NPS拡張機能によるAzureMFA利用時証明書更新方法について

Question

Windows 2019でNPSを構築し、

NPS拡張機能をインストールしてAzureMFAに対応するよう構成しています。
2024年の2月にMFAで利用している証明書の期限が切れるため、

証明書の更新をする必要があります。

下記サイトを確認する限り、NPS拡張機能インストール時に作成される

「AzureMfaNpsExtnConfigSetup.ps1」を実行することで証明書更新できるとあり、

確かに新たな証明書を作成することができるのを確認しました。

https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-mfa-nps-extension

確認できたのは、検証環境で本番環境ではないため、

動作確認まではできない状態です。

そこで下記質問ですが、

スクリプトの実行のほかにすべきことはないでしょうか？

　（古い証明書の削除など）

スクリプト実行時の証明書の有効期限は2年ですが、

　有効期限を延ばすことはできないでしょうか？

3.自己証明書を発行してNPS拡張機能で利用する場合の構成方法についてご教示ください

Answer

ここで回答が得られない場合は、英語の Entra ID 専門フォーラムへの質問も検討してください。

Microsoft Entra ID - Microsoft Q&A

Answer

チャブーンです。

この件ですが、以下のことはいえるのではないでしょうか？

1.AzureMfaNpsExtnConfigSetup.ps1のソースは見ましたか？以下の項目があるので、以前の証明書はscript内でさくじょしているのではないでしょうか？変更前の証明書は念のため削除したほうがいいかと思います。

#とはいえ実際は変数のスペリングが間違っていて動作しないみたいですね。
function cleanUpAndErrorOut( $errorMsg, $thumprint ){

if($errorMsg.Count){ 

  Get-Item Cert:\LocalMachine\My\$thumbprint | Remove-Item 

  Write-Error ("Configuration Script exiting with error: " + $errorMsg.join) 

  Write-Host $licenseRequirment 

  exit 

}

}

2.New-AzureMfaTenantCertificateというPowerShellコマンドで作成しているようです。リファレンスもなく、実態としては"C:\Program Files\WindowsPowerShell\Modules\AzureMfaClientCertProvider\AzureMfaClientCertProvider.dll"から呼びだされるようです。この中身を見ないとわからないですが、専用のDLLなので、おそらく制御はできないでしょう。少なくともWindows標準機能は無関係です。

3.このスクリプト自体が「自己証明書を発行」しているので、ご参照の資料そのものに構成方法が書いてある、理解です。アンカーがどこかわからないと思うので、以下以降を再確認いただけるといいと思います。

NPS と Microsoft Entra MFA を使用する - Microsoft Entra ID | Microsoft Learn

次の方法で共有

NPS拡張機能によるAzureMFA利用時証明書更新方法について

2 件の回答

1.AzureMfaNpsExtnConfigSetup.ps1のソースは見ましたか？以下の項目があるので、以前の証明書はscript内でさくじょしているのではないでしょうか？変更前の証明書は念のため削除したほうがいいかと思います。

}