Active Directory証明書のサブジェクトについて

すべての返信

• 

  

  0

  サインインして投票

  チャブーンです。

  残念ですが、ユーザー証明書の仕様上、サブジェクト名には「共通名(CN)」か「完全な識別名(DN)」あるいは「なし」しか選択できず、UPNを直接指定することはできなかったはずです。

  ではどうやるのかというと、「代わりのサブジェクト名」(Subject Alternative Name(SAN))で指定する項目かと思います。

  SANで指定された項目についでですが、UPNであれば証明書の「サブジェクト代替名」に「Other Name: プリンシパル名 = <UPN>」のかたちで記録されます。

  証明書テンプレートの設定で、サブジェクト名について「要求に含まれる」を設定すれば、「共通名」か「完全な識別名」で任意の文字列を設定することもできるにはできますが、UPNを想定した入力項目ではないため、UPNとして使用することはできません。(無意味な文字列扱いになります)

  いいづらい話しですが、証明書の仕様として、おっしゃるご要望は無意味ですし、セキュリティ的に問題な設定となると思いますで、お奨めできません。

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  • 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年7月3日 0:42

  2017年7月1日 2:52

  返信

  |

  引用

  モデレータ
• 

  

  0

  サインインして投票

  チャプーンさま

  ありがとうございます。

  やはり、これは仕様でしたかね。

  当社としては、Idaasにてシングルサイオン環境の構築を目指しておりました。

  そのIdaasの証明書-認証の機能をAD証明書を利用して、且つ、証明書サブジェクト内のCN=属性を

  チェックして正しいユーザーであることを認証するような仕組みでの運用をしたいという希望がありました。

  うーん、残念です。

  2017年7月3日 3:53

  返信

  |

  引用
• 

  

  0

  サインインして投票

  チャブーンです。

  何か、うまく伝わっていない気がしますので。

  証明書サブジェクト内のCN=属性をチェックして正しいユーザーであることを

  これをやりたい場合、実際に証明書内で使用するフィールドが「代替サブジェクト名(SAN)」になります。つまり、質問者さんがやりたいことはSANで実現できます。SANに任せればよいところを、サブジェクト名でやらせようとする、という点にムリがあります。

  ふつうのIDaaS製品であれば、「代替サブジェクト名が使えない」というような仕様はあり得ないと思うのですが、ご自身で制作されるのでしょうか。であるなら、申し訳ない言い方かもしれませんが、仕様の見直しをお奨めします。

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  • 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年7月4日 0:12
  • 回答としてマーク 栗下 望Microsoft employee, Moderator 2017年7月10日 5:17

  2017年7月3日 6:26

  返信

  |

  引用

  モデレータ