イントラネットIP SSL証明書の設定方法
現在、イントラネットIPアドレスのhttps暗号化に対応しているSSL証明書には、sslTrus、CFCAなどの国産ブランドがあります。イントラネットIP SSL証明書を取得した後、サーバー（Nginx、Apache、Tomcat、IISなどの一般的なタイプ）で設定を完了できます。イントラネットIPアドレスでhttps認証を実現するプロセスは、ドメインSSL証明書のインストール手順と似ています。
参照：
ただし、サーバー側でイントラネットIP証明書の設定を完了した後、ユーザーはクライアントにルート証明書をインポートして初めて https 暗号化を実現し、安全でないという警告を解消できます。
クライアントへのIPルート証明書インポート方法
クライアントへのルート証明書のインポートには2つの方法があります。1つはドメインコントローラーによるプッシュ方式、もう1つはスクリプト実行方式です。
方法1：ドメインコントローラーによるルート証明書のプッシュ
この方法は、イントラネット環境に多数のユーザークライアントが存在する企業に適しています。ドメインコントローラーを通じてルート証明書をプッシュすることで、ドメイン内のすべてのユーザーが自動的にルート証明書を受け取り、各クライアントで個別にインポート操作を行う手間を省けます。具体的な手順は以下のとおりです。
- ドメインコントローラー上で、管理者としてログインし、
gpmc.mscグループポリシー管理コンソールを実行します。
- フォレストに入り、デフォルトGPOを編集するか、新しいGPOを追加します。
- 【コンピューターの構成】-【ポリシー】-【Windowsの設定】-【セキュリティの設定】-【公開キーのポリシー】-【信頼されたルート証明機関】の順に展開します。
- Racentが提供するルート証明書をインポートします。
- インポートが成功すると、各クライアントは90分以内にグループポリシーを自動更新します。または、
gpupdate /forceコマンドを使用してデフォルトドメインポリシーを強制的に更新します。
- これで、ドメイン内のすべてのユーザーがドメインコントローラーからプッシュされたルート証明書を受信します。
方案二：スクリプトによるルート証明書のインポート
本方案は、ドメインコントローラーがない、またはグループポリシーを使いたくないユーザーに適しています。具体的な手順は次のとおりです。
- スクリプトでルート証明書をインポートするには、
Windows powershellを開き、powershellに入力します。
Import-Certificate -FilePath "ssltrus-g1.der" -CertStoreLocation cert:\CurrentUser\Root
注意
引用符内の内容は、ルート証明書が現在実際に保存されているパスです
- 「はい」をクリックすると、インポートが成功します。下図のとおりです。
ユーザーは自身の状況に応じてルート証明書のインポート方法を選択し、イントラネットIP SSL証明書の設定を完了することで、イントラネット環境におけるデータ転送の暗号化と本人認証を実現できます。