TPM キーの構成証明TPM Key Attestation

適用先:Windows Server 2016 では、Windows Server 2012 R2、Windows Server 2012Applies To: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

作成者:Justin Turner、シニア サポート エスカレーション エンジニア、Windows グループAuthor: Justin Turner, Senior Support Escalation Engineer with the Windows group

注意

この内容は Microsoft カスタマー サポート エンジニアによって作成され、TechNet が通常提供しているトピックよりも詳細な Windows Server 2012 R2 の機能やソリューションの技術的説明を求めている、経験豊かな管理者とシステム設計者を対象としています。This content is written by a Microsoft customer support engineer, and is intended for experienced administrators and systems architects who are looking for deeper technical explanations of features and solutions in Windows Server 2012 R2 than topics on TechNet usually provide. ただし、TechNet と同様の編集過程は実施されていないため、言語によっては通常より洗練されていない文章が見られる場合があります。However, it has not undergone the same editing passes, so some of the language may seem less polished than what is typically found on TechNet.

概要Overview

サポートの中に、Windows 8 以降 TPM で保護されたキーが存在していたはありませんでした Ca が暗号によってトラステッド プラットフォーム モジュール (TPM) によって証明書の要求者の秘密キーが実際に保護されることを証明するためのメカニズム。While support for TPM-protected keys has existed since Windows 8, there were no mechanisms for CAs to cryptographically attest that the certificate requester private key is actually protected by a Trusted Platform Module (TPM). この更新により、その構成証明を実行して、発行された証明書では、その構成証明を反映するように CA です。This update enables a CA to perform that attestation and to reflect that attestation in the issued certificate.

注意

この記事では、リーダーが証明書テンプレートの概念に精通している前提としています (リファレンスについては、次を参照してください。証明書テンプレート)。This article assumes that the reader is familiar with certificate template concept (for reference, see Certificate Templates). リーダーが証明書テンプレートに基づいて証明書を発行するエンタープライズ Ca を構成する方法を理解することも想定 (リファレンスについては、次を参照してください。チェックリスト。発行する Ca を構成して、証明書の管理)。It also assumes that the reader is familiar with how to configure enterprise CAs to issue certificates based on certificate templates (for reference, see Checklist: Configure CAs to Issue and Manage Certificates).

用語Terminology

用語Term 定義Definition
EKEK 保証キー。Endorsement Key. これは、(製造時に挿入された) TPM 内に含まれる非対称キーです。This is an asymmetric key contained inside the TPM (injected at manufacturing time). EK は、tpm ごとに一意な識別できます。The EK is unique for every TPM and can identify it. EK を変更したり、削除したりすることはできません。The EK cannot be changed or removed.
EKpubEKpub EK の公開キーを表します。Refers to public key of the EK.
EKPrivEKPriv EK の秘密キーを表します。Refers to private key of the EK.
EKCertEKCert EK 証明書。EK Certificate. TPM の製造元が発行した証明書 EKPub の。A TPM manufacturer-issued certificate for EKPub. すべての Tpm では、EKCert があります。Not all TPMs have EKCert.
TPMTPM トラステッド プラットフォーム モジュール。Trusted Platform Module. TPM はハードウェア ベースのセキュリティ関連機能を提供する設計されています。A TPM is designed to provide hardware-based security-related functions. TPM チップは、暗号化操作を実行するように設計されたセキュアな暗号プロセッサです。A TPM chip is a secure crypto-processor that is designed to carry out cryptographic operations. このチップには、改ざんに強い複数の物理セキュリティ メカニズムが搭載されており、悪意のあるソフトウェアが TPM のセキュリティ機能を破ることはできません。The chip includes multiple physical security mechanisms to make it tamper resistant, and malicious software is unable to tamper with the security functions of the TPM.

背景Background

Windows 8 以降では、トラステッド プラットフォーム モジュール (TPM) を使用して証明書の秘密キーをセキュリティで保護します。Beginning with Windows 8, a Trusted Platform Module (TPM) can be used to secure a certificate's private key. Microsoft プラットフォーム暗号化プロバイダー キー格納プロバイダー (KSP) では、この機能を有効します。The Microsoft Platform Crypto Provider Key Storage Provider (KSP) enables this feature. 実装に関する 2 つの問題が発生しました。There were two concerns with the implementation:

  • キーが実際には、(だれかが簡単にスプーフィングするソフトウェア KSP としてのローカル管理者の資格情報での TPM KSP) TPM によって保護されている保証はありませんでした。There was no guarantee that a key is actually protected by a TPM (someone can easily spoof a software KSP as a TPM KSP with local administrator credentials).

  • (イベントで、PKI 管理者では、環境で証明書の取得に使用できるデバイスの種類を制御しようとして)、証明書を発行する企業を保護できるは Tpm のリストを制限することでした。It was not possible to limit the list of TPMs that are allowed to protect enterprise issued certificates (in the event that the PKI Administrator wants to control the types of devices that can be used to obtain certificates in the environment).

TPM キーの構成証明TPM key attestation

TPM キー認証は、暗号化された証明書要求の RSA キーが CA を信頼するか、"a"または「、」TPM によって保護されていることを CA に証明するために、証明書を要求したエンティティの機能です。TPM key attestation is the ability of the entity requesting a certificate to cryptographically prove to a CA that the RSA key in the certificate request is protected by either "a" or "the" TPM that the CA trusts. TPM の信頼モデルの詳細については、展開の概要このトピックで後述します。The TPM trust model is discussed more in the Deployment overview section later in this topic.

TPM キー認証が重要な理由Why is TPM key attestation important?

TPM 証明キーを持つユーザーの証明書は、非エクスポート可能性、ハンマリング対策および TPM によって提供されるキーの分離によってバックアップより高いセキュリティ保証を提供します。A user certificate with a TPM-attested key provides higher security assurance, backed up by non-exportability, anti-hammering, and isolation of keys provided by the TPM.

TPM キー認証で新しい管理パラダイムが可能になりました。管理者は、ユーザーが VPN やワイヤレス アクセス ポイントなど) で企業リソースにアクセスして使用できるデバイスのセットを定義できます強力なそれらにアクセスするその他のデバイスが使用されませんが保証されます。With TPM key attestation, a new management paradigm is now possible: An administrator can define the set of devices that users can use to access corporate resources (for example, VPN or wireless access point) and have strong guarantees that no other devices can be used to access them. この新しいアクセス制御のパラダイムは強力なに結び付けられているので、ハードウェア バインドユーザー id は、ソフトウェア ベースの資格情報よりも強力です。This new access control paradigm is strong because it is tied to a hardware-bound user identity, which is stronger than a software-based credential.

TPM キー認証のしくみHow does TPM key attestation work?

一般に、TPM キー認証は、次の柱に基づいています。In general, TPM key attestation is based on the following pillars:

  1. TPM ごとに固有の非対称キーでは、付属と呼ばれる、保証キー製造元によって書き込まれた (EK)。Every TPM ships with a unique asymmetric key, called the Endorsement Key (EK), burned by the manufacturer. としてこのキーの公開部分を参照してくださいEKPubと関連付けられている秘密キーにEKPrivします。We refer to the public portion of this key as EKPub and the associated private key as EKPriv. TPM チップでは、EKPub の製造元によって発行される EK 証明書もあります。Some TPM chips also have an EK certificate that is issued by the manufacturer for the EKPub. としてこの証明書を参照してくださいEKCertします。We refer to this cert as EKCert.

  2. CA は、TPM EKPub または EKCert のいずれかの信頼を確立します。A CA establishes trust in the TPM either via EKPub or EKCert.

  3. ユーザーは、証明書を要求する対象の RSA キーが、EKPub に関連する暗号化に使用して、ユーザーが、EKpriv を所有していることを CA に証明します。A user proves to the CA that the RSA key for which the certificate is being requested is cryptographically related to the EKPub and that the user owns the EKpriv.

  4. CA は、特別な発行ポリシーをキーが TPM で保護するようになりました attested ことを示すために OID と証明書を発行します。The CA issues a certificate with a special issuance policy OID to denote that the key is now attested to be protected by a TPM.

展開の概要Deployment overview

この展開で Windows Server 2012 R2 のエンタープライズ CA が設定されていると見なされます。In this deployment, it is assumed that a Windows Server 2012 R2 enterprise CA is set up. また、エンタープライズ CA を使用してそのに対して登録する (Windows 8.1) が構成されているクライアントの証明書テンプレート。Also, clients (Windows 8.1) are configured to enroll against that enterprise CA using certificate templates.

TPM キー認証を展開する手順は次の 3 つです。There are three steps to deploying TPM key attestation:

  1. TPM の信頼モデルを計画します。 最初の手順では、TPM を使用する信頼モデルを決定します。Plan the TPM trust model: The first step is to decide which TPM trust model to use. これを行うための 3 つのサポートされている方法はあります。There are 3 supported ways for doing this:

    • ユーザーの資格情報に基づく信頼: エンタープライズ CA が証明書の要求の一部として、ユーザー指定の EKPub を信頼し、検証は実行されません、ユーザーのドメイン資格情報以外。Trust based on user credential: The enterprise CA trusts the user-provided EKPub as part of the certificate request and no validation is performed other than the user's domain credentials.

    • EKCert に基づいて信頼: エンタープライズ CA には、管理者が管理の一覧と、証明書要求の一部として提供されている EKCert チェーンが検証されます。 EK 証明書チェーンの許容されるします。Trust based on EKCert: The enterprise CA validates the EKCert chain that is provided as part of the certificate request against an administrator-managed list of acceptable EK cert chains. 許容されるチェーンでは、製造元ごとの定義と、(中間の 1 つのストア) は、ルート CA 証明書のいずれかの発行元 CA で、2 つのカスタム証明書ストアを使用して表されます。The acceptable chains are defined per-manufacturer and are expressed via two custom certificate stores on the issuing CA (one store for the intermediate and one for root CA certificates). この信頼モードでは、ことを意味すべて特定の製造元から Tpm に信頼されます。This trust mode means that all TPMs from a given manufacturer are trusted. このモードで Tpm 環境で使用されている必要がありますを含む EKCerts に注意してください。Note that in this mode, TPMs in use in the environment must contain EKCerts.

    • EKPub に基づいて信頼: エンタープライズ CA の管理者が管理リストが表示されます、証明書要求の一部として指定された EKPub EKPubs が許可されることを検証します。Trust based on EKPub: The enterprise CA validates that the EKPub provided as part of the certificate request appears in an administrator-managed list of allowed EKPubs. この一覧は、このディレクトリ内の各ファイルの名前は許可されている EKPub の sha-2 ハッシュのファイルのディレクトリとして表されます。This list is expressed as a directory of files where the name of each file in this directory is the SHA-2 hash of the allowed EKPub. このオプションは、最高の保証レベルを提供していますが、各デバイスが個別に識別されるため、複数の管理作業が必要です。This option offers the highest assurance level but requires more administrative effort, because each device is individually identified. この信頼モデルでは、その TPM の EKPub が EKPubs の許可リストに追加されているデバイスのみが TPM attested 証明書を登録する許可されます。In this trust model, only the devices that have had their TPM's EKPub added to the allowed list of EKPubs are permitted to enroll for a TPM-attested certificate.

    CA は、どのメソッドを使用すると、によって発行された証明書に別の発行ポリシー OID が適用されます。Depending on which method is used, the CA will apply a different issuance policy OID to the issued certificate. 発行ポリシー Oid の詳細については、発行ポリシー Oid の表を参照してください、証明書テンプレートを構成するこのトピックの「します。For more details about issuance policy OIDs, see the Issuance Policy OIDs table in the Configure a certificate template section in this topic.

    TPM に信頼されたモデルの組み合わせを選択することはことに注意してください。Note that it is possible to choose a combination of TPM trust models. この場合、CA を受け入れるすべての構成証明の方法と、発行ポリシーの Oid が成功するすべての構成証明メソッドに反映されます。In this case, the CA will accept any of the attestation methods, and the issuance policy OIDs will reflect all attestation methods that succeed.

  2. 証明書テンプレートを構成するには。「証明書テンプレートを構成する、展開の詳細このトピック「します。Configure the certificate template: Configuring the certificate template is described in the Deployment details section in this topic. この記事ではないこの証明書テンプレートをエンタープライズ CA を割り当てる方法について説明または登録する方法のユーザーのグループに付与されます。This article does not cover how this certificate template is assigned to the enterprise CA or how enroll access is given to a group of users. 詳細については、次を参照してください。チェックリスト。発行する Ca を構成して、証明書の管理します。For more information, see Checklist: Configure CAs to Issue and Manage Certificates.

  3. TPM の信頼モデルの CA を構成します。Configure the CA for the TPM trust model

    1. ユーザーの資格情報に基づく信頼: 特定の構成は必要ありません。Trust based on user credential: No specific configuration is required.

    2. EKCert に基づいて信頼: 管理者は、TPM の製造元から EKCert チェーンの証明書を取得し、TPM キー認証を実行する CA で、管理者によって作成された、2 つの新しい証明書ストアにインポートする必要があります。Trust based on EKCert: The administrator must obtain the EKCert chain certificates from TPM manufacturers, and import them to two new certificate stores, created by the administrator, on the CA that perform TPM key attestation. 詳細については、次を参照してください。、 CA 構成このトピックの「します。For more information, see the CA configuration section in this topic.

    3. EKPub に基づいて信頼: 管理者は TPM attested 証明書が必要し、許可されている EKPubs のリストに追加される各デバイスの EKPub を取得する必要があります。Trust based on EKPub: The administrator must obtain the EKPub for each device that will need TPM-attested certificates and add them to the list of allowed EKPubs. 詳細については、次を参照してください。、 CA 構成このトピックの「します。For more information, see the CA configuration section in this topic.

    注意

    • この機能には、Windows 8.1/Windows Server 2012 R2 が必要です。This feature requires Windows 8.1/Windows Server 2012 R2.
    • サード パーティ製のスマート カード Ksp の TPM キー認証がサポートされていません。TPM key attestation for third-party smart card KSPs is not supported. Microsoft プラットフォーム暗号化プロバイダーの KSP を使用する必要があります。Microsoft Platform Crypto Provider KSP must be used.
    • TPM キー認証は、RSA キーに対してのみ機能します。TPM key attestation only works for RSA keys.
    • スタンドアロン CA では、TPM キー認証はサポートされていません。TPM key attestation is not supported for a standalone CA.
    • TPM キー認証はサポートしていません非永続的証明書の処理します。TPM key attestation does not support non-persistent certificate processing.

展開の詳細Deployment details

証明書テンプレートを構成します。Configure a certificate template

TPM キー認証の証明書テンプレートを構成するには、次の構成手順を実行します。To configure the certificate template for TPM key attestation, do the following configuration steps:

  1. 互換性 タブCompatibility tab

    互換性設定セクション。In the Compatibility Settings section:

    • 確認Windows Server 2012 R2が選択されている、証明機関します。Ensure Windows Server 2012 R2 is selected for the Certification Authority.

    • 確認Windows 8.1/Windows Server 2012 R2が選択されている、証明書の受信者します。Ensure Windows 8.1 / Windows Server 2012 R2 is selected for the Certificate recipient.

    TPM キーの構成証明

  2. 暗号化 タブCryptography tab

    確認Key Storage Providerが選択されている、プロバイダーのカテゴリRSAが選択されている、アルゴリズム名します。Ensure Key Storage Provider is selected for the Provider Category and RSA is selected for the Algorithm name. 確認要求は、次のプロバイダーのいずれかを使用する必要がありますが選択されていると、 Microsoft プラットフォーム暗号化プロバイダーオプションを選択するプロバイダーします。Ensure Requests must use one of the following providers is selected and the Microsoft Platform Crypto Provider option is selected under Providers.

    TPM キーの構成証明

  3. キーの構成証明 タブKey Attestation tab

    これは、Windows Server 2012 R2 用に新しいタブです。This is a new tab for Windows Server 2012 R2:

    TPM キーの構成証明

    3 つのオプションから、構成証明モードを選択します。Choose an attestation mode from the three possible options.

    TPM キーの構成証明

    • None: キーの構成証明を使用しない必要がありますを意味します。None: Implies that key attestation must not be used

    • 必要に応じて、クライアントが対応している場合。 その証明書の登録を続行する TPM キー認証をサポートしていないデバイス上には、ユーザーを許可します。Required, if client is capable: Allows users on a device that does not support TPM key attestation to continue enrolling for that certificate. 構成証明を実行できるユーザーは、特別な発行ポリシー OID で識別されます。Users who can perform attestation will be distinguished with a special issuance policy OID. 一部のデバイスはできないため、キーの構成証明または TPM がまったくないデバイスをサポートしない古い TPM 構成証明を実行することがあります。Some devices might not be able to perform attestation because of an old TPM that does not support key attestation, or the device not having a TPM at all.

    • 必須: クライアントする必要があります、TPM キー認証を実行して、それ以外の場合、証明書の要求は失敗します。Required: Client must perform TPM key attestation, otherwise the certificate request will fail.

    次に、TPM の信頼モデルを選択します。Then choose the TPM trust model. もう一度は 3 つのオプションがあります。There are again three options:

    TPM キーの構成証明

    • ユーザーの資格情報: ドメイン資格情報を指定することで有効な TPM を保証するユーザーが認証を許可します。User credentials: Allow an authenticating user to vouch for a valid TPM by specifying their domain credentials.

    • 保証証明書: デバイスの EKCert は、管理者が管理 TPM 中間 CA 証明書によって、管理者に管理されたルート CA 証明書を検証する必要があります。Endorsement certificate: The EKCert of the device must validate through administrator-managed TPM intermediate CA certificates to an administrator-managed root CA certificate. このオプションを選択する場合は、場合と EKRoot を設定する必要があります」の説明に従って、発行元 CA 上のストアの証明書、 CA 構成このトピックの「します。If you choose this option, you must set up EKCA and EKRoot certificate stores on the issuing CA as described in the CA configuration section in this topic.

    • 保証キー: デバイスの EKPub は、PKI 管理者が管理一覧に表示する必要があります。Endorsement Key: The EKPub of the device must appear in the PKI administrator-managed list. このオプションは、最高の保証レベルを提供していますが、管理の労力が必要です。This option offers the highest assurance level but requires more administrative effort. このオプションを選択する場合、必要がありますを設定する発行元 ca を EKPub リスト」の説明に従って、 CA 構成このトピックの「します。If you choose this option, you must set up an EKPub list on the issuing CA as described in the CA configuration section in this topic.

    最後に、発行された証明書に表示するには、どの発行ポリシーを決定します。Finally, decide which issuance policy to show in the issued certificate. 既定では、それぞれの強制の種類は、次の表に示すように、その強制型をパスした場合、証明書に挿入される関連付けられたオブジェクト識別子 (OID) を持ちます。By default, each enforcement type has an associated object identifier (OID) that will be inserted into the certificate if it passes that enforcement type, as described in the following table. 強制方法の組み合わせを選択することはことに注意してください。Note that it is possible to choose a combination of enforcement methods. ここでは、構成証明の方法のいずれか、CA はそのまま使用され、発行ポリシー OID には、すべての構成証明メソッドが成功したことが反映されます。In this case, the CA will accept any of the attestation methods, and the issuance policy OID will reflect all attestation methods that succeeded.

    発行ポリシー OidIssuance Policy OIDs

    OIDOID キーの構成証明の種類Key attestation type 説明Description 保証レベルAssurance level
    1.3.6.1.4.1.311.21.301.3.6.1.4.1.311.21.30 EKEK "EK ことを確認します。" EK の一覧を管理者が管理について"EK Verified": For administrator-managed list of EK High
    1.3.6.1.4.1.311.21.311.3.6.1.4.1.311.21.31 証明書の保証Endorsement certificate 「EK 証明書の検証」:EK 証明書チェーンを検証するとき"EK Certificate Verified": When EK certificate chain is validated Medium
    1.3.6.1.4.1.311.21.321.3.6.1.4.1.311.21.32 ユーザーの資格情報User credentials 「EK は、使用するときに信頼できる。」ユーザー証明 EK の"EK Trusted on Use": For user-attested EK Low

    Oid の場合、発行された証明書に挿入されます発行ポリシーを含めるは (既定の構成) を選択します。The OIDs will be inserted into the issued certificate if Include Issuance Policies is selected (the default configuration).

    TPM キーの構成証明

    ヒント

    証明書の OID の潜在的な用途の 1 つは、VPN へのアクセスを制限またはワイヤレス ネットワークの特定のデバイスにすることです。One potential use of having the OID present in the certificate is to limit access to VPN or wireless networking to certain devices. たとえば、アクセス ポリシーが OID 1.3.6.1.4.1.311.21.30 が証明書に存在する場合、接続 (または別の VLAN へのアクセス) を許可できます。For example, your access policy might allow connection (or access to a different VLAN) if OID 1.3.6.1.4.1.311.21.30 is present in the certificate. これにより、その TPM EK が EKPUB リストに存在するデバイスへのアクセスを制限することができます。This allows you to limit access to devices whose TPM EK is present in the EKPUB list.

CA の構成CA configuration

  1. 発行元の CA の場合と EKROOT の証明書ストアをセットアップします。Setup EKCA and EKROOT certificate stores on an issuing CA

    選択した場合保証証明書テンプレートの設定には、次の構成手順を実行します。If you chose Endorsement Certificate for the template settings, do the following configuration steps:

    1. Windows PowerShell を使用すると、TPM キー認証を実行する証明機関 (CA) サーバー上の 2 つの新しい証明書ストアを作成できます。Use Windows PowerShell to create two new certificate stores on the certification authority (CA) server that will perform TPM key attestation.

    2. 中間を取得し、エンタープライズ環境で許可する製造元からの CA 証明書のルートします。Obtain the intermediate and root CA certificate(s) from manufacturer(s) that you want to allow in your enterprise environment. 必要に応じて以前に作成された証明書ストア (場合および EKROOT) には、これらの証明書をインポートする必要があります。Those certificates must be imported into the previously-created certificate stores (EKCA and EKROOT) as appropriate.

    次の Windows PowerShell スクリプトは、両方の手順を実行します。The following Windows PowerShell script performs both of these steps. 次の例では、Fabrikam の TPM の製造元が、ルート証明書を提供FabrikamRoot.cerと発行元の CA 証明書Fabrikamca.cerします。In the following example, the TPM manufacturer Fabrikam has provided a root certificate FabrikamRoot.cer and an issuing CA certificate Fabrikamca.cer.

    PS C:>\cd cert:  
    PS Cert:\>cd .\\LocalMachine  
    PS Cert:\LocalMachine> new-item EKROOT  
    PS Cert:\ LocalMachine> new-item EKCA  
    PS Cert:\EKCA\copy FabrikamCa.cer .\EKCA  
    PS Cert:\EKROOT\copy FabrikamRoot.cer .\EKROOT  
    
  2. EK 構成証明書の種類を使用して場合 EKPUB リストを設定します。Setup EKPUB List if using EK attestation type

    選択した場合保証キーテンプレートの設定で、[次へ] の構成手順が作成および発行元の ca では、0 バイトのファイルを含むフォルダーを構成するが、許可されている、EK の sha-2 ハッシュの各名前付き。If you chose Endorsement Key in the template settings, the next configuration steps are to create and configure a folder on the issuing CA, containing 0-byte files, each named for the SHA-2 hash of an allowed EK. このフォルダーは、TPM キー attested 証明書の取得を許可するデバイスの"allow リスト"として機能します。This folder serves as an "allow list" of devices that are permitted to obtain TPM key-attested certificates. Attested の証明書を必要とする各デバイスの EKPUB を手動で追加する必要があります、ために、デバイスが TPM キー attested 証明書を取得する承認されていることを保証エンタープライズを提供します。Because you must manually add the EKPUB for each and every device that requires an attested certificate, it provides the enterprise with a guarantee of the devices that are authorized to obtain TPM key attested certificates. このモード用の CA を構成するには、2 つの手順が必要です。Configuring a CA for this mode requires two steps:

    1. EndorsementKeyListDirectories のレジストリ エントリを作成します。 Certutil コマンド ライン ツールを使用して、次の表に示すように信頼された EKpubs が定義されているフォルダーの場所を構成します。Create the EndorsementKeyListDirectories registry entry: Use the Certutil command-line tool to configure the folder locations where trusted EKpubs are defined as described in the following table.

      操作Operation コマンドの構文Command syntax
      フォルダーの場所を追加します。Add folder locations certutil.exe -setreg CA\EndorsementKeyListDirectories +""certutil.exe -setreg CA\EndorsementKeyListDirectories +""
      フォルダーの場所を削除します。Remove folder locations certutil.exe -setreg CA\EndorsementKeyListDirectories -""certutil.exe -setreg CA\EndorsementKeyListDirectories -""

      Certutil のコマンドで EndorsementKeyListDirectories では、次の表に示すように、レジストリ設定です。The EndorsementKeyListDirectories in certutil command is a registry setting as described in the following table.

      値の名前Value name 種類Type データData
      EndorsementKeyListDirectoriesEndorsementKeyListDirectories REG_MULTI_SZREG_MULTI_SZ < EKPUB へのローカルまたは UNC パスでは、リストを許可する ><LOCAL or UNC path to EKPUB allow list(s)>

      以下に例を示します。Example:

      \\blueCA.contoso.com\ekpub\\blueCA.contoso.com\ekpub

      \\bluecluster1.contoso.com\ekpub\\bluecluster1.contoso.com\ekpub

      D:\ekpubD:\ekpub

      HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\

      EndorsementKeyListDirectories各 CA は、読み取りアクセス権を持つフォルダーを指す UNC またはローカル ファイル システム パスの一覧が含まれます。EndorsementKeyListDirectories will contain a list of UNC or local file system paths, each pointing to a folder that the CA has Read access to. 各フォルダーは、0 を含めることができます。 または詳細は許可リストのエントリ、sha-2 である名前のファイルの各エントリが、信頼の EKpub のハッシュ ファイル拡張子なし。Each folder may contain zero or more allow list entries, where each entry is a file with a name that is the SHA-2 hash of a trusted EKpub, with no file extension. 作成またはこのレジストリ キーの構成を編集するには、既存の CA レジストリ構成の設定と同じように、CA の再起動が必要です。Creating or editing this registry key configuration requires a restart of the CA, just like existing CA registry configuration settings. ただし、構成設定の編集はすぐに反映され、CA を再起動する必要はありません。However, edits to the configuration setting will take effect immediately and will not require the CA to be restarted.

      重要

      改ざんからリスト内のフォルダーをセキュリティで保護し、ため、管理者にのみ承認されたアクセス許可を構成することによって、未承認のアクセスが読み取りおよび書き込みアクセス。Secure the folders in the list from tampering and unauthorized access by configuring permissions so that only authorized administrators have Read and Write access. CA のコンピューター アカウントには、読み取り専用アクセスが必要です。The computer account of the CA requires Read access only.

    2. EKPUB リストを設定します。 各デバイスで Windows PowerShell を使用して、TPM EK の公開キー ハッシュを取得して、この公開キー ハッシュを CA に送信し、EKPubList フォルダーに保存するには、次の Windows PowerShell コマンドレットを使用します。Populate the EKPUB list: Use the following Windows PowerShell cmdlet to obtain the public key hash of the TPM EK by using Windows PowerShell on each device and then send this public key hash to the CA and store it on the EKPubList folder.

      PS C:>\$a=Get-TpmEndorsementKeyInfo -hashalgorithm sha256  
      PS C:>$b=new-item $a.PublicKeyHash -ItemType file  
      

トラブルシューティングTroubleshooting

キーの構成証明のフィールドは、証明書テンプレートを使用することはありません。Key attestation fields are unavailable on a certificate template

キーの構成証明のフィールドは、テンプレートの設定が構成証明書の要件を満たしていない場合に使用できません。The Key Attestation fields are not available if the template settings do not meet the requirements for attestation. 一般的な理由は次のとおりです。Common reasons are:

  1. 互換性設定が正しく構成されていません。The compatibility settings are not configured correctly. 次のように構成されていることを確認します。Make sure that they are configured as follows:

    1. [証明機関]:Windows Server 2012 R2Certification Authority: Windows Server 2012 R2

    2. 証明書の受信者:Windows 8.1/Windows Server 2012 R2Certificate Recipient: Windows 8.1/Windows Server 2012 R2

  2. 暗号化の設定が正しく構成されていません。The cryptography settings are not configured correctly. 次のように構成されていることを確認します。Make sure that they are configured as follows:

    1. プロバイダーのカテゴリ:キー記憶域プロバイダーProvider Category: Key Storage Provider

    2. アルゴリズム名:RSAAlgorithm Name: RSA

    3. プロバイダー:Microsoft プラットフォーム暗号化プロバイダーProviders: Microsoft Platform Crypto Provider

  3. 要求処理の設定が正しく構成されていません。The request handling settings are not configured correctly. 次のように構成されていることを確認します。Make sure that they are configured as follows:

    1. をエクスポートする秘密キーを許可するオプションが選択されていない必要があります。The Allow private key to be exported option must not be selected.

    2. サブジェクトの秘密キーをアーカイブオプションが選択されていない必要があります。The Archive subject's encryption private key option must not be selected.

TPM デバイス構成証明書の検証Verification of TPM device for attestation

Windows PowerShell コマンドレットを使用して、確認 CAEndorsementKeyInfo、特定の TPM デバイスが Ca によって信頼されている構成証明書であることを確認します。Use the Windows PowerShell cmdlet, Confirm-CAEndorsementKeyInfo, to verify that a specific TPM device is trusted for attestation by CAs. 2 つのオプションがあります。 EKCert とその他、EKPub を検証するための確認のいずれか。There are two options: one for verifying the EKCert, and the other for verifying an EKPub. コマンドレットか、ローカルで実行またはリモート Ca の ca で Windows PowerShell リモート処理を使用しています。The cmdlet is either run locally on a CA, or on remote CAs by using Windows PowerShell remoting.

  1. EKPub での信頼を検証するためには、次の 2 つの手順を実行します。For verifying trust on an EKPub, do the following two steps:

    1. クライアント コンピューターから、EKPub を抽出します。 使用してクライアント コンピューターから抽出できる、EKPub Get TpmEndorsementKeyInfoします。Extract the EKPub from the client computer: The EKPub can be extracted from a client computer via Get-TpmEndorsementKeyInfo. 管理者特権でコマンド プロンプトで、次の手順を実行します。From an elevated command prompt, run the following:

      PS C:>\$a=Get-TpmEndorsementKeyInfo -hashalgorithm sha256  
      
    2. CA コンピューターで、EKCert の信頼を確認します。(たとえば、電子メール) 経由でサーバーに、抽出された文字列 (、EKPub の sha-2 のハッシュ) をコピーし、確認 CAEndorsementKeyInfo コマンドレットに渡します。Verify trust on an EKCert on a CA computer: Copy the extracted string (the SHA-2 hash of the EKPub) to the server (for example, via email) and pass it to the Confirm-CAEndorsementKeyInfo cmdlet. このパラメーターは 64 文字である必要がありますに注意してください。Note that this parameter must be 64 characters.

      Confirm-CAEndorsementKeyInfo [-PublicKeyHash] <string>  
      
  2. EKCert での信頼を検証するためには、次の 2 つの手順を実行します。For verifying trust on an EKCert, do the following two steps:

    1. クライアント コンピューターから、EKCert を抽出します。 使用してクライアント コンピューターから抽出できる、EKCert Get TpmEndorsementKeyInfoします。Extract the EKCert from the client computer: The EKCert can be extracted from a client computer via Get-TpmEndorsementKeyInfo. 管理者特権でコマンド プロンプトで、次の手順を実行します。From an elevated command prompt, run the following:

      PS C:>\$a=Get-TpmEndorsementKeyInfo
      PS C:>\$a.manufacturerCertificates|Export-Certificate -filepath c:\myEkcert.cer
      
    2. CA コンピューターで、EKCert の信頼を確認します。 CA (たとえば、電子メールまたは xcopy) を介して展開された EKCert (EkCert.cer) にコピーします。Verify trust on an EKCert on a CA computer: Copy the extracted EKCert (EkCert.cer) to the CA (for example, via email or xcopy). たとえば、CA サーバーでは、証明書ファイルの"c:\diagnose"フォルダーをコピーする場合は、検証を完了するには、次を実行します。As an example, if you copy the certificate file the "c:\diagnose" folder on the CA server, run the following to finish verification:

      PS C:>new-object System.Security.Cryptography.X509Certificates.X509Certificate2 "c:\diagnose\myEKcert.cer" | Confirm-CAEndorsementKeyInfo  
      

関連項目See Also

トラステッド プラットフォーム モジュール テクノロジの概要Trusted Platform Module Technology Overview
外部のリソース:トラステッド プラットフォーム モジュールExternal Resource: Trusted Platform Module