Workspace ONE Accessに証明書認証でログイン

Workspace ONE AccessではSaaSなどのサービスへのアクセス管理ができますが、クライアント証明書認証の機能も備わっています。

ここでは、Workspace ONE UEMから配信した証明書を使用して、Workspace ONE Accessに証明書認証でログインする、ということをやってみます。

まずは、Workspace ONE UEMコンソールでの作業です。

すべての設定＞システム＞エンタープライズ統合＞Workspace ONE Access＞構成へ移動し、「エクスポート」をクリックしてAirWatch認証局のルート証明書をエクスポートします。

次に、Windows向けにWorkspace ONE Access認証用証明書プロファイルを作成してデバイスに対して配信します。

SCEPペイロードを選択し、「資格情報ソース」は「AirWatch認証局」を選択します。証明書テンプレートは「証明書（クラウド展開）」です。

【補足】

上記のプロファイルで配信した証明書は秘密キーのエクスポートができないようになっているため、使い回しを防ぐことができます。つまり、私用のデバイスにインポートし直してログインしてしまおう...ということはできない仕組みになっているワケですね。

次はWorkspace ONE Accessの管理コンソールでの作業です。

IDとアクセス管理＞管理＞認証方法をクリックし、「証明書（クラウドデプロイ）」の設定を変更します。（UEMのプロファイルで選択した証明書テンプレートと同じ名前ですね。若干の誤差はありますが...）

始めに、「証明書アダプタを有効にする」にチェックを入れ、「ルートおよび中間CA証明書」のところには先ほどWorkspace ONE UEMからエクスポートした証明書をアップロードし、「証明書の失効を有効にする」にもチェックを入れておきます。

【補足】

公的認証局であっても、ここでルート証明書をアップロードしない限り証明書認証はできないので、今回の例ではWorkspace ONE UEM内部の認証局から発行されている証明書以外では認証できない構成にすることができます。

少し下にスクロールして「OCSPの失効を有効にする」にチェックを入れ、「OCSPレスポンダの署名証明書」には先ほどと同じくWorkspace ONE UEMからエクスポートしたルート証明書をアップロードします。アップロードが完了したら忘れずに「保存」をクリックして設定を保存しておきます。

この設定を入れておくことで、失効済みの証明書の認証をブロックすることができます。