資格情報プロバイダー

• 証明書のソース。
• 証明書の取得方法: 新しい証明書に署名するか、既存の証明書とキーペアをフェッチ (回復) するか。
• 発行または回復のパラメーター。たとえば、キーサイズ、キーアルゴリズム、証明書拡張機能などの証明書署名要求 (CSR) パラメーター。
• 証明書がデバイスに配信される方法。
• 失効条件。管理関係が切断されると、XenMobile のすべての証明書は失効しますが、構成によってより早い失効が指定される場合があります。たとえば、関連するデバイス構成が削除されたときに証明書を失効させるように構成で指定できます。さらに、特定の条件下では、XenMobile での関連証明書の失効がバックエンドの公開鍵インフラストラクチャ (PKI) に送信される場合があります。つまり、XenMobile での証明書の失効は、PKI での証明書の失効を引き起こす可能性があります。
• 更新設定。特定の資格情報プロバイダーを通じて取得された証明書は、有効期限が近づくと自動的に更新できます。または、それとは別に、有効期限が近づいたときに通知を発行できます。

証明書発行方法

証明書の配信

• RA署名証明書には、X.509キー使用法デジタル署名が必要です。
• RA暗号化証明書には、X.509キー使用法キー暗号化が必要です。

証明書の失効

• 内部失効: 内部失効は、XenMobileによって維持される証明書ステータスに影響します。XenMobileは、提示された証明書を評価する際、または証明書のOCSPステータス情報を提供する際に、このステータスを考慮します。資格情報プロバイダーの構成は、さまざまな条件下でこのステータスがどのように影響を受けるかを決定します。たとえば、資格情報プロバイダーは、証明書がデバイスから削除されたときに、証明書を失効済みとしてフラグ付けするように指定する場合があります。
• 外部伝播失効: Revocation XenMobileとも呼ばれるこの種類の失効は、外部PKIから取得した証明書に適用されます。資格情報プロバイダーの構成で定義された条件の下で、XenMobileが内部的に証明書を失効させると、PKI上で証明書が失効します。
• 外部誘発失効: Revocation PKIとも呼ばれるこの種類の失効も、外部PKIから取得した証明書にのみ適用されます。XenMobileは、特定の証明書ステータスを評価するたびに、そのステータスについてPKIに照会します。証明書が失効している場合、XenMobileは内部的に証明書を失効させます。このメカニズムはOCSPプロトコルを使用します。

証明書の更新

資格情報プロバイダーを作成する

• XenMobileの内部にある裁量エンティティは、内部エンティティです。裁量エンティティの発行方法は常に署名です。署名とは、発行操作ごとにXenMobileがエンティティに選択されたCA証明書で新しいキーペアに署名することを意味します。キーペアがデバイスで生成されるかサーバーで生成されるかは、選択した配布方法によって異なります。
• 企業インフラストラクチャの一部である外部エンティティには、Microsoft CAが含まれます。

1. XenMobileコンソールで、右上隅の歯車アイコンをクリックし、次に > をクリックします。
2. ページで、 をクリックします。
   ページが表示されます。
3. ページで、次の操作を行います。
   • 名前: 新しいプロバイダー構成の一意の名前を入力します。この名前は、後でXenMobileコンソールの他の部分で構成を識別するために使用されます。
   • 説明: 資格情報プロバイダーを説明します。このフィールドはオプションですが、説明によってこの資格情報プロバイダーに関する有用な詳細を提供できます。
   • 発行エンティティ: 証明書発行エンティティをクリックします。
   • 発行方法: 構成されたエンティティから証明書を取得するためにシステムが使用する方法として、 または をクリックします。クライアント証明書認証には、 を使用します。
   • リストが利用可能な場合は、資格情報プロバイダーのPKIエンティティの下に追加したテンプレートを選択します。
     これらのテンプレートは、 > でMicrosoft Certificate Servicesエンティティが追加されたときに利用可能になります。
4. をクリックします。
   ページが表示されます。
5. 「Credential Providers: Certificate Signing Request」ページで、証明書構成に従って以下を構成します。
   • 「キーアルゴリズム:」新しいキーペアのキーアルゴリズムを選択します。使用可能な値は、RSA、DSA、およびECDSAです。
   • 「キーサイズ:」キーペアのサイズをビット単位で入力します。このフィールドは必須です。
     許容される値は、キーの種類によって異なります。たとえば、DSAキーの最大サイズは1024ビットです。基盤となるハードウェアとソフトウェアに依存する誤検出を避けるため、XenMobileはキーサイズを強制しません。運用環境でアクティブ化する前に、必ずテスト環境で資格情報プロバイダーの構成をテストしてください。
   • 「署名アルゴリズム:」新しい証明書の値をクリックします。値はキーアルゴリズムによって異なります。
   • 「サブジェクト名:」必須です。新しい証明書サブジェクトの識別名 (DN) を入力します。例: CN=${user.username}, OU=${user.department}, O=${user.companyname},C=${user.c}\endquotation
     たとえば、クライアント証明書認証の場合は、次の設定を使用します。
     • 「キーアルゴリズム:」RSA
     • 「キーサイズ:」2048
     • 「署名アルゴリズム:」SHA256withRSA
     • 「サブジェクト名:」cn=$user.username
   • 「Subject alternative names」テーブルにエントリを追加するには、「Add」をクリックします。代替名の種類を選択し、2番目の列に値を入力します。
     クライアント証明書認証の場合は、以下を指定します。
     • 「種類:」ユーザープリンシパル名
     • 「値:」$user.userprincipalname
       サブジェクト名と同様に、値フィールドでXenMobileマクロを使用できます。
6. 次へをクリックします。
   資格情報プロバイダー: 配信ページが表示されます。
7. 資格情報プロバイダー: 配信ページで、次の操作を行います。
   • 発行CA証明書リストで、提示されたCA証明書をクリックします。資格情報プロバイダーは裁量的なCAエンティティを使用するため、資格情報プロバイダーのCA証明書は常にエンティティ自体で構成されたCA証明書になります。CA証明書は、外部エンティティを使用する構成との整合性のためにここに表示されます。
   • 配信モードの選択で、キーを生成および配布する次のいずれかの方法をクリックします。
     • 集中型を優先: サーバー側でのキー生成: Citrixはこの集中型オプションを推奨します。これはXenMobileがサポートするすべてのプラットフォームをサポートし、Citrix Gateway認証を使用する場合に必要です。秘密キーはサーバーで生成および保存され、ユーザーデバイスに配布されます。
     • 分散型を優先: デバイス側でのキー生成: 秘密キーはユーザーデバイスで生成および保存されます。この分散モードではSCEPを使用し、keyUsage keyEncryptionを持つRA暗号化証明書と、KeyUsage digitalSignatureを持つRA署名証明書が必要です。同じ証明書を暗号化と署名の両方に使用できます。
     • 分散型のみ: デバイス側でのキー生成: このオプションは「分散型を優先: デバイス側でのキー生成」と同じように機能しますが、「優先」ではなく「のみ」であるため、デバイス側でのキー生成が失敗したり利用できない場合はオプションがありません。
   分散型を優先: デバイス側でのキー生成または分散型のみ: デバイス側でのキー生成を選択した場合、RA署名証明書とRA暗号化証明書をクリックします。同じ証明書を両方に使用できます。これらの証明書に新しいフィールドが表示されます。
8. 次へをクリックします。
   資格情報プロバイダー: 失効 XenMobileページが表示されます。このページでは、このプロバイダー構成を通じて発行された証明書をXenMobileが内部的に失効済みとしてフラグ付けする条件を構成します。
9. 資格情報プロバイダー: 失効 XenMobileページで、次の操作を行います。
   • 発行済み証明書の失効で、証明書を失効させる時期を示すオプションのいずれかを選択します。
   • 証明書が失効したときにXenMobileに通知を送信させるには: 通知の送信の値をオンに設定し、通知テンプレートを選択します。
   • XenMobileから証明書が失効されたときにPKIで証明書を失効させるには: Revoke certificate on PKI を On に設定し、Entity list でテンプレートをクリックします。Entity listには、失効機能を持つすべての利用可能なエンティティが表示されます。XenMobileから証明書が失効されると、Entity listから選択されたPKIに失効呼び出しが送信されます。
10. Next をクリックします。
    Credential Providers: Revocation PKI ページが表示されます。このページでは、証明書が失効された場合にPKIで実行するアクションを特定します。通知メッセージを作成するオプションもあります。
11. Credential Providers: Revocation PKI ページで、PKIから証明書を失効させたい場合は、次の操作を行います。
    • Enable external revocation checks の設定を On に変更します。失効PKIに関連する追加フィールドが表示されます。
    • OCSP responder CA certificate リストで、証明書のサブジェクトの識別名 (DN) をクリックします。
      DNフィールドの値にはXenMobileマクロを使用できます。例: CN=${user.username}, OU=${user.department}, O=${user.companyname}, C=${user.c}\endquotation
    • When certificate is revoked リストで、証明書が失効されたときにPKIエンティティに対して実行する次のいずれかのアクションをクリックします。
      • 何もしない。
      • 証明書を更新する。
      • デバイスを失効させてワイプする。
    • 証明書が失効されたときにXenMobileに通知を送信させるには: Send notification の値を On に設定します。
      次の2つの通知オプションから選択できます。
    • Select notification template を選択すると、事前に作成された通知メッセージを選択し、それをカスタマイズできます。これらのテンプレートは、Notification templateリストにあります。
    • Enter notification details を選択すると、独自の通知メッセージを作成できます。受信者のメールアドレスとメッセージを提供するだけでなく、通知の送信頻度を設定できます。
12. 次へをクリックします。
    Credential Providers: Renewalページが表示されます。このページでは、XenMobileを次のように構成できます。
    • 証明書を更新します。オプションで、更新時に通知を送信したり、すでに期限切れの証明書を操作から除外したりできます。
    • 期限切れが近い証明書に対して通知を送信します（更新前の通知）。
13. Credential Providers: Renewalページで、証明書の期限が切れたときに更新する場合は、次の操作を行います。
    証明書の期限切れ時に更新をオンに設定します。追加のフィールドが表示されます。
    • 証明書の有効期限が近づいたときに更新フィールドで、証明書を更新する有効期限までの日数を入力します。
    • オプションで、すでに期限切れの証明書は更新しないを選択します。この場合、「すでに期限切れ」とは、NotAfterの日付が過去のものであり、失効したわけではないことを意味します。XenMobileは、内部的に失効した証明書を更新しません。
    証明書が更新されたときにXenMobileに通知を送信させるには、通知を送信をオンに設定します。証明書の期限が近づいたときにXenMobileに通知を送信させるには、証明書の期限切れが近づいたときに通知をオンに設定します。 いずれかの選択肢について、2つの通知オプションから選択できます。
    • 通知テンプレートを選択: 事前に作成された通知メッセージを選択し、カスタマイズできます。これらのテンプレートは、通知テンプレートリストにあります。
    • 通知の詳細を入力: 独自の通知メッセージを作成します。受信者のメールアドレス、メッセージ、および通知を送信する頻度を指定します。
    証明書の有効期限が近づいたときに通知フィールドで、通知を送信する証明書の有効期限までの日数を入力します。
14. 保存をクリックします。
    資格情報プロバイダーは、資格情報プロバイダーテーブルに表示されます。