スマート カード認証の失効ポリシーの設定

証明書の失効チェックは、カスタマイズできます。また、失効した証明書の情報について、vCenter Single Sign-On の参照先を指定できます。

Platform Services ControllerWeb インターフェイスまたはsso-config スクリプトを使用して動作をカスタマイズできます。認証局が何をサポートするかによって、設定が異なる場合があります。

• 失効チェックが無効になっている場合、vCenter Single Sign-On では証明書失効リスト (CRL) またはオンライン証明書状態プロトコル (OCSP) の設定はすべて無視されます。vCenter Single Sign-On では証明書のチェックは実行されません。
• 失効チェックが有効になっている場合、推奨される設定は PKI の設定により異なります。

  OCSP のみ

  発行元の認証局で OCSP レスポンダがサポートされている場合、 [OCSP] が有効になり、 [OCSP のフェイルオーバーとしての CRL] が無効になります。

  CRL のみ

  発行元の認証局で OSCP がサポートされていない場合、 [CRL チェック] が有効になり、 [OSCP チェック] が無効になります。

  OSCP と CRL の両方の利用

  発行元の認証局で OCSP レスポンダと CRL の両方がサポートされている場合、vCenter Single Sign-On によって OCSP レスポンダが最初にチェックされます。レスポンダによって不明なステータスが返されるか、使用可能でない場合は、vCenter Single Sign-On によって CRL がチェックされます。この場合、 [OCSP チェック] および [CRL チェック] の両方が有効になり、 [OCSP のフェイルオーバーとしての CRL] が有効になります。

• 失効チェックが有効な場合、上級ユーザーは次の追加設定を指定できます。

  OSCP URL

  vCenter Single Sign-On は、デフォルトで、検証されている証明書内で定義される OCSP レスポンダの場所を確認します。Authority Information Access 拡張機能が証明書内に含まれていない場合、またはオーバーライドする場合は、明示的に場所を指定できます。

  証明書の CRL を使用

  vCenter Single Sign-On は、デフォルトで、検証されている証明書内で定義される CRL の場所を確認します。CRL Distribution Point 拡張機能が証明書内に含まれていない場合、またはデフォルト設定をオーバーライドする場合は、このオプションを無効にします。

  CRL の場所

  [証明書の CRL を使用] を無効にし、CRL が配置されている場所（ファイルまたは HTTP URL）を指定する場合は、このプロパティを使用します。

証明書ポリシーを追加することで、vCenter Single Sign-On が受け入れる証明書をさらに制限できます。

前提条件

• 導入環境内で Platform Services Controller バージョン 6.5 および vCenter Server バージョン 6.0 以降を使用していることを確認します。Platform Services Controller6.0 Update 2 は、スマート カード認証をサポートしますが、セットアップの手順が異なります。
• エンタープライズの公開鍵基盤 (PKI) が環境内に設定されていること、および証明書が次の要件を満たしていることを確認します。
  • ユーザー プリンシパル名 (UPN) は、Subject Alternative Names (SAN) 拡張の Active Directory アカウントに対応する必要があります。

  • 証明書では、アプリケーション ポリシーまたは拡張キー使用法のフィールドにクライアント認証を指定する必要があります。設定しない場合、ブラウザに証明書が表示されません。

• Platform Services ControllerWeb インターフェイスの証明書がエンド ユーザーのワークステーションによって信頼されていることを確認します。信頼されていない場合、ブラウザは認証は試行しません。
• vCenter Single Sign-On に Active Directory ID ソースを追加します。
• vCenter Server管理者ロールを、Active Directory ID ソースの 1 人以上のユーザーに割り当てます。これらのユーザーは、認証を受けることができ、vCenter Server 管理者権限を保有しているので、管理タスクを実行できます。
  注： vCenter Single Sign-On ドメインの管理者（デフォルトは [email protected]）はスマート カード認証を実行できません。

手順

1. Web ブラウザから vSphere Clientまたは Platform Services Controller に接続します。

   オプション	説明
   vSphere Client	https://vc_hostname_or_IP/ui
   Platform Services Controller	https://psc_hostname_or_IP/psc 組み込みデプロイでは、Platform Services Controllerのホスト名または IP アドレスは vCenter Server のホスト名または IP アドレスと同じです。

2. [email protected] または vCenter Single Sign-On 管理者グループの別のメンバーのユーザー名とパスワードを指定します。
   インストール時に異なるドメインを指定した場合は、administrator@ mydomain としてログインします。
3. vCenter Single Sign-On の設定を行うユーザー インターフェイスに移動します。

   オプション	説明
   vSphere Client	[ホーム] メニューから [管理] を選択します。 [Single Sign-On] で、[構成] をクリックします。
   Platform Services Controller	[Single Sign-On] で、[構成] をクリックします。

4. [スマート カード認証] をクリックします。
5. [証明書失効の設定] をクリックし、失効チェックを有効または無効にします。
6. 環境内で証明書ポリシーが有効になっている場合、[承認された証明書ポリシー] ペインにポリシーを追加できます。