SSL 証明書失効チェック モードによるトラブルシューティング

Omnissa Workspace ONE Experience Management エージェントの SSL 証明書失効チェック モード ポリシーによる SSL/TLS 接続のトラブルシューティングと可能な修正。このモードでは、以前に有効だった証明書が最近失効したかどうかを確認します。このポリシーを Windows 用に構成するには、エージェントにバンドルされている Workspace ONE Endpoint ADMX テンプレートを使用してポリシーを有効にし、チェック モードを設定します。このポリシーを macOS 用に構成するには、エージェントの構成ファイルでモードを設定します。

症状

エクスペリエンス管理データが Omnissa Intelligence に送信されず、ログに SSL/TLS 接続の失敗が報告されている場合は、このトラブルシューティング トピックを使用します。

定期的な検証と追加チェック

• 定期的な検証：エクスペリエンス管理エージェントが HTTPS 経由で Omnissa Intelligence バックエンドに接続するたびに、エージェントはサーバの証明書を検証します。
  • 信頼できる認証局 (CA) が証明書を発行し、その証明書がホスト名と一致し、有効期限が切れていないことを確認します。
  • この検証は常に行われます。
• 追加の検証：SSL 証明書失効チェック モード ポリシーを使用してオプションのチェックを追加し、有効に発行された証明書が 失効しているかどうかを確認します。
  • たとえば、プライベート キーが侵害された、または誤って発行されたために証明書が失効する可能性があります。
  • この追加のチェックでは、エージェントが現在話している Intelligence サーバとは関係のない個別の CRL (証明書失効リスト) または OCSP (オンライン証明書ステータス プロトコル) エンドポイントにアクセスする必要があります。
  • エージェントが失効エンドポイントに到達できない場合は、その障害によってテレメトリのアップロードもブロックすべきかどうかを選択できます。
  • エージェントが失効エンドポイントに到達できない例には、プロキシがエンドポイントをまだ許可リストに登録していない場合や、CA がエンドポイントをローテーションした場合などがあります。

サポートされているエージェントのバージョン

この設定は、macOS および Windows バージョン 26.07 以降のエクスペリエンス管理エージェントから使用できます。

使用可能なモード

SSL 証明書失効チェック モードを構成する場合は、3 つのモードから選択します。これは、構成するモードに関係なく常に実行される、通常の証明書チェーン検証チェックの追加チェックです。

制限

SSL 証明書失効チェック モードを使用する前に、現在の制限事項に注意してください。

WinHTTP の制限

libcurl を使用するエクスペリエンス管理エージェントのデフォルトの HTTPS バックエンドでは、ソフトフェイルとハードフェイルが完全にサポートされます。Windows は Schannel (Secure Channel) を使用し、macOS は Apple のセキュリティ フレームワークを使用します。

お使いの環境で WinHTTP (デフォルトではない、オプションで非推奨の Windows バックエンド) を使用している場合、WinHTTP は失効チェックのオンまたはオフのみをサポートし、ソフトフェイルの概念がないことに注意してください。バックエンドでは、ソフトフェイルとハードフェイルが同じ動作となり、いずれも厳格に強制されます。

ログの制限

ソフトフェイルにおいて*「 失効チェックはレスポンダに到達できませんでしたが、接続はそのまま続行されました」* というケースを特に監視または監査する場合は、現在のログでその結果が区別されていないことに注意してください。

• Windows (libcurl + Schannel、デフォルト)： 個別のログ エントリは存在しません。
  • チェックは Windows の Schannel コンポーネント内で実行され、最終的な合格または不合格のみが報告されます。
  • 失効が不確定だったのか、明確に確認されたのかについては報告されません。
• macOS：*「証明書チェーンは信頼されています」*としてデバッグ レベルでログに記録されます。
  • このメッセージは、失効が取り消されていないと明確に確認された場合に使用されるメッセージと同じです。
  • 2 つの結果は、ログで区別できません。

失効エンドポイントへの到達可能性を特に可視化する必要がある場合、現時点ではどのプラットフォームにおいてもエージェント自身のログでそれを提供することはできません。

Windows では、Schannel イベント ログと CAPI2 イベント ログを個別に有効にして監査できます。Microsoft の Tech Community ブログ How to Configure and Collect Schannel and CAPI2 Logs を参照してください。

要件

SSL 証明書失効チェック モードを構成する前に、必要なタスクを実行します。

セキュリティ関連設定のテスト

広範な展開の前に、環境内のセキュリティ関連の設定に対する構成の変更を確認してテストする必要があります。

ハードフェイルの要件

ハードフェイルでは、エクスペリエンス管理エージェントが すべての 接続で証明書の CRL または OCSP エンドポイントに正常にアクセスする必要があります。システムがアクセスできない場合、システムは接続をブロックし、その接続と一緒にアップロードされたテレメトリをブロックします。ハードフェイルをオンにする前に、Windows と macOS について記載されている手順を実行します。

1. 出力方向プロキシまたはファイアウォールで、リージョンの Intelligence の宛先のCRL (証明書失効リスト) または OCSP (オンライン証明書ステータス プロトコル) エンドポイントを許可リストに登録します。
   • CRL または OCSP リストのリージョン別に現在公開されているエンドポイントを参照してください。
   • 「サービスの宛先のリージョン別 URL の許可リスト登録」で Intelligence リージョンを検索します。
2. 可能な場合はワイルドカード許可リストを使用します。
   • これらのホスト名は、認証局からの事前の通知なしに定期的にローテーションできるため、ワイルドカード ドメインの *.amazontrust.com と *.amznts.eu を許可リストに登録します。
   • これらのワイルドカード ドメインを許可リストに登録すると、今日の特定のホスト名のみを許可リストに登録するよりも、ホスト名をローテーションするのに役立ちます。

到達可能性を保証できない場合、ソフトフェイル モードは停止リスクなしで同じセキュリティ上の利点のほとんどを提供します。

Windows 固有の要件 (リマインダ)

お使いの環境でデフォルトの libcurl バックエンドではなく WinHTTP バックエンドを使用している場合は、WinHTTP にソフトフェイルの概念がないことを確認してください。WinHTTP に対して異なる構成を行う必要はありません。これは、設定ではなく、あらかじめ考慮しておくべき制約事項です。

Windows の構成

グループ ポリシー オブジェクト (GPO) を使用して、SSL 証明書失効チェック モードを設定します。

1. Customer Connect のダウンロード ページで、エージェントにバンドルされている Workspace ONE Endpoint Telemetry ADMX テンプレートをダウンロードします。
2. 記載されている ポリシー構造にある SSL 証明書失効チェック モード 設定を使用します。

Computer Configuration → Administrative Templates → Workspace ONE Endpoint Telemetry
→ Service Configuration → HTTP → SSL Certificate Revocation Check Mode

1. ポリシーを 有効 に設定し、ドロップダウンから オフ、ソフトフェイル、または ハードフェイル を選択します。
   • ポリシーを 未構成 のままにすると、エージェントはデフォルトのソフトフェイルのままになります。

参照用のレジストリと値

このチェックを構成する独自の方法がある場合は、レジストリ パスと値を使用します。

• 値の名前： SslRevocationCheckMode (文字列)
• 値： off、soft-fail、hard-fail (大文字と小文字を区別しない)
• 存在しない、または認識されない値は、soft-fail にフォールバックされます。
• GPO とローカル レジストリの両方の値が設定されている場合、GPO の値が優先されます。

macOS の構成

エージェントの構成ファイルでモードを設定して、SSL 証明書失効チェック モードを設定します。macOS デバイスの管理者権限を持つターミナルを使用します。リストされた値を使用します。存在しない、または認識されない値は、soft-fail にフォールバックされます。

• 値の名前： SslRevocationCheckMode (文字列)
• 値： off、soft-fail、hard-fail (大文字と小文字を区別しない)

手順

1. パス /etc/workspaceone/ws1etlm/config/config.ini で構成ファイルを見つけて開きます。
2. [HttpLib] セクションを見つけます。
3. 行 SslRevocationCheckMode="<mode>" を追加します。
   • 例：SslRevocationCheckMode="soft-fail"