クライアント認証（トラスト・ログインで証明書を発行する場合）

  • 更新
フォローする
本サービスは、GMOグローバルサイン株式会社のクラウドサービス「GMOトラスト・ログイン」を活用して提供しております。ヘルプページの内容は「GMOトラスト・ログイン」に基づいて記載しておりますので、「IT Expert Services ID管理」として読み替えてご利用ください。ご不明な点がございましたら、弊社サポートまでお問い合わせください。

クライアント認証オプションのご利用方法

クライアント認証は、クライアント証明書をインストールしている端末でのみトラスト・ログインにログインできる認証強化機能です。

メンバー一人に対して1枚の証明書が発行され、複数の端末へインストールする場合はファイルをコピーしてご利用いただきます。
証明書をコピーして他の端末にインストールする

※ 本オプションで取得いただけるクライアント証明書は、トラスト・ログインにログインする際の認証強化を目的とするものとして提供しております。

※ デバイス証明書オプションと併用した場合は、デバイス証明書オプションの方が優先されます。クライアント認証オプションの証明書ではログインできなくなりますのでご注意ください。

 

「クライアント認証」で発行する証明書のサブジェクト

トラスト・ログイン認証用プライベート証明書のサブジェクトは以下の通りです。

CN=[メンバーメールアドレス]

OU=Certificate for TrustLogin
OU=[企業ID]
O=For user authentication
C=JP

 

クライアント認証の基本設定

  1. 「管理ページ」にログインし、「設定 ＞ オプション機能 ＞ クライアント認証 の右にある設定」を開きます。

    clientauth1.png


  2. 「クライアント認証 設定」の一覧にある「トラスト・ログイン クライアント認証」をクリックします。

    cl1-2.png

  3. ログイン可能な端末の設定は以下の通り行います。
    「編集」ボタンで「証明書のダウンロードを許可する」「クライアント証明書がないとログインできないようにする」のオン/オフを切り替えられます。（緑がオンの状態）
    ※操作者を本オプションに割り当てた状態で「クライアント証明書がないとログインできないようにする」を「オン」にするとすぐに強制ログアウトされ、クライアント認証なしではログインできなくなります。必ずクライアント証明書を取得してから「オン」に変更するようにしてください。

    ___01.png
    ※本動作は、割り当て時点の設定で各ユーザに適用されます。
    　設定変更後も、割当時の動作となります。
    ②クライアント証明書がないとログインできないようにする ① 証明書のダウンロードを許可する メンバーが証明書をダウンロードしたかどうか ログイン可能な端末
    オン オン ダウンロード済 クライアント証明書がインストールされたデバイスのみ
    未ダウンロード クライアント証明書がインストールされたデバイスのみ（管理者による取得が必要）
    オフ ー クライアント証明書がインストールされたデバイスのみ（管理者による取得が必要）
    オフ オン ダウンロード済 クライアント証明書がインストールされたデバイスのみ
    未ダウンロード どのデバイスからもログインできる
    オフ ー どのデバイスからもログインできる

 

[１]クライアント認証オプションを利用するメンバーの割り当て

  1. 「クライアント認証 設定」の一覧にある「トラスト・ログイン クライアント認証」をクリックします。

    cl1-2.png

  2. 右上にある「メンバー追加」または「グループを追加」から、クライアント認証を利用するメンバーをアサインします。
    ___02.png
    　　　

※「クライアント証明書がないとログインできないようにする」を「オン」にした状態で、操作者を「メンバーを追加」「グループを追加」でオプションに割り当てると強制ログアウトされ、クライアント認証なしではログインできなくなります。この操作は別の管理者に対応をご依頼ください。

 

[メンバーを追加する場合]

  1. 「メンバー追加」をクリックします。
  2. 追加するメンバーにチェックを入れ、「登録」を押します。
    cl1-4.png

[グループを追加する場合]　※あらかじめグループを作成しておく必要があります。

  1. 「グループを追加」をクリックします。
  2. 割り当てをしたいグループを選択し、「登録」を押します。

    cl1-5.png

 

[２]クライアント証明書の発行、配布

１）管理者が証明書をダウンロードする場合

証明書の発行

  1. 「トラスト・ログイン クライアント認証」画面にある「証明書未発行メンバー」をクリックします。

    ___03.png


  2. 証明書を発行したいメンバーにチェックを入れ、「証明書ダウンロード」をクリックします。
    ※ 一度に最大1000件まで証明書のダウンロードが可能です。（通常は100件で30分、1000件で4時間程度かかります。）

    cl1-7.png

  3. ダウンロードした際の圧縮ファイル用のパスワードを設定し、「ダウンロード」をクリックします。

    　※パスワードは 記号・数字・英小文字・英大文字を含む12～50文字 で設定してください。

    cl1-8.png
  4. 証明書の準備ができましたら、管理者のメールアドレス宛に下記のシステムメールが届きます。
    記載されているダウンロードURLより証明書を取得してください。証明書はzipファイル内のp12ファイル（PKCS12形式）となります。
    ※ 証明書の発行件数によりメールが届くまでお時間がかかる場合がございます。同メンバーに対して重複して発行を行わないようご注意ください。

    件名：「クライアント証明書 準備完了のお知らせ」
  5. ダウンロードURLよりダウンロードしたzipファイル内の password.txt というテキストファイルを開く際に先ほど設定した圧縮ファイル用のパスワードを入力します。

    cl-9.PNG

  6. 証明書 保護パスワードが各メンバー毎に記載されていますので、クリップボードにコピーしてください。

    Cl2-1.png
[運用のヒント]

■ クライアント証明書の配布について
①証明書がはいったデバイスからのみアクセスにしたい場合：
ご利用中の資産管理ソフトやMDMでデバイスを指定してクライアント証明書を配布します。
トラスト・ログインで配布実績のある製品はこちら

②デバイス制限の用途ではない、多要素認証として証明書を利用する場合：

資産管理やMDMを指定せずメンバーが証明書ファイルをダウンロードする方法は

２）メンバーが証明書をインストールする場合
をご参照ください。 

※証明書ファイルをPCから別デバイスに転送する際は、安全な経路をお使いください。
特に証明書の保護パスワードは平文では送信しないようご注意ください。

 

 

証明書ファイルのインストール

  1. インストールする端末に、上記「１）管理者が証明書をダウンロードする場合」でダウンロードしたp12ファイル（PKCS12形式）を置きます。
    ※p12ファイルはコピーすることができます。複数端末でご利用を行う場合こちらのファイルを他の端末にお送りください。
  2. p12ファイルをダブルクリックすると、証明書のインポートウィザードが開きます。
  3. 証明書の保存場所が「現在のユーザー」になっているのを確認し、「次へ」をクリックします。
    mceclip1.png
  4. インポートするファイルが指定のp12ファイルになっているのを確認し、「次へ」をクリックします。

    cl2-3.png
  5. 秘密キーのパスワードを入力する項目に、password.txt に記載されていた証明書 保護パスワードを入力し、「次へ」をクリックします。
    cl2-4.png

  6. ラジオボタンが「証明書の種類に基づいて、自動的に証明書ストアを選択する」にチェックされているのを確認し、「次へ」をクリックします。
    cl2-5.png
  7. 「完了」をクリックします。

 

クライアント認証の有効化

対象メンバー全員の端末に証明書がインストールされたのを確認できましたら、「トラスト・ログイン クライアント認証」の設定画面にある「クライアント証明書がないとログインできないようにする」を有効化してください。以降のトラスト・ログインへのログイン時には、クライアント認証が必須となります。

___04.png

 

 

２）メンバーが証明書をインストールする場合

証明書の発行（管理者）


「トラスト・ログイン クライアント認証」の設定で、「証明書のダウンロードを許可する」のトグルをオンにして有効化し保存します。
___05.png

証明書ファイルのインストール（メンバー）

  1. ログイン後、マイページ右上の「プロフィール」を開きます。
    mypage.png

  2. 「証明書ダウンロード」を押下します。

    mceclip0.png

  3. 「証明書 保護パスワード」を入力する画面が表示されるので、ご自身でパスワードを設定してください。
    ※パスワードは記号・数字・英小文字・英大文字を含む12～50文字で設定してください。    cl2-11.png
  4. 「ダウンロード」をクリックします。証明書を取得するとトラスト・ログインにログインする際のクライアント認証が有効になります。

  5. ダウンロードしたp12ファイル（PKCS12形式）をダブルクリックすると、証明書のインポートウィザードが表示されます。
    mceclip1.png
  6. 保存場所が「現在のユーザー」になっているのを確認し、「次へ」をクリックします。
  7. インポートするファイルが指定のp12ファイルになっているのを確認し、「次へ」をクリックします。
    cl2-3.png
  8. 秘密キーのパスワードを入力する項目に、先ほど設定した証明書 保護パスワードを入力して、「次へ」をクリックします。
    cl2-4.png
  9. ラジオボタンが「証明書の種類に基づいて、自動的に証明書ストアを選択する」にチェックされているのを確認し、「次へ」をクリックします。

cl2-5.png

9. 「完了」ボタンを押すと、証明書がインポートされます。

※証明書をインストールしたあとブラウザの再起動が必要です。

 

ブラウザ別 証明書ストアの確認方法

証明書がインポートされているかを確認するため、ブラウザ別に証明書ストアの確認方法をご案内します。

[Google Chromeの場合]

設定 ＞ プライバシーとセキュリティ ＞ セキュリティ ＞ 証明書の管理 から証明書ストアを確認できます。
※通常、クライアント証明書は「個人」のタブに格納されています。

[Microsoft Edgeの場合]

設定 ＞ プライバシー、検索、サービス ＞ セキュリティ ＞ 証明書の管理 から証明書ストアを確認できます。
※通常、クライアント証明書は「個人」のタブに格納されています。

 

 

 

[３]クライアント認証の制限が行われたユーザーでログインする方法

  1. トラスト・ログインのログインフォームで、「企業ID」と「メールアドレス」を入力します。
  2. 「証明書の選択」ダイアログが表示されるので、インストールしたクライアント証明書を選択して、「OK」を押します。

    ※ 証明書が複数表示される場合は、証明書の件名がご自身のメールアドレス、発行元が「TrustLogin Client Authentication CA」となっている証明書をご選択ください。
    （以前に発行された、発行元が「SKUID Client Authentication CA」となっている証明書は、期限が切れない限り継続してご利用いただけます。）

    cl2-7.png
  3.  正しい証明書を選択すると、パスワード入力画面が表示されるので、通常通りログインしてください。

    ※ 正しい証明書を選択しなかった場合、「このクライアント証明書は管理者に許可されたものではありません。」とエラーが表示されます。証明書の選択を間違えた場合は、ブラウザの再起動が必要になります。

    ※ クライアント認証時、SAML認証併用時やブラウザ以外のデスクトップアプリやモバイルアプリなどではアプリ側の仕様によりご利用いただけない場合があります

 

関連記事