Windows Server 2025 / AD CSと内部証明書の導入前に検討すること

Active Directory Certificate Services（AD CS）は組織の証明書を発行・管理します。役割を入れる前に、誰を何の目的で信頼するか、発行権限、失効、更新、回復と運用担当を設計する必要があります。

内部CAが必要かを判断する

公開鍵基盤（PKI）の認証局（CA）は、IDと公開鍵を結び付ける証明書へ署名します。クライアントはCAを信頼し、目的に合う証明書を検証する必要があります。内部CAが全ブラウザーから自動で信頼されるわけではありません。

多数の内部Webや管理端末の認証には組織PKIを検討できます。管理外利用者の公開サービスでは公的に信頼される証明書が適する場合もあります。AD CSの概要を読み、既存PKIや管理された発行サービスを調べます。一サイトだけで新規CAが必須とは限りません。

信頼階層と鍵の置き場所を決める

オフラインルートとオンライン発行CAは選択肢の一つで、階層を増やせば自動で安全にはなりません。PKI設計の検討事項で名前、鍵、期限、公開URLを導入前に決めます。導入後のCAサーバー名変更を通常作業と考えず、DCとの兼用も管理分離を検討します。

テンプレートと登録権限を限定する

テンプレートは用途、鍵、期限、登録条件を定めます。EKU（Extended Key Usage）はサーバー認証やクライアント認証などの用途です。IDとして使える証明書の無制限発行は、なりすましにつながるおそれがあります。

• 要求者と承認・発行担当を分けます。
• 要求者が名前を指定できる範囲と確認方法を決めます。
• 秘密鍵アクセスとエクスポートの必要性を限定します。
• 自動登録は目的と対象グループを絞り、失敗も監視します。

Authenticated Usersなど広い対象へ発行権を与える前に悪用の可能性を確認します。CAの保護・委任・監査を参照してください。

失効と更新の経路を運用する

鍵漏えい、退職、サーバー廃止に備え失効を設計します。CRLは失効情報、AIAは発行者情報などの参照先を示します。実クライアントが検証に必要な場所へ届く必要があり、内部専用DNSやLDAPだけでは外部端末に不適切な場合があります。

CA停止で全発行済み証明書が直ちに無効になるわけではありませんが、新規発行、更新、失効公開への影響は分けて考えます。ルート、発行CA、サービスの更新を合わせ、要求した長さが発行者の残存期限や方針を超えるとは考えません。サービスが実提示する証明書まで確認します。

鍵保護と回復を導入条件にする

CA秘密鍵の侵害は信頼範囲全体へ影響します。必要に応じHSM（Hardware Security Module）、管理経路の制限、職務分離を検討し、鍵、DB、構成、ポリシー、公開情報を対応する方法で保護します。

対象と用途、既存PKI再利用の可否、階層、権限、信頼配布、失効公開、期限監視、隔離復旧を設計書へまとめます。別環境で発行、名前、更新、失効、復旧を確認します。この発展項目は設計までで、DC1へCAを追加したり実機へテストルートを配ったりしません。信頼の廃止とサービス移行も計画に含めます。