Omnissa Access での証明書ベースの認証の構成

Omnissa Access コンソールの [認証方法] ページから [証明書 (クラウド デプロイ)] 認証方法を構成し、この認証方法を組み込み ID プロバイダで使用するように選択します。

前提条件

• ユーザーから提示された証明書に署名した CA からルート証明書と中間証明書を入手します。
• （オプション）証明書認証のための有効な証明書ポリシーのオブジェクト識別子 (OID) のリスト。
• （オプション）CRL を失効チェック用に設定します。
• （オプション）OCSP サーバを失効チェック用に設定し、OCSP レスポンダ URL を把握します。OCSP サーバで失効チェックが有効になっている場合は、有効にする前に OCSP サーバが正常に動作していることを確認します。
• （オプション）OCSP 応答署名証明書ファイルの場所。
• 認証の前にユーザーに同意書が表示される場合は、同意書の内容。
• SSL 接続に TLS 1.3 を使用する場合は、ナレッジベースの記事 KB6000726 を参照して、オプションを有効にする前に完了する必要がある前提条件を確認してください。

手順

1. Omnissa Access コンソールの [統合] > [認証方法] ページで、[証明書 (クラウド デプロイ)] を選択します。

2. [構成] をクリックし、証明書認証設定を構成します。

3. 証明書認証に TLS 1.3 を使用するには、[SSL 接続に TLS 1.3 を使用する] を有効にします。

   TLS 1.3 は、セキュリティの強化とパフォーマンスの向上を提供します。デフォルトでは、TLS 1.2 が使用されます。

   注意：このオプションを有効にする前に、ナレッジベースの記事 KB6000726 を参照してください。TLS 1.3 に使用される Certificate Authentication Service (CAS) ホスト名は、TLS 1.2 で使用されるホスト名とは異なります。TLS 1.3 オプションを有効にすると、新しい CAS ホスト名をサポートするためにネットワーク構成（プロキシおよびファイアウォール構成）とデバイス プロファイルの更新が必要になる場合もあります。TLS 1.3 の使用と必要な操作の詳細については、ナレッジベースの記事を参照してください。

4. 証明書をアップロードします。

   設定	説明
   証明書アダプタを有効にする	証明書認証を有効にするには、証明書アダプタを有効にする トグルを有効にします。
   ルートおよび中間 CA 証明書	アップロードする証明書ファイルを選択します。DER または PEM としてエンコードされた複数のルート CA および中間 CA 証明書を選択できます。
   アップロードされた CA 証明書	アップロードされた証明書ファイルは、フォームの [アップロードされた CA 証明書] セクションに表示されます。

5. 証明書内のユーザー ID を特定するためのユーザー ID 検索順序を選択します。

   「Omnissa Access での証明書認証のためのユーザー プリンシパル名の使用」を参照してください。

   設定	説明
   ユーザー ID の検索順序	証明書内のユーザー ID を特定する検索順序を選択します。 upn：Subject Alternative Name の UserPrincipalName の値 email：Subject Alternative Name のメール アドレス。 subject：サブジェクトの UID 値。サブジェクト DN に UID が見つからない場合、CN テキスト ボックスが構成されていれば、CN テキスト ボックスの UID 値が使用されます。
   UPN フォーマットを検証	UserPrincipalName の形式を検証するには、この設定を はい に切り替えます。

6. 要求のタイムアウト。応答を待機する時間を秒単位で入力します。ゼロ (0) の値は応答の待ち時間を制限しないことを意味します。

7. 承認された証明書ポリシー。証明書ポリシー拡張機能で受け入れられるオブジェクト識別子 (OID) のリストを作成します。証明書発行ポリシーのオブジェクト識別子番号を入力します。[追加] をクリックして、OID を追加します。

8. 証明書失効チェックを構成するには、[証明書の失効を有効にする] トグルを有効にします。失効チェックにより、ユーザー証明書が失効したユーザーは認証されなくなります。

   証明書失効リスト (CRL) とオンライン証明書ステータス プロトコル (OCSP) 失効チェックの両方がサポートされています。

   「Omnissa Access での証明書認証のための証明書失効チェックの使用」を参照してください。

   失効チェック用の CRL のみの構成

   CRL は、証明書を発行した CA によって公開される、失効した証明書のリストです。失効に [証明書の CRL を使用する] を有効にすると、Omnissa Access サーバは CRL を読み取り、ユーザー証明書の失効ステータスを判断します。証明書が失効していると、証明書による認証は失敗します。

   失効チェックに使用する CRL の URL を構成します。証明書から URL を有効にするか、[CRL の場所] テキスト ボックスに CRL の URL を入力できます。URL は、証明書自体の [CRL] フィールドから取得されます。

   オプション	説明
   [証明書の CRL を使用する] トグルを有効にし、[CRL の場所] 設定で値を設定しない	[証明書の CRL を使用する] トグルを有効にすると、証明書の [CRL] フィールドから証明書失効リスト (CRL) が取得されます。 注：[CRL の場所] の設定に値がある場合、この値はこの構成では無視されます。
   [CRL の場所] を設定します。[CRL の場所] を設定した場合は、[証明書の CRL を使用する] トグルを有効にしないでください。	証明書のステータスの検証に使用される CRL を取得する CRL の URL を入力します。 注：[証明書の CRL を使用する] トグルはこの構成では有効になっていません。

   失効チェック用の OCSP のみの構成

   失効チェックに OCSP のみを使用するには、次の設定を構成します。

   注：Omnissa Access で AirWatch 認証局を使用している場合は、失効チェックのために OCSP を有効にします。[証明書の CRL を使用する] 設定を有効にしたり、[CRL の場所] テキスト ボックスに URL 値を入力したりしないでください。

   設定	説明
   OCSP の失効を有効にする	オンライン証明書ステータス プロトコル (OCSP) の証明書検証プロトコルを使用して証明書の失効ステータスを取得するには、[OCSP の失効を有効にする] トグルを有効にします。
   OCSP Nonce を送信する	OCSP Nonce は、リプレイ攻撃を防ぐために OCSP 応答メッセージを特定の OCSP 要求メッセージに暗号的にバインドするために使用される一意の識別子です。 OCSP 要求の一意の識別子を使用して証明書を検証する場合は、[OCSP Nonce を送信する] トグルを有効にします。 注：軽量 OCSP (RFC 5019) レスポンダでは、Nonce の送信はサポートされていません。
   OCSP の URL	OCSP URL は、[OCSP の URL] テキスト ボックスに手動で入力するか、検証されている証明書の AIA (Authority Information Access) 拡張機能から抽出することができます。 OCSAP URL を手動で設定するには、失効チェック サーバの OCSP URL を入力します。
   OCSP URL のソース	証明書認証を構成するときに選択する OCSP オプションは、Omnissa Access が OCSP URL をどのように取得するかを決定します。 ドロップダウン メニューから、失効チェックに使用するソースを選択します。 構成のみ：テキスト ボックスで指定した OCSP URL を使用して証明書の失効チェックを実行し、証明書チェーン全体を検証します。[OCSP URL] テキスト ボックスには、失効チェック用の OCSP サーバ アドレスも構成する必要があります。 証明書のみ（必須）：チェーン内の各証明書の AIA 拡張機能にある OCSP URL を使用して証明書の失効チェックを実行します。チェーン内の各証明書には OCSP URL が定義されている必要があります。そうでないと、証明書の失効チェックは失敗します。 証明書のみ（オプション）：証明書の AIA 拡張機能にある OCSP URL のみを使用して証明書の失効チェックを実行します。証明書の AIA 拡張機能に OCSP URL がない場合は、失効チェックを実行しません。[OCSP URL] テキスト ボックスの設定は無視されます。 注：Workspace ONE UEM CA を使用している場合は、ソースとして [証明書のみ (オプション)] を選択します。 構成へのフォールバック付き証明書：OCSP URL が使用可能なときに、チェーン内の各証明書の AIA 拡張機能から抽出された OCSP URL を使用して証明書の失効チェックを実行します。OCSP URL が AIA 拡張機能にない場合は、OCSP URL のテキスト ボックスで構成した OCSP URL を使用して失効チェックを実行します。OCSP URL のテキスト ボックスには、OCSP サーバ アドレスを設定する必要があります。
   OCSP レスポンダの署名証明書	レスポンダの OCSP 証明書ファイルを検索して選択します。
   OCSP 署名証明書をアップロードする	このセクションにはアップロードされた OCSP 署名証明書ファイルがリストされます。

   失効チェック用の CRL と OCSP の両方の構成

   CRL と OCSP の両方を失効チェックに使用するには、CRL と OCSP の両方の失効チェックの設定を構成し、[OCSP の障害時に CRL を使用する] トグルを有効にします。

   この設定を有効にすると、最初に OCSP がチェックされ、OCSP が失敗すると、失効チェックは CRL にフォールバックされます。CRL で障害が発生した場合、OCSP に戻って失効チェックが実行されることはありません。

9. 認証前に同意書を有効にする。ユーザーが証明書認証を使用して Workspace ONE ポータルにログインする前に同意書ページを表示するには、このチェック ボックスをオンにします。[同意書の内容] テキスト ボックスに、同意書に表示されるテキストを入力します。

10. [保存] をクリックします。

次のステップ

• 組み込み ID プロバイダの証明書（クラウド デプロイ）認証方法を関連付けます。「Omnissa Access での組み込み ID プロバイダの構成」を参照してください。
• 組み込み ID プロバイダで証明書認証方法を関連付けてから、デフォルトのアクセス ポリシーに認証方法を追加します。「Omnissa Access サービスでのアクセス ポリシーの管理」を参照してください。