【Microsoft 365】証明書ベース認証でスマホだけ失敗する時の証明書配布確認

Microsoft 365の証明書ベース認証(CBA)を導入している企業で、スマートフォンだけ認証に失敗するトラブルが報告されています。PCでは正常に接続できるにもかかわらず、iOSやAndroidのモバイルデバイスだけ「証明書がありません」「信頼できない証明書です」といったエラーが表示されるケースです。原因の多くは、スマートフォンへの証明書配布やクライアント証明書の設定にあります。本記事では、スマホだけ失敗する場合の切り分け手順と、管理者が確認すべき証明書配布のポイントを解説します。

証明書ベース認証でスマホだけ失敗する主な原因

証明書ベース認証では、スマートフォンにクライアント証明書と、それを発行した認証局(CA)のルート証明書の両方がインストールされている必要があります。PCと同じ証明書がスマホに配布されていない、または配布方法が異なるために、認証が通らないケースが多発します。代表的な原因を以下にまとめます。

原因	詳細	PC対比
ルート証明書未インストール	スマホの信頼されたルート証明書ストアに社内CAの証明書が入っていない。	PCはドメイン参加で自動配布されるが、スマホは手動またはMDMが必要。
クライアント証明書の有効期限切れ	スマホにインストールされた証明書の期限が切れている。	PCの証明書は自動更新されるが、スマホは更新ポリシーが未適用。
UPNとSANの不一致	クライアント証明書のサブジェクト代替名(SAN)にユーザーUPNが含まれていない。	PCは別の属性で認証可能な場合があるが、スマホはSANのUPNが必要。
配布方法の違い	MDM(Intuneなど)のポリシーが正しく構成されておらず、スマホに証明書が届いていない。	PCはGPOで配布、スマホはMDMプロファイルで配布。
スマホOSの証明書ストア制限	iOS/Androidで証明書のインストール形式(.p12/.pfx)が異なり、受け付けない。	PCは任意の形式をインポート可能だが、スマホはMDM経由のプロファイルが必須。

スマホの証明書状態を確認する手順

まずはスマホに証明書が正しくインストールされているか確認します。以下の手順で、ルート証明書とクライアント証明書を個別にチェックしてください。

1. iOSの場合: 「設定」アプリを開き、「一般」→「VPNとデバイス管理」をタップします。構成プロファイルの一覧に、会社用のプロファイルが表示されていることを確認します。
2. iOSの証明書確認: 「設定」→「一般」→「情報」→「証明書信頼設定」を開き、ルート証明書が「完全信頼」としてONになっているか確認します。
3. Androidの場合: 「設定」→「セキュリティ」→「暗号化と認証情報」→「信頼できる認証情報」を開きます。システムタブとユーザータブの両方を確認し、社内CAのルート証明書が存在するか確認します。
4. Androidのクライアント証明書: 「設定」→「セキュリティ」→「ユーザー認証情報」で、自分のクライアント証明書が表示されているか確認します。
5. 有効期限の確認: クライアント証明書の詳細を開き、有効期限が切れていないことを確認します。有効期限が近い場合は管理者に再発行を依頼します。

管理者に伝えるべき情報と確認依頼

スマホだけ失敗する場合、端末操作では解決できない設定が原因であることが多いため、管理者に正確な情報を伝えることが重要です。以下の内容を整理して連絡してください。

• エラーメッセージのスクリーンショット: 認証失敗時に表示されるエラー文(例:「証明書が見つかりません」「サーバーが証明書を拒否しました」)を撮影します。
• スマホのOSバージョンと機種: iOSの場合はバージョン番号、Androidの場合はメーカーとOSバージョンを記載します。
• 証明書の有無: 上記手順で確認したルート証明書とクライアント証明書の有無、および有効期限を伝えます。
• 正常動作する端末との比較: PCや他のスマホで成功している場合は、その端末のOSや証明書状態を併せて報告します。
• 発生タイミング: 特定のネットワーク(社内Wi-Fi / モバイル回線)でのみ発生するのか、常に失敗するのかを明確にします。

よくある質問と回答

Q1: スマホに一度証明書を入れたのに、突然使えなくなりました。

証明書の有効期限切れの可能性が高いです。特にクライアント証明書の期限は1年程度に設定されることが多く、自動更新が設定されていないスマホでは期限切れに気づきません。管理者に有効期限の確認と再配布を依頼してください。

Q2: PCでは認証できるのに、同じ証明書をスマホに手動でインストールしてもダメです。

手動インストールでは正しく動作しないことがあります。Microsoft 365の証明書ベース認証では、スマホにMDM(Intuneなど)経由で構成プロファイルとして配布する必要があるため、手動の.cerや.pfxインポートでは不十分です。管理者にMDMポリシーを確認してもらってください。

Q3: スマホを初期化したら認証できなくなりました。

初期化により証明書と構成プロファイルがすべて削除されたためです。MDMに再登録し、管理者が証明書プロファイルを再展開する必要があります。自分で証明書を再インストールしないでください。

スマホだけ失敗するパターンと判断基準

トラブルシューティングの際、どの原因に当てはまるかを素早く判断するための基準をまとめます。

• パターン1:ルート証明書がない – エラー文に「信頼できない証明書」や「発行元が信頼されていません」と表示される。スマホの信頼ストアにCA証明書が存在しない。
• パターン2:クライアント証明書がないか期限切れ – エラー文に「証明書が見つかりません」や「クライアント証明書が無効です」と表示される。ユーザー証明書ストアに有効な証明書がない。
• パターン3:UPNとSANの不一致 – エラー文に「サブジェクトが一致しません」や「ユーザー名と証明書が一致しません」と表示される。特にMicrosoft 365ではSANにUPNが必要。
• パターン4:MDMポリシー未適用 – スマホがMDMに登録されていない、または証明書プロファイルが割り当てられていない。エラーは「証明書を取得できません」「ポリシーが適用されていません」など。

まとめ

スマートフォンだけ証明書ベース認証に失敗する場合、原因の大半は証明書の配布不足または設定ミスです。PCと同じ証明書でも、スマホへのインストール方法やOSの証明書ストアが異なるため、個別の対応が必要です。最初にスマホの証明書ストアを確認し、ルート証明書とクライアント証明書の有無と有効期限をチェックしましょう。問題が解決しない場合は、エラー情報と端末情報を管理者に伝え、MDMポリシーの再適用を依頼してください。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。