複合機の802.1X認証とは？RADIUSサーバーと証明書の設定ポイント

複合機の802.1X認証とは

802.1Xを構成する3つの役割

キヤノンの公式マニュアルでは、802.1XネットワークをRADIUSサーバー、LANスイッチ、クライアント機器の3要素で説明しています。

ここで間違えやすいのが、RADIUSクライアントの意味です。
通常、RADIUSクライアントとしてサーバーへ登録するのは複合機ではなく、認証要求を転送するLANスイッチや無線アクセスポイントです。
複合機がRADIUSサーバーへ直接UDP 1812で認証要求を送る構成だと誤解しないようにしましょう。

認証されるまで通常通信は制限される

複合機と認証スイッチは、EAPOLと呼ばれる仕組みを使って認証情報をやり取りします。
認証スイッチはその内容をRADIUSへ中継し、許可が返ってから通常のIP通信を通します。
設定に失敗すると、パソコンから複合機のIPアドレスへアクセスして修正すること自体が難しくなります。

有線802.1Xと無線LAN認証は分けて確認する

無線LANのWPA2-EnterpriseやWPA3-Enterpriseで802.1Xを利用できても、有線Ethernet側で同じEAP方式に対応するとは限りません。
仕様表の記載が無線LAN欄にある場合は、有線LAN側での対応可否を書面で確認するのが安全です。

中小企業で802.1Xを導入する目的

主な目的は、未登録端末の接続防止、端末単位のアクセス制御、認証ログの記録です。
来訪者が空いているLANポートへ端末を接続した場合や、管理外の機器が持ち込まれた場合のリスクを抑えられます。

ただし、802.1Xだけで複合機の安全対策が完了するわけではありません。
管理者パスワード、ファームウェア更新、保存データの消去、SMB・SMTP通信の暗号化、不要なプロトコルの停止なども必要です。
VLANを併用する場合は、複合機をVLAN越しに使うためのルーティングとポート設定もあわせて確認してください。

EAP-TLS・PEAP・EAP-TTLSと証明書の違い

主なEAP方式の比較

リコーの公式マニュアルで示されている必要証明書をもとに整理すると、主な違いは次のとおりです。
ただし、対応方式や証明書の要否はメーカー・機種によって異なります。

EAP-TLSは、複合機固有の証明書を使って認証できる点が特徴です。
共有ID・パスワードへの依存を減らせますが、複合機の入れ替え、証明書期限切れ、秘密鍵漏えい、機器廃棄時の失効まで考えた運用が必要です。

PEAPやEAP-TTLSはID・パスワードを利用できる機種があります。
構築しやすい一方、共通IDを複数台で使うと、どの機器が接続したか追いにくくなります。
可能であれば複合機ごとに認証情報を分け、退役時に個別無効化できるようにします。

PEAPのフェーズ2にも違いがある

PEAP対応という記載だけでは不十分です。
トンネル内部でMS-CHAPv2などのどの方式を使えるかを確認します。
リコーの案内では、PEAPのフェーズ2でTLSを利用する構成の場合、ルートCA証明書に加えて機器証明書が必要とされています。

証明書で必ず確認したいSAN・EKU・チェーン

証明書ファイルを登録できても、用途や名前が正しくなければ認証は成立しません。
MicrosoftのEAP-TLS・PEAP証明書要件では、クライアント証明書が信頼されたルートCAまでチェーンできること、Client Authentication用途を含むことなどが示されています。

• 複合機の機器証明書にClient AuthenticationのEKUがあるか
• RADIUSサーバー証明書にServer AuthenticationのEKUがあるか
• Server AuthenticationのOIDが1.3.6.1.5.5.7.3.1になっているか
• サーバー証明書のSANにRADIUSサーバーのFQDNがあるか
• ルートCAと中間CAを含む証明書チェーンを検証できるか
• 証明書の有効期間内で、複合機の日時が正しいか

CAを信頼するだけでは、同じCAから発行された別サーバーの証明書を受け入れてしまうおそれがあります。
サーバー名検証に対応する機種では、RADIUSサーバー証明書のSANまたはCNと一致するFQDNをサーバーIDへ設定します。

対応ファイル形式は機種ごとに異なる

確認項目はPEM、DER、PKCS#12への対応、秘密鍵付き証明書のインポート方法、CSRの本体生成、中間CAの登録、一括配布の可否です。
リコーの公式マニュアルには、サイト証明書・ルート証明書としてPEM形式をインポートする案内がありますが、これを他社製品や全機種へそのまま当てはめることはできません。

証明書の更新を導入時に設計する

期限切れの直前に対応すると、印刷停止につながりかねません。
更新担当者、保管場所、秘密鍵のパスワード管理方法を決め、期限の60～90日前などに通知する運用を設けます。
新旧証明書を並行登録できるか、通信を止めずに切り替えられるかも確認してください。

RADIUSサーバーと複合機の設定手順

RADIUSサーバーと認証スイッチ側の設定

1. 認証スイッチまたは無線APの管理用IPアドレスを固定します。
2. スイッチまたはAPをRADIUSクライアントとして登録します。
3. RADIUS側とネットワーク機器側で共有シークレットを一致させます。
4. 複合機専用の接続要求ポリシー、ネットワークポリシー、または認証グループを用意します。
5. EAP-TLS、PEAP、EAP-TTLSなど、許可する方式を決めます。
6. 認証成功時に割り当てるVLANやアクセス制御を設定します。
7. 認証ログを有効にし、失敗理由を確認できる状態にします。

RFC 2865で定められた標準的なRADIUS認証ポートはUDP 1812です。
RADIUS Accountingを利用する場合は、RFC 2866に基づくUDP 1813も確認します。
Accountingを使わない構成では1813が不要な場合があります。

ファイアウォールでUDP 1812を許可する通信元は、原則として複合機ではなく認証スイッチやAPです。
NAT、管理用インターフェース、冗長化などによって実際の送信元IPアドレスが変わることがあるため、RADIUSログまたはネットワーク機器の仕様で確認してください。

共有シークレットと送信元IPを確認する

共有シークレットが一文字でも異なる、またはRADIUSへ届いた送信元IPが登録内容と違う場合、要求は拒否されます。
認証方式を疑う前に、RADIUSサーバーへ要求が到達しているか、どの機器から届いているかを確認します。

複合機側の設定順序

1. 候補機種が有線または無線で必要なEAP方式へ対応することを確認します。
2. 複合機の日時、タイムゾーン、DNS、IPアドレスを設定します。
3. ルートCA証明書と必要な中間CA証明書を登録します。
4. EAP-TLSでは、機器証明書と対応する秘密鍵を登録します。
5. EAP方式、ユーザーID、匿名ID、フェーズ2方式などを設定します。
6. サーバー証明書検証を有効にします。
7. RADIUSサーバーのFQDNをサーバーIDとして設定します。
8. 有効期限、CNまたはSAN、証明書チェーンの検証項目を確認します。
9. 復旧経路を確保した状態で802.1Xを有効にし、認証テストを行います。

証明書を登録する前に802.1Xを有効化すると、必要な設定を入れ終える前に通信できなくなることがあります。
機種のマニュアルに指定された順序がある場合は、そちらを優先してください。

IPアドレス設定と802.1Xを混同しない

802.1X認証に成功した後、DHCPでアドレスを取得できず通信できないケースもあります。
認証成功とIP設定は別の段階です。
固定IPとDHCP予約の選び方は、複合機の固定IPとDHCP予約の違いも参考にしてください。

導入時に行う接続試験

• 複合機を再起動しても自動で再認証できるか
• スイッチポートのリンク断後に復帰できるか
• 印刷、Web管理、スキャン、メール送信が動作するか
• 認証失敗時に未認証VLANへ隔離されるか
• 期限切れまたは信頼されない証明書を拒否するか
• 新しい証明書へ切り替えた後も再接続できるか

よくある認証エラーと復旧・更新方法

症状別の主な原因

認証成功後に印刷できない場合は、802.1Xではなく、印刷ポートやVLAN間通信が原因かもしれません。
複合機が準備完了なのに印刷できない場合のTCP/IPポート確認も切り分けに役立ちます。

証明書の時刻エラーを見落とさない

複合機の時計が大きくずれていると、有効な証明書でも「有効期間外」と判定されます。
NTP同期が認証後のネットワークでしか利用できない構成では、初回設定時に手動で正しい日時へ合わせる必要があります。

通信不能になったときの復旧手順

1. 認証スイッチ側で対象ポートの認証状態と失敗理由を確認します。
2. RADIUSログで要求の到達、EAP方式、拒否理由を確認します。
3. 必要に応じて対象ポートを一時的な保守用VLANまたは認証なしの設定へ切り替えます。
4. 複合機のWeb管理画面または本体パネルから証明書と認証設定を修正します。
5. 設定変更後、スイッチの認証セッションをクリアして再認証します。
6. 通常の認証ポリシーへ戻し、再起動を含む試験を行います。

保守用VLANへの切り替えは、社内ルールに従い、作業時間を限定して行います。
認証を外した状態の放置は避けてください。
候補機種を比較するときは、本体パネルから802.1Xを無効化または初期化できるか、管理者パスワードを忘れた場合にどう復旧するかも販売会社へ確認します。

機器入れ替え時は証明書をそのままコピーしない

旧複合機の機器証明書と秘密鍵を新機種へコピーすると、同じ機器IDが重複する可能性があります。
新しい複合機には原則として新規証明書を発行し、旧証明書を失効させます。
リース返却や廃棄前には秘密鍵、アドレス帳、認証情報をメーカー指定手順で消去します。

保守会社との責任分界を決める

複合機の保守担当者が、RADIUSサーバーやスイッチまで操作できるとは限りません。
複合機側、社内ネットワーク側、認証基盤側の担当を分け、障害時の連絡順序を決めます。
証明書更新が通常保守に含まれるか、有償作業になるかも契約前に確認してください。

メーカー・機種を比較するときの確認項目

802.1X仕様の比較表

富士フイルムビジネスイノベーションのApeos C3067は、公式仕様上、PEAPv0、EAP-TLS、EAP-TTLSが記載されています。
無線LANではWPA2-Enterprise、WPA3-Enterpriseなどへの対応も示されています。
ただし、802.1Xの記載位置が無線LANの認証方式欄に含まれるため、有線Ethernet側で利用したい場合は販売会社へ確認するのが安全です。

キヤノン、リコー、コニカミノルタなども802.1Xの設定を公式マニュアルで案内していますが、共通マニュアルの記載だけで候補機種の対応を断定することはできません。
実際に購入する型番、オプション、コントローラー、ファームウェア版を指定して回答を依頼してください。

サーバー名検証の初期値にも注意する

コニカミノルタの現行機種向けガイドでは、証明書の有効期限、CN、証明書チェーンを検証する設定が案内されています。
掲載例の初期値は有効期限がオン、CNとチェーンがオフです。
初期値のままで社内基準を満たすとは限らないため、検証項目を一つずつ確認します。

HCD cPP・JISEC認証の確認

セキュリティ要件が厳しい組織では、Common Criteriaに関する認証も比較項目になります。
IPAの複合機向けセキュリティページには、Hardcopy Devices向け共同Protection ProfileとしてVersion 1.0e、2024年3月4日版が掲載されています。

ただし、「メーカーが認証を取得している」という説明だけでは判断できません。
購入する製品名、型番、コントローラーROM、ファームウェア版が認証対象に含まれるかを照合します。
導入後のファームウェア更新によって、評価・認証の対象範囲と差が生じないかも確認してください。

802.1X導入費用・本体価格・保守契約の比較方法

現行A3カラー複合機の価格・速度例

2026年8月25日時点の調査結果に基づくメーカー公式価格の例です。
価格は税別で、構成、オプション、リース料率、地域別の搬入条件は含めていません。

価格差には、印刷速度、FAX、給紙、フィニッシャー、セキュリティ機能などの構成差が含まれます。
本体価格だけを並べて優劣を決めず、必要機能を揃えた見積もりで比較してください。
また、802.1X対応の詳細が価格表から判断できない機種は、EAP方式と証明書条件を別途確認します。

802.1X設定費は別項目で見積もる

• CA証明書の登録
• 機器証明書と秘密鍵の登録
• RADIUS用ID・EAP方式の設定
• 認証スイッチまたは無線APの設定
• RADIUSポリシーの作成・変更
• 印刷、スキャン、再起動を含む認証試験
• 認証失敗時の復旧作業
• 証明書更新時の再設定

これらが搬入設置費や通常保守へ含まれるかは、販売会社と契約内容によって異なります。
作業範囲、想定時間、再訪問時の料金、社内CA側の作業担当を見積書へ明記してもらいましょう。

カウンター料金と5年後の加算を比較する

Apeos C3067の公式トータルサービス契約は有効期間5年です。
調査時点のレギュラー価格では、黒が月間1～1,000カウントで8.5円、フルカラーが1～1,000カウントで45.0円、最低プリント料金は月額6,800円です。
両面出力は表裏をそれぞれカウントします。
6年目は10％相当、7年目は21％相当、8年目以降は33％相当が加算される条件です。

RICOH IM C3010の公式資料では、基本料金が月額2,600円、モノカラーは500カウントまで8.5円、フルカラープリントは1,000カウントまで34.0円です。
契約有効期間は5年で、6年目はパフォーマンスチャージが8％アップ、7年目以降は12％アップとされています。
両面出力は2カウントです。

仮に月1,000枚の黒と500枚のフルカラーを各単価へ単純に掛けると、Apeos C3067の例は31,000円、RICOH IM C3010の例は黒8,500円とフルカラープリント17,000円で計25,500円です。
ただし、基本料金・最低料金の適用方法、コピーとプリントの区分、値引き、用紙サイズ、契約条件は異なります。
この試算だけで実際の請求額を断定することはできません。

月間印刷枚数が少ない会社では最低料金の影響が大きく、印刷枚数が多い会社では段階単価が重要です。
過去12か月のモノクロ・カラー枚数を集計し、両面を2カウントとして計算するか、長尺用紙が複数カウントになるかまで揃えて比較します。
リースとレンタルの違いは、複合機リースとレンタルの料金・契約期間比較も参考にしてください。

契約前チェックリスト

• 有線・無線のどちらで802.1Xを利用するか決めたか
• RADIUSサーバーが要求するEAP方式を確認したか
• フェーズ2認証方式まで一致しているか
• PEM、DER、PKCS#12など必要な証明書形式に対応するか
• SAN・CN・有効期限・証明書チェーンを検証できるか
• 機器証明書にClient Authentication EKUを設定できるか
• RADIUS証明書にServer Authentication EKUとFQDNのSANがあるか
• 認証スイッチをRADIUSクライアントとして登録したか
• UDP 1812と、必要に応じて1813の経路を確認したか
• 本体パネルから802.1Xを初期化できるか
• 証明書更新と機器入れ替え時の担当者を決めたか
• 802.1X設定・試験・復旧費が見積書に明記されているか
• カウンター単価、最低料金、消耗品の範囲を確認したか
• 5年後の自動更新と6年目以降の料金加算を確認したか
• 購入型番とファームウェアがJISEC認証などの対象か照合したか

まとめ

複合機の802.1X認証では、複合機がサプリカント、LANスイッチや無線APがオーセンティケーター兼RADIUSクライアントとして動作します。
RADIUSサーバーへ登録する機器を取り違えないことが、最初の重要なポイントです。

機種選定では、EAP-TLS、PEAP、EAP-TTLSの対応だけでなく、証明書形式、Client AuthenticationとServer AuthenticationのEKU、SANによるRADIUSサーバー名検証、中間CAを含むチェーン検証まで確認します。
設定前には、通信できなくなった場合の復旧方法も用意してください。

費用面では、本体価格と月額リース料に加え、証明書登録、スイッチ・RADIUS設定、接続試験、カウンター料金、5年経過後の加算を分けて比較します。
株式会社じむやでは、新品A3カラー複合機のリースと保守を全国対応で案内しています。
検討する際は、価格、契約期間、カウンター料金、保守範囲に加え、802.1X設定の担当範囲を明確にした見積もりを確認すると、導入後の行き違いを減らしやすくなります。

参考情報・出典

• IEEE 802.1X認証の設定をする
• IEEE 802.1X認証を設定する
• Apeos C3067 : 価格 | 富士フイルムビジネスイノベーション
• IEEE 802.1X認証を設定する | 使用説明書 | RICOH IM 9000, RICOH IM 8000, RICOH IM 7000
• 機能 / 設定キーの説明 | [ネットワーク]