機密性の高いビジネスコミュニケーションを保護するためには、安全な電子メールが不可欠です。 S/MIME （セキュア／多目的インターネットメール拡張機能）を使用すると、送信者の身元を確認するためにメッセージにデジタル署名したり、不正アクセスを防ぐためにメールを暗号化したりできます。
Microsoft Exchange Online および iOS または Android 版 Microsoft Outlook を使用している組織は SSL.com を導入できます S/MIME 証明書は、モバイルデバイス全体でエンドツーエンドのメールセキュリティを提供します。環境に応じて、証明書は手動で配布することも、Microsoft Intuneを使用して自動的に配布することもできます。
このガイドでは、SSL.comを使用するために必要な前提条件、展開オプション、および構成手順について説明します。 S/MIME iOSおよびAndroid版Microsoft Outlookで使用する証明書。
あなたが始める前に
導入前に S/MIME モバイルデバイスに証明書を配布する場合は、以下の要件を満たしていることを確認してください。
- SSL.com S/MIME 各ユーザーに対して証明書が発行されました。
- Microsoft Exchange Online は、 S/MIME.
- Exchange Onlineは仮想証明書コレクションを使用して構成されています。
- 証明書失効リスト（CRL）は一般に公開されています。
- Exchange Online の仮想証明書コレクションには、信頼できるルート CA 証明書と中間 CA 証明書が用意されています。
- 自動展開を使用している場合、モバイルデバイスはMicrosoft Intuneに登録されます。
Exchange Online の構成要件については、以下を参照してください。 Microsoftのドキュメント 設定用 S/MIME Exchange Online において。
Outlook の検証方法 S/MIME 証明書
Outlook が署名または暗号化を有効にする前に、Exchange Online は次の方法で証明書チェーンを検証します。
- 証明書チェーン内の各証明書を検証する
- 信頼できるルート証明書の存在を確認する
- 証明書の失効状況を確認する
さらに、iOS版およびAndroid版のOutlookは、ユーザーのプライマリSMTPメールアドレスと、証明書のサブジェクトまたはサブジェクト代替名（SAN）に含まれるメールアドレスを比較します。
これらの値が完全に一致しない場合、Outlook は電子メールの署名または暗号化に証明書を使用できなくなります。
証明書の配布方法を選択してください
Microsoft Outlook は、展開するための 2 つの方法をサポートしています。 S/MIME 証明書。
証明書の手動配布
手動インストールは、小規模組織または個人ユーザーに適しています。
ユーザーは、個人証明書をパスワードで保護されたPFXファイルとしてエクスポートし、Outlookを使用して自分宛に送信します。iOSまたはAndroid版Outlookで添付ファイルを開くと、証明書のインストールが自動的に開始されます。
証明書のエクスポート方法については、こちらをご覧ください。 Microsoft ガイド.
手作業による配布は簡単だが、各ユーザーが自身の証明書をインストールして管理する必要がある。
Microsoft Intune を使用した証明書の自動配布
大規模な組織の場合、マイクロソフトはMicrosoft Intuneを通じた証明書の自動展開を推奨しています。
自動展開により、証明書のライフサイクル管理が簡素化され、管理上の負担が軽減され、ユーザーが常に正しい署名証明書と暗号化証明書を受け取れるようになります。
iOSアーキテクチャに関する考慮事項
iOSでは、Outlookで使用される証明書は、システムキーチェーンではなく、Microsoftの発行元キーチェーンに保存する必要があります。
Appleはサードパーティ製アプリケーションがシステムキーチェーンに保存されている証明書にアクセスすることを制限しているため、iOS版Outlookは、Company PortalなどのMicrosoftが管理するアプリケーションを通じて提供される証明書のみを使用できます。
Android アーキテクチャ
Outlook for Android は、Microsoft Intune を介した証明書の自動配信を、以下の複数の登録モデルでサポートしています。
- Android エンタープライズ ワークプロファイル
- フルマネージド型Android Enterprise
- デバイス管理者（対応している場合）
自動展開の前提条件
Intune を介して証明書を展開する前に、以下のタスクを完了してください。
信頼されたルート証明書をデプロイする
必要な信頼済みルート証明書と中間証明書をすべてデプロイしてください。詳細については、こちらのガイドを参照してください。 Microsoft Intune の信頼済みルート証明書プロファイル
これにより、Outlookはユーザー証明書を検証する際に、完全な信頼関係を確立することができます。
ユーザー暗号化証明書のインポート
PKCSインポート証明書を使用して、ユーザーの暗号化証明書をMicrosoft Intuneにインポートします。詳細については、こちらのガイドを参照してください。 インポートされた PKCS 証明書を Intune で構成して使用する
これらの証明書は、登録済みのデバイスに自動的に配布されます。
Microsoft Intune PFX 証明書コネクタをインストールします。
Microsoft Intune PFX 証明書コネクタをインストールして構成します。詳細については、こちらのガイドを参照してください。 Microsoft Intune 用の PFX Certificate Connector をダウンロード、インストール、構成する
コネクタは、ユーザー証明書を安全に配信します PKI 管理対象デバイスへの環境提供。
ユーザーデバイスの登録
証明書プロファイルまたはOutlook構成ポリシーを割り当てる前に、対象となるすべてのiOSおよびAndroidデバイスがMicrosoft Intuneに登録されていることを確認してください。
Android版Outlookの設定
Android版Outlookの設定方法：
- Microsoft Intune 管理センターにサインインしてください。
- SCEPまたはPKCS証明書プロファイルを作成し、割り当てます。
- MFAデバイスに移動する アプリ > アプリ構成ポリシー.
- 選択 追加 > 管理対象デバイス.
- 選択してください。
- プラットフォーム： Androidエンタープライズ
- プロファイルタイプ： すべてのプロファイル タイプ
- 選択 Microsoft Outlookの 対象アプリケーションとして。
- 構成設定、選択する 構成デザイナーを使用する.
- 拡大する S/MIME のセクションから無料でダウンロードできます。
- 設定：
- 有効にする S/MIME
- すべてのメールを暗号化する
- すべてのメールに署名する
- ユーザーの変更権限
- 適切なMicrosoft Entra IDユーザーグループにポリシーを割り当ててください。
ポリシー展開後、Intuneは登録済みのAndroidデバイスに証明書を自動的にプロビジョニングします。
iOS版Outlookの設定
Outlook for iOSでSSL.comを使用するように設定するには、以下の手順に従ってください。 S/MIME 証明書。
- Microsoft Intune 管理センターにサインインしてください。
- MFAデバイスに移動する アプリ > アプリ構成ポリシー.
- 選択 追加 > 管理対象デバイス.
- 保険契約名と、必要に応じて説明を入力してください。
- 選択 iOS / iPadOS プラットフォームとして。
- 選択する Microsoft Outlookの 対象アプリケーションとして。
- 店は開いています 構成設定.
- 拡大する S/MIME のセクションから無料でダウンロードできます。
以下のオプションを必要に応じて設定してください。
- 有効にする S/MIME
- すべてのメールを暗号化する
- すべてのメールに署名する
- ユーザーがこれらの設定を変更することを許可または禁止する
- 受信者証明書の検索が必要な場合は、LDAP URLを設定してください。
- 有効にする 配備します S/MIME Intune からの証明書
署名証明書の設定
以下の証明書プロファイルタイプから1つを選択してください。
SCEP
ユーザーとデバイスごとに固有の証明書を作成します。詳細については、こちらのガイドを参照してください。 IntuneでSCEP証明書プロファイルを作成して割り当てる
PKCS インポートされた証明書
管理者がインポートしたユーザー証明書を使用し、複数の登録済みデバイスに配布できます。詳細については、こちらのガイドを参照してください。 IntuneでPKCS証明書を構成および使用する
派生資格情報
Intuneの派生資格情報ワークフローを通じて取得された既存の資格情報を使用します。
暗号化証明書の設定
次のオプションのいずれかを選択します。
PKCS インポートされた証明書
インポートした暗号化証明書を登録済みのデバイスに自動的に配布します。
派生資格情報
Intuneの派生資格情報ワークフローを通じて取得した既存のデバイス証明書を使用します。
ユーザー通知の設定
証明書が利用可能になると、Intune は次の 2 つの方法のいずれかを使用してユーザーに通知できます。
ポータルサイト
ユーザーにはプッシュ通知が届き、会社ポータルアプリケーションに誘導されます。そこで証明書の取得が開始されます。
メールアドレス
ユーザーは、会社ポータルを開いて取得するように指示するメールを受け取ります。 S/MIME 証明書。
iOSでは、Outlookが署名や暗号化に証明書を使用する前に、ユーザーは会社ポータルを通じて証明書の取得を完了する必要があります。
有効にする S/MIME Outlookで
証明書がインストールされた後、ユーザーは手動で有効化する必要があります S/MIME Outlookモバイルアプリケーション内。
有効にする S/MIME:
- MicrosoftOutlookを開きます。
- 店は開いています 設定.
- 適切なメールアカウントを選択してください。
- MFAデバイスに移動する セキュリティ.
- オンにする S/MIME.
有効化すると、ユーザーはOutlookから直接メールメッセージにデジタル署名したり暗号化したりできるようになります。
オプション：証明書検索のためのLDAPの設定
組織は、証明書の検出を簡素化するために、LDAP（軽量ディレクトリアクセスプロトコル）を設定する場合があります。
LDAPにより、Outlookなどのアプリケーションは受信者証明書を自動的に検出できるため、ユーザーは受信者証明書を手動でインポートすることなくメールを暗号化できます。
LDAP統合のメリットは以下のとおりです。
- 証明書の一元管理
- 受信者証明書の簡易検出
- 証明書検証の改善
- 企業全体でより簡単に S/MIME 展開
手順については、SSL.comのガイドを参照してください。
結論
SSL.comの導入 S/MIME iOSおよびAndroid版Microsoft Outlookに証明書を導入することで、組織はデジタル署名とエンドツーエンドのメール暗号化を通じて、機密性の高い通信を保護することができます。
証明書を小規模な展開で手動で配布する場合でも、エンタープライズ環境で Microsoft Intune を介して自動的に配布する場合でも、適切な構成を行うことで、ユーザーは組織のセキュリティ ポリシーを遵守しながら、認証済みかつ暗号化されたメールを安全に送信できます。また、自動展開により管理作業が軽減され、証明書のライフサイクル管理が簡素化され、管理対象のモバイル デバイス全体で一貫したユーザー エクスペリエンスが提供されます。
