーがこの IP アドレスにネットワーク接続可能であることを確認します。

[OK] をクリックします。共有シークレットが一致していない疑いがある場合は、[共有シークレット] と [共有シークレットの確認入力] の各フィールドにシークレットを入力し、[OK] をクリックします。

NPS を実行するローカル サーバーに処理のために接続要求を転送するように構成されているネットワーク上の各 HRA サーバーに対して、この手順を繰り返します。

NPS コンソール ツリーで、[ポリシー] をダブルクリックし、[接続要求ポリシー] をクリックします。

詳細ウィンドウで、IPsec で保護された NAP クライアントからの受信ネットワーク アクセス要求を認証するために使用する接続要求ポリシーをダブルクリックします。このポリシーが存在しない場合は、次の手順を実行して、接続要求ポリシーを作成します。

1. [接続要求ポリシー] を右クリックし、[新規] をクリックします。
   
   
2. [ポリシー名] に、接続要求ポリシーの名前 (たとえば「NAP IPsec with HRA」) を入力します。
   
   
3. [ネットワーク アクセス サーバーの種類] で、[正常性登録機関] を選択し、[次へ] をクリックします。
   
   
4. 接続要求ポリシーでは、1 つ以上の条件を指定する必要があります。どの受信アクセス要求も拒否しない条件を追加するには、[条件の指定] ページで [追加] をクリックします。
   
   
5. [条件の選択] ウィンドウで、[日付と時刻の制限]、[追加] の順にクリックします。
   
   
6. [時間帯の制約] ウィンドウで、[許可] を選択します。すべての日と時間が許可されていることを確認し、[OK]、[次へ] の順にクリックします。
   
   
7. NPS を実行するローカル サーバーが NAP 正常性ポリシー サーバーの場合には、[このサーバーで要求を認証する] がオンになっていることを確認し、[次へ] を 3 回クリックして、[完了] をクリックします。NPS を実行するローカル サーバーが、評価のために要求を別のサーバーに転送する場合は、「NPS プロキシ構成を確認する」を参照してください。
   
   

[概要] タブで、[ポリシーを有効にする] チェック ボックスがオンになっていることを確認します。

[概要] タブで、[ネットワーク アクセス サーバーの種類] が [正常性登録機関] または [Unspecified] になっていることを確認します。アクセス サーバーの種類を指定する方法の詳細については、このトピックで後述する「その他の考慮事項」を参照してください。

[条件] タブをクリックし、構成されているすべての条件が、準拠する NAP クライアントと準拠しない NAP クライアントの両方で一致していることを確認します。たとえば、[日付と時刻の制限]] では、指定した日と時刻にだけネットワーク アクセスを許可するように構成できます。

[設定] タブをクリックします。[必要な認証方法] で、[認証方法] をクリックし、[ネットワーク ポリシーの認証設定よりも優先する] チェック ボックスがオフになっていることを確認します。

[接続要求の転送] で、[認証] をクリックします。

NPS を実行するローカル サーバーを NAP 正常性ポリシー サーバーとして有効にするには、[このサーバーで要求を認証する] がオンになっていることを確認します。

[OK] をクリックしてプロパティ ウィンドウを閉じます。

NPS コンソール ツリーで、[ポリシー] をダブルクリックし、[ネットワーク ポリシー] をクリックします。

詳細ウィンドウで、準拠しているコンピューター用に 1 つ以上のポリシーがあり、準拠していないコンピューター用に 1 つのポリシーがあり、これらのポリシーの [状態] が [有効] になっていることを確認します。ポリシーを有効にするには、ポリシー名を右クリックし、[有効にする] をクリックします。これらのポリシーが存在しない場合は、次の手順を実行して、ネットワーク ポリシーを作成します。

1. [ネットワーク ポリシー] を右クリックし、[新規] をクリックします。
   
   
2. [ポリシー名] に、ネットワーク ポリシーの名前 (たとえば「NAP IPsec with HRA Compliant」や「NAP IPsec with HRA Noncompliant」) を入力します。
   
   
3. [ネットワーク アクセス サーバーの種類] で、[正常性登録機関] を選択し、[次へ] をクリックします。
   
   
4. [条件の指定] ページで、[追加] をクリックします。
   
   
5. [条件の選択] で、[正常性ポリシー]、[追加] の順にクリックします。
   
   
6. このネットワーク ポリシーが、準拠しているクライアント コンピューターに適用される場合は、[正常性ポリシー] で、準拠しているクライアントの正常性状態に一致するよう構成されている正常性ポリシーを選択し、[OK] をクリックします。
   
   
7. このネットワーク ポリシーが、準拠していないクライアント コンピューターに適用される場合は、[正常性ポリシー] で、準拠していないクライアントの正常性状態に一致するよう構成されている正常性ポリシーを選択し、[OK] をクリックします。
   
   
8. [次へ] をクリックし、[アクセスを許可する] を選択し、[次へ] をクリックします。
   
   
9. [認証方法の構成] ページで、[コンピューターの正常性チェックのみを実行する] チェック ボックスをオンにし、[次へ] を 2 回クリックします。
   
   
10. [設定の構成] ページで、[NAP 強制] をクリックします。
    
    
11. このポリシーの強制モードを選択します。詳細については、後の「NAP 強制モード」を参照してください。
    
    
12. 準拠していないクライアントの自動修復を有効にするには、[クライアント コンピューターの自動修復を有効にする] チェック ボックスをオンにします。自動修復を有効にしない場合は、このチェック ボックスをオフにします。
    
    
13. [次へ]、[完了] の順にクリックします。
    
    
14. 現在の手順を再開して、新しいネットワーク ポリシーの構成を検証します。
    
    

詳細ウィンドウで、ポリシーの [処理順序] が使用環境に合わせて正しく構成されていることを確認します。限定的なポリシーを全般的なポリシーの前に処理します。ポリシーの順序を変更するには、ポリシー名を右クリックし、[上へ] または [下へ] をクリックします。

詳細ウィンドウで、準拠する NAP ポリシーと準拠しない NAP ポリシーの両方の [アクセスの種類] が [アクセスを許可する] に構成されていることを確認します。アクセス許可を構成するには、ポリシー名を右クリックし、[プロパティ]、[概要] タブの順にクリックし、[アクセスを許可する] をオンにします。

詳細ウィンドウで、IPsec で保護された NAP クライアントを処理するために使用されるポリシーの [ソース] が、[正常性登録機関] または [Unspecified] になっていることを確認します。アクセス サーバーの種類を指定する方法の詳細については、このトピックで後述する「その他の考慮事項」を参照してください。

詳細ウィンドウで、準拠しているクライアントに一致させるために使用されるネットワーク ポリシーの名前をダブルクリックし、[条件] タブをクリックします。

指定されている条件の 1 つ以上が [正常性ポリシー] になっており、[値] が、準拠しているクライアントの正常性状態に一致するよう構成済みの正常性ポリシーに対応していることを確認します。この条件が存在しない場合は、次の手順を実行します。

1. [追加]、[正常性ポリシー]、[追加] の順にクリックします。
   
   
2. [正常性ポリシー] で、準拠しているクライアントの正常性状態に対応するポリシーを選択し、[OK] をクリックします。正常性ポリシーがない場合は、正常性ポリシーを確認し、この手順を繰り返してください。
   
   

[制約] タブをクリックし、[認証方法] をクリックします。

[コンピューターの正常性チェックのみを実行する] チェック ボックスがオンになっていることを確認します。

[設定] タブをクリックし、[NAP 強制] をクリックします。

この準拠ネットワーク ポリシーで [完全なネットワーク アクセスを許可する] がオンになっていることを確認し、[OK] をクリックします。これで準拠するネットワーク ポリシーの確認は完了です。

詳細ウィンドウで、準拠していないクライアントに一致させるために使用されるネットワーク ポリシーの名前をダブルクリックし、[条件] タブをクリックします。

指定されている条件の 1 つ以上が [正常性ポリシー] になっており、[値] が、準拠していないクライアントの正常性状態に一致するよう構成済みの正常性ポリシーに対応していることを確認します。この条件が存在しない場合は、次の手順を実行します。

1. [追加]、[正常性ポリシー]、[追加] の順にクリックします。
   
   
2. [正常性ポリシー] で、準拠していないクライアントの正常性状態に対応するポリシーを選択し、[OK] をクリックします。正常性ポリシーがない場合は、正常性ポリシーを確認し、この手順を繰り返してください。
   
   

[制約] タブをクリックし、[認証方法] をクリックします。

[コンピューターの正常性チェックのみを実行する] チェック ボックスがオンになっていることを確認します。

[設定] タブをクリックし、[NAP 強制] をクリックします。

• NAP を完全強制モードで展開した場合は、この準拠しないネットワーク ポリシーで [制限付きアクセスを許可する] がオンになっていることを確認します。
  
  
• NAP を遅延強制モードで展開した場合は、この準拠しないネットワーク ポリシーで [時間を限定して完全なネットワーク アクセスを許可する] がオンになっていることを確認します。
  
  
• NAP を報告モードで展開した場合は、この準拠しないネットワーク ポリシーで [完全なネットワーク アクセスを許可する] がオンになっていることを確認します。
  
  
• 準拠していない NAP クライアントの自動修復を有効にする場合は、[クライアント コンピューターの自動修復を有効にする] チェック ボックスがオンになっていることを確認します。
  
  

[OK] をクリックします。

IPsec で保護された NAP クライアントからのアクセス要求を評価するために使用する各ネットワーク ポリシーの構成を確認するには、上記の手順を必要に応じて繰り返します。

NPS コンソールで、[ポリシー] をダブルクリックし、[正常性ポリシー] をクリックします。

詳細ウィンドウの [ポリシー名] で、準拠する正常性ポリシーの名前をダブルクリックします。このポリシーが存在しない場合は、次の手順を実行して、準拠する正常性ポリシーを作成します。

1. [正常性ポリシー] を右クリックし、[新規] をクリックします。
   
   
2. [ポリシー名] に、準拠する正常性ポリシーの名前 (たとえば「NAP IPsec with HRA Compliant」) を入力します。
   
   
3. [クライアント SHV のチェック対象] で、[すべての SHV チェックにパスしたクライアント] をオンにして厳しい正常性ポリシーを作成するか、[1 つ以上の SHV チェックにパスしたクライアント] をオンにして比較的緩い正常性ポリシーを作成します。
   
   
4. [この正常性ポリシーで使用されている SHV] で、クライアントの正常性を評価するために使用する各 SHV の横のチェック ボックスをオンにします。Windows セキュリティ正常性検証ツールは、既定で使用できます。他の SHV がインストールされていればそれらも使用できます。
   
   
5. [OK] をクリックします。
   
   

[クライアント SHV のチェック対象] で、[すべての SHV チェックにパスしたクライアント] または [1 つ以上の SHV チェックにパスしたクライアント] のいずれかが選択されていることを確認します。これらの条件は、それぞれ、厳しい制限、または比較的緩い制限の準拠するポリシーを作成するために使用されます。

[この正常性ポリシーで使用されている SHV] で、IPsec で保護された NAP クライアント コンピューターの正常性を評価するために使用する、インストール済みの SHV の横のチェック ボックスがオンになっていることを確認し、[OK] をクリックします。

詳細ウィンドウの [ポリシー名] で、準拠しない正常性ポリシーの名前をダブルクリックします。このポリシーが存在しない場合は、次の手順を実行して、準拠しない正常性ポリシーを作成します。

1. [正常性ポリシー] を右クリックし、[新規] をクリックします。
   
   
2. [ポリシー名] に、準拠しない正常性ポリシーの名前 (たとえば「NAP IPsec with HRA Noncompliant」) を入力します。
   
   
3. [クライアント SHV のチェック対象] で、[1 つ以上の SHV チェックに失敗したクライアント] をオンにして厳しい正常性ポリシーを作成するか、[すべての SHV チェックに失敗したクライアント] をオンにして比較的緩い正常性ポリシーを作成します。
   
   
4. [この正常性ポリシーで使用されている SHV] で、クライアントの正常性を評価するために使用する各 SHV の横のチェック ボックスをオンにします。Windows セキュリティ正常性検証ツールは、既定で使用できます。他の SHV がインストールされていればそれらも使用できます。
   
   
5. [OK] をクリックします。
   
   

[クライアント SHV のチェック対象] で、[1 つ以上の SHV チェックに失敗したクライアント] または [すべての SHV チェックに失敗したクライアント] のいずれかが選択されていることを確認します。これらの条件は、それぞれ、厳しい制限、または比較的緩い制限の準拠しないポリシーを作成するために使用されます。

[この正常性ポリシーで使用されている SHV] で、IPsec で保護された NAP クライアント コンピューターの正常性を評価するために使用する、インストール済みの SHV の横のチェック ボックスがオンになっていることを確認し、[OK] をクリックします。

IPsec で保護された NAP クライアント コンピューターを評価するために使用するすべての正常性ポリシーに対して上記の手順を繰り返します。

NPS コンソールで、[ネットワーク アクセス保護] をダブルクリックし、[システム正常性検証ツール] をクリックします。

詳細ウィンドウの [名前] で、インストールされている SHV の名前をダブルクリックします。

SHV の構成は、実装によって異なります。Windows セキュリティ正常性検証ツールを使用している場合は、[構成] をクリックします。

• Windows Vista が動作するコンピューターの正常性要件を構成するには、[Windows Vista] タブをクリックします。
  
  
• Windows XP Service Pack 3 が動作するコンピューターの正常性要件を構成するには、[Windows XP] タブをクリックします。
  
  

正常性コンポーネントの横のチェック ボックスをオンにすることで、正常性要件を有効にします。要件を無効にするには、これらのチェック ボックスをオフにします。WSHV を使用する場合に利用可能な正常性要件には、[ファイアウォール]、[ウイルス対策]、[スパイウェア対策]、[自動更新]、および [セキュリティ更新プログラムによる保護] があります。

[OK] をクリックして、展開に応じたエラー コードの解決方法を構成します。エラー コードの解決方法により、表示されたエラー条件の下でクライアントが評価される方法が決まります。各条件で [準拠] と [非準拠] のどちらの状態を返すかを選択することができます。

[OK] をクリックし、NPS コンソールを閉じます。