オンプレミスの Device Health Attestation サーバーの構成
オンプレミスの Windows サーバーを介して、Windows 10 および Windows 11 モバイルデバイス向けに Device Health Attestation (DHA) を有効にできます。オンプレミスで DHA を有効にするには、まず DHA サーバーを構成します。
DHA サーバーを構成したら、オンプレミスの DHA サービスを有効にするために XenMobile Server ポリシーを作成します。このポリシーの作成については、「Device Health Attestation デバイスポリシー」を参照してください。
DHA サーバーの前提条件
-
Windows Server Technical Preview 5 以降を実行し、デスクトップエクスペリエンスインストールオプションを使用してインストールされたサーバー。
-
1 台以上の Windows 10 および Windows 11 クライアントデバイス。これらのデバイスは、最新バージョンの Windows を実行している TPM 1.2 または 2.0 を搭載している必要があります。
-
次の証明書:
-
DHA SSL 証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼ルートにチェーンする x.509 SSL 証明書。この証明書は、以下の通信を含む、転送中の DHA データ通信を保護します。
-
サーバー間 (DHA サービスと MDM サーバー)
-
サーバーからクライアント (DHA サービスと Windows 10 または Windows 11 デバイス)
-
-
DHA 署名証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼ルートにチェーンする x.509 証明書。DHA サービスはこの証明書をデジタル署名に使用します。
-
DHA 暗号化証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼ルートにチェーンする x.509 証明書。DHA サービスはこの証明書を暗号化にも使用します。
-
-
次のいずれかの証明書検証モードを選択します。
-
EKCert: EKCert 検証モードは、インターネットに接続されていない組織内のデバイス向けに最適化されています。EKCert 検証モードで実行されている DHA サービスに接続するデバイスは、インターネットに直接アクセスできません。
-
AIKCert: AIKCert 検証モードは、インターネットにアクセスできる運用環境向けに最適化されています。AIKCert 検証モードで実行されている DHA サービスに接続するデバイスは、インターネットに直接アクセスできる必要があり、Microsoft から AIK 証明書を取得できます。
-
WindowsサーバーにDHAサーバーの役割を追加する
-
Windowsサーバーで、サーバーマネージャーがまだ開いていない場合は、スタートをクリックし、次にサーバーマネージャーをクリックします。
-
役割と機能の追加をクリックします。
-
開始する前にページで、次へをクリックします。
-
インストールの種類の選択ページで、役割ベースまたは機能ベースのインストールをクリックし、次に次へをクリックします。
-
対象サーバーの選択ページで、サーバープールからサーバーを選択をクリックし、サーバーを選択してから、次へをクリックします。
-
サーバーの役割の選択ページで、Device Health Attestationチェックボックスをオンにします。
-
オプション：機能の追加をクリックして、その他の必要な役割サービスと機能をインストールします。
-
次へをクリックします。
-
機能の選択ページで、次へをクリックします。
-
Webサーバーの役割 (IIS) ページで、次へをクリックします。
-
役割サービスの選択ページで、次へをクリックします。
-
Device Health Attestationサービスページで、次へをクリックします。
-
インストール選択の確認ページで、インストールをクリックします。
-
インストールが完了したら、閉じるをクリックします。
サーバーの証明書ストアにSSL証明書を追加する
-
SSL証明書ファイルに移動して選択します。
-
ストアの場所として現在のユーザーを選択し、次へをクリックします。
-
秘密キーのパスワードを入力します。
-
インポートオプションすべての拡張プロパティを含めるが選択されていることを確認します。次へをクリックします。
-
このウィンドウが表示されたら、はいをクリックします。
-
証明書がインストールされていることを確認します。
-
コマンドプロンプトウィンドウを開きます。
-
mmcと入力し、Enterキーを押します。ローカルコンピューターのストアで証明書を表示するには、管理者ロールである必要があります。
-
ファイルメニューで、スナップインの追加と削除をクリックします。
-
追加をクリックします。
-
スタンドアロンスナップインの追加ダイアログボックスで、証明書を選択します。
-
「追加」をクリックします。
-
「証明書スナップイン」ダイアログボックスで、「マイユーザーアカウント」を選択します。(サービスアカウントホルダーとしてサインインしている場合は、「サービスアカウント」を選択します。)
-
「コンピューターの選択」ダイアログボックスで、「完了」をクリックします。ウィンドウズ サーバー マネージャー の画像(/en-us/xenmobile/server/media/configure-dha-thumbprint5.png)
-
-
サーバーマネージャー > IIS に移動し、アイコンのリストから「サーバー証明書」を選択します。ウィンドウズ サーバー マネージャー の画像(/en-us/xenmobile/server/media/configure-dha-addcert5.png)
-
「操作」メニューから「インポート...」を選択して、SSL証明書をインポートします。ウィンドウズ サーバー マネージャー の画像(/en-us/xenmobile/server/media/configure-dha-addcert6.png)
証明書のサムプリントを取得して保存する
-
ファイルエクスプローラーの検索バーに「mmc」と入力します。
-
「コンソールルート」ウィンドウで、「ファイル > スナップインの追加と削除…」をクリックします。Windowsファイルエクスプローラーの画像(/en-us/xenmobile/server/media/configure-dha-thumbprint1.png)
-
利用可能なスナップインから証明書を選択し、選択したスナップインに追加します。Windowsスナップインの追加と削除の画像(/en-us/xenmobile/server/media/configure-dha-thumbprint2.png)
-
「マイユーザーアカウント」を選択します。「Windows のスナップインの追加と削除」の画像(/en-us/xenmobile/server/media/configure-dha-thumbprint3.png)
-
証明書を選択し、OK をクリックします。「Windows のスナップインの追加と削除」の画像(/en-us/xenmobile/server/media/configure-dha-thumbprint4.png)
-
証明書をダブルクリックし、詳細 タブを選択します。スクロールして証明書のサムプリントを確認します。「Windows のスナップインの追加と削除」の画像(/en-us/xenmobile/server/media/configure-dha-thumbprint5.png)
-
サムプリントをファイルにコピーします。PowerShell コマンドでサムプリントを使用する場合は、スペースを削除します。
署名証明書と暗号化証明書をインストールする
Windows サーバーでこれらの PowerShell コマンドを実行して、署名証明書と暗号化証明書をインストールします。
プレースホルダー ReplaceWithThumbprint を、示されているように二重引用符で囲んで置き換えます。
$key = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -like "ReplaceWithThumbprint"}
$keyname = $key.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName
$keypath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\" + $keyname icacls $keypath /grant IIS_IUSRS`:R
TPM ルート証明書を抽出し、信頼された証明書パッケージをインストールする
Windows サーバーで次のコマンドを実行します。
mkdir .\TrustedTpm
expand -F:\* .\TrustedTpm.cab .\TrustedTpm
cd .\TrustedTpm
.\setup.cmd
DHA サービスを構成する
Windows サーバーでこのコマンドを実行して、DHA サービスを構成します。
プレースホルダー ReplaceWithThumbprint を置き換えます。
Install-DeviceHealthAttestation -EncryptionCertificateThumbprint ReplaceWithThumbprint
-SigningCertificateThumbprint ReplaceWithThumbprint
-SslCertificateStoreName My -SslCertificateThumbprint ReplaceWithThumbprint
-SupportedAuthenticationSchema "AikCertificate"
Windows サーバーでこれらのコマンドを実行して、DHA サービスの証明書チェーンポリシーを設定します。
$policy = Get-DHASCertificateChainPolicy
$policy.RevocationMode = "NoCheck"
Set-DHASCertificateChainPolicy -CertificateChainPolicy $policy
これらのプロンプトには次のように応答します。
Confirm
Are you sure you want to perform this action?
Performing the operation "Install-DeviceHealthAttestation" on target "WIN-N27D1FKCEBT".
[Y] Yes [A] Yes to All [N] No [L] No to All [S] Suspend [?] Help (default is "Y"): A
Adding SSL binding to website 'Default Web Site'.
Add SSL binding?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
Adding application pool 'DeviceHealthAttestation_AppPool' to IIS.
Add application pool?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
Adding web application 'DeviceHealthAttestation' to website 'Default Web Site'.
Add web application?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
Adding firewall rule 'Device Health Attestation Service' to allow inbound connections on port(s) '443'.
Add firewall rule?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
Setting initial configuration for Device Health Attestation Service.
Set initial configuration?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
Registering User Access Logging.
Register User Access Logging?
[Y] Yes [N] No [S] Suspend [?] Help (default is "Y"): Y
構成を確認する
DHASActiveSigningCertificate がアクティブであるかどうかを確認するには、サーバーで次のコマンドを実行します。
Get-DHASActiveSigningCertificate
証明書がアクティブな場合、証明書の種類 (署名) とサムプリントが表示されます。
DHASActiveSigningCertificate がアクティブであるかどうかを確認するには、サーバーで次のコマンドを実行します。
プレースホルダー ReplaceWithThumbprint を置き換え、示されているように二重引用符で囲みます。
Set-DHASActiveEncryptionCertificate -Thumbprint "ReplaceWithThumbprint" -Force
Get-DHASActiveEncryptionCertificate
証明書がアクティブな場合、サムプリントが表示されます。
最終確認を行うには、次の URL にアクセスします。
https://<dha.myserver.com>/DeviceHeathAttestation/ValidateHealthCertificate/v1
DHA サービスが実行されている場合、「Method not allowed」と表示されます。
DHA サービスチェックの画像(/en-us/xenmobile/server/media/configure-dha-finalcheck.png)