Microsoft NDESとは:セキュアなデバイス認証と証明書管理の仕組み

Microsoft NDES(ネットワーク デバイス登録サービス)とは

Microsoft ネットワーク デバイス登録サービス(NDES:Network Device Enrollment Service)は、Windows Server 2008 R2 以降の Windows Server オペレーティングシステムに搭載されているセキュリティ機能です。NDES は、ドメインの有効な資格情報を持たないデバイスとの間でトラフィックの認証やセキュアなネットワーク通信を実現するために必要となる証明書を提供・管理します。

NDES は Active Directory 証明書サービス(AD CS)の機能の一つであり、Simple Certificate Enrollment Protocol(SCEP)に基づいて動作します。SCEP を利用することで、AD ドメインの資格情報を持たないデバイスでも、通常は専用の CA サーバーである認証局(CA)から X.509 バージョン 3 証明書を取得できます。管理者は NDES を通じて、公開鍵の配布、証明書の登録、照会、失効処理などをサポートできます。具体的には、NDES がデバイスに対してワンタイムの登録パスワードを発行し、デバイスからの登録要求を CA へ転送、CA から発行された証明書を受け取ってデバイスへ渡すという一連の処理を担います。

NDES の一般的なユースケース

NDES の代表的な活用例は、ルーター、ファイアウォール、スイッチといった専用ネットワークデバイスへの証明書発行です。これらのデバイスは通常、ネットワークトラフィックを処理する内部ソフトウェアを実行していますが、Active Directory ドメインの従来型の資格情報を持たないものも少なくありません。そのため、管理者は NDES のようなサービスを認証手段として利用する必要があります。

NDES の構成オプション

NDES の構成時には、以下のような設定を行うことができます。

• 優先的に使用する CA サーバーの指定
• 証明書の構築に使用される登録局(RA)の情報設定
• 暗号化サービスプロバイダー(CSP)の切り替えによるキーの保存方法の変更やキー長の調整

証明書登録の流れ

典型的な登録プロセスは、対象デバイス用の公開鍵と秘密鍵のペアを作成するところから始まります。続いて、NDES が管理者にパスワードを配信します。管理者はこのパスワードをデバイスに設定し、デバイスが組織の公開鍵基盤(PKI)を信頼できるようにします。その後、デバイスから NDES へ登録要求が送信され、NDES は要求を受け付けて CA に転送します。CA が証明書を発行して NDES に返却すると、最終的にデバイスが NDES から発行済みの証明書を取得し、登録が完了します。

適切に登録されたデバイスは、秘密鍵と CA が発行した対応する証明書を受け取り、セキュアなネットワークセッションにおける信頼されたエンティティとなります。これにより、デバイス上で動作するソフトウェアは、それらの資格情報を使ってネットワーク内の他のデバイスと安全に通信できるようになります。

NDES を構成する主要要素

NDES の環境は、複数の要素によって成り立っています。

• デバイス(クライアント):ルーターやインテリジェントスイッチなど、ドメイン資格情報を持たず証明書を必要とする物理的な対象デバイス。
• NDES サーバー(サービス):登録局(RA)と呼ばれることもある中継サーバー。
• CA サーバー:証明書サービスを実行し、クライアントに証明書を発行するサーバー。
• ドメインコントローラー:Active Directory ドメイン サービス(AD DS)を処理するサーバーロール。証明書テンプレートを保存し、エンタープライズドメイン全体で証明書ポリシーを強制します。

関連記事

• ネットワーク デバイス登録サービスの構成方法
• 管理者が知っておくべき Windows Server PKI の改善点
• ネットワーク デバイス登録サービスの運用ガイダンス
• ネットワーク デバイス登録サービスでのポリシーモジュールの活用
• 証明書インフラストラクチャの構成

さらに理解を深めるための記事

• Android の証明書管理を理解する
• 登録局(RA)とは?
• 認証局(CA)とは?
• SSL(Secure Sockets Layer)とは?