クライアント証明書とは？プライベート認証局の種類と価格、S/MIMEの違い

クライアント証明書とは

クライアント証明書は、会社が許可した端末や利用者だけをシステムに通すために使う電子証明書です。IDとパスワードに証明書を足すと、多要素認証になります。VPN、無線LAN、Microsoft 365などのログインに使います。

発行と失効を管理するのが認証局です。社内の端末を確かめるだけなら、プライベート認証局で足ります。社外の相手に証明書を確かめてもらうメールの署名には、パブリックな認証局の証明書を使います。

選ぶときの3つの点

選ぶときは「認証局を誰が持つか」「何に使うか」「どう配るか」の3つを先に決めます。

認証局を誰が持つか

• クラウドの発行サービスは、提供会社の認証局を使います。NRA-PKIクライアント証明書は機能をSaaSで提供し、自社に認証局を立てずに使えます。
• 自社設置の認証局は、機器やソフトを自社に置きます。NetAttest EPSは物理アプライアンスと仮想アプライアンスがあり、Gléasはラックマウント型（1U）と仮想サーバがあります。
• CloudLink CAは自社のサーバーに入れるソフトで、シングルサインオン製品CloudLinkの機能の1つとして動きます。

何に使うか

• 端末を絞るなら、サイバートラスト デバイス IDのように許可した端末に証明書を入れる製品を選びます。
• 社内LANの認証と一緒に運用するなら、RADIUSサーバーと認証局を1台にしたNetAttest EPSが合います。
• メールの署名には、セコムパスポート for PublicIDやデジサート セキュアメール IDを使います。セキュアメール IDは顧客や会員に大量のメールを送る会社向けです。

どう配るか

• マネージドPKI Lite byGMOは、取得用URLのメールと管理者の一括取得を選べます。
• サイバートラスト デバイス IDは、OTA、TPM、AES、SCEP、WebAPIをオプションで選べます。
• Gléasは、ブラウザ、専用アプリ、SCEP、MDM連携から選べます。
• EPPCERTは、USBトークン、CD、ICカードに入れて受け取れます。

価格

公式に価格を出している製品は3つです。税区分と単位がそろわないので、そのままは比べられません。

• マネージドPKI Lite byGMOは、10ライセンス1年110,000円（税抜）⁠で⁠す⁠。初期費用と年間保守費はかかりません。
• NRA-PKIクライアント証明書は、1ライセンス1年2,640円の参考小売価格で、別途CA基本利用料79,200円がかかります。税区分の記載はありません。
• デジサート セキュアメール IDは、1メールアドレス1年226,500円（税抜）⁠で⁠⁠⁠⁠す⁠。

有効期間

• EINS/PKI for Smart Deviceは、認証局を作るときに運用に合わせて決められます。
• マネージドPKI Lite byGMOは、S/MIME用途なら最大2年です。
• セコムパスポート for PublicIDは最長2年です。

導入の前に確かめること

• ライセンスの数え方がユーザー単位か端末単位かを確かめます。
• 証明書のエクスポートを禁止できるかを確かめます。コピーできると私物端末にも移せます。
• 期限が切れる前の更新の手順と、紛失したときの失効の手順を決めます。