Microsoft 365 Azure AD など Azure の TLS ルート証明書が変更されているようです

クラウドをの仕組みを利用していくうえで絶対に欠かせない話題として挙げられるのはセキュリティです。そんなセキュリティの観点において、 PKI を用いた暗号化通信は知らずとも一度は利用している。そんな機能となっています。（いわゆる HTTPS 通信の証明書という形で実装された機能です。インターネット利用者なら必ず使っていることでしょう。）

そんな暗号化通信ですが、 Microsoft 365 の通信でも利用されています。
しかし最近、この通信の上位証明書が変更となる改変が入ったようです。

https://docs.microsoft.com/en-us/azure/security/fundamentals/tls-certificate-changes?WT.mc_id=M365-MVP-5002496

f:id:mohessu:20201010020314p:plain

この内容によると、 2020年 7月 7日から 2020年 10月 26日にかけて変更が行われるとのことです。

基本は Azure のルート認証局と中間認証局が入れ替わるようですが、 Microsoft 365 では Auzre AD の証明書が関連することになるのかと思います。

で、本題はここからなのですが、 PKI ではルート認証局が変わったとしても、それを信頼できていればアクセスに支障が出ることはありませんでした。

が、認証局が変わることで CRL など失効時の情報が書かれたサイトのアドレスが変わることを意識しておく必要があるのは忘れないようにする必要があります。

今回の変更で追加となる失効情報のぱすも以下に記載されていました。

f:id:mohessu:20201010020341p:plain

このアドレスにアクセスできないと正しい通信ができたかわからないため、ファイアウォールなどを使っている場合、通過できるようにしておく必要があります。

このアドレス、 Office 365 の IP 、 URL 一覧に記載がないかと探してみました。
失効情報は No125 に書かれているようなのですが、一部のアドレスは含まれていませんでした。これは Azure AD ではないところ（ Microsoft 365 は関連したいドメインでのみ利用されている）のかも知れません。

https://docs.microsoft.com/ja-jp/microsoft-365/enterprise/urls-and-ip-address-ranges?WT.mc_id=M365-MVP-5002496

f:id:mohessu:20201010020418p:plain