技術記事・調査 2023/12/28

【EPS技術記事】NetAttest EPS-ap ゼロタッチ証明書配布のご紹介（Active Directory）

NetAttest EPS

概要

「NetAttest EPS-ap（ネットアテストイーピーエスエーピー）」は、インターネット経由でも秘密鍵を外部に漏らさず、安全に証明書の配布ができる製品です。
オールインワン認証アプライアンス「NetAttest EPS （ネットアテストイーピーエス）」のオプション製品として、株式会社ソリトンシステムズが開発・販売しています。

NetAttest EPS-ap は、SCEP（Simple Certificate Enrollment Protocol）経由で証明書を配布することにより、端末内の証明書情報（秘密鍵）の漏洩を防ぎ、安全な証明書認証環境を構築することができます。
証明書の配布方法において、EPS-apではSoliton KeyManagerという専用アプリをインストールして使用します。

本記事では、以下の３つの項目についてご紹介します。

Soliton KeyManagerのサイレントインストール方法
ユーザーストアへ証明書のインストール方法（ログオンスクリプト）
コンピューターストアへ証明書のインストール方法（スタートアップスクリプト）

Soliton KeyManagerのサイレントインストール方法

Windowsでは、プログラムをインストールする際などに管理者権限を要求されることがあります。
Soliton KeyManagerをインストールする際には管理者権限が必要になります。
管理者権限を持ったアカウントであれば問題ありませんが、ユーザー権限のみ付与しているアカウントもあるかと思います。
その場合、Soliton KeyManagerをインストールすることができません。

Active Directoryのグループポリシーに於けるスタートアップスクリプトを利用することで、管理者権限がない環境でもSoliton KeyManagerのインストールが可能です。

動作イメージ

デモ動画

事前準備

Soliton KeyManagerのインストーラーを共有フォルダに保存します。
Soliton KeyManagerをサイレントインストールするバッチファイルを作成します。
例）Soliton KeyManagerサイレントインストール実行コマンド
-----バッチファイルの中身------
"\\(ファイルサーバー)\(共有フォルダ) \SolitonKeyManagerV2011.exe" -s
--------------------------------------
-s：サイレントインストールオプション

Active Directory側の操作

[グループポリシーの管理]-[グループポリシーオブジェクト]-[Default Domain Policy]-[セキュリティフィルター処理]より、Domain Users/Domain Computersを登録します。
（デフォルトでは、Authenticated Usersしか登録されてません)
「1」で使用した”Default Domain Policy”の編集で、[グループポリシー管理エディター]を開き、[コンピュータの構成]-[ポリシー]-[Windowsの設定]-[スクリプト(スタートアップ/シャットダウン)]-[スタートアップ]より、スタートアップのプロパティを開きます。
「追加」より、"事前準備-2"で作成したバッチファイルを登録します。
バッチファイルの保存場所は「参照」ボタンをクリックすると開かれるフォルダです。
例）ドメイン名が win2022.example.com の場合
\\win2022.example.com\sysvol\win2022.example.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\MACHINE\Scripts\Startup
※{31B2F340-016D-11D2-945F-00C04FB984F9}は、GPOのIDになるので適用するGPOなど環境によって異なります。
該当のグループポリシー-[詳細]-[一意なID]より確認可能です。
登録後、「適用」ボタンをクリックします。

クライアントPC側の操作

グループポリシー適用済みのクライアントPCを再起動します。
ログイン後、Soliton KeyManagerがインストールされていることを確認してください。

補足
クライアントPCには、以下のコマンドを入力することでグループポリシーを強制適用することも可能です。
コマンド：gpupdate /force