様々な証明書を利用したADFSによる多要素認証

皆さんこんにちは。国井です。

MSテクノロジーを利用して多要素認証と言えば、Azure MFAサービスを利用したモバイルアプリや電話を利用した多要素認証を思い浮かべる方も多いと思いますが、ADFSサーバー固有の多要素認証機能に証明書を利用した方法があります。多要素認証と言えば「面倒くさい」というイメージが強いですが、証明書を利用した方法であれば、証明書がインストールされているか、いないかを自動的にチェックするので、ユーザーさんに手間をかけさせずに多要素認証を実行できるメリットがあります。

ADFSサーバーを利用した証明書ベースの多要素認証というと、
Active Directory証明書サービスを利用して、
エンタープライズCAをインストールして、
自動的に証明書をインストールして、

という一連の作業手順が定型化しており、しかもそれが唯一の方法であると信じていました。

しかし先日、お客さんと証明書を利用した多要素認証の実装方法について話をしていて、エンタープライズCAを使わないで多要素認証を実装したいとの要望を受け、改めて確認してみることにしました。

結論から先に言えば、

エンタープライズCA以外の認証局から発行した証明書でも多要素認証の証明書として活用することはできます。

では、実装方法を確認してみましょう。
(2016年5月31日追記 – 結構色々と不備があったので、修正箇所は全部赤を入れておきました。)

前提条件

ADFSサーバーによる証明書ベースの多要素認証の実装方法については、
過去に「ADFSによる多要素認証の設定」という投稿で紹介していますので、ご覧ください。

証明書の用意

エンタープライズCAで発行される証明書以外の証明書であれば何でもいいのですが、
私の環境では、次のような証明書発行要求を作成して、スタンドアロンCAで証明書を発行することにしました。
(スタンドアロンCAの作成方法などは割愛します)
まずは、以下のファイルをメモ帳で作成し、

[NewRequest]
Subject=”E=hamada@xxxx.adfs.jp,CN=hamada,CN=Users,DC=example,DC=com”
KeyUsage=0xa0
Exportable=FALSE
KeyLength=2048
MachineKeySet=FALSE
SMIME=FALSE
[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.2
[Extensions]
2.5.29.17=”{text}”
_continue_ = “upn=hamada@xxxx.adfs.jp”

(OIDはクライアント認証を目的とした証明書を発行しなさい、という意味です。
あ、あと大事なことですが、E=…にはメールアドレス、CN=…の欄は利用ユーザーのDN、upn=…にはユーザーのUPNを入れてください)
発行要求テキストファイルができたら、コマンドプロンプトで