セキュアメール用 S/MIME

デジタルIDプロバイダーとの統合

前提条件

統合の構成

1. IDプロバイダーアプリを準備し、ユーザーに提供します:
   • ラップする.ipaファイルを入手するには、Entrustに連絡してください。
   • MDX Toolkitを使用してアプリをラップします。
     Endpoint Management環境外で既にアプリのバージョンを持っているユーザーにこのアプリを展開する場合、このアプリには一意のアプリIDを使用してください。このアプリとSecure Mailには同じプロビジョニングプロファイルを使用してください。
   • Endpoint Managementにアプリを追加し、Endpoint Managementアプリストアに公開します。
   • ユーザーに、Secure HubからIDプロバイダーアプリをインストールする必要があることを伝えます。必要に応じて、インストール後の手順についてガイダンスを提供します。
     次の手順でSecure MailのS/MIMEポリシーをどのように構成するかによって、Secure Mailは、証明書のインストールまたはSecure Mail設定でのS/MIMEの有効化をユーザーに促す場合があります。これらの両方の手順については、iOS版Secure MailでS/MIMEを有効にするを参照してください。
2. Secure Mail を Endpoint Management に追加する際は、以下のポリシーを必ず構成してください。
   • S/MIME 証明書ソースポリシーを Shared vault に設定します。この設定は、Secure Mail がデジタルIDプロバイダーによって共有ボールトに保存されている証明書を使用することを意味します。
   • Secure Mail の初回起動時に S/MIME を有効にするには、「Enable S/MIME during first Secure Mail startup」ポリシーを構成します。このポリシーは、共有ボールトに証明書がある場合に Secure Mail が S/MIME を有効にするかどうかを決定します。証明書が利用できない場合、Secure Mail はユーザーに証明書のインポートを促します。このポリシーが有効になっていない場合、ユーザーは Secure Mail の設定で S/MIME を有効にできます。デフォルトでは、Secure Mail は S/MIME を有効にしないため、ユーザーは Secure Mail の設定を通じて S/MIME を有効にする必要があります。

派生資格情報の使用

メールによる証明書の配布

1. サーバーマネージャーを使用して、Microsoft Certificate Services の Web 登録を有効にし、IIS の認証設定を確認します。
2. メールメッセージの署名と暗号化のための証明書テンプレートを作成します。これらのテンプレートを使用してユーザー証明書を要求します。
3. 証明書をインストールして検証し、ユーザー証明書をエクスポートしてユーザーにメールで送信します。
4. ユーザーは Secure Mail でメールを開き、証明書をインポートします。これにより、証明書は Secure Mail のみで利用可能になります。S/MIME の iOS プロファイルには表示されません。

前提条件

• XenMobile® Server 10 以降
• Citrix Gateway のサポート対象バージョン (旧 NetScaler® Gateway)
• Secure Mail for iOS (最小バージョン 10.8.10); Secure Mail for Android デバイス (最小バージョン 10.8.10)
• Microsoft Certificate Services がルート証明機関 (CA) として機能する Microsoft Windows Server 2008 R2 以降
• マイクロソフト エクスチェンジ:
  • Exchange Server 2016 累積更新プログラム 4
  • Exchange Server 2013 累積更新プログラム 15
  • Exchange Server 2010 SP3 更新プログラムのロールアップ 16

• ルート証明書と中間証明書を、手動で、または Endpoint Management の資格情報デバイスポリシーを介して、モバイルデバイスに配信します。詳細については、「資格情報デバイスポリシー」を参照してください。
• Exchange Server への ActiveSync トラフィックを保護するためにプライベートサーバー証明書を使用している場合は、すべてのルート証明書と中間証明書をモバイルデバイスにインストールしてください。

Microsoft Certificate Services の Web 登録を有効にする

1. 管理ツールに移動し、サーバーマネージャーを選択します。
2. Active Directory 証明書サービスの下で、証明機関 Web 登録がインストールされているかどうかを確認します。
3. 必要に応じて、役割サービスの追加を選択して証明機関 Web 登録をインストールします。
4. 証明機関 Web 登録をチェックし、次へをクリックします。
5. インストールが完了したら、閉じるまたは完了をクリックします。

IIS で認証設定を確認する

• ユーザー証明書を要求するために使用される Web 登録サイト（例: https://ad.domain.com/certsrv/）が、HTTPS サーバー証明書（プライベートまたはパブリック）で保護されていることを確認します。
• Web 登録サイトは HTTPS 経由でアクセスする必要があります。

1. 管理ツールに移動し、サーバーマネージャーを選択します。
2. Web サーバー (IIS) で、役割サービスの下を確認します。クライアント証明書マッピング認証と IIS クライアント証明書マッピング認証がインストールされていることを確認します。インストールされていない場合は、これらの役割サービスをインストールします。
3. 管理ツールに移動し、インターネットインフォメーションサービス (IIS) マネージャーを選択します。
4. IIS マネージャーウィンドウの左ペインで、Web 登録用の IIS インスタンスを実行しているサーバーを選択します。
5. 認証をクリックします。
6. Active Directory クライアント証明書認証が有効になっていることを確認します。
7. 右ペインで、サイト > Microsoft Internet Information Services の既定のサイト > バインドをクリックします。
8. HTTPS バインドが存在しない場合は、追加します。
9. 既定の Web サイトのホームに移動します。
10. SSL 設定をクリックし、クライアント証明書を受け入れるをクリックします。

新しい証明書テンプレートを作成する

• Exchange署名のみ（署名用）
• Exchangeユーザー（暗号化用）

1. 証明機関スナップインを開きます。
2. CAを展開し、証明書テンプレートに移動します。
3. 右クリックして管理をクリックします。
4. Exchange署名のみテンプレートを検索し、テンプレートを右クリックしてテンプレートの複製をクリックします。
   Exchange署名のみテンプレートの画像(/en-us/mobile-productivity-apps/media/smime-3.png)
5. 任意の名前を割り当てます。
6. Active Directoryに証明書を発行するチェックボックスを選択します。
   注：
   Active Directoryに証明書を発行するチェックボックスを選択しない場合、ユーザーはユーザー証明書（署名用および暗号化用）を手動で発行する必要があります。これは、**Outlookメールクライアント > トラストセンター > 電子メールセキュリティ > GALに発行（グローバルアドレスリスト）**から実行できます。
   Active Directoryに証明書を発行するチェックボックスの画像(/en-us/mobile-productivity-apps/media/smime-4.png)
7. 要求処理タブをクリックし、次のパラメーターを設定します。
   • 目的: 署名
   • 最小キーサイズ: 2048
   • 秘密キーのエクスポートを許可するチェックボックス: オン
   • ユーザー入力なしでサブジェクトを登録するチェックボックス: オン
   リクエスト処理タブの画像(/en-us/mobile-productivity-apps/media/smime-5.png)
8. セキュリティタブをクリックし、グループ名またはユーザー名の下で、認証済みユーザー（または任意のドメインセキュリティグループ）が追加されていることを確認します。また、認証済みユーザーのアクセス許可の下で、許可に対して読み取りと登録のチェックボックスがオンになっていることを確認します。
   セキュリティタブの画像(/en-us/mobile-productivity-apps/media/smime-6.png)
9. その他のすべてのタブと設定については、デフォルト設定のままにします。
10. 証明書テンプレートで、Exchangeユーザーをクリックし、手順4から9を繰り返します。
    証明書テンプレートダイアログボックスの画像(/en-us/mobile-productivity-apps/media/smime-7.png)
    新しいExchangeユーザーテンプレートには、元のテンプレートと同じデフォルト設定を使用します。
11. リクエスト処理タブをクリックし、次のパラメーターを設定します。
    • 目的: 暗号化
    • 最小キーサイズ: 2048
    • 秘密キーのエクスポートを許可するチェックボックス: オン
    • ユーザー入力なしでサブジェクトを登録するチェックボックス: 選択済み
      
12. 両方のテンプレートが作成されたら、両方の証明書テンプレートを発行してください。新規をクリックし、発行する証明書テンプレートをクリックします。
    

ユーザー証明書の要求

1. Windowsベースのコンピューターで、Internet Explorerを開き、Web登録サイトにアクセスして新しいユーザー証明書を要求します。
   注記:
   証明書を要求するには、正しいドメインユーザーでログオンしていることを確認してください。
   
2. ログインしたら、証明書の要求をクリックします。
   
3. 高度な証明書要求をクリックします。
4. 「このCAへの要求を作成して送信」をクリックします。
5. 署名用のユーザー証明書を生成します。適切なテンプレート名を選択し、ユーザー設定を入力します。次に、「要求形式」の横で「PKCS10」を選択します。
   要求が送信されました。
   詳細証明書要求オプションの画像(/en-us/mobile-productivity-apps/media/smime-17.png)
6. 「この証明書をインストール」をクリックします。
7. 証明書が正常にインストールされたことを確認します。
   インストール成功確認の画像(/en-us/mobile-productivity-apps/media/smime-19.png)
8. 同じ手順を繰り返しますが、今度は電子メールメッセージの暗号化用です。同じユーザーがWeb登録サイトにログインした状態で、ホームリンクに移動して新しい証明書を要求します。
9. 暗号化用の新しいテンプレートを選択し、手順5で入力したのと同じユーザー設定を入力します。
   新しいテンプレートオプションの画像(/en-us/mobile-productivity-apps/media/smime-21.png)
10. 証明書が正常にインストールされたことを確認し、別のドメインユーザー用のユーザー証明書のペアを生成するために同じ手順を繰り返します。この例では、同じ手順に従って「User2」用の証明書のペアを生成します。
    注:
    この手順では、同じWindowsベースのコンピューターを使用して、「User2」用の2番目の証明書のペアを要求します。

発行済み証明書の検証

1. 証明書がドメインユーザープロファイルに適切にインストールされていることを確認するには、「Active Directoryユーザーとコンピューター > 表示 > 拡張機能」に移動します。
   Advanced Features オプションの画像(/en-us/mobile-productivity-apps/media/smime-22.png)
2. ユーザーのプロパティ (この例では User1) に移動し、公開済み証明書タブをクリックします。両方の証明書が利用可能であることを確認します。また、各証明書に特定の用途があることを確認することもできます。
   公開済み証明書タブの画像(/en-us/mobile-productivity-apps/media/smime-23.png)
   この図は、メールメッセージを暗号化するための証明書を示しています。
   メールメッセージを暗号化するための証明書の画像(/en-us/mobile-productivity-apps/media/smime-24.png)
   この図は、メールメッセージに署名するための証明書を示しています。
   メールメッセージに署名するための証明書の画像(/en-us/mobile-productivity-apps/media/smime-25.png)
   正しい暗号化証明書がユーザーに割り当てられていることを確認します。この情報は、Active Directoryユーザーとコンピューター > ユーザーのプロパティで確認できます。
   ユーザーのプロパティの画像(/en-us/mobile-productivity-apps/media/smime-49.png)
   Secure Mailは、LDAPクエリを介してuserCertificateユーザーオブジェクト属性をチェックすることで機能します。この値は、属性エディタータブで読み取ることができます。このフィールドが空であるか、暗号化用のユーザー証明書が正しくない場合、Secure Mailはメッセージを暗号化 (または復号化) できません。
   属性エディタータブの画像(/en-us/mobile-productivity-apps/media/smime-50.png)

ユーザー証明書のエクスポート

1. MMCコンソールを開き、証明書 - 現在のユーザーのスナップインに移動します。「User1」と「User2」の両方のペア証明書が表示されます。
   現在のユーザー証明書の画像(/en-us/mobile-productivity-apps/media/smime-26.png)
2. 証明書を右クリックし、すべてのタスク > エクスポートをクリックします。
3. **はい、秘密キーをエクスポートします。**を選択して秘密キーをエクスポートします。
4. 可能であれば、証明のパスにあるすべての証明書を含めるとすべての拡張プロパティをエクスポートするチェックボックスをオンにします。
   個人情報交換オプションの画像(/en-us/mobile-productivity-apps/media/smime-29.png)
5. 最初の証明書をエクスポートしたら、ユーザーの残りの証明書についても同じ手順を繰り返します。
   注：
   どの証明書が署名証明書で、どの証明書が暗号化証明書であるかを明確にラベル付けします。この例では、証明書はuserX-sign.pfxおよびuserX-enc.pfxとラベル付けされています。
   証明書ラベルの画像(/en-us/mobile-productivity-apps/media/smime-30.png)

メールで証明書を送信する

iOSおよびAndroid版Secure MailでS/MIMEを有効にする

iOSおよびAndroidでのS/MIMEのテスト

公開証明書ソースの構成

• LDAPサーバーが公開されている場合は、トラフィックがLDAPサーバーに直接送信されるようにします。そのためには、Secure Mailのネットワークポリシーを内部ネットワークにトンネル接続するように構成し、Citrix ADCの分割DNSを構成します。
• LDAPサーバーが内部ネットワーク上にある場合は、以下を実行します。
  • iOSの場合、バックグラウンドネットワークサービスゲートウェイポリシーを構成しないようにしてください。ポリシーを構成した場合、ユーザーは頻繁に認証プロンプトを受け取ります。
  • Androidの場合、バックグラウンドネットワークサービスゲートウェイポリシーのリストにLDAPサーバーURLを追加するようにしてください。