Windows 11/10で信頼されたルート証明書を管理・追加する方法

以前の記事では、ルート証明書（Root Certificates）とは何かについて解説しました。企業環境や個人利用の中には、ドメイン内の他のユーザーが独自に証明書を設定できないよう、信頼されたルート証明書を管理・構成したいケースがあります。本記事では、Windows 11/10/8/7において、信頼されたルート証明書を管理し、「信頼されたルート証明機関」ストアへ証明書を追加する方法を詳しく紹介します。

ローカルコンピューターへの証明書の追加方法

まずはローカルコンピューターの「信頼されたルート証明機関」ストアに証明書を追加する手順から見ていきましょう。

WinXメニューを開き、「ファイル名を指定して実行」を選択します。mmcと入力してEnterキーを押すと、Microsoft管理コンソール（MMC）が起動します。

次に「ファイル」メニューから「スナップインの追加と削除」を選択します。「利用できるスナップイン」の一覧から「証明書」をクリックし、「追加」ボタンを押してください。

「OK」をクリックするとダイアログが表示されるので、「コンピューターアカウント」を選択して「次へ」をクリックします。

続いて「ローカルコンピューター」を選択し、「完了」をクリックします。

MMCの画面に戻ったら、コンソールツリーで「証明書」をダブルクリックし、「信頼されたルート証明機関」ストアを右クリックします。「すべてのタスク」から「インポート」を選択すると、証明書のインポートウィザードが起動します。ウィザードの指示に従って操作を進めれば、インポートは完了です。

グループポリシーで信頼されたルート証明書を構成する方法

続いて、ローカルコンピューターの信頼されたルート証明書を構成・管理する方法を説明します。

再びMMCを開き、「ファイル」メニューから「スナップインの追加と削除」を選択します。今度は「利用できるスナップイン」から「グループポリシーオブジェクトエディター」をクリックして「追加」を押します。編集したいローカルGPOを持つコンピューターを選択し、「完了」「OK」をクリックしましょう。

MMCのコンソールツリーに戻り、以下の順序で移動します。

ローカル コンピューター ポリシー > コンピューターの構成 > Windows の設定 > セキュリティの設定 > 公開キーのポリシー

ここで「証明書パスの検証設定」をダブルクリックし、「ストア」タブを開きます。

この画面で、以下のチェックボックスをオンにします。

• 「これらのポリシー設定を定義する」
• 「ユーザーが信頼したルートCAを使用して証明書を検証することを許可する」
• 「ピア信頼の証明書をユーザーが信頼できるようにする」

最後に、「ストア」タブ内の「ルート証明書ストア」セクションにある「クライアントコンピューターが信頼できるルートCA」のオプションから1つを選択して「OK」をクリックします。判断に迷う場合は、推奨されているオプションを選ぶのが安全です。

ドメイン環境での管理について

ドメイン全体に対して信頼されたルート証明書を管理したり、ドメインの「信頼されたルート証明機関」ストアに証明書を追加したりする方法については、Microsoft TechNetの公式ドキュメントを参照してください。

また、RCC（Root Certificates Scanner）という無料ツールを使えば、Windowsにインストールされたルート証明書の中に信頼できないものがないかを簡単にスキャンできます。セキュリティ状態を定期的に確認したい方におすすめです。