AWS Managed Microsoft AD 用 AWS Private CA Connector for AD の設定

AWS Management Console にサインインして、AWS Directory Service で https://console.aws.amazon.com/directoryservicev2/ コンソールを開きます。

[Directories] (ディレクトリ) ページで、ディレクトリ ID を選択します。

[ネットワークとセキュリティ] タブの [AWS Private CA Connector for AD] で、[AWS Private CA Connector for AD の設定] を選択します。[Active Directory 用のプライベート CA 証明書の作成] ページが表示されます。コンソールの手順に従って Active Directory Connector 用のプライベート CA を作成し、プライベート CA に登録します。詳細については、「コネクタの作成」を参照してください。

コネクタを作成したら、以下の手順は、コネクタのステータスや関連するプライベート CA のステータスなどの AWS Private CA Connector for AD の詳細を表示します。

AWS Management Console にサインインして、AWS Directory Service で https://console.aws.amazon.com/directoryservicev2/ コンソールを開きます。

[Directories] (ディレクトリ) ページで、ディレクトリ ID を選択します。

[ネットワークとセキュリティ] の [AWS Private CA Connector for AD] で、プライベート CA コネクタと関連するプライベート CA を表示できます。デフォルトでは、以下のフィールドが表示されます。

1. AWS Private CA コネクタ ID — AWS Private CA コネクタの固有識別子。こちらをクリックすると、その AWS Private CA コネクタの詳細ページが表示されます。

2. AWS Private CA サブジェクト — CA の識別名に関する情報。こちらをクリックすると、その AWS Private CA の詳細ページが表示されます。

3. ステータス — AWS Private CA コネクタと AWS Private CA のステータスチェックに基づきます。両方のチェックに合格すると、[アクティブ] と表示されます。いずれかのチェックが失敗すると、[1/2 チェック失敗] と表示されます。両方のチェックが失敗すると、[失敗] と表示されます。失敗ステータスの詳細については、ハイパーリンクにカーソルを合わせると、どのチェックが失敗したか確認できます。コンソール内の指示に従い、修正します。

4. 作成日 — AWS Private CA コネクタが作成された日。

AWS Managed Microsoft AD 管理者インスタンスに接続し、[スタート] メニューから[サーバーマネージャ] を開きます。

[ツール] で、[グループポリシー管理] を選択します。

[フォーレストとドメイン] で、サブドメイン組織単位 (OU) を検索し (例えば、AWS Managed Microsoft AD の作成 で説明されている手順に従っている場合、サブドメイン組織単位は corp になります）、サブドメイン OU を右クリックします。[このドメインに GPO を作成してここにリンクする…] を選択し、名前に PCA GPO を入力します。[OK] を選択します。

新しく作成された GPO は、サブドメイン名の後に表示されます。PCA GPO を右クリックして [編集] を選択します。ダイアログボックスが開かれる間に、 というアラートメッセージが表示する場合は、[確認] を選択してメッセージを確認します。[グループポリシー管理エディター] が開きます。

[グループポリシー管理エディター] で、[コンピュータの設定] > [ポリシー] > [Windows 設定] > [セキュリティ設定] > [パブリックキーポリシー] (フォルダを選択) に移動します。

[オブジェクトのタイプ] で [証明書サービスクライアント - 証明書登録ポリシー] を選択します。

[証明書サービスクライアント – 証明書登録ポリシー] ウィンドウで、[設定モデル] を [有効] に変更します。

[Active Directory 登録ポリシー] が [選択済み]、そして [有効] になっていることを確認します。[追加] を選択します。

[証明書登録ポリシーサーバー] ダイアログボックスを開くはずです。コネクタを作成したときに生成された証明書登録ポリシーサーバーエンドポイントを [登録サーバーポリシー URI を入力] フィールドに入力します。[認証タイプ] は [Windows 統合] のままにします。

[検証] を選択します。検証が成功したら、[追加] を選択します。

[証明書サービスクライアント – 証明書登録ポリシー] に戻り、新しく作成したコネクタの横にあるダイアログボックスを選択して、コネクタをデフォルトの登録ポリシーにします。

「Active Directory 登録ポリシー」を選択し、「削除」を選択します。

確認ダイアログボックスで [はい] を選択して LDAP ベースの認証を削除します。

[証明書サービスクライアント] > [証明書登録ポリシー] ウィンドウで [適用] と [確認] を選択し、閉じます。次に、ウィンドウを閉じます。

[パブリックキーポリシー]フォルダーの[オブジェクトの種類]で「Certificate Services Client – 自動登録」を選択します。

[設定モデル] オプションを [有効] に変更します。

[期限切れの証明書を更新する] と [証明書を更新する] の両方がオンになっていることを確認します。他の設定はそのままにします。

[適用]、[確認] の順に選択し、ダイアログボックスを閉じます。