AWS Managed Microsoft AD 用 AWS Private CA Connector for AD の設定

AWS マネジメントコンソール にサインインして、Directory Service で https://console.aws.amazon.com/directoryservicev2/ コンソールを開きます。

[Directories] (ディレクトリ) ページで、ディレクトリ ID を選択します。

[アプリケーション管理] タブと [AWS アプリケーションとサービス] セクションで、[AWS Private CA Connector for AD] を選択します。

[Active Directory のプライベート CA 証明書を作成する] ページで、Active Directory Connector のプライベート CA を作成するステップを完了します。

AWS マネジメントコンソール にサインインして、Directory Service で https://console.aws.amazon.com/directoryservicev2/ コンソールを開きます。

[Directories] (ディレクトリ) ページで、ディレクトリ ID を選択します。

[アプリケーション管理] タブと [AWS アプリケーションとサービス] セクションで、ユーザーの Private CA Connector とそれに関連するプライベート CA を表示します。以下のフィールドが表示されます。

1. [AWS Private CA コネクタ ID] — AWS Private CA コネクタの固有識別子。それを選択して、その詳細ページを表示します。

2. [AWS Private CA サブジェクト] — CA の識別名に関する情報。それを選択して、その詳細ページを表示します。

3. ステータス – AWS Private CA Connector と AWS Private CA のステータスチェック結果:

   • [アクティブ] – 両方のチェックが合格

   • [1/2 チェックが失敗] – 1 つのチェックが失敗

   • [失敗] — 両方のチェックが失敗

   失敗したステータスの詳細については、ハイパーリンクにカーソルを合わせると、失敗したチェックが表示されます。

4. [DC 証明書の登録ステータス] – ドメインコントローラー証明書のステータスチェック:

   • [有効] — 証明書の登録が有効になっている

   • [無効] – 証明書の登録は無効になっている

5. [作成日] — AWS Private CA Connector が作成された日。

[ネットワークとセキュリティ] タブを開きます。

[AWS Private CA コネクタ] を選択します。

ディレクトリにドメインコントローラー証明書を発行する AWS Private CA サブジェクトにリンクされたコネクタを選択します。

[アクション]、[ドメインコントローラー証明書を有効にする] の順に選択します。

[ネットワークとセキュリティ] タブを開きます。

[AWS Private CA コネクタ] を選択します。

ディレクトリにドメインコントローラー証明書を発行する AWS Private CA サブジェクトにリンクされたコネクタを選択します。

[アクション]、[ドメインコントローラー証明書を無効にする] の順に選択します。

AWS Managed Microsoft AD 管理者インスタンスに接続し、[スタート] メニューから[サーバーマネージャ] を開きます。

[ツール] で、[グループポリシー管理] を選択します。

[フォーレストとドメイン] で、サブドメイン組織単位 (OU) を検索し (例えば、AWS Managed Microsoft AD の作成 で説明されている手順に従っている場合、サブドメイン組織単位は corp になります）、サブドメイン OU を右クリックします。[このドメインに GPO を作成してここにリンクする] を選択し、名前に PCA GPO を入力します。[OK] を選択してください。

新しく作成された GPO は、サブドメイン名の後に表示されます。PCA GPO を右クリックして、[編集] を選択します。ダイアログボックスが開き、「これはリンクであり、変更は全体に適用されます」という警告メッセージが表示されたら、[OK] を選択してメッセージを了承して続行します。[グループポリシー管理エディター] が開きます。

[グループポリシー管理エディター] で、[コンピュータの設定] > [ポリシー] > [Windows 設定] > [セキュリティ設定] > [パブリックキーポリシー] (フォルダを選択) に移動します。

[オブジェクトのタイプ] で [証明書サービスクライアント - 証明書登録ポリシー] を選択します。

[証明書サービスクライアント – 証明書登録ポリシー] ウィンドウで、[設定モデル] を [有効] に変更します。

[Active Directory 登録ポリシー] が オン で、[有効] になっていることを確認します。[Add] (追加) を選択します。

[証明書登録ポリシーサーバー] ダイアログボックスを開きます。コネクタを作成したときに生成された証明書登録ポリシーサーバーエンドポイントを [登録サーバーポリシー URI を入力] フィールドに入力します。[認証タイプ] は [Windows 統合] のままにします。

[検証] を選択します。検証が成功したら、[追加] を選択します。

[証明書サービスクライアント – 証明書登録ポリシー] に戻り、新しく作成したコネクタの横にあるダイアログボックスを選択して、コネクタをデフォルトの登録ポリシーにします。

[Active Directory 登録ポリシー] を選択し、[削除] を選択します。

確認ダイアログボックスで [はい] を選択して LDAP ベースの認証を削除します。

[証明書サービスクライアント] > [証明書登録ポリシー] ウィンドウで [適用] と [確認] を選択し、閉じます。次に、ウィンドウを閉じます。

[パブリックキーポリシー]フォルダーの[オブジェクトの種類]で「Certificate Services Client – 自動登録」を選択します。

[設定モデル] オプションを [有効] に変更します。

[期限切れの証明書を更新する] と [証明書を更新する] の両方が選択されていることを確認します。他の設定はそのままにします。

[適用]、[確認] の順に選択し、ダイアログボックスを閉じます。