証明書
RADIUSaaS は、信頼するCAに照らしてすべての証明書を検証します
RADIUSaaS は、SCEPman、Microsoft Cloud PKI、オンプレミスPKI、またはクライアント証明書を発行するその他のCAから発行された証明書を、複数同時に受け入れます。CAごとに、何の用途で信頼するか、失効確認をどのように行うかを設定できます。
- 複数のCAを並行して使用
- CAごとにOCSPまたはCRL
- ソフトフェイルまたはハードフェイル
- SCEPman によるサーバー証明書の更新
信頼
既存のCAをそのまま信頼する
CA証明書をPEMまたはDERファイルとしてアップロードするか、SCEPmanのURLをRADIUSaaSに指定すると、CA証明書を自動で取得します。次に、そのCAを何の用途で信頼するかを指定します。デバイスのクライアント認証、アクセスポイントやスイッチ向けのRadSec、あるいはその両方を選択できます。
- ルールを特定のCAに限定できるため、ラボCAの証明書が本番VLANに紛れ込むことはありません
- 60日 以内に有効期限が切れる証明書はリストにフラグが付きます
- サブジェクトまたはサムプリントで検索
試してみる
証明書が失効したときの動作
CAに対するRADIUSaaSの失効確認方式と、発生している状況を選択し、デバイスが接続できるかどうかを確認します。
許可
許可。レスポンダーが証明書を確認しました。
サンプルデータ。
方式
失効確認の4つの方式
| 方式 | 仕組み | 選択する場面 |
|---|---|---|
| 静的OCSPレスポンダーURL | RADIUSaaS はサインイン時に、入力されたURLのOCSPレスポンダーに対して各証明書を照会します。2秒 以内に応答がない場合、ソフトフェイルの設定に従います。 | SCEPman のように、CAがレスポンダーを稼働させている場合。 |
| 動的OCSPレスポンダーURL（AIA） | 静的URLと同様ですが、レスポンダーURLは各証明書のAIA拡張から読み取ります。 | 複数のレスポンダーがある場合、またはアドレスを手動で入力したくない場合。ログインのたびに処理が遅くなります。 |
| 証明書失効リスト（CRL） | RADIUSaaS は、デルタCRLを含むCAのCRLのコピーを使って検証します。CRLは 1時間ごとに に確認し、有効期限切れになった場合、またはコピーが 3時間 を超えた場合に再ダウンロードします。 | 認証量が多い場合、またはMicrosoft Cloud PKIのようにCRLのみを公開しているCAを使用する場合。 |
| なし | 失効確認なし。 | テストテナント専用。 |
ソフトフェイルまたはハードフェイルはCAごとに設定します。RADIUSaaS は認証のたびにCA証明書自体の失効ステータスも確認できますが、ログインの速度を保つためデフォルトでは無効になっています。
サーバー証明書
デバイスが検証するサーバー証明書
デバイスは自身の証明書を提示する前に、RADIUSaaS が提示する証明書を検証します。デフォルトでは、RADIUSaaS はサーバー証明書専用のCAを作成し、そこから証明書を発行します。独自の証明書を使いたい場合は、自己署名でなければ、サーバー認証用途の証明書をPEMまたはPKCS#12形式でアップロードできます。どの証明書を有効にするかはユーザーが決定でき、デバイスプロファイル用のCAはいつでもダウンロードできます。
- インスタンス固有のカスタマーCA
- デバイスが信頼する任意のCAから発行した独自のサーバー証明書
- ワンクリックで有効な証明書を切り替え
サーバー証明書は SCEPman を通じて自動更新されます
SCEPman を接続すれば、サーバー証明書の管理は自動で行われます。SCEPman as a Service をご利用の場合、接続はあらかじめ設定済みです。
- 接続接続RADIUSaaS に SCEPman の URL を入力し、RADIUSaaS が表示するトークンを SCEPman に登録します。
- 事前生成事前生成RADIUSaaS はサーバー証明書を有効化せずに事前に取得するため、デバイスプロファイルがその証明書を信頼しているか事前に確認できます。
- 設定完了設定完了以降は、RADIUSaaS が証明書を有効化し、有効期限が切れる前に自動で更新します。
有効期限
次に期限切れになる証明書を確認する
期限切れ証明書のフィルター
60日 以内に有効期限が切れる信頼済み証明書およびサーバー証明書には、専用のフィルターとステータスが表示されます。
ヘルスビュー
サービス状態ページでは、証明書・失効リスト・プロキシ・SCEPman のステータス（有効・期限切れ間近・期限切れ・稼働中・停止中）を一覧で確認できます。
ポータルでの警告
ポータルは期限切れ間近の証明書を通知として表示するため、最初の警告がヘルプデスクへの問い合わせになることはありません。
自前で運用しなくていい RADIUS サーバーで、既存のCAをそのまま活用
トライアルでCAをアップロードし、失効確認方式を選択して、最初のデバイスを接続してみてください。