製品ドキュメント
Citrix Endpoint Management™
PDFを表示

オンプレミスDevice Health Attestationサーバーの構成

April 16, 2026
寄稿者: 
C C

オンプレミスのWindowsサーバーを介して、Windows 10およびWindows 11モバイルデバイス向けにDevice Health Attestation (DHA) を有効にできます。オンプレミスでDHAを有効にするには、まずDHAサーバーを構成します。

  • DHAサーバーを構成したら、オンプレミスDHAサービスを有効にするCitrix Endpoint Managementポリシーを作成します。詳しくは、「Device Health Attestationデバイスポリシー」を参照してください。

  • DHAサーバーの前提条件

  • Desktop Experienceインストールオプションを使用してインストールされた、Windows Server Technical Preview 5以降を実行しているサーバー。
    • 1台以上のWindows 10およびWindows 11クライアントデバイス。これらのデバイスには、最新バージョンのWindowsを実行しているTPM 1.2または2.0が搭載されている必要があります。
      • 次の証明書：
      • DHA SSL証明書： エクスポート可能な秘密キーを持つエンタープライズ信頼済みルートにチェーンするx.509 SSL証明書。この証明書は、DHAデータ通信を転送中に保護します。これには以下が含まれます。
      • サーバー間（DHAサービスとMDMサーバー）通信
      • サーバーとクライアント間（DHAサービスとWindows 10またはWindows 11デバイス）通信
    • DHA署名証明書： エクスポート可能な秘密キーを持つエンタープライズ信頼済みルートにチェーンするx.509証明書。DHAサービスはこの証明書をデジタル署名に使用します。
    • DHA暗号化証明書： エクスポート可能な秘密キーを持つエンタープライズ信頼済みルートにチェーンするx.509証明書。DHAサービスはこの証明書を暗号化にも使用します。
    • 次のいずれかの証明書検証モードを選択します。
    • EKCert： EKCert検証モードは、インターネットに接続されていない組織内のデバイス向けに最適化されています。EKCert検証モードで実行されているDHAサービスに接続するデバイスは、インターネットに直接アクセスできません。
    • AIKCert： AIKCert検証モードは、インターネットにアクセスできる運用環境向けに最適化されています。AIKCert検証モードで実行されているDHAサービスに接続するデバイスは、インターネットに直接アクセスでき、MicrosoftからAIK証明書を取得できる必要があります。

WindowsサーバーにDHAサーバーの役割を追加する

  1. Windowsサーバーで、サーバーマネージャーがまだ開いていない場合は、［スタート］ をクリックし、［サーバーマネージャー］ をクリックします。
  2. ［役割と機能の追加］ をクリックします。
  3. ［開始する前に］ ページで、［次へ］ をクリックします。
  4. ［インストールの種類の選択］ ページで、［役割ベースまたは機能ベースのインストール］ をクリックし、［次へ］ をクリックします。
  5. ［対象サーバーの選択］ ページで、［サーバープールからサーバーを選択］ をクリックし、サーバーを選択して、［次へ］ をクリックします。
  6. ［サーバーの役割の選択］ ページで、［Device Health Attestation］ チェックボックスをオンにします。
  7. オプション：［機能の追加］ をクリックして、その他の必要な役割サービスと機能をインストールします。
  8. ［次へ］ をクリックします。
  9. ［機能の選択］ ページで、［次へ］ をクリックします。
  10. ［Webサーバーの役割（IIS）］ ページで、［次へ］ をクリックします。
  11. ［役割サービスの選択］ ページで、［次へ］ をクリックします。
  12. ［Device Health Attestationサービス］ ページで、［次へ］ をクリックします。
  13. ［インストール選択の確認］ ページで、［インストール］ をクリックします。
  14. インストールが完了したら、［閉じる］ をクリックします。

SSL証明書をサーバーの証明書ストアに追加する

  1. SSL証明書ファイルに移動して選択します。

  2. ストアの場所として ［現在のユーザー］ を選択し、［次へ］ をクリックします。

    Windows Server Manager

  3. 秘密キーのパスワードを入力します。

  4. インポートオプション ［すべての拡張プロパティを含める］ が選択されていることを確認します。［次へ］ をクリックします。

    Windows Server Manager

  5. このウィンドウが表示されたら、［はい］ をクリックします。

    Windows Server Manager

  6. 証明書がインストールされていることを確認します。

    1. コマンドプロンプトウィンドウを開きます。

    2. mmc と入力し、Enterキーを押します。ローカルコンピューターのストアで証明書を表示するには、管理者ロールである必要があります。

    3. ［ファイル］ メニューで、［スナップインの追加と削除］ をクリックします。

    4. ［追加］ をクリックします。

    5. ［スタンドアロンスナップインの追加］ ダイアログボックスで、［証明書］ を選択します。

    6. ［追加］ をクリックします。

    7. ［証明書スナップイン］ ダイアログボックスで、［マイユーザーアカウント］ を選択します。（サービスアカウントホルダーとしてサインインしている場合は、［サービスアカウント］ を選択します）。

    8. ［コンピューターの選択］ ダイアログボックスで、［完了］ をクリックします。

      Windows Server Manager

  7. ［サーバーマネージャー］>［IIS］ に移動し、アイコンの一覧から ［サーバー証明書］ を選択します。

    Windows Server Manager

  8. ［操作］ メニューから ［インポート…］ を選択して、SSL証明書をインポートします。

    Windows Server Manager

証明書のサムプリントを取得して保存する

  1. ファイルエクスプローラーの検索バーに mmc と入力します。

  2. ［コンソールルート］ ウィンドウで、［ファイル］>［スナップインの追加と削除］ をクリックします。

    Windows File Explorer

  3. 利用可能なスナップインから証明書を選択し、選択したスナップインに追加します。

    Windows Add or Remove Snap-ins

  4. ［マイユーザーアカウント］ を選択します。

    Windows Add or Remove Snap-ins

  5. 証明書を選択し、［OK］ をクリックします。

    Windows Add or Remove Snap-ins

  6. 証明書をダブルクリックし、［詳細］ タブを選択します。スクロールして証明書のサムプリントを表示します。

    Windows Add or Remove Snap-ins

  7. サムプリントをファイルにコピーします。PowerShellコマンドでサムプリントを使用する場合は、スペースを削除します。

署名証明書と暗号化証明書をインストールする

Windowsサーバーで次のPowerShellコマンドを実行して、署名証明書と暗号化証明書をインストールします。

プレースホルダー ReplaceWithThumbprint を置き換え、示されているように二重引用符で囲みます。

$key = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -like "ReplaceWithThumbprint"}

$keyname = $key.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

$keypath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\" + $keyname icacls $keypath /grant IIS_IUSRS`:R

<!--NeedCopy-->

TPMルート証明書を抽出し、信頼された証明書パッケージをインストールする

Windowsサーバーで次のコマンドを実行します。

mkdir .\TrustedTpm

expand -F:\* .\TrustedTpm.cab .\TrustedTpm

cd .\TrustedTpm

.\setup.cmd
<!--NeedCopy-->

DHAサービスを構成する

Windowsサーバーでこのコマンドを実行して、DHAサービスを構成します。

プレースホルダー ReplaceWithThumbprint を置き換えます。

Install-DeviceHealthAttestation -EncryptionCertificateThumbprint ReplaceWithThumbprint

-SigningCertificateThumbprint ReplaceWithThumbprint

-SslCertificateStoreName My -SslCertificateThumbprint ReplaceWithThumbprint

-SupportedAuthenticationSchema "AikCertificate"
<!--NeedCopy-->

Windowsサーバーで次のコマンドを実行して、DHAサービスの証明書チェーンポリシーを設定します。

$policy = Get-DHASCertificateChainPolicy

$policy.RevocationMode = "NoCheck"

Set-DHASCertificateChainPolicy -CertificateChainPolicy $policy
<!--NeedCopy-->

これらのプロンプトに次のように応答します。

  Confirm

    Are you sure you want to perform this action?

    Performing the operation "Install-DeviceHealthAttestation" on target "[Machine Name]".

    [Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

    Adding SSL binding to website 'Default Web Site'.

    Add SSL binding?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding application pool 'DeviceHealthAttestation_AppPool' to IIS.

    Add application pool?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding web application 'DeviceHealthAttestation' to website 'Default Web Site'.

    Add web application?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding firewall rule 'Device Health Attestation Service' to allow inbound connections on port(s) '443'.

    Add firewall rule?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Setting initial configuration for Device Health Attestation Service.

    Set initial configuration?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Registering User Access Logging.

    Register User Access Logging?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y
<!--NeedCopy-->

構成を確認する

DHASActiveSigningCertificate がアクティブかどうかを確認するには、サーバーで次のコマンドを実行します。

Get-DHASActiveSigningCertificate

証明書がアクティブな場合、証明書の種類（署名）とサムプリントが表示されます。

DHASActiveSigningCertificate がアクティブかどうかを確認するには、サーバーで次のコマンドを実行します。

プレースホルダー ReplaceWithThumbprint を置き換え、示されているように二重引用符で囲みます。

Set-DHASActiveEncryptionCertificate -Thumbprint "ReplaceWithThumbprint" -Force

Get-DHASActiveEncryptionCertificate
<!--NeedCopy-->

証明書がアクティブな場合、サムプリントが表示されます。

最終確認を行うには、次のURLにアクセスします。

https://<dha.myserver.com>/DeviceHeathAttestation/ValidateHealthCertificate/v1

DHAサービスが実行されている場合、「Method not allowed」と表示されます。

DHA service check

オンプレミスDevice Health Attestationサーバーの構成
April 16, 2026
寄稿者: 
C C
April 16, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.