Lync Phone Edition の証明書

Lync Phone Edition のルート CA 証明書

Lync Phone Edition と Lync Server の間の通信は、既定ではトランスポート層セキュリティ (TLS) とセキュア リアルタイム転送プロトコル (SRTP) を使用して暗号化されます。このため、Lync Phone Edition を実行するデバイスは、Lync Server が提示する証明書を信頼する必要があります。デバイスには Windows CE と同じ信頼された CA のリストが含まれているため、Lync Server を実行しているコンピューターがパブリック証明書を使用していれば、デバイスはほとんどの場合、そのサーバーを自動的に信頼します。ただし、ほとんどの Lync Server の展開では、内部の Lync Server サーバーの役割に内部証明書を使用するため、内部 CA からのルート CA 証明書をデバイスにインストールする必要があります。ルート CA 証明書はデバイスに手動でインストールできないため、ネットワークから取得する必要があります。Lync Phone Edition では、2 つの方法で証明書をダウンロードできます。

まず、デバイスが certificationAuthority というカテゴリの Active Directory ドメイン サービス (AD DS) オブジェクトを検索するという方法があります。 検索でオブジェクトが戻されると、デバイスは caCertificate という属性を使用します。 その属性は証明書を保持しているものと見なされ、デバイスがその証明書をインストールします。

ルート CA 証明書は、Lync Phone Edition の caCertificate で発行する必要があります。 caCertificate 属性にルート CA 証明書を追加するには、次のコマンドを使用します。

certutil -f -dspublish <Root CA certificate in .cer file> RootCA

カテゴリ certificationAuthority の Active Directory オブジェクトの検索でオブジェクトが戻されない場合や、戻されたオブジェクトの caCertificate 属性が空である場合、デバイスは、構成名前付けコンテキストでカテゴリ pKIEnrollmentService の Active Directory オブジェクトを検索します。 このようなオブジェクトは、Active Directory で証明書の自動登録が有効になっている場合に存在します。 検索でオブジェクトが戻されると、デバイスは戻された dNSHostName 属性を使用して CA を参照し、Windows 証明書サービスの Web インターフェイスを使用して、次の HTTP get- コマンドでルート CA 証明書を取得します。

http://<dNSHostname>/certsrv/certnew.p7b?ReqID=CACert&Renewal=-1&Enc=b64

以上のどちらの方法も成功しないと、デバイスに "サーバー証明書を検証できません" というエラー メッセージが表示され、ユーザーはこの証明書を使用できません。

組織のルート CA チェーンの検索

Lync Phone Edition では、AD DS 内の PKI 自動登録オブジェクトまたは既知の識別名 (DN) を使用して証明書を検索できます。 詳細は次のとおりです。

• 組織の CA を使用して PKI 自動登録を有効にするため、デバイスはライトウェイト ディレクトリ アクセス プロトコル (LDAP) 要求を出して pKIEnrollmentService/CA サーバー アドレスを検索し、最終的にユーザーの資格情報で Windows CA /certsrv サイトに対して HTTP を使用し、証明書をダウンロードします。

• certutil -f -dspublish “.cer file location" ルート CA を使用して構成 NC に証明書をアップロードするには、次の DN を使用します。

  Cn=Certificate Authorities, cn=Public Key Services, CN=Services, cn=Configuration, dc=<AD ドメイン>

注:
LDAP 要求は、BaseDN: CN=Configuration, dc= <ドメイン> Filter: (objectCategory=pKIEnrollmentService) で、属性の検索は dNSHostname です。 デバイスは、HTTP get- command http://<dNSHostname>/certsrv/certnew.p7b?ReqID=CACert&Renewal=-1&Enc=b64 を使用して証明書をダウンロードします。