よくある質問と回答 技術情報：証明書のダウンロード・インストールについて

[IIS] クロスルート設定が正しく反映されない

事象

Windows サーバーでは、クロスルート証明書と同名のルート証明書が存在する場合に、クロスルート証明書がクライアントに提示されません。
その影響を受け、クロスルート（4階層）設定を必要とするクライアントでは、証明書が信頼できない旨の警告が表示されることがあります。

原因

Windows サーバーの仕様により、サーバー証明書に信頼された証明書パスが複数ある場合に発生します。
詳細については、以下 Microsoft 社のドキュメントをご参照ください。
→ 証明書にルート CA への信頼された証明書パスが複数ある場合、証明書の検証が失敗します

回避策（参考）

1. システム管理者としてデバイスにログオンします。
2. 次の手順に従って、証明書スナップインを Microsoft Management Console に追加します。
   ・[スタート] > [実行] をクリックし、「mmc」と入力して Enter キーを押します。
   ・[ファイル] メニューの [スナップインの追加と削除] をクリックします。
   ・[証明書] を選択して [追加] をクリックし、[コンピューター アカウント] を選択して [次へ] をクリックします。
   ・[ローカル コンピューター (このコンソールを実行しているコンピューター)] を選択して、[完了] をクリックします。
   ・[OK] をクリックします。
3. 管理コンソールで [証明書 (ローカル コンピューター)] を展開し、[信頼されたルート証明機関]－[証明書]をクリックします。
4. ルート証明書一覧から、発行先・発行者が[SECOM TLS RSA Root CA 2024]を見つけます。
5. 証明書を削除または無効にするには、次のいずれかの方法を使用します。
   ・証明書を削除するには、証明書を右クリックし、[削除] をクリックします。
   ・証明書を無効にするには、証明書を右クリックし、[プロパティ] をクリックして [この証明書のすべての目的を無効にする] を選択し、[OK] をクリックします。
6. 問題がまだ発生している場合は、サーバーを再起動します。

さらに、サーバー上で [ルート証明書を自動更新しない] グループ ポリシー設定が無効になっているか、設定されていない場合は、次回チェーンビルドが発生したときに、使用しない証明書パスの証明書が有効化またはインストールされる可能性があります。 グループ ポリシー設定を変更するには、次の手順を実行します。

1. [スタート] > [実行] をクリックし、「gpedit.msc」と入力して Enter キーを押します。
2. [コンピューター構成] > [管理用テンプレート] > [システム] > [インターネット通信管理] を展開し、[インターネット通信の設定] をクリックします。
3. [ルート証明書を自動更新しない] をダブルクリックし、[有効] を選択して [OK] をクリックします。
4. ローカル グループ ポリシー エディターを修了します。