macOS でプロファイルベースの証明書の更新機能を使う

最新バージョンの macOS は、構成プロファイルから取得した証明書の更新に対応しています。

macOS では、以下の 2 つの方法で、構成プロファイルを使って証明書の登録状況を更新できます。

Simple Certificate Enrollment Protocol (SCEP)：多くの場合、Microsoft Certificate Authority (CA) のネットワークデバイス登録サービス (NDES) が利用されます。
DCOM/RPC (ADCertificate)：Microsoft Windows Server Certificate Authority (CA) に依拠しています。

証明書について

macOS では、同じプロファイルを使って証明書を取得し、更新できます。証明書の有効期限の 15 日前になると、通知が届きます。システム環境設定の「プロファイル」パネルで、証明書プロファイルの「更新」をクリックしてください。証明書の有効期限まで 15 日未満になると、通知センターにバナーが表示されます。この通知は、証明書の期限が切れるか、何らかの対処がなされるまで、1 日に 1 回繰り返し表示されます。

ADCertificate で更新する

システム環境設定の「プロファイル」パネルで「更新」ボタンをクリックすると、新しい秘密鍵が作成されます。この新しい秘密鍵が証明書要求への署名に使われ、署名済みの証明書要求が CA に送信されます。CA から発行された新しい証明書が新しい秘密鍵とペアになります。

プロファイルをインストールしたときに作成された元の証明書と秘密鍵はキーチェーンに残ります。

SCEP で更新する

システム環境設定の「プロファイル」パネルで「更新」ボタンをクリックします。現状の秘密鍵が証明書要求への署名に使われ、署名済みの証明書要求が CA に送信されます。CA が証明書を更新すると、その証明書が元の秘密鍵とペアになります。

プロファイルをインストールしたときに作成された元の証明書はキーチェーンに残ります。

コマンドラインを使って更新する

macOS 10.12 Sierra では、ADCertificate および SCEP のプロファイルで生成される証明書を /usr/bin/profiles コマンドで更新できます。コマンドラインで以下の構文を使ってください。

profiles -W -p <profileIdentifier 値>

"profileIdentifier" の値は、-L コマンド引数を使ってインストール済みのプロファイルのリストを表示すれば確認できます。

更新通知を設定する

Yosemite 以降のバージョンの macOS では、証明書の有効期限まで 14 日を切ると、毎日通知が表示されるようになっています。

毎日の通知時刻は、CertificateRenewalTimeInterval と CertificateRenewalTimePercent という 2 つの構成パラメータで変更できます。

パラメータ	適用方法	指定できる値	値のタイプ
CertificateRenewalTimeInterval	プロファイルマネージャの構成プロファイル：ADCert または SCEP	15 日以上、または証明書の有効期間よりも短い日数	日数 (整数値)
CertificateRenewalTimePercent	/usr/sbin/defaults	1 から 50 までの値	パーセンテージ (整数値)

CertificateRenewalTimePercent は、以下のような構文で適用できます。

sudo defaults write /Library/Preferences/com.apple.mdmclient CertificateRenewalTimePercent -int 25

以下のように 2 つの設定を併用できます。

プロファイルで CertificateRenewalTimeInterval が定義されている場合は、その値が使われます。
プロファイルで CertificateRenewalTimeInterval が定義されていないが、クライアント側で定義されている場合は、CertificateRenewalTimePercent の値が使われます。

いずれの値も定義されていない場合、時間間隔は 14 日間に設定されます。