無線LANアクセス-クライアント証明書認証

文書更新日:2026-08-05

目的

PIO-IDのユーザで、Aruba Instant 無線LANアクセスポイントへアクセスします。
接続する際の認証方式は、クライアント証明書認証（EAP-TLS）です。
PIO-IDの標準RADIUSサーバを利用します。
ユーザ/グループによるアクセス制限をします。

設定方法

PIO-IDのグループの作成

PIO-ID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名を入力し、登録ボタンをクリックします。

PIO-IDのユーザの作成

PIO-ID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
メンバーとなるグループを選択し、登録ボタンをクリックします。

PIO-IDのクライアント証明書の発行

PIO-ID 管理者ポータル＞ユーザ画面へ移動します。
クライアント証明書を発行したいユーザの行にあるチェックボックスを選択します。
選択実行ボタンの▼をクリックし、プルダウンメニューの証明書の発行を選択します。
証明書発行画面がポップアップします。
プロファイル（例：デフォルト）および配布形式（例：一般）を選択します。
発行ボタンをクリックして、クライアント証明書を発行します。ユーザのメールアドレス宛に発行されたクライアント証明書のダウンロードリンクが送信されます。

PIO-IDのRADIUSサイトの登録

PIO-ID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからAruba Instant 無線LANアクセスポイントの登録ボタンをクリックします。Aruba Instant 無線LANアクセスポイント画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効を選択します。
サーバ	標準を選択します。
サーバ番号	適切なサーバ番号を選択します。選択するサーバの番号により、RADIUSサーバのポート番号が異なります。PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞RADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。
IP or ホスト名	Aruba Instant 無線LANアクセスポイント側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。グローバルIPアドレスが、動的の場合には、DDNS（ダイナミックDNS）を利用してホスト名（FQDN）を設定します。注意: グローバルIPアドレスにIPv4の共用IPアドレスが使用されるインターネット接続サービス（IPv6インターネット接続、マンションタイプのインターネット接続、CATVインターネット、モバイルインターネット）の場合やDDNSサービスの利用ができない場合には、拡張RADIUSサーバの利用を検討してください。
シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

無線アクセスの認証タブへ移動します。
許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。
Info
- 証明書認証（EAP-TLS）のみ許可を有効にすると、クライアント証明書認証以外の認証方式のアクセスを拒否します。
- 認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。
登録ボタンをクリックします。

Aruba Instant 無線LANアクセスポイントの設定

RADIUSサーバの設定

Aruba Instantの管理画面へログインします。
Configuration＞Security画面へ移動します。
Authentication Serversを展開し、＋をクリックします。

プライマリRADIUSサーバを以下の内容で登録します。

設定項目	設定内容
Name	任意の名前を設定します。（例: `PIO-ID-RADIUS-Primary`）
IP Address	PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのプライマリです。
RadSec	無効にします。
Auth port	PIO-IDのRADIUSサイトの登録の手順のサーバ番号に対応したポート番号です。
Shared key	PIO-IDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。
Retype key	Shared keyと同じ値です。
Timeout	10秒を設定します。（デフォルト値: 5秒）

OKをクリックします。
同じ手順でセカンダリRADIUSサーバを登録します。（例: PIO-ID-RADIUS-Secondary）
SAVEボタンをクリックします。

SSIDの設定

Configuration＞Networks画面へ移動します。
＋をクリックします。SSIDプロファイルを作成するウィザードが表示されます。
Basicステップで、以下を設定します。

設定項目 設定内容

Name 任意のSSIDを設定します。

Type Wirelessを選択します。

Primary usage Employeeを選択します。
RADIUS属性でVLAN IDを割り当てる場合は、VLANステップで以下を設定します。

設定項目 設定内容

Client IP assignment Network assignedを選択します。

Client VLAN assignment Dynamicを選択します。（デフォルト値: Default）

Info

Client VLAN assignmentでDefaultを選択すると、有線ネットワークのネイティブVLANが割り当てられます。PIO-IDで設定したVLAN IDは、RADIUSのTunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-Idにより割り当てられるため、Dynamicを選択し、VLAN Assignment Rulesは追加しません。

VLAN Assignment Rulesは、RADIUSから返された別の属性値を条件に、Aruba Instant側でVLANを割り当てる場合に使用します。

Securityステップで、以下を設定します。

設定項目	設定内容
Security Level	Enterpriseを選択します。
Key Management	検証対象に応じてWPA2-EnterpriseまたはWPA3-Enterprise (CCM 128)を選択します。
Authentication server 1	RADIUSサーバの設定で登録したプライマリRADIUSサーバを選択します。（例: `PIO-ID-RADIUS-Primary`）
Authentication server 2	RADIUSサーバの設定で登録したセカンダリRADIUSサーバを選択します。（例: `PIO-ID-RADIUS-Secondary`）
EAP Offload	デフォルトで無効です。無効であることを確認し、EAP-TLSをPIO-IDのRADIUSサーバで処理します。
Reauth interval	`1440` min.を設定します。（デフォルト値: 0分）
Opportunistic Key Caching (OKC)	有効にします。（デフォルト値: 無効）
802.11r	必要に応じて設定します。
802.11k	必要に応じて設定します。
802.11k for 6G	6GHzを使用する場合に、必要に応じて設定します。
802.11v	必要に応じて設定します。

Info

Reauth intervalを1440分に設定すると、接続中のクライアントを24時間ごとに再認証します。再認証に失敗したクライアントは切断されます。

Opportunistic Key Caching (OKC)は、同一Instantクラスタ内のAP間を移動する際にPMKキャッシュを利用します。対応クライアントのローミング時に完全な802.1X認証を省略し、PIO-IDへのRADIUS認証が高頻度に発生することを抑えるため、有効にします。

802.11r、802.11k、802.11k for 6G、802.11vは、PIO-IDとの連携に必要な設定ではありません。クライアントの対応状況と無線LANの運用方針に応じて設定してください。各機能の詳細は、Configuring Security Settings for a WLAN SSID Profile（Aruba Instant）を確認してください。

Accessステップで、必要に応じてアクセスルールを設定し、Finishをクリックします。

Info

Aruba Instant側でアクセスを制限しない場合は、Access RulesにUnrestrictedを選択し、Download rolesを無効にします。
Aruba InstantのCLIで、対象のSSIDプロファイルに以下を設定します。
```
configure terminal
wlan ssid-profile <SSIDプロファイル名>
 called-station-id type macaddr
 called-station-id include-ssid delimiter :
end
commit apply
```
Info

この設定は、Called-Station-IdへSSIDを付加し、APのMACアドレスとSSIDの区切り文字にコロン（:）を使用するための設定です。

動作確認方法

以下を参考にクライアントを設定して動作確認します。

クライアント接続設定

設定項目	設定内容
Name	任意のSSIDを設定します。
Type	Wirelessを選択します。
Primary usage	Employeeを選択します。

設定項目	設定内容
Client IP assignment	Network assignedを選択します。
Client VLAN assignment	Dynamicを選択します。（デフォルト値: Default）