製品ドキュメント
XenMobile® Server
PDFを表示

オンプレミスデバイス正常性構成証明サーバーの構成

April 16, 2026

オンプレミスWindowsサーバーを介して、Windows 10およびWindows 11モバイルデバイス向けにデバイス正常性構成証明 (DHA) を有効にできます。オンプレミスDHAを有効にするには、まずDHAサーバーを構成します。

DHAサーバーを構成したら、オンプレミスDHAサービスを有効にするためのXenMobile Serverポリシーを作成します。このポリシーの作成については、「デバイス正常性構成証明デバイスポリシー」を参照してください。

DHAサーバーの前提条件

  • デスクトップエクスペリエンスインストールオプションを使用してインストールされた、Windows Server Technical Preview 5以降を実行しているサーバー。
  • 1つ以上のWindows 10およびWindows 11クライアントデバイス。これらのデバイスは、最新バージョンのWindowsを実行しているTPM 1.2または2.0を搭載している必要があります。
  • 次の証明書:
    • DHA SSL証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼されたルートにチェーンするx.509 SSL証明書。この証明書は、以下を含む転送中のDHAデータ通信を保護します。
      • サーバーからサーバー (DHAサービスとMDMサーバー)
      • サーバーからクライアント (DHAサービスとWindows 10またはWindows 11デバイス)
    • DHA署名証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼されたルートにチェーンするx.509証明書。DHAサービスはこの証明書をデジタル署名に使用します。
    • DHA暗号化証明書: エクスポート可能な秘密キーを持つエンタープライズ信頼されたルートにチェーンするx.509証明書。DHAサービスはこの証明書を暗号化にも使用します。
  • 次のいずれかの証明書検証モードを選択します。
    • EKCert: EKCert検証モードは、インターネットに接続されていない組織内のデバイス向けに最適化されています。EKCert検証モードで実行されているDHAサービスに接続するデバイスは、インターネットに直接アクセスできません。
    • AIKCert: AIKCert検証モードは、インターネットにアクセスできる運用環境向けに最適化されています。AIKCert検証モードで実行されているDHAサービスに接続するデバイスは、インターネットに直接アクセスできる必要があり、MicrosoftからAIK証明書を取得できます。

WindowsサーバーへのDHAサーバーロールの追加

  1. Windowsサーバーで、サーバーマネージャーがまだ開いていない場合は、スタートをクリックし、次にサーバーマネージャーをクリックします。
  2. 役割と機能の追加をクリックします。
  3. 開始する前にページで、次へをクリックします。
  4. インストールの種類の選択ページで、役割ベースまたは機能ベースのインストールをクリックし、次に次へをクリックします。
  5. 対象サーバーの選択ページで、サーバープールからサーバーを選択をクリックし、サーバーを選択して、次へをクリックします。
  6. サーバーの役割の選択ページで、デバイス正常性構成証明チェックボックスを選択します。
  7. オプション: 機能の追加をクリックして、その他の必要な役割サービスと機能をインストールします。
  8. 次へをクリックします。
  9. 機能の選択ページで、次へをクリックします。
  10. Webサーバー (IIS) の役割ページで、次へをクリックします。
  11. 役割サービスの選択ページで、次へをクリックします。
  12. デバイス正常性構成証明サービスページで、次へをクリックします。
  13. インストール選択の確認ページで、インストールをクリックします。
  14. インストールが完了したら、閉じるをクリックします。

サーバーの証明書ストアへのSSL証明書の追加

  1. SSL証明書ファイルに移動して選択します。

  2. ストアの場所として現在のユーザーを選択し、次へをクリックします。

    Image of Windows Server Manager

  3. 秘密キーのパスワードを入力します。

  4. インポートオプションすべての拡張プロパティを含めるが選択されていることを確認します。次へをクリックします。

    Image of Windows Server Manager

  5. このウィンドウが表示されたら、はいをクリックします。

    Image of Windows Server Manager

  6. 証明書がインストールされていることを確認します。

    1. コマンドプロンプトウィンドウを開きます。

    2. mmcと入力し、Enterキーを押します。ローカルコンピューターのストアで証明書を表示するには、管理者ロールである必要があります。

    3. ファイルメニューで、スナップインの追加と削除をクリックします。

    4. 追加をクリックします。

    5. スタンドアロンスナップインの追加ダイアログボックスで、証明書を選択します。

    6. 追加をクリックします。

    7. 証明書スナップインダイアログボックスで、マイユーザーアカウントを選択します。(サービスアカウント所有者としてサインインしている場合は、サービスアカウントを選択します。)

    8. コンピューターの選択ダイアログボックスで、完了をクリックします。

      Image of Windows Server Manager

  7. サーバーマネージャー > IISに移動し、アイコンのリストからサーバー証明書を選択します。

    Image of Windows Server Manager

  8. 操作メニューから、インポート…を選択してSSL証明書をインポートします。

    Image of Windows Server Manager

証明書のサムプリントの取得と保存

  1. ファイルエクスプローラーの検索バーに「mmc」と入力します。

  2. コンソールルートウィンドウで、ファイル > スナップインの追加と削除…をクリックします。

    Image of Windows File Explorer

  3. 利用可能なスナップインから証明書を選択し、選択したスナップインに追加します。

    Image of Windows Add or Remove Snap-ins

  4. マイユーザーアカウントを選択します。

    Image of Windows Add or Remove Snap-ins

  5. 証明書を選択し、OKをクリックします。

    Image of Windows Add or Remove Snap-ins

  6. 証明書をダブルクリックし、詳細タブを選択します。スクロールダウンして証明書のサムプリントを確認します。

    Image of Windows Add or Remove Snap-ins

  7. サムプリントをファイルにコピーします。PowerShellコマンドでサムプリントを使用する際は、スペースを削除してください。

署名証明書と暗号化証明書のインストール

署名証明書と暗号化証明書をインストールするには、Windowsサーバーで次のPowerShellコマンドを実行します。

プレースホルダーReplaceWithThumbprintを、示されているように二重引用符で囲んで置き換えます。

$key = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -like "ReplaceWithThumbprint"}

$keyname = $key.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

$keypath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\" + $keyname icacls $keypath /grant IIS_IUSRS`:R
<!--NeedCopy-->

TPMルート証明書の抽出と信頼された証明書パッケージのインストール

Windowsサーバーで次のコマンドを実行します。

mkdir .\TrustedTpm

expand -F:\* .\TrustedTpm.cab .\TrustedTpm

cd .\TrustedTpm

.\setup.cmd
<!--NeedCopy-->

DHAサービスの構成

DHAサービスを構成するには、Windowsサーバーで次のコマンドを実行します。

プレースホルダーReplaceWithThumbprintを置き換えます。

Install-DeviceHealthAttestation -EncryptionCertificateThumbprint ReplaceWithThumbprint

-SigningCertificateThumbprint ReplaceWithThumbprint

-SslCertificateStoreName My -SslCertificateThumbprint ReplaceWithThumbprint

-SupportedAuthenticationSchema "AikCertificate"
<!--NeedCopy-->

DHAサービスの証明書チェーンポリシーを設定するには、Windowsサーバーで次のコマンドを実行します。

$policy = Get-DHASCertificateChainPolicy

$policy.RevocationMode = "NoCheck"

Set-DHASCertificateChainPolicy -CertificateChainPolicy $policy
<!--NeedCopy-->

次のプロンプトに次のように応答します。

  Confirm

    Are you sure you want to perform this action?

    Performing the operation "Install-DeviceHealthAttestation" on target "WIN-N27D1FKCEBT".

    [Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): A

    Adding SSL binding to website 'Default Web Site'.

    Add SSL binding?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding application pool 'DeviceHealthAttestation_AppPool' to IIS.

    Add application pool?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding web application 'DeviceHealthAttestation' to website 'Default Web Site'.

    Add web application?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Adding firewall rule 'Device Health Attestation Service' to allow inbound connections on port(s) '443'.

    Add firewall rule?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Setting initial configuration for Device Health Attestation Service.

    Set initial configuration?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y

    Registering User Access Logging.

    Register User Access Logging?

    [Y] Yes  [N] No  [S] Suspend  [?] Help (default is "Y"): Y
<!--NeedCopy-->

構成の確認

DHASActiveSigningCertificateがアクティブであるかどうかを確認するには、サーバーで次のコマンドを実行します。

Get-DHASActiveSigningCertificate

証明書がアクティブな場合、証明書の種類 (署名) とサムプリントが表示されます。

DHASActiveEncryptionCertificateがアクティブであるかどうかを確認するには、サーバーで次のコマンドを実行します。

プレースホルダーReplaceWithThumbprintを、示されているように二重引用符で囲んで置き換えます。

Set-DHASActiveEncryptionCertificate -Thumbprint "ReplaceWithThumbprint" -Force

Get-DHASActiveEncryptionCertificate
<!--NeedCopy-->

証明書がアクティブな場合、サムプリントが表示されます。

最終確認を行うには、次のURLにアクセスします。

https://<dha.myserver.com>/DeviceHeathAttestation/ValidateHealthCertificate/v1

DHAサービスが実行されている場合、「Method not allowed」と表示されます。

Image of DHA service check

オンプレミスデバイス正常性構成証明サーバーの構成
April 16, 2026
April 16, 2026

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.