AD-CS GPO自動配布したユーザー証明書をエクスポートさせたくない

すべての返信

• 

  

  0

  サインインして投票

  チャブーンです。

  この件ですが、一番簡単な解決方法は、ユーザー証明書の設定のうち「秘密鍵のエクスポート」を無効にすることです。

  ユーザー証明書が正しく機能するのは、ユーザー証明書に紐付いた秘密鍵が存在している、必要があります。秘密鍵のエクスポートが無効になっている場合、IEでエクスポート処理をしても秘密鍵は取り出せないため、他のコンピューターにインポートしても、証明書として機能しません。

  AD CSで配っているということなので、「証明書テンプレート」を使って配布しているのだと思います。(配布している)ユーザー証明書の証明書テンプレートのプロパティを確認し、「秘密鍵のエクスポートを許可する」という設定がOFFになっていれば、エクスポートはできませんので、問題ありません。

  もしこの設定がONになっていれば、OFFに変更すればエクスポートができなくなります。ただし、この設定は証明書自身に個別に設定されているものなので、配布済みの証明書については、設定を変更できません。つまり、ユーザー証明書を改めて配布し、以前の証明書は無効化することになります。

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  • 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年8月24日 0:51
  • 回答としてマーク 栗下 望Microsoft employee, Moderator 2017年8月30日 4:18

  2017年8月23日 8:26

  返信

  |

  引用

  モデレータ
• 

  

  0

  サインインして投票

  チャブーンさま

  アドバイスありがとうございます。

  そのアドバイスを受け、実際に早速、試してみました。

  ■ユーザー証明書のテンプレート証明書のプロパティにて「秘密鍵のエクスポートを許可する」＝ON

  　→秘密キーを含めてのエクスポートが可能となり、他のPCでインポートすることでInternetExplorer上の証明書[個人]に

  　　　設定されることを確認。結果、証明書として機能した。

  ■ユーザー証明書のテンプレート証明書のプロパティにて「秘密鍵のエクスポートを許可する」＝OFF　

  　→秘密キーを含ませないエクスポートしかできず、そのエクスポートした証明書を他のPCへインポートしてもInternetExplorer上の

  　　証明書[個人]に設定されませんでした。結果、証明書としての機能がされませんでした。

  ありがとうございました。

  2017年8月24日 1:36

  返信

  |

  引用