> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/ja/ptaru/scepman-saas/she-ding.md).

# 設定

以下の項目は、SCEPman SaaS で利用できる設定の簡単な概要を示します。意図的に簡潔にまとめています。詳細は、対応する各セクションの [SCEPman のドキュメント](https://docs.scepman.com/)

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FUg2LmMPvJLOwEkp3TFKa%2Fimage.png?alt=media&amp;token=341c6aec-3d17-49cf-b6f5-0f89af9fae54" alt=""><figcaption></figcaption></figure>

### 証明機関

あなたのテナントのルート証明書です。SCEPman が発行するすべての証明書はこれを起点にチェーンされます。一度作成されると、そのサブジェクト名は後から変更できません。

ルート CA 自体の有効期間は 7300 日（20 年）です。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fi7yCSCvVOoqRHLG1lLsZ%2Fimage.png?alt=media&amp;token=f3f26ee9-e293-48ba-b262-7c0fd303ca68" alt=""><figcaption></figcaption></figure>

### 既定の証明書プロファイル

すべての証明書エンドポイントを通じて発行される証明書に適用される既定設定です。証明書エンドポイントの下の各ソースは、独自のプロファイルでこれら 2 つの値を上書きできます。

この CA が発行するすべての証明書の失効設定もここで行います。

<details>

<summary>既定の証明書プロファイル設定</summary>

**既定の拡張キー使用法**

証明書を何に使用できるか。サーバー証明書には `ServerAuthentication`; 802.1X 用のデバイス証明書には `ClientAuthentication`が必要です。これは、要求に EKU が含まれていない場合のフォールバックにすぎません。

**有効期間**

発行された証明書が有効である最大日数です。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/certificates#appconfig-validityperioddays).

**証明書失効リスト（CRL）**

OCSP をサポートしないクライアント向けに、失効済み証明書の署名付きリストを公開します。有効にした瞬間から、発行されるすべての証明書に配布ポイントが埋め込まれます。 [詳細を見る](https://docs.scepman.com/certificate-management/manage-certificates/enabling-crl).

**OCSP 認証済みレスポンダー**

専用のレスポンダー証明書で署名された OCSP により、失効情報をリアルタイムで応答します。SCEPman SaaS では常に有効です。 [詳細を見る](https://docs.scepman.com/certificate-management/manage-certificates).

</details>

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FuBTHvhmdCQYQPe0FmC2L%2Fimage.png?alt=media&amp;token=6ade9391-731d-4a1c-8637-d50f3e2c586d" alt=""><figcaption></figcaption></figure>

### 証明書エンドポイント

各エンドポイントは、デバイスが証明書を要求できるルートです。それぞれに独自の証明書プロファイルと資格情報があります。設定するには、いずれかをオンにします。

{% hint style="warning" %}
実際に使用するエンドポイントのみを有効にしてください。有効化した各エンドポイントは、CA から証明書を取得するための追加の手段になります。
{% endhint %}

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FFi97SBr6o9EbOjayG8uq%2Fimage.png?alt=media&amp;token=c2679dcb-c376-4837-893e-5668a37e4098" alt=""><figcaption></figcaption></figure>

#### Microsoft Intune

{% hint style="info" %}
このエンドポイントを使用するには、Entra テナント接続が構成されている必要があります
{% endhint %}

発行前にデバイスを Intune で確認します。Intune で管理される Windows、iOS、Android、macOS デバイスに使用してください。Entra テナント接続が必要です。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation).

<details>

<summary>Microsoft Intune の設定</summary>

**有効期間**

Intune で管理されるデバイスに発行されるすべての証明書の既定プロファイルを上書きします。

**デバイスに準拠を要求する**

* オフ: 登録済みのデバイスにはどれでも証明書が付与されます。
* オン: デバイスは Intune で準拠していると報告される必要があります。

[詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancecheck).

**準拠猶予期間**

準拠チェックがオンのときに表示されます。デバイスがまだ報告していなくても準拠済みとして扱われる、分単位の期間です。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/intune-validation#appconfig-intunevalidation-compliancegraceperiodminutes).

**デバイスをどこで検索するか**

SCEPman がデバイスを検証するために照会するディレクトリです。 [詳細を見る](https://docs.scepman.com/scepman-configuration/device-directories).

組み合わせて選択できる検索ソース:

| ソース                      | 動作                                                                        |
| ------------------------ | ------------------------------------------------------------------------- |
| **Entra ID デバイス オブジェクト** | 要求を Entra ID のデバイス オブジェクトと照合します。Intune がまだチェックインしていない Entra 参加デバイスも対象です。  |
| **Intune 管理デバイス**        | Intune のデバイス レコードと照合します。MDM 登録済みデバイスの通常の選択肢です。                            |
| **エンドポイント一覧**            | Intune の発行済み証明書一覧と照合します。                                                  |
| **オポチュニスティック一致**         | 上記のいずれのディレクトリにも到達できない、または結果が返らない場合に証明書を発行します。チェック自体の代償として、障害中でも登録を継続できます。 |

</details>

#### Jamf Pro

発行前に Apple デバイスを Jamf Pro のインベントリと照合します。Jamf API の資格情報が必要です。

Jamf Pro で SCEPman SaaS をセットアップする方法については、SCEPman Enterprise ガイドもぜひご覧ください:

{% embed url="<https://docs.scepman.com/certificate-management/jamf/general>" %}

<details>

<summary>Jamf Pro の設定</summary>

**既定の拡張キー使用法**

Jamf デバイスに発行される証明書の EKU フォールバック。

**有効期間**

このエンドポイントの既定プロファイルを上書きします。

**Jamf API 資格情報**

Jamf Pro API ロールのクライアント ID とシークレット。 [詳細を見る](https://docs.scepman.com/certificate-management/jamf/general).

</details>

#### Active Directory &#x20;

ドメイン参加済み Windows クライアント向けの Kerberos 認証による登録で、Group Policy によって完全に制御されます。オンプレミス ドメイン内で Service Principal と keytab が必要です。 [詳細を見る](https://docs.scepman.com/certificate-management/active-directory).

4 つの証明書テンプレートを個別に有効化でき、それぞれに専用のタブがあります:

| テンプレート           | 目的                                                                                                                                                  |
| ---------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ユーザー**         | ドメイン ユーザー向けのユーザー証明書。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/user-template).                   |
| **コンピューター**      | ドメイン参加済みデバイス向けのマシン証明書。例: 802.1X 用。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/computer-template). |
| **ドメイン コントローラー** | DC 向けの LDAPS および Kerberos PKINIT 証明書。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/dc-template).    |
| **RDP**          | RDP サーバー認証用の証明書。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/active-directory/rdp-template).                        |

各テンプレートごと:

<details>

<summary>テンプレート設定</summary>

**既定の拡張キー使用法**

このテンプレートの EKU フォールバック。

**有効期間**

このテンプレートの証明書有効期間（日数）。

**グループ フィルター（SID）**

SID で指定された、該当する Active Directory  グループのメンバーに登録を制限します。空白の場合、すべてのドメイン メンバーが登録できます。

**KSP**

秘密鍵を作成できるキー ストレージ プロバイダー。例: *Microsoft Platform Crypto Provider* （TPM）または *Microsoft Smart Card Key Storage Provider*。空白の場合、クライアントが選択します。

</details>

{% hint style="info" %}
対応するグループ ポリシーの展開方法は、 [グループ ポリシー](https://docs.scepman.com/certificate-management/active-directory/group-policy).
{% endhint %}

#### ドメイン コントローラー証明書

Active Directory  ではなくチャレンジ パスワードで認証された、LDAPS および Kerberos PKINIT に必要な証明書をドメイン コントローラーに発行します。SCEPman が DC を担当する場合のみ有効にしてください。 [詳細を見る](https://docs.scepman.com/certificate-management/domain-controller-certificates).

<details>

<summary>ドメイン コントローラー設定</summary>

**有効期間**

証明書の有効期間（日数）。

**チャレンジ パスワード**

ドメイン コントローラーが証明書を要求するときに使用されます。

</details>

#### Enrollment REST API

チャレンジ パスワードの代わりに Microsoft の ID を使用して、独自ツールから HTTPS 経由で証明書を要求できます。スクリプトやサービスが使用しない限り、オフのままにしてください。 [詳細を見る](https://docs.scepman.com/certificate-management/api-certificates).

要求は API トークンで認証されます。トークンは **アクセスとルール → 権限**.

例:

{% code overflow="wrap" %}

```powershell
New-SCEPmanCertificate -Url 'contoso.scepman-as-a-service.com' -AccessToken 'IyBJJ2FtIGFuIGFjY2VzcyB0b2tlbi4gIw==' -Subject 'CN=Certificate'
```

{% endcode %}

<details>

<summary>Enrollment REST API の設定</summary>

**既定の拡張キー使用法**

API で発行された証明書の EKU フォールバック。

**有効期間**

証明書の有効期間（日数）。

</details>

#### 固定チャレンジ

共有チャレンジ パスワードを提示するすべての要求を受け入れます。MDM で登録できないアプライアンスに便利です。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/static-validation).

<details>

<summary>固定チャレンジ設定</summary>

**既定の拡張キー使用法**

このエンドポイントの EKU フォールバック。

**有効期間**

証明書の有効期間（日数）。

**チャレンジ パスワード**

この値を知っている人なら誰でも証明書を取得できます。アクセス権を持つ人が退職したらローテーションしてください。

**チャレンジなしの更新**

* オフ: すべての更新で再度チャレンジ パスワードを提示する必要があります。
* オン: 有効な証明書を持つクライアントは、それなしで更新できます。

</details>

#### 固定チャレンジ + Entra デバイス チェック（Static-AAD）

{% hint style="info" %}
このエンドポイントを使用するには、Entra テナント接続が構成されている必要があります
{% endhint %}

上記と同じですが、デバイスは Entra ID にも存在する必要があります。デバイスが Entra 参加済みである場合は、通常の固定チャレンジよりこちらを推奨します。Entra テナント接続が必要です。 [詳細を見る](https://docs.scepman.com/scepman-configuration/application-settings/scep-endpoints/staticaad-validation).

と同じ設定 **固定チャレンジ**.

### Entra テナント接続

{% hint style="info" %}
オプションですが、以下には必要です **Intune 検証** および **Static AAD 検証** エンドポイント。
{% endhint %}

SCEPman が Entra ID テナントからデバイスおよびユーザー オブジェクトを読み取る方法を制御します。これにより、Intune と Entra の検証ソースが利用可能になります。無効の間は、これらのソースをオンにできません。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FI2BJxqzYyaKFYsMgdPml%2Fimage.png?alt=media&amp;token=e7259508-947b-409f-8082-6a631da298c4" alt=""><figcaption></figcaption></figure>

{% tabs %}
{% tab title="管理者の同意（推奨）" %}
単一の同意フローで、当社のマルチテナント アプリに読み取りアクセスを付与します。最も早い方法であり、SCEPman の進化に合わせて権限セットは最新の状態に保たれます。

グローバル管理者による一度の承認が必要です。

接続は 3 ステップで完了します:

{% stepper %}
{% step %}

### **テナントを確認する**

Entra ID にサインインします。そのサインインからテナントを取得し、どのディレクトリかを表示するので、間違ったテナントに同意することはありません。

組織に代わって同意する必要はありません。

この同意により **SCEPman as a Service (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)** エンタープライズ アプリケーションが Entra 環境に追加されます。
{% endstep %}

{% step %}

### **管理者の同意を付与**

Microsoft の同意画面を開きます。グローバル管理者の承認が必要です。あなたが該当しない場合は、このページの同意リンクをその管理者に送ってください。

この権限を **SCEPman as a Service** エンタープライズ アプリケーションに付与します。
{% endstep %}

{% step %}

### **接続をテスト**

依存する前に、1 つのデバイス オブジェクトを読み取り、権限が機能することを確認します。
{% endstep %}
{% endstepper %}
{% endtab %}

{% tab title="独自のアプリ登録" %}
自分で作成し管理するアプリ登録を使用します。サードパーティのマルチテナント アプリがポリシーで禁止されている場合にこれを選択してください。

テナント ID、クライアント ID、クライアント シークレットが必要です。

以下の **アプリケーション** 権限を付与し、管理者同意を行ってください:

| API                  | 権限                                        | 目的                 |
| -------------------- | ----------------------------------------- | ------------------ |
| Microsoft Graph      | `Directory.Read.All`                      | ディレクトリ データの読み取り    |
| Microsoft Graph      | `DeviceManagementManagedDevices.Read.All` | Intune デバイスの読み取り   |
| Microsoft Graph      | `DeviceManagementConfiguration.Read.All`  | Intune デバイス構成の読み取り |
| Microsoft Intune API | `scep_challenge_provider`                 | SCEP チャレンジの検証      |
| {% endtab %}         |                                           |                    |
| {% endtabs %}        |                                           |                    |

### リモート デバッグ

サポート チーム向けに詳細な要求トレースを有効にします。既定では無効です。トレースにはデバイス識別子が含まれる可能性があるため、指定日の後にトレースは自動的にオフになります。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F2xKvarOq5SRCzmV9c1dO%2Fimage.png?alt=media&amp;token=c971f150-623a-44ae-a3e8-3c1436d23211" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.radiusaas.com/ja/ptaru/scepman-saas/she-ding.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.