802.1x NAPとAD CS

802.1x　NAPにはActive Directory 証明書サービスは必須ではない

（質問）

NAP 802.1x構成時のActive Directory 証明書サービスの構成先及び障害時の動作について

○○と申します。
お世話になっております。

Windows 2008 R2 NAPを802.1xで構成した場合の、Active Directory 証明書サービスの構成先及び障害時の問題につきましてご質問させてください。

質問１
　Windows 2008 R2 NAPを802.1xで構成したい為、Active Directory 証明書サービスを構成する場合、以下条件があるとの認識であっておりますでしょうか？
　・エンタープライズルートCAで構成
　・構成するサーバはドメインコントローラ

質問2
　Windows 2008 R2 NAPを802.1xで構成し、Active Directory 証明書サービスを構成したサーバがダウンした場合、以下障害が発生するとの認識であっておりますでしょうか？
　・Active Directory 証明書サービスを構成したサーバがダウン中は、新規PCが正常に検疫できない。
　・Active Directory 証明書サービスを構成したサーバがダウン中は、証明書の更新がされない為、一部端末が正常に検疫できなくなる可能性がある。（数日程度の短期停止であれば、問題は発生しない）

ご回答をお待ちしております。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 

（回答その1）

802.1x　NAPではAD CS環境は必須要件に入っていません。必要なのは802.1x 対応の機器になります。

AD CS が必要なNAP環境は、IPSec NAP になります。

ですので質問自体が？？？ということになりますが・・・

以上、参考になれば幸いです。

 

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 

（回答その2）

なるほど

 

ＮＰＳサーバーに使用するコンピューター証明書をAD CSを使用して発行するということですね。

私の認識では

 

質問１

　Windows 2008 R2 NAPを802.1xで構成したい為、Active Directory 証明書サービスを構成する場合、以下条件があるとの認識であっておりますでしょうか？

　・エンタープライズルートCAで構成

　・構成するサーバはドメインコントローラ

 

別にＤＣにＡＤ CSを導入するのは必須ではありません。他のメンバーサーバーに導入することも可能です。エンタープライズＣＡにすることによってバージョン２や３のテンプレートを使用した証明書を発行できるのでＮＡＰで使用するＮＰＳ以外にも使用できるということでしょうか。

 

質問2

　Windows 2008 R2 NAPを802.1xで構成し、Active Directory 証明書サービスを構成したサーバがダウンした場合、以下障害が発生するとの認識であっておりますでしょうか？

　・Active Directory 証明書サービスを構成したサーバがダウン中は、新規PCが正常に検疫できない。

　・Active Directory 証明書サービスを構成したサーバがダウン中は、証明書の更新がされない為、一部端末が正常に検疫できなくなる可能性がある。（数日程度の短期停止であれば、問題は発生しない）

 

基本的に検疫自体に証明書は絡まないはずです。あくまでも検疫制御に署名書が必要なのはＩＰＳｅｃ NAPです。PEAP-MS-CHAP v2を使用した認証においては、ＮＰＳの証明書が検証されます。それもクライアントがＮＰＳを確認する際に使用する（設定によって無効にできる）ものと認識しています。

 

そのことから、クライアントがＮＰＳのコンピューター証明書に入っている発行されたＣＡのデジタル署名を確認する際に、ＡＤ CSがダウンしていると確認出来ないということが発生します。その際のクライアント側の動作は802.1ｘでのNAPを構成したことがないのでどのような挙動が発生するのかは不明です。

 

またＣＴＣさんで検証された手順が公開されていました。

http://www.ctc-g.co.jp/MungoBlobs/914/722/NAP_stepbystep_802.1x_RC1.pdf

 

以上、参考になれば幸いです。

 

（MSのページ）

http://www.microsoft.com/japan/windowsserver2008/technologies/network-access-protection.mspx

正常性登録機関
(MSのブログ)
802.1x 認証方式と NAP 対応
（参考資料）

http://cloud.watch.impress.co.jp/epw/cda/special/2008/02/22/12078.html

 

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2008ja/thread/fee93ee6-16d6-42f1-a931-138421393236/#253facb8-493b-4f54-8e21-03f0f17a9a40