CA証明書の更新後にWindows 10デバイスへのSCEP証明書展開が失敗する原因と解決方法

SCEP(Simple Certificate Enrollment Protocol)は、URLと秘密鍵を使用してデバイスが証明書を登録できるようにするプロトコルです。Windows 10デバイスでは、Microsoft Intuneを利用することで、SCEP証明書を効率的に展開できます。

しかし、ルート証明機関(CA)または発行CAの証明書を更新した後に、SCEP証明書の展開が失敗するという問題が発生することがあります。本記事では、この問題の原因と解決方法について詳しく解説します。

エラー発生を確認する方法

このエラーが発生しているかどうかは、以下の複数の方法で確認できます。

• Intuneポータル上の展開ステータスを確認する
• Windows 10デバイスの管理ログ(Adminログ)にイベントID「32」および「307」が記録されている
• CAPI2ログにイベントID「30」が記録されている

エラーの原因

この問題の根本的な原因は、発行CAによって既に発行された証明書が、古いCA証明書を参照し続けていることにあります。その結果、これらの証明書は信頼されなくなり、エラーが発生します。つまり、CA証明書の更新後も旧証明書への参照が残っているため、新しい環境との整合性が取れなくなっているのです。

NDESサーバーとIntune Connectorの再インストールによる解決

NDES(Network Device Enrollment Service)は、Microsoftが提供するサービスで、ドメイン資格情報を持たないデバイスがSCEPベースで証明書を取得できるようにするものです。

Microsoftによると、この問題を解決するには、NDESサーバー上でNDESサーバーの役割とMicrosoft Intune Connectorの両方を再インストールする必要があります。再インストールの過程で証明書が再発行され、問題は解消されます。

なお、再インストールの手順は次の3つのステップで構成されています。

1. NDESサーバーのインストール
2. NDESサーバーの構成
3. IntuneポータルでのSCEPプロファイルの作成

インストール中、NDESは以下の処理を実行して証明書を取得します。

• 管理者に対して使い捨てのワンタイム登録パスワードを生成・提供する
• 登録要求をCAに送信する
• CAから登録済みの証明書を取得し、ネットワークデバイスへ転送する

注意点：問題はWindowsデバイスのみに発生

興味深いことに、この問題はWindowsデバイスに特有のものであり、AndroidやiOSデバイスでは発生しません。そのため、AndroidやiOS端末へのSCEP証明書展開には影響がない点を覚えておくと良いでしょう。

まとめ

CA証明書の更新後にWindows 10デバイスへのSCEP証明書展開が失敗した場合は、NDESサーバーの役割とMicrosoft Intune Connectorを再インストールすることで解決できます。再インストール時に証明書が再発行されるため、特別な追加作業は不要です。同様のトラブルに直面した際は、まずIntuneポータルの展開ステータスとイベントログを確認し、その上で再インストール手順を実施してください。