> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/ja/ptaru/settings/trusted-roots.md). # 信頼済み証明書 ## 信頼された証明書の種類 ### クライアント認証用の信頼された CA クライアント認証用の信頼された CA は、エンドポイント デバイスにクライアント認証証明書を発行する CA と RADIUSaaS の間の信頼を確立します。 ### 信頼された RadSec 接続証明書 RadSec 自体は相互証明書認証（mTLS）で動作します。つまり、1 つには、認証器は [RADIUSaaS を信頼する必要があり](/ja/ptaru/settings/settings-server.md#server-certificates) 、もう 1 つには、有効な RadSec 接続を確立できるように、どの認証器を信頼するかを RADIUSaaS が把握している必要があります。信頼された RadSec 接続証明書により、RADIUSaaS は指定した認証器のみを信頼します。 ## **事前インストールされた信頼済み RadSec 証明書** 上記の [理由により](/ja/ptaru/settings/trusted-roots.md#trusted-radsec-connection-certificates)、あなたの [RADIUS プロキシ](https://docs-preview.radiusaas.com/admin-portal/settings/settings-proxy) （実質的に RadSec クライアントとして動作します）との信頼を確立する RadSec の信頼済み証明書が、常に少なくとも 1 つ表示されます。プロキシが正常に起動し、インスタンスへの接続を確立できるようにするため、この証明書は削除できません。 ## 追加 {% hint style="warning" %} 階層型 PKI インフラストラクチャ（たとえば **Microsoft レガシー PKI**）を使用している場合は、 [これを](#tiered-pki-hierarchy). {% endhint %} 新しい信頼された証明書を追加するには、次の手順に従います: 1. クリックします **追加** 2. 信頼された証明書にインポートする場合は選択してください * SCEPman から（SCEPman インスタンスへの URL を指定して）、または * 任意の他の CA から（PEM または DER でエンコードされた証明書ファイルをアップロードして） 3. 次の [種類](#types-of-trusted-certificates) の信頼された証明書を選択します **使用先**: * [**クライアント認証**](#trusted-cas-for-client-authentication) * [**RadSec**](#trusted-radsec-connection-certificates) * **両方** （同じ CA がクライアント認証証明書と RadSec クライアント証明書の両方を発行している場合に便利です） 4. 証明書ファイルをドラッグ＆ドロップでアップロードします（または青い領域をクリックしてファイルを選択できます） 5. 証明書検証オプションを選択してください: * **OCSP 自動検出**: RADIUSaaS は、ネットワーク認証に使用されるクライアント証明書の Authority Information Access（AIA）拡張から OCSP レスポンダー URL を推測しようとします。OCSP レスポンダー URL が見つからないか、OCSP レスポンダーが利用できない場合、RADIUSaaS は [**ソフトフェイル** ](#ocsp-soft-fail)設定を考慮します。 * **OCSP**: 信頼された CA によって発行された任意の証明書に対して使用される OCSP レスポンダー URL を手動で指定します。OCSP レスポンダーが利用できない場合、RADIUSaaS は [**ソフトフェイル** ](#ocsp-soft-fail)設定を考慮します。 * **CRL**: 選択すると、RADIUSaaS はこの CA によって発行された証明書を検証するために OCSP の代わりに CRL を使用します。CRL のエンコーディング（**DER** または **PEM**）と **CRL 配布ポイント**を指定します。RADIUSaaS はキャッシュされた CRL を 1 時間ごとに確認し、その *次回更新* 時刻が過ぎた場合にのみ新しいものをダウンロードします。 * **なし:** CA が OCSP と CRL のどちらもサポートしていない場合は、 **なし** を選択して検証を省略します。 6. クリックします **保存** {% hint style="info" %} PKI が多階層の階層構造（ルート CA、中間 CA、発行 CA）を持っている場合は、それらをすべて RADIUSaaS の Trusted Certificates ストアにアップロードしてください。 {% endhint %} ## 削除 証明書を削除するには、対応する行を展開して **削除** をクリックし、選択を確定します。

信頼された証明書の削除の表示

## OCSP ソフトフェイル この設定は、信頼された CA の OCSP レスポンダーに到達できない場合に、RADIUSaaS がどのように動作するかを決定します。 {% hint style="danger" %} この設定を **無効にすると** 、認証要求は **拒否されます** 。CA の OCSP レスポンダーに到達できない場合に。 確認してください [OCSP ソフトフェイルの影響](/ja/sono/faqs/ocsp-sofutofeiruno.md) この設定の影響を理解していることを確認してください。 {% endhint %} {% hint style="info" %} この設定は、 **OCSP 自動検出** または **OCSP** が証明書検証に選択されている場合にのみ利用可能であることに注意してください。 {% endhint %} 既定では、 **OCSP ソフトフェイルを有効にすることを推奨します** 。OCSP レスポンダーに到達できなくても認証要求を受け入れられるようにして、サービスの可用性を高めるためです。この **ソフトフェイル** メカニズムにより、OCSP に到達できない場合でも、RADIUSaaS は受信した証明書が次のいずれかによって署名されているかのみを確認し [信頼された CA](/ja/ptaru/settings/trusted-roots.md) 、任意の [ルール](/ja/ptaru/akusesutorru/rules.md).
## 階層型 PKI 階層 複数の発行 CA が構成された階層型 CA 環境では、ルート CA またはいずれかの発行 CA によって発行された証明書は、その証明書がルート CA から発行されたか発行 CA から発行されたかに関係なくアクセス権を得ます。つまり、ルートを信頼すると、すべての発行 CA によって発行された証明書が自動的に信頼されます。\ \ アクセスを発行 CA に基づいて制御する必要がある場合は、 [それぞれのルールを](/ja/ptaru/akusesutorru/rules.md#certificate-based-authentication). ### 考慮事項 階層型 PKI のルート CA と発行 CA をアップロードする際は、次の点を考慮してください: * この **ルート CA を最初にアップロードする必要があります**。そのルート CA から派生した発行 CA をアップロードする前に。 * ルート CA と発行 CA は別々のファイルでアップロードする必要があります。1 つのファイルから証明書チェーンをアップロードすると、予期しない動作を引き起こす可能性があります。 ## オプション設定 ### Intune ID Microsoft Entra ID（Azure AD）に参加するときに、各 Windows 10 マシンが Intune から受け取る証明書を使用することが可能です。 {% hint style="danger" %} この設定はオプションです。Intune 証明書に詳しくない場合は、設定しないでください！ {% endhint %} #### 認証目的に Intune 証明書の使用を推奨しないのはなぜですか? * Intune 証明書は、Intune による管理以外の目的では Microsoft によってサポートされていません。 * Intune 証明書の有効期間は 1 年です。 * 証明書を失効させる仕組み（OCSP のようなもの）がありません。 Intune 証明書の代わりに、次のような PKI の証明書を使用することを推奨します [SCEPman](https://scepman.com/). #### Intune ID を設定する {% hint style="danger" %} この設定は慎重に使用してください。次の ID のいずれかが **必ず** 証明書拡張 1.2.840.113556.5.14 に存在する必要があります。他のすべての証明書は **拒否されます**. {% endhint %} Intune Tenant ID を取得するには、次の手順に従います: * 押して **Windows + R** と入力します **certlm.msc** * 個人証明書に移動します。次の発行元のいずれかからの証明書が表示されます * SC Online Issuing * MDM Device Authority * この証明書を開き、 **詳細** に移動して、拡張を検索します 1.2.840.113556.5.14 * 表示された HEX 値が Intune Tenant ID です。 **例:** 次の証明書の Tenant ID は次のとおりです: **bb4397cb6891c64db17f766487518a6a** ![証明書の表示](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/idPvrWmWOtjQuz2my7Yj/image.png) ## XML {% hint style="info" %} RADIUSaaS によって生成される XML プロファイルでは [PMK キャッシュ](/ja/purofairuno/microsoft-intune/wifi-profile/windows.md#fast-roaming). {% endhint %} 今日では、ほとんどの MDM プラットフォームが、ネットワーク プロファイル（WiFi および LAN）を展開するためのウィザードベースの方法を提供しています。これが不可能な場合、またはウィザードで利用できる構成オプションが限られている場合は、RADIUSaaS プラットフォーム上で直接、未加工の XML プロファイルを生成できます。 * 生成するには **WiFi** XML プロファイル: 1. メニューを展開し、 **XML** メニューを展開し、 2. 目的のセキュリティ プロトコル（WPA2 または WPA3）を選択し、 3. SSID を入力して、 **SSID を入力して、** 4. をクリックします **ダウンロード**. * 生成するには **有線** XML プロファイルを作成するには、クリックします **ダウンロード**.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.radiusaas.com/ja/ptaru/settings/trusted-roots.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.