オンボーディング 証明書の発行・配布 〜 SCEP・JoinNow・ACMEに対応 〜
SecureW2の証明書発行・配布
SecureW2はデバイス証明書の発行から、端末への配布、更新までを自動化できます。オンボーディングでは、Microsoft IntuneやJamf ProなどのMDM（Mobile Device Management）と連携し、MDM管理端末へ証明書を自動配布・更新できます。MDMで管理されていない端末には、JoinNowによるセルフサービス型のオンボーディングを提供し、端末の管理状況に応じて安全に証明書を配布できます。
オンボーディングで利用できる主な証明書配布方式は次の2つです。
- MDMサービスとのSCEP（Simple Certificate Enrollment Protocol）連携による証明書自動配布
- Webポータルによるセルフ証明書配布（JoinNow）
MDMと連携し、端末への証明書配布を自動化
SecureW2はスマートフォンやタブレットなどのモバイルデバイスを管理するシステムであるMDMと連携することで、エンドユーザーの手を介することなく証明書を配布することが可能です。
MDMサービスと連携することには以下のメリットがあります。
- 管理者がデバイスを回収し、証明書を落とす作業が省かれる
- MDMの設定をもとに、端末に応じて証明書をカスタムして配布できる（SecureW2がMDMの設定を元に、どの端末にどんな証明書を発行するかを自動的に判断します）
- 証明書の有効期限が近づいたら、更新用の証明書の取得を求める通知がMDMに届く
| 利用できるMDMサービス | Intune |
| Jamf Pro | |
| Meraki | |
| Ivanti | |
| VMware AirWatch | |
| Iru(旧 Kandji) | |
| ( 2025年 12月 2日 現在 ) |
SCEP連携でMDM管理下の端末に証明書を自動配布
- MDMは構成プロファイルをデバイス端末に配布する
- デバイス端末は構成プロファイルに従い証明書を要求する（SCEP要求）
- MDMはSecureW2に証明書発行の要求を仲介伝搬する
- SecureW2は証明書発行対象ユーザー情報をIDaaSに問い合わせる
- IDaaSは証明書発行対象のユーザー情報をSecureW2に伝える
- SecureW2は受け取った証明書発行対象のユーザー情報を内部IdPに格納する
- 同時にSecureW2は認証局で署名して証明書を発行する
- SecureW2は証明書をMDMを通じてデバイス端末に配布する
配布にはSCEPというプロトコルを用います。SCEPはSimple Certificate Enrollment Protocolの略で、ネットワークを通じて認証局（CA）から機器へデジタル証明書を発行する手順を定めたプロトコルの一つです。
JoinNowでMDM管理外端末へ証明書を配布
SecureW2はMDM管理下にないデバイス端末にも証明書を配布する仕組みをもっています。この機能をJoinNowといい、エンドユーザーは各デバイスからJoinNow URLにアクセスするだけで証明書を取得することができます。
このJoinNowはWindows、 macOS、 iOS、 Androidなど主要なプラットフォームに対応しています。BYODで社員が私有のスマートフォンなどを持ち込んでいても、JoinNowを活用すれば証明書の配布から、Wi-Fiへの接続まで実現できます。
| JoinNow対応デバイス | Windows |
| macOS | |
| iOS | |
| iPadOS | |
| tvOS | |
| Android | |
| Kindle | |
| ChromeOS | |
| ( 2025年 4月 1日 現在 ) |
JoinNowによる証明書配布の操作方法（動画）
Windows編
Mac編
サーバー証明書の運用とネットワーク認証機能
以下は、オンボーディングによる証明書配布を補完する、証明書運用とネットワーク認証に関する機能です。
ACMEでサーバー証明書の発行と更新を自動化
ACME（Automated Certificate Management Environment）は、SSL/TLS証明書の申請、発行、更新を自動化するための標準プロトコルです。SecureW2では、Windows IIS、Linux、Apache TomcatなどのサーバーにACMEクライアントを導入することで、サーバー証明書を自動で発行・更新できます。
サーバー証明書を手作業で管理していると、更新作業の属人化や更新漏れによって、Webサイトや業務システムが停止するリスクがあります。ACMEを利用することで、証明書の申請・発行・更新にかかる管理者の作業を削減し、証明書の期限切れによるサービス停止を防止できます。
※ACMEはUltimateプランで利用できます。詳しくはプラン比較表をご確認ください。
証明書配布と同時に無線LAN認証を実現
SecureW2は、証明書配布と同時にデバイスの無線LAN認証も実現します。無線LAN認証には、EAP-TLS証明書とネットワークプロファイルが必要です。SecureW2はこれらをセットで配布することで、証明書配布と同時に無線LAN認証を行います。
Network Policyで設定できる内容
-
Radius Client
- NAS-IP…リクエスターのIPアドレス
- NAS-Port Type…RADIUSがリクエスターを認証する際に使用するポートの種類
- Aruba-Essid-Name…Aruba Networks社のEssid
- NAS-ID…RADIUSアクセスリクエストの送信元
- MAC Address…ネットワークアクセスを要求する機器のMACアドレス
- SSID…無線LANアクセスポイントの識別に用いられる文字列
-
Device
- Role…証明書を持っているデバイスの適用されているDevice Role
-
Metadata
- Current Time…受け入れ可能な時間帯の設定
-
Identity
- User Role…証明書を持っているユーザーの適用されているUser Role
-
Certificate
- Issuer…クライアント証明書を発行した認証局
- Common Name…証明書のCN
- Time until expiration…証明書の有効期限
- SAN-Email…SANで使用したEメールアドレス
- SAN-UPN…SANで使用したUPN
- SAN-DNS Name…SANで使用したDNS名
