XenMobile® Server

資格情報プロバイダー

April 16, 2026

寄稿者:

資格情報プロバイダーは、XenMobile® システムのさまざまな部分で使用する実際の証明書構成です。資格情報プロバイダーは、証明書のソース、パラメーター、およびライフサイクルを定義します。これらの操作は、証明書がデバイス構成の一部であるか、スタンドアロンであるか (つまり、そのままデバイスにプッシュされるか) にかかわらず発生します。

デバイス登録は、証明書のライフサイクルを制約します。つまり、XenMobile は登録前に証明書を発行しませんが、登録の一部として一部の証明書を発行する場合があります。さらに、1つの登録のコンテキスト内で内部 PKI から発行された証明書は、その登録が取り消されると失効します。管理関係が終了すると、有効な証明書は残りません。

1つの資格情報プロバイダー構成を複数の場所で使用することで、1つの構成が同時に任意の数の証明書を管理できます。この統合は、展開リソースと展開にあります。たとえば、資格情報プロバイダー P が構成 C の一部としてデバイス D に展開される場合、P の発行設定によって D に展開される証明書が決定されます。同様に、C が更新されると D の更新設定が適用されます。また、C が削除されたり D が失効したりすると、D の失効設定も適用されます。

これらのルールに従って、XenMobile の資格情報プロバイダー構成は以下を決定します。

証明書のソース。
証明書を取得する方法: 新しい証明書に署名するか、既存の証明書とキーペアをフェッチ (回復) するか。
発行または回復のパラメーター。たとえば、キーサイズ、キーアルゴリズム、証明書拡張などの証明書署名要求 (CSR) パラメーター。
証明書がデバイスに配信される方法。
失効条件。管理関係が切断されると XenMobile 内のすべての証明書が失効しますが、構成によってはより早い失効を指定する場合があります。たとえば、関連するデバイス構成が削除されたときに証明書を失効させるように構成で指定できます。さらに、特定の条件下では、XenMobile 内の関連する証明書の失効がバックエンドの公開鍵インフラストラクチャ (PKI) に送信される場合があります。つまり、XenMobile での証明書の失効は、PKI での証明書の失効を引き起こす可能性があります。
更新設定。特定の資格情報プロバイダーを通じて取得された証明書は、有効期限が近づくと自動的に更新できます。または、その状況とは別に、有効期限が近づいたときに通知を発行できます。

構成オプションの利用可能性は、主に資格情報プロバイダーに選択する PKI エンティティのタイプと発行方法によって異なります。

証明書の発行方法

署名による発行方法として知られる証明書を取得できます。

この方法では、新しい秘密鍵の作成、CSR の作成、および署名のために CSR を認証局 (CA) に提出することが発行に含まれます。XenMobile は、MS 証明書サービスエンティティと裁量 CA エンティティの両方で署名方法をサポートしています。

資格情報プロバイダーは、署名による発行方法を使用します。

証明書の配信

XenMobile では、集中型と分散型の2つの証明書配信モードが利用可能です。分散モードは Simple Certificate Enrollment Protocol (SCEP) を使用し、クライアントがプロトコルをサポートしている状況 (iOS のみ) でのみ利用できます。分散モードは、一部の状況で必須です。

資格情報プロバイダーが分散型 (SCEP 支援) 配信をサポートするには、特別な構成手順が必要です。それは、登録機関 (RA) 証明書の設定です。RA 証明書は必須です。なぜなら、SCEP プロトコルを使用する場合、XenMobile は実際の認証局に対する代理 (登録者) として機能するからです。XenMobile は、そのように機能する権限があることをクライアントに証明する必要があります。その権限は、前述の証明書を XenMobile にアップロードすることで確立されます。

2つの異なる証明書ロールが必要です (ただし、1つの証明書で両方の要件を満たすことができます)。RA 署名と RA 暗号化です。これらのロールの制約は次のとおりです。

RA 署名証明書には、X.509 キー使用法デジタル署名が必要です。
RA 暗号化証明書には、X.509 キー使用法キー暗号化が必要です。

資格情報プロバイダーの RA 証明書を構成するには、証明書を XenMobile にアップロードし、資格情報プロバイダーでそれらにリンクします。

資格情報プロバイダーは、証明書ロール用に構成された証明書がある場合にのみ、分散配信をサポートすると見なされます。各資格情報プロバイダーを、集中モードを優先するか、分散モードを優先するか、または分散モードを必須とするように構成できます。実際の結果はコンテキストによって異なります。コンテキストが分散モードをサポートしていないが、資格情報プロバイダーがこのモードを要求する場合、展開は失敗します。同様に、コンテキストが分散モードを要求しているが、資格情報プロバイダーが分散モードをサポートしていない場合、展開は失敗します。その他のすべての場合において、優先設定が尊重されます。

次の表は、XenMobile 全体での SCEP 分散を示しています。

コンテキスト	SCEP サポート	SCEP 必須
iOS プロファイルサービス	はい	はい
iOS モバイルデバイス管理登録	はい	いいえ
iOS 構成プロファイル	はい	いいえ
SHTP 登録	いいえ	いいえ
SHTP 構成	いいえ	いいえ
Windows タブレット登録	いいえ	いいえ
Windows タブレット構成	いいえ。ただし、Windows 10 および Windows 11 でサポートされている Wi-Fi デバイスポリシーは除きます。	いいえ

証明書の失効

失効には3つのタイプがあります。

内部失効: 内部失効は、XenMobile によって維持される証明書ステータスに影響します。XenMobile は、提示された証明書を評価するとき、または証明書の OCSP ステータス情報を提供するときに、このステータスを考慮します。資格情報プロバイダー構成は、さまざまな条件下でこのステータスがどのように影響されるかを決定します。たとえば、資格情報プロバイダーは、証明書がデバイスから削除されたときに、証明書を失効済みとしてフラグ付けするように指定できます。
外部伝播失効: XenMobile 失効とも呼ばれるこのタイプの失効は、外部 PKI から取得された証明書に適用されます。資格情報プロバイダー構成によって定義された条件下で、XenMobile が証明書を内部的に失効させると、PKI 上で証明書が失効します。
外部誘発失効: PKI 失効とも呼ばれるこのタイプの失効も、外部 PKI から取得された証明書にのみ適用されます。XenMobile が特定の証明書ステータスを評価するたびに、XenMobile はそのステータスについて PKI にクエリを実行します。証明書が失効している場合、XenMobile は証明書を内部的に失効させます。このメカニズムは OCSP プロトコルを使用します。

これら3つのタイプは排他的ではなく、むしろ組み合わせて適用されます。外部失効または独立した発見は、内部失効を引き起こす可能性があります。内部失効は、外部失効に影響を与える可能性があります。

証明書の更新

証明書の更新は、既存の証明書の失効と別の証明書の発行の組み合わせです。

XenMobile は、発行が失敗した場合のサービスの中断を避けるため、以前の証明書を失効させる前に新しい証明書を取得しようとします。分散型 (SCEP サポート) 配信の場合、失効は証明書がデバイスに正常にインストールされた後にのみ発生します。それ以外の場合、失効は新しい証明書がデバイスに送信される前に発生します。その失効は、証明書のインストールの成功または失敗とは無関係です。

失効構成では、特定の期間 (日数) を指定する必要があります。デバイスが接続すると、サーバーは証明書の NotAfter 日付が現在の日付から指定された期間を引いた日付よりも後であるかどうかを確認します。証明書がその条件を満たしている場合、XenMobile は証明書の更新を試みます。