IEEE802.1X認証 Windows Vistaの設定方法

4. 端末側の設定方法

4.2.1. EAP-TLS方式の設定方法

IEEE802.1X認証のEAP-TLS方式では、ユーザ証明書およびサーバ証明書によって認証を行ないます。

証明書を用いる認証は、端末を認証ネットワークに接続する前に、証明書をインストールする必要があります。証明書の取得方法は、CA局のサーバにより異なります。

以下の解説では、ユーザ証明書と、サーバ証明書の検証に必要なCA証明書が、あらかじめ端末にインストールされている事を前提としています。本ガイドでは、ユーザ証明書と CA 証明書を発行先

「user01」、発行者「example-DC-CA」としています。

（１）証明書の確認方法

まず、証明書がインストールされているかどうかを確認します。各証明書の確認方法は、4.1.1（１）

で示すWindows XPの場合と同様です。

（２） EAP-TLS方式の設定手順

Windows Vistaの通信インタフェースに、EAP-TLS方式を用いたIEEE802.1X認証の設定方法を以下

に示します。

① 「スタート」→「コントロールパネル」→「管理ツール」→「サービス」で「Wired AutoConfig」を右クリックし、プロパティを選択する。次にスタートアップの種類を「自動」にして、サービスの開始ボタンをクリックする。

② 「スタート」→「設定」→「ネットワーク接続」で該当のローカルエリア接続を右クリックし、プロパティを選択する。次に認証タブを開き、「IEEE802.1X認証を有効にする」をチェックし、ネットワーク認証方法に「スマートカードまたはその他の証明書」を選択する。最後に「設定」をクリックする。

③ スマートカードまたはその他の証明書のプロパティ画面にて、接続のための認証方法に「このコンピュータの証明書を使う」を選択する。次に「サーバーの証明書を検証する」にチェックし、信頼されたルート証明機関から「example-DC-CA」をチェックする。最後に「OK」をクリックして画面を閉じる。

（３）注意事項

EAP-TLS方式の設定における注意事項を以下に示します。

１．③の「サーバーの証明書を検証する」のチェックを外すと、ユーザ証明書のみでの認証を実施することができます。ただし、セキュリティレベルは低くなります。

２．端末にユーザ証明書が複数インストールされている場合は、認証ネットワーク接続時に選択画面が表示されますので、そこでユーザ証明書を選択して下さい。

4.2.2. EAP-PEAP方式の設定方法

Windows VistaのEAP-PEAP方式の設定方法は、Windows XPとほぼ同様となっています。

本ガイドでは、PEAP-MSCHAPv2にてサプリカントのWindowsログオン名とパスワード及びドメイン名を自動的に使用するオプションを構成します。これにより、ユーザがユーザ ID およびパスワードを入力する必要の無いSSO(Single Sign-On)を構成する事ができます。

以下の解説では、サーバ証明書の検証に必要なCA証明書が、発行者「example-DC-CA」としてあらかじめクライアント端末にインストールされている事を前提としています。

（１） EAP-PEAP方式の設定手順

Windows Vistaの通信インタフェースに、EAP-PEAP方式を用いたIEEE802.1X認証の設定方法を以

下に示します。

② 「スタート」→「設定」→「ネットワーク接続」で該当のローカルエリア接続を右クリックし、プロパティを選択する。次に認証タブを開き、「IEEE802.1X認証を有効にする」をチェックし、ネットワーク認証方法に「保護されたEAP(PEAP)」を選択する。最後に「設定」をクリックする。

③ 保護されたEAPのプロパティ画面にて「サーバーの証明書を検証する」をチェックし、信頼されたルート証明機関の中から「example-DC-CA」をチェックする。次に、認証方法から「セキュリティで保護されたパスワード（EAP-MSCHAPv2）」を選択し、「構成」をクリックする。

④ EAP MSCHAPv2のプロパティ画面にて「Windowsのログオン名とパスワード（およびドメインが

ある場合はドメイン）を自動的に使う」をチェックする。

「OK」をクリックして画面を閉じる。

（２）注意事項

EAP-PEAP方式の設定における注意事項を以下に示します。

１．証明書を端末にインストールしなくても認証を実施する事ができます。その場合は③の「サーバーの証明書を検証する」チェックを外して下さい。ただし、サーバの証明書を検証せずに認証を行うため、セキュリティのレベルは低くなります。

２．IEEE802.1X認証のIDおよびパスワードと、WindowsログオンのIDおよびパスワードが異なる場合、または端末のログインユーザ名およびパスワードをそのまま使用しない場合は、④のチェックを外して下さい。デフォルトではチェックされていますので注意して下さい。

３．EAP-PEAP方式では、認証ネットワーク接続時にユーザ名、パスワードおよびアカウントの入力が要求されます。Windowsドメイン参加していない場合、アカウントの入力は省略できます。

４．②の画面において、「このネットワークへの次回接続時のために、ユーザー情報をキャッシュする」をチェックした場合、ユーザ名およびパスワードはキャッシュされ、次回からの接続では

入力不用となります。

５．接続ユーザを変更したい場合は、②の「このネットワークへの次回接続時のために、ユーザー情報をキャッシュする」のチェックを一旦外して再入力を行って下さい。

ドキュメント内認証ソリューションガイド (ページ 80-85)