Web Studioのスマートカード認証のセットアップ
この記事では、Web Studioのスマートカード認証をセットアップして有効にするために必要な手順を説明します。
手順 5 (オプション): Web Studioの認証委任の構成
手順 6: Web Studioのスマートカード認証の有効化
注:
スマートカード認証は、Web Studioサーバーと同じActive Directoryドメインのユーザーのみがサポートされます。
手順 1: スマートカードドライバーのインストール
スマートカードドライバーを以下のマシンにインストールします。
- 証明書サービスがインストールされているドメインコントローラー
- Web Studioサーバー
- エンドユーザーがWeb Studioにアクセスするために使用するマシン
- スマートカードユーザーの証明書を登録するために使用するマシン
スマートカードドライバーはベンダーによって異なります。たとえば、ITSが提供するスマートカードハードウェアを使用している場合は、SaftNetドライバーをhttps://support.globalsign.com/ssl/ssl-certificates-installation/safenet-driversからダウンロードしてください。
手順 2: スマートカードユーザーの証明書の発行
注:
以下の手順は、プロセスをガイドするための例として提供されています。
ドメインコントローラーで、このタスクを完了するには、以下の手順に従います。
-
ドメインコントローラーにアクセスし、Certification Authorityを開きます。
-
Enrollment Agentテンプレートを複製します。詳細な手順は次のとおりです。
-
Certificate Templatesを右クリックし、Manageを選択します。
-
Enrollment Agentを右クリックし、Duplicate Templateを選択します。
-
Subject Nameタブで、Include e-mail in subject nameが選択されていないことを確認します。
-
Cryptographyタブで、Microsoft Base Smart Card Crypto Providerを選択し、OKをクリックします。Copy of Enrollment Agentという名前のテンプレートがCertificate Templatesリストに表示されます。
-
- スマートカードの証明書を発行します。詳細な手順は次のとおりです。
- Certificate Templatesを右クリックし、New > Template to Issueを選択します。
- Copy of Enrollment AgentとSmartcard Userを選択します。
- OKをクリックします。
手順 3: スマートカードユーザーの証明書の登録
注:
以下の手順は、プロセスをガイドするための例として提供されています。
ドメインに参加している物理Windowsマシンで、各スマートカードの証明書を登録するには、以下の手順に従います。
- 登録用にドメインに参加している物理Windowsマシンを準備します。
- スマートカードドライバーがインストールされていることを確認します。
- スマートカードをマシンに挿入します。
- スマートカードに割り当てるユーザーアカウントを使用してマシンにログオンします。
- 手順1で準備したマシンにCertificatesスナップインを追加します。詳細な手順は次のとおりです。
- mmcを開きます。
- Fileをクリックし、Add/Remove Snap-inをクリックします。
- 表示されるAdd or Remove Snap-insウィンドウで、Certificatesを選択し、Add >をクリックします。
- 表示されるダイアログボックスで、My user accountを選択し、Finishをクリックします。
-
OKをクリックします。
-
Certificatesスナップインの新しい証明書を要求します。詳細な手順は次のとおりです。
-
Certificates - Current User > Personalに移動し、Certificatesを右クリックして、All Tasks > Request New Certificateを選択します。
-
表示されるRequest Certificatesダイアログボックスで、Copy of Enrollment AgentとSmartcard Userを選択します。
-
上記のダイアログボックスで、Smartcard UserのDetailsをクリックし、Propertiesをクリックします。Certificate Propertiesダイアログボックスが表示されます。
- Private Keyタブで、Cryptographic Service Providerを展開し、Microsoft Strong Cryptographic Provider (Encrption)の選択を解除し、Microsoft Base Smart Card Crypto Provider (Encryption)のみを選択して、OKをクリックします。
- Enrollをクリックします。
-
表示されるWindows Securityダイアログボックスで、スマートカードのPINコードを入力し、OKをクリックします。登録が完了したら、Finishをクリックします。
-
登録が成功すると、次のスクリーンショットに示すように、Certificates - Current User -> Personal -> Certificatesの下に2つの証明書が表示されます。
手順 4: Web Studio IISサーバーの構成
各Web Studioサーバーで、スマートカード認証用にIISを構成するには、以下の手順に従います。
-
Web Studioマシンでクライアント証明書マッピング認証を有効にします。
<clientCertificateMappingAuthentication>要素は、IIS 7以降のデフォルトインストールでは利用できません。インストールと有効化の詳細については、このMicrosoftの記事を参照してください。 - Web StudioマシンでIIS Managerを起動します。
-
マシンでActive Directory Client Certificate Authenticationを有効にします。詳細な手順は次のとおりです。
-
左ペインでマシンを選択し、Authenticationをダブルクリックします。
-
Active Directory Client Certificate Authenticationを有効にします。
-
- クライアント証明書認証を使用して、より安全なHTTPSプロトコル用にWeb Studioバックエンドモジュールを構成します。
-
Sites >
Web StudioがインストールされているIISサイト名（サイトID = 1、デフォルトではDefault Web Site）> Studio > Backend > Smartcardに移動し、IISセクションでSSL Settingsをダブルクリックします。
-
Client certificatesでRequireを選択します。
-
Sites >
Web StudioがインストールされているIISサイト名（サイトID = 1、デフォルトではDefault Web Site）> Studio > Backend > Smartcardに戻り、IISセクションでConfiguration Editorをダブルクリックします。
-
/clientCertificateMappingAuthenticationがenabledになっていることを確認します。
-
-
(Windows 2022のみ) TCP経由のTLS 3.1を無効にします。詳細な手順は次のとおりです。
-
Sites >
Web StudioがインストールされているIISサイト名（サイトID = 1、デフォルトではDefault Web Site）に移動します。 - Edit Site > Bindingをクリックします。
-
表示されるSite Bindingsダイアログボックスで、httpsレコードを選択し、Editをクリックします。
-
表示されるEdit Site Bindingダイアログボックスで、Disable TLS 1.3 over TCPを選択し、OKをクリックします。
-
Sites >
参考情報:
Web Studioバックエンドは、Web Studio内のモジュールであり、以下の機能を提供します。
- スマートカード認証
- 統合Windows認証を使用したOrchestrationサービスからのFMAベアラートークンの取得
手順 5 (オプション): Web Studioの認証委任の構成
Web StudioとDelivery Controllerが異なるサーバーにインストールされている場合、各Web StudioサーバーからDelivery ControllerへのHOSTおよびHTTPSサービスに対する委任を構成する必要があります。
各Web Studioサーバーでこのタスクを完了するには、以下の手順に従います。
- Delivery Controller™ Orchestration HTTPS証明書のインポート
- Web Studioサーバーの委任の構成
- （オプション）Web Studio IISサーバーのサービスアカウントの委任の構成
Delivery Controller Orchestration HTTPS証明書のインポート
Web Studioサーバーで、Delivery Controller Orchestration HTTPS証明書をTrusted Root Certification Authoritiesにインポートします。詳細な手順は次のとおりです。
- Settings > Manage computer certificatesを起動します。
-
Trusted Root Certification Authorities > Certificatesを右クリックし、All Tasks > Importを選択します。
- 画面の指示に従って、Delivery Controller Orchestration HTTPS証明書をインポートします。
Web Studioサーバーの委任の構成
ドメインコントローラーで、Web StudioサーバーからDelivery ControllerへのHOSTおよびHTTPサービスに対する委任を構成します。このタスクを完了するには、以下の手順に従います。
- ドメインコントローラーで、Active Directory Administrative Centerを起動します。
- 委任を構成するWeb Studioサーバーのコンピューターアカウント（例: Dan002）を見つけます。
-
アカウントを右クリックし、Propertiesを選択して、以下の手順を完了します。
-
Delegationタブに移動します。
- Trust this user for delegation to specified services only > Use any authentication protocolを選択します。
- このコンピューターアカウントを委任できるサービスを指定するためにAddをクリックします。
- 表示されるAdd Serviceダイアログボックスで、Add Users or ComputersをクリックしてDelivery Controllerのコンピューター名（例: Dan001）を見つけます。
- HOSTおよびHTTPサービスを選択し、OKをクリックします。
-
構成結果は次のスクリーンショットに示されています。
(オプション) Web Studio IISサーバーのサービスアカウントの委任の構成
Web Studio IISサーバーのサービスアカウントを構成している場合は、このサービスアカウントからDelivery ControllerへのHOSTおよびHTTPサービスに対する委任も構成する必要があります。この委任が確立されると、Web Studioサーバーはサービスアカウントを使用して現在のスマートカードユーザーを偽装し、HOSTおよびHTTPサービスのためにDelivery Controllerにアクセスできます。構成を完了するには、以下の手順に従います。
- ドメインコントローラーで、Active Directory Administrative Centerを起動します。
- 委任を構成するWeb Studio IISサーバーのユーザーアカウント（サービスアカウント）（例: svr-stud-002）を見つけます。
- アカウントを右クリックし、Propertiesを選択します。
- Web Studioサーバーの委任の構成の手順3で説明されている手順に従って、Web Studio IISサーバーのサービスアカウントをDelivery ControllerのHOSTおよびHTTPサービスに委任します。
構成結果は次のスクリーンショットに示されています。
手順 6: Web Studioのスマートカード認証の有効化
Web Studioのスマートカード認証を有効にするには、以下の手順に従います。
- Web Studioにサインインし、左ペインでSettingsを選択します。
- 必要に応じて、Smart card authenticationまたはDomain credentials or smart card authenticationを選択します。
-
Applyをクリックします。
