第3回 Exchange Server 2003のS/MIME、SSL、TLSの実装手順

竹島 友理
NRIラーニングネットワーク株式会社
2005/9/17

---

S/MIMEの設定はすべてクライアントコンピュータ側で行う

　S/MIME用デジタル証明書要求、発行されたデジタル証明書のインストール、S/MIMEの有効化など、S/MIMEの設定はすべてクライアントコンピュータで行います。S/MIMEで使用するデジタル証明書は、ユーザープロファイルの一部としてローカルのワークステーションに格納されます。S/MIMEで使用するデジタル証明書はユーザー固有の情報なので、ワークステーションのユーザーごとにデジタル証明書を入手する必要があります。

手順1　ユーザー証明書の取得

　インターネットにメッセージを送信するためのデジタル証明書を、インターネット上のCAから取得するには、Outlookを起動して［ツール］メニューの［オプション］をクリックし、［セキュリティ］タブから［デジタルIDの取得］を実行します。

　一方、Windows Server 2003の証明書サービスからデジタル証明書を取得する場合は、クライアント コンピュータからWebブラウザを起動して以下のURLにアクセスします。

http://証明書サービス起動サーバ名/certsrv/

　これは、証明書サービスの証明書要求Webサイトです。指示に従ってデジタル証明書発行要求をWindows Server 2003のCAに送り、発行されたデジタル証明書をクライアントコンピュータにインストールします。ここで使用するのはユーザー証明書という種類のデジタル証明書です。

図2　証明書サービスサイトに接続

手順2　オプション設定

　クライアントコンピュータにユーザー証明書をインストールすると、Outlookのオプション設定を構成できるようになります。

　デジタル署名に使用するハッシュアルゴリズムとメッセージ暗号化のアルゴリズムの種類は、Outlookから［ツール］メニューの［オプション］をクリックし、［セキュリティ］タブの［設定］をクリックした画面で指定します。

図3　セキュリティ設定の変更画面

　送信メッセージに対する既定の設定は、Outlookから［ツール］メニューの［オプション］をクリックし、［セキュリティ］タブで指定します。

図4　セキュリティ構成画面

　使用可能なオプションは、次のとおりです。

・送信メッセージの内容と添付ファイルを暗号化する：

すべての送信メッセージを暗号化します

・送信メッセージにデジタル署名を追加する：

すべての送信メールメッセージにデジタル署名を追加します

・署名されたメッセージを送信する際は、クリアテキストで送信する：

受信者のメールクライアントがS/MIMEデジタル署名をサポートしていない場合、受信者がデジタル署名を検証しなくてもメッセージを表示できます

・すべてのS/MIME署名されたメッセージの確認メッセージを要求する：

S/MIME署名されたメッセージの受信者に確認メッセージの返信を要求します

Outlook Web Access（OWA）環境でS/MIMEを使用するためには、OWAのオプションページからS/MIME Microsoft ActiveXコントロールをダウンロードして、インストールする必要があります

S/MIMEが正しく動作しない場合

　S/MIMEが正しく動作しない場合は、以下の2つを確認してみてください。

確認その1 ユーザーが自分のデジタル証明書を持っているかどうか

　最も簡単な確認方法は、デジタル署名付きのメッセージを送信してみることです。「デジタル署名されたメッセージを送信できる」ということは、「ユーザーが自分のデジタル証明書を持っている」ことの証明になります（デジタル署名メッセージを送信するのに、ほかのユーザーのデジタル証明書を持っている必要はありません）。

　ユーザーがデジタル署名されたメールを誰にも送信できない場合、そのユーザーはデジタル証明書を持っていないことが考えられます。

確認その2　送信者と受信者が、お互いに相手のデジタル署名とPublicキーを持っているかどうか

　暗号化されたメールメッセージをほかの受信者に送信するには、送信者が受信者のPublicキーを持っている必要があります（Publicキーは相手のデジタル証明書の中に含まれています）。例えば、デジタル署名付きメッセージは送信できるが暗号化メッセージは送信できない場合、送信者が必要となる受信者のPublicキーを持っていない可能性があります。

　送信者に、受信者のPublicキーを取得させる最も簡単な方法は、その受信者からデジタル署名付きのメールを事前に受け取っておくことです。署名付きのメールには、Publicキー情報が含まれているデジタル証明書が添付されています。署名付きのメールが到着したら、相手の情報をデジタル証明書とともにアドレス帳に保存してください。

　ところで、送信者と受信者がデジタル証明書を持っているとしても、お互いに相手が使用しているCAを信頼していない場合、メッセージ受信者の画面に警告が表示されます。なぜなら、そのクライアント コンピュータは、そのデジタル証明書そのものを信頼できないからです。

　ここでは、Windows Server 2003証明書サービスのエンタープライズCAを社内限定（もしくは関係者限定）で使用することを前提としていますので、お互いに相手の身元を確実に信用できるため、お互いのデジタル証明書を信頼するよう、クライアントを明示的に構成してください。

　また、1人のユーザーが複数のコンピュータを使用してログオンするような環境の場合、署名付きのメールメッセージを送信できない場合があります。なぜなら、Privateキーはローカルに保存されているからです。どのコンピュータからでも署名付きのメールメッセージを送信できるようにするには、1台のコンピュータからPrivateキーをエクスポートして、それを別のコンピュータにインストールする必要があります。または、Privateキーを移動ユーザープロファイルの一部として格納するようにしてください。

2/3

Index
Exchange Server 2003のS/MIME、SSL、TLSの実装手順
	Page1 S/MIME、SSL、TLSの設定に必要なデジタル証明書 コラム：PKI とは デジタル証明書の取得方法と種類
	Page2 S/MIMEの設定はすべてクライアントコンピュータ側で行う S/MIMEが正しく動作しない場合
	Page3 SSLとTLSの設定は主にサーバ側で行う コラム：RPC over HTTP ってどうやるの？ - SSLが正しく動作しない場合 TLSの設定方法

関連記事

基礎から学ぶExchange Server 2003運用管理

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）