RADIUSaaS に関する質問と回答
このサイトの各ページに掲載されている質問をトピック別に整理しています。各回答には固有のリンクがあるため、同僚に直接該当箇所を共有できます。
ネットワーク要件
01RADIUSaaS は NPS の代替になりますか？
はい。RADIUSaaS は Wi-Fi、有線 802.1X、VPN の RADIUS サーバーとして機能します。アクセスポイント、スイッチ、VPN ゲートウェイは NPS ではなくお客様のインスタンスにリクエストを送り、デバイスは MDM が配布した証明書で認証します。その背後に Active Directory アカウントは必要ありません。NPS はデバイス証明書を Active Directory のコンピューターアカウントに照合して検証するため、Entra 参加済みデバイスにはこの方法が必要です。デバイスライトバックを使用したハイブリッド参加済みデバイスは NPS で動作しますが、ライトバックに遅延が生じる場合があり、Windows Autopilot のプロビジョニングではタイミングの問題が発生するため、この構成を基盤にすることは推奨しません。証明書を保持できないデバイスには RADIUSaaS 内でアカウントを発行します。
02サーバー、アプライアンス、エージェントは必要ですか？
不要です。RADIUSaaS は当社のクラスターで稼働しており、アクセスポイントとスイッチはインターネット経由で、RadSec を直接使うか RADIUSaaS プロキシを介して接続します。デバイス側には MDM がすでに配布している証明書とネットワークプロファイル以外に何も必要ありません。
03クラウド RADIUS サービスを比較するときに確認すべきことは何ですか？
専用インスタンスが提供されるか、RadSec に対応していない機器の接続方法、失効の確認方法、ライセンスのカウント単位を確認してください。RADIUSaaS はすべてのお客様に、専用パブリック IP 上の RadSec サーバー、専用ポータル、独立したログスペースを備えた専用インスタンスを提供し、RADIUS のみ対応の機器は固定 IP を持つプロキシ経由で接続します。失効確認は CA ごとに OCSP または CRL で行い、SCEPman を CA として使用している場合は無効化されたデバイスの証明書が自動的に失効されます。ライセンスはユーザー単位で、50 ユーザーから提供します。
04アクセスポイントが RADIUS しか話せません。それで十分に安全ですか？
はい。アクセスポイントとプロキシの間では、RADIUS が共有シークレットでリクエストを保護し、証明書またはパスワードを含む部分は TLS で暗号化された EAP トンネル内に収まります。プロキシ以降はすべて RadSec で転送されます。証明書を使う場合、秘密情報はどちらの区間もネットワーク上を流れません。
05古いデバイスに MAC 認証バイパスを使用できますか？
はい、MAB-to-EAP として利用できます。スイッチがデバイスに代わって MAC アドレスをユーザー名とパスワードとして使い、PEAP-MSCHAPv2 または EAP-TTLS-PAP で認証します。ルールでそれらのデバイスにアクセスを最小限に抑えたフォールバック VLAN を割り当ててください。PAP または CHAP によるクラシック MAB は使用できません。
サインインと失効
01ユーザーは Entra ID のパスワードで Wi-Fi にサインインできますか？
できません。これは意図的な設計です。パスワードによるサインインは、証明書を保持できないデバイス向けに RADIUSaaS 内で作成したアカウントに対してのみ機能します。ディレクトリのパスワードをネットワーク経由で中継すると攻撃面が広がりますが、証明書を使えば秘密情報はネットワーク上を一切流れません。
02OCSP レスポンダーがダウンした場合はどうなりますか？
デフォルトであるソフトフェイルが有効な場合、通常のサインインは維持され、RADIUSaaS がすでに失効を確認している証明書は引き続き拒否されます。未検証のデバイスを通すよりロックアウトを優先したい CA については、ソフトフェイルを無効にしてください。失効リストはライブのレスポンダーを必要としません。
RADIUSaaS と Microsoft Cloud PKI
01独自のルートを使用する Cloud PKI（BYOCA）でも RADIUSaaS は動作しますか？
動作します。RADIUSaaS はクライアント証明書を発行する CA であれば何でも信頼できるため、独自のルートと、それに連結された Cloud PKI の発行 CA をそれぞれ失効確認付きで信頼する設定にするだけです。ガイドでは Cloud PKI が両方の CA をホストする構成を前提としていますが、その他の手順は変わりません。
02OCSP ではなく CRL を使う理由は何ですか？
Microsoft Cloud PKI は失効情報を CRL としてのみ公開しており、OCSP レスポンダーを提供していないためです。サインイン時点で個々の証明書に回答できる OCSP の方が望ましい選択肢ですが、この CA では利用できません。Intune は各 CA の配布ポイントをホストし、失効が発生するたびに CRL を更新します。RADIUSaaS はそれらの CRL を 1時間ごとに 参照し、有効期限が切れるか、コピーが 3時間 経過した時点で再ダウンロードします。
03SCEPman は引き続き必要ですか？
部分的に必要です。Cloud PKI は Intune が管理するデバイスのクライアント証明書をカバーしており、Wi-Fi・LAN・VPN に必要なのがそれだけであれば、Intune が証明書を発行し RADIUSaaS が検証します。SCEPman は、RADIUSaaS ポータル上のサービスとして、またはEnterprise Edition として、それ以外の用途をカバーします。具体的には、Jamf Pro やその他の MDM 管理デバイス、アクセスポイントやスイッチ向けの RadSec クライアント証明書、独自 CA から自動更新される RADIUSaaS サーバー証明書、そして Web サーバー・TLS インスペクション・ドメインコントローラー証明書への対応が含まれます。SCEPman の OCSP レスポンダーを使えば、次の CRL を待たずに次回のサインイン時点で失効を RADIUSaaS に反映させることもできます。
04部門ごとに VLAN を割り当てることはできますか？
できます。ルールは証明書フィールド（サブジェクトの OU など）から VLAN を読み取り、一致するものがない場合はデフォルトの VLAN にフォールバックします。
セキュリティと可用性
01RADIUSaaS は Blast-RADIUS の影響を受けますか？
いいえ。RADIUSaaS は EAP ベースの認証のみを受け付けており、この攻撃（CVE-2024-3596）は各コンポーネントが EAP を適切に実装していれば成立しません。ただし、ご利用のネットワーク機器が最新の状態かどうかはベンダーに確認することをお勧めします。
02データはどこに保存されますか？
インスタンスのホスティングロケーションはお客様が選択します: オーストラリア、欧州連合、英国、米国のいずれか。プロキシは選択したリージョンで稼働しますが、インスタンスのホスティングロケーションは変わりません。ログは 75日間 間保持され、設定と秘密情報は Azure Key Vault に保存されます。
03インスタンスはどこにホストできますか？
お選びいただいたホスティングロケーションに構築します: オーストラリア、欧州連合、英国、米国のいずれか。RADIUS しか対応していないアクセスポイント向けのプロキシは、6 大陸 19 リージョンで稼働し、各プロキシのリージョンはお客様が選択できます。
04インスタンスに到達できない場合はどうなりますか？
可用性目標は月間 99.5% です。より高い冗長性が必要な場合は、追加料金で独自 IP を持つ 2 つ目の RadSec エンドポイントを追加できます。プロキシは自動的に最寄りの正常なエンドポイントに切り替わり、RadSec を直接使用するアクセスポイントは設定した 2 つ目のアドレスに切り替わります。
RADIUSaaS のライセンス体系
01RADIUSaaS のライセンス体系はどうなっていますか？
少なくとも 1 台のデバイスで認証できるユーザー単位で、50 ユーザーから提供します。1 ユーザーにつき最大 据え置き型5台とモバイル5台 台まで接続できます。詳細は料金ページをご覧ください。
02ユーザーとしてカウントされるのは誰ですか？
少なくとも1台のデバイスで RADIUSaaS への認証が有効になっているすべてのユーザーが対象です。そのデバイスが使用中かどうかは問いません。ほとんどの場合、MDM の Wi-Fi または有線プロファイルに割り当てられたユーザー数がこれに相当します。
031ユーザーあたり何台のデバイスを接続できますか？
据え置き型5台とモバイル5台 台まで。
04最小ユーザー数はありますか？
はい、1組織あたり 50 ユーザーが最小単位です。ユーザーサブスクリプションは、最低1か月間、特定の1ユーザーに紐付けられます。
05RADIUSaaS は自動でユーザー数を集計しますか？
いいえ。RADIUSaaS にはライセンス消費数の表示機能がないため、MDM 側でプロファイルの割り当て状況を定期的に確認してください。
061つのサブスクリプションを複数の組織で共用できますか？
いいえ。1つのサブスクリプションは1組織のユーザーとデバイスを対象とするものであり、分割や再販はできません。
07含まれる内容は何ですか？
すべての機能、すべてのアップデート、インシデントおよび技術的な質問へのサポート、そして 2 台の RADIUS プロキシが含まれます。追加の冗長性を確保するための第2の RadSec エンドポイントと、サービスとしての SCEPman はオプションでご利用いただけます。