Microsoft Entra CBA（SingleIDクライアント証明書）
文書更新日:2026-08-02
本書では、SingleIDクライアント証明書を使用して、Microsoft Entra CBA（証明書ベース認証）を設定する手順を説明します。
Info
- MicrosoftのFAQでは、Microsoft Entra CBAは無料の機能であり、Microsoft Entra IDのすべてのエディションに含まれると案内されています（2026-08-02参照）。最新のライセンス要件は、Microsoft Entra CBA FAQ（Microsoft）を確認してください。
- 本書では、SingleIDクライアント証明書のサブジェクト代替名（SAN）に設定されたメールアドレスを、Microsoft Entra IDのユーザー プリンシパル名（UPN）へ対応付けます。
本書では、SingleIDクライアント証明書を単一要素認証として使用します。パスワードとSingleIDクライアント証明書を組み合わせる構成の検証情報は、Microsoft Entra 2要素認証（パスワード＋SingleIDクライアント証明書）を参照してください。
設定概要
| 設定対象 | 設定内容 |
|---|---|
| Microsoft Entra IDの信頼するCA | SingleIDのルートCAと中間CA |
| 中間CAの設定 | SingleIDの中間CAに表示される失効リストの配布ポイントをCRLのURLに指定し、発行者ヒントを有効化 |
| CBAの対象 | 有効なSingleIDクライアント証明書を利用できるテストユーザーのグループ |
| CRL検証 | CRL 検証を必須にする（推奨）を有効化し、SingleIDのルートCAのみを検証対象から除外 |
| 認証バインド | 単一要素認証、低アフィニティ バインド |
| ユーザー名バインド | 証明書フィールドのRFC822Nameをユーザー属性のuserPrincipalNameにバインド |
前提条件
- Microsoft Entra IDのユーザー プリンシパル名（UPN）と、SingleIDユーザのメールアドレスが一致していること
- Microsoft Entra CBAを利用するユーザーを登録したMicrosoft Entra IDのグループがあること
- Microsoft Entra IDのグローバル管理者アカウントを利用できること
- 有効なSingleIDクライアント証明書を、利用するデバイスへインストールできること
Warning
最初からすべてのユーザーをCBAの対象にしないでください。クライアント証明書を利用できるテストユーザーのグループから段階的に適用してください。また、CBA設定の影響を受けない緊急アクセス用アカウントを用意してください。
SingleIDのCA証明書とCRL情報の取得
- SingleID 管理者ポータル＞認証＞証明書画面の基本情報タブへ移動します。
- ルートCAのダウンロードアイコンをクリックし、ルートCA証明書をダウンロードします。
- 中間CAのダウンロードアイコンをクリックし、中間CA証明書をダウンロードします。
- 中間CAに表示されている失効リストの配布ポイントを記録します。Microsoft Entra IDへ中間CAを登録するときに、証明書失効リスト（CRL）のURLとして使用します。
クライアント証明書の発行
証明書プロファイルの確認
- SingleID 管理者ポータル＞認証＞証明書画面のプロファイルタブへ移動します。
-
クライアント証明書の発行に使用するプロファイルで、以下の項目を確認します。
設定項目 設定内容 拡張キー使用法（EKU） クライアント認証 サブジェクトの代替名 メールアドレス
ユーザへの証明書発行
- SingleID 管理者ポータル＞ユーザ一覧画面へ移動します。
- 対象ユーザのメールアドレスが、Microsoft Entra IDのUPNと一致していることを確認します。
- 対象ユーザの行にあるチェックボックスを選択します。
- 選択実行ボタンの▼をクリックし、証明書の発行を選択します。
- CBA用の証明書プロファイルを選択し、発行ボタンをクリックします。
- 発行されたPKCS#12形式のクライアント証明書を、利用するデバイスへインストールします。
Windowsへのインストール手順は、Windows: クライアント証明書のインストールを参照してください。
Microsoft Entra IDへのCA登録
- Microsoft Entra 管理センターへ、グローバル管理者でログインします。
- Entra ID＞セキュリティ＞管理＞公開キー基盤画面へ移動します。
- PKIの作成ボタンをクリックします。
- 表示名に任意の名前（例：
SingleID PKI）を入力し、作成ボタンをクリックします。 - 作成したPKIを開き、証明機関の追加ボタンをクリックします。
-
SingleIDのルートCA証明書を選択し、以下を設定して保存します。
設定項目 設定内容 ルート証明書 はい 発行者ヒント 無効 -
再度証明機関の追加ボタンをクリックし、SingleIDの中間CA証明書を選択します。
-
中間CAを追加するときは、以下を設定して保存します。
設定項目 設定内容 ルート証明書 いいえ 証明書失効リストのURL SingleID 管理者ポータル＞認証＞証明書＞基本情報タブの中間CAの失効リストの配布ポイント 発行者ヒント 有効 SingleIDの中間CAを発行者ヒントの対象にし、CBAの構成画面でも発行者ヒントを有効にすると、接続デバイスへSingleIDの中間CA情報が送信され、証明書選択画面に表示するクライアント証明書を絞り込めます。発行者ヒントは、証明書の信頼性や失効を検証する設定ではありません。
Warning
- Microsoft Entra IDがCRLへアクセスできない場合、CBAによる認証は失敗します。CRLのURLは、インターネットから参照できるURLを設定してください。
- Microsoft Entra IDへCAを登録すると、そのCAが発行した証明書がCBAの信頼対象になります。CBA用の証明書プロファイルと証明書の発行対象を適切に管理してください。
Microsoft Entra CBAの有効化
- Microsoft Entra CBAを利用するテストユーザーを、CBA対象グループへ追加します。
- Microsoft Entra 管理センターへ、グローバル管理者でログインします。
- Microsoft Entra 管理センター＞Entra ID＞セキュリティ＞管理＞認証方法＞証明書ベースの認証画面へ移動します。
- 有効化とターゲットでCBAを有効にします。
- グループの選択でCBA対象グループを追加します。
- 確認項目を選択し、保存ボタンをクリックします。
Warning
CBAの対象ユーザーは、Microsoft Entra ID上でMFAを実行可能なユーザーとして扱われます。有効なクライアント証明書を利用できないユーザーを対象にすると、MFAを完了できず、ほかの認証方法の登録やサインインができなくなる場合があります。CBAの対象は、有効なクライアント証明書を利用できるユーザーに限定してください。
Microsoft Entra CBAの構成
- Microsoft Entra 管理センター＞Entra ID＞セキュリティ＞管理＞認証方法＞証明書ベースの認証画面で、構成をクリックします。
- CRL 検証を必須にする（推奨）を有効にします。
- CA を CRL 検証から除外するで、SingleIDのルートCAを追加します。
- 発行者ヒントを有効にします。
-
認証バインドを以下のように設定します。
設定項目 設定内容 保護レベル 単一要素認証 アフィニティ バインド 低 -
ユーザー名バインドへ以下の規則を追加します。
証明書フィールド ユーザー属性 RFC822Name userPrincipalName -
設定を保存します。
Info
- SingleIDの中間CAは、CRL検証から除外しないでください。失効したクライアント証明書は、中間CAのCRLを使用して検証されます。
- SingleIDクライアント証明書のSANに設定されたメールアドレスと、Microsoft Entra IDのUPNが一致するユーザーを認証します。一致しない場合、CBAによるサインインは失敗します。
- Microsoft Entra IDでは認証方法ポリシーがキャッシュされるため、CBA設定の変更が反映されるまでに最大1時間かかる場合があります。設定直後に動作を確認できない場合は、時間をおいて再度確認してください。
Warning
本書では、PKCS#12形式で配布するクライアント証明書を単独で使用するため、単一要素認証に設定します。
動作確認
- CBA対象ユーザーのクライアント証明書がインストールされたデバイスで新しいブラウザー セッションを開始し、マイ アプリ ポータルへアクセスします。
- Microsoft Entra IDのUPNを入力し、次へボタンをクリックします。
- 証明書を使用してサインインを選択します。
- SingleIDクライアント証明書を選択します。
- マイ アプリ ポータルへサインインできることを確認します。
- Microsoft Entra 管理センター＞Entra ID＞監視＞サインイン ログ画面で、対象ユーザーの認証結果と証明書情報を確認します。
運用上の注意
- SingleIDユーザを無効化しても、発行済みのクライアント証明書は失効しません。CBAによるサインインを停止する場合は、SingleIDでクライアント証明書を失効してください。
- クライアント証明書を更新した場合は、新しい証明書を利用するデバイスへインストールしてください。
- CBA対象グループ、証明書の発行状況、証明書の有効期限および失効状況を定期的に確認してください。
- Microsoft Entra CBAでは、通常のサインイン先である
login.microsoftonline.comとは別に、クライアント証明書を提示するための*.certauth.login.microsoftonline.comを使用します。プロキシやファイアウォールで通信先を制限している場合は、このドメインへのHTTPS通信も許可してください。また、TLS検査を行うとクライアント証明書のやり取りが成立しない場合があるため、TLS検査の対象から除外してください。通信先制限やTLS検査を使用していない場合、追加設定は不要です。