Active Directory 証明書サービス (ADCS) の導入 

# はじめに
私が投稿した（投稿予定も含む） Qiita 記事では、ADCS を扱う場面が出てきます。
そのため、この記事では ADCS のインストール手順を Step by Step で紹介しておきたいと思います。

# Active Directory 証明書サービス の役割を導入する
1. Windows Server に 管理者 でサインインし、サーバーマネージャ を起動する
　<br>
1. 「管理」を押して、続いて「役割と機能の追加」を押す。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3ee8bfe9-7d0b-e69f-7454-09dae1fe2c6f.png)
　<br>
1. 以下の画面では「次へ」を押す
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ec9fe84a-f6ec-f3b1-7dc9-a1745cfe6023.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝「役割ベースまたは機能ベースのインストール」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/eb1f4972-cf3f-dc48-379f-8ea523a91ac9.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝「サーバープールからサーバーを選択」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a349db1c-e380-b74c-19a0-61fe6dbaf035.png)
　<br>
1. 以下の画面では「Active Directory 証明書サービス」にチェックを入れる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/787a2375-724b-efb1-a122-48ce03d5914b.png)
　<br>
1. 以下の画面では、既定値のまま「機能の追加」を押す。<br>既定値＝「管理ツールを含める」が チェック ON
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd497f03-44ad-fef2-2df4-f4d78dbd8cdf.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値は、.NET Fremework 4.7 Features 以外にも、いくつかの項目にチェックが入っています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/21cb6ab2-add4-7456-6a6f-c15a9577af94.png)
　<br>
1. 以下の画面では「次へ」を押す。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/309ebd37-7daf-dd18-737e-e18a9a44d5d8.png)
　<br>
1. 以下の画面では、以下の２項目にチェックを入れて「次へ」を押す。<br>① 証明機関<br>② 証明機関 Web 登録
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/303673e2-1af2-6ffe-46ca-8b0e4bf292b0.png)
　<br>
1. 以下の画面では、既定値のまま「機能の追加」を押す。<br>既定値＝「管理ツールを含める」が チェック ON
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/fbe48c7f-5676-33b6-af7d-3d8f3224b73c.png)
　<br>
1. 以下の画面では「次へ」を押す。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/94a2bf64-9b9d-e17f-2bcd-3f2c88eb70e7.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定で 多数の項目にチェックが入っているが変更しない。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/106ae9e5-3071-20ee-fbac-a8505a8ec3b3.png)
　<br>
1. 以下の画面では、既定値のまま「インストール」を押す。<br>既定で「必要に応じて対象サーバーを自動的に再起動する」は OFF
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e647cba2-eef4-249e-1876-dad0636a6eb7.png)
　<br>
1. インストール中の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/757c083b-2dad-32b7-b00a-990b6182bcf9.png)
　<br>
1. 以下の画面になったら「対象サーバーに Active Directory 証明書サービスを構成する」のリンクを押す。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e8a38b9e-aa34-c76a-5c3b-ce02f26d5500.png)

# Active Directory 証明書サービス を構成する
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝ [ドメイン管理者名]
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f02fcbe5-51e7-8d7c-c797-7062122c0e3a.png)
　<br>
1. 以下の画面では、以下の２つの項目にチェック入れて「次へ」を押す。<br>① 証明機関<br>② 証明機関 Web 登録
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/727d5e81-7584-9e6f-4b7f-9436e8bdd0ba.png)
　<br>
1. 以下の画面では「セットアップの種類」を選択して「次へ」を押す。<br>①「エンタープライズ CA」（ドメイン環境の既定値）<br>②「スタンドアロン CA」（非ドメイン環境では、これしか選べない）
★以降の画面遷移は、どちらを選んでも同一です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ef3fb842-dfda-1765-9ff0-a7092a19cbda.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝「ルート CA」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/577890ea-1cd4-a2ed-b6ed-eb5220511564.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝「新しい秘密キーを作成する」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/fccea4f9-db99-2cda-a2ff-a5ef5efeb45c.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>① 暗号化プロバイダーの選択 "RSA#Microsoft Software Key Storage Provider" (既定値)<br>② キー長「2048」（既定値）<br>③ CA が秘密キーにアクセスするときに、管理者による操作を許可する "OFF" (既定値)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0f203358-80b5-404e-f809-1cd0ac9214fe.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>以下の例は「nps.local」というドメイン環境だった場合<br>① この CA の共通名＝nps-NPSSA-CA<br>② 識別名のサフィックス＝DC=nps,DC=local<br>③ 識別名のプレビュー＝CN=nps-NPSCA-CA,DC=nps,DC=local
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d6f7e0b8-18f2-b948-06f0-836dda943095.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>既定値＝ 5 年間
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/014a9fd1-4e90-30ff-adc9-bfbe8686f7d9.png)
　<br>
1. 以下の画面では、既定値のまま「次へ」を押す。<br>① 証明書データベースの場所「C:\Windows\system32\CertLog」（既定値）<br>② 証明書データベース ログの場所「C:\Windows\system32\CertLog」（既定値）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8532b32c-7483-e748-e9ca-633a330dafb3.png)
　<br>
1. 以下の最終確認画面では、「構成」を押す。
（スタンドアロン CA の場合）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a8b9f0e1-74a6-3f42-482c-f88323abcab9.png)
（エンタープライズ CA の場合）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6adad751-f2b6-f32c-02ce-98c675d08b5c.png)
　<br>
1. 以下のような画面になれば、AD CS のインストールは完了です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5a041ad2-df98-f2da-7cee-312c09e4e2fb.png)

# 証明書 Web 登録 への HTTP アクセスを許可
:::note info
**http://[ADCSサーバーのIP]/certsrv** にアクセスし、以下の認証窓が表示されたら、ドメイン管理者で認証してアクセスできます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/92d7e383-4fa3-e099-85e7-f8c43a86d1d3.png)
以下の画面が出れば、OK です。以降の作業は必要ありません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0d6dd45f-83f0-fb7f-34d4-dc83a1382f9f.png)
:::

:::note warn
上記の画面が表示されずに、タイムアウトする場合は、以降の手順を実施してください。
:::

0. サーバーマネージャーから「ツール」－「セキュリティが強化された Windows Defender ファイアウォール」を起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2b566e61-50dd-f94b-b3bf-38e80c633f75.png)
　<br>
0. 「受信の規則」を右クリックして「新しい規則」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1f7093dc-31e5-3de6-08c2-a59737eef267.png)
　<br>
0. 「ポート」を選んで「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1cc968cf-bdf1-3c7e-7c3d-3ec65e7d6330.png)
　<br>
0. 特定のローカルポート欄に「80,443」を入力して「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/14a5afc3-91e9-d044-0461-410a7da8ee5a.png)
　<br>
0. 「接続を許可する」を選択して「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a806a43d-0f33-57bd-9e00-83ba3108ce55.png)
　<br>
0. 「ドメイン」だけにチェックが入った状態にして「次へ」を押します。
許可する範囲は任意ですが、「プライベート や パブリック」に許可していると、ドメイン外の PC を接続された際に、そこから証明書を発行されてしまうリスクを防ぐために制限を掛けています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/09c9f82b-0735-a7b1-4da7-aee7d0fce0ce.png)
　<br>
0. 任意の名前をつけて、「完了」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/281fdc5f-9012-c2de-99f0-e9ffed7f2031.png)
　<br>
0. こんな感じで追加されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cf88ba51-1917-86f1-566b-cd5b5f6709cd.png)
　<br>
0. ドメインに参加しているマシンのブラウザから、以下の URL へアクセスして、証明書 Web 登録 の画面が表示されれば OK です。
~~~
http://[ADCSサーバーのIP]/certsrv
~~~
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0d6dd45f-83f0-fb7f-34d4-dc83a1382f9f.png)

# あわせて読みたい、私が記載した 証明書シリーズ の記事たちです

https://qiita.com/carol0226/items/33042c5c639c79832aeb

https://qiita.com/carol0226/items/0c9a6c880fcacbcb8998

https://qiita.com/carol0226/items/333da143c95550412b2b

https://qiita.com/carol0226/items/3f0d77848aed59751d9b

https://qiita.com/carol0226/items/ba5c9eb1ff0f27e8be3b

https://qiita.com/carol0226/items/e3482e03df636f4a689b

https://qiita.com/carol0226/items/564a21455cd3e5f58906

https://qiita.com/carol0226/items/472747e7308762ca0ce1

https://qiita.com/carol0226/items/9fb73fbbbd196fbec19e

https://qiita.com/carol0226/items/be07b6e11967c31aeb65

以下は、AD CS を使わずに 証明書を作る方法ですが、証明書関連って事で・・・

https://qiita.com/carol0226/items/8663842e2c7422de7e55

# ご参考
Microsoft 公式 の ADCS インストール手順です。

https://learn.microsoft.com/ja-jp/windows-server/networking/core-network-guide/cncg/server-certs/install-the-certification-authority?wt.mc_id=mvp_407731

その他の役割サービスについても 以下に 記事化しています。
ぜひ、併せて参照ください。

https://qiita.com/carol0226/items/0dea96f5ce09b8cf89a6