NPS を使用して有線アクセスに 802.1X 認証をデプロイする予定です。クライアント証明書をデプロイしたくなく、TLS トンネル内で認証を保護しながら、ユーザーが AD 資格情報で認証することを要求します。NPS で何を構成する必要がありますか？

このシナリオでは、クライアント証明書なしでActive Directoryの資格情報による認証を要求し、TLSトンネル内で認証を保護する必要があります。PEAP (Protected Extensible Authentication Protocol) は、TLSトンネルを確立し、その中で認証プロトコル（この場合はEAP-MSCHAPv2）を保護します。NPSサーバーにサーバー認証拡張キー使用法 (EKU) を持つ信頼されたサーバー証明書をインストールすることで、クライアントはサーバーの身元を確認し、安全なTLSトンネルを確立できます。EAP-MSCHAPv2は、ユーザー名とパスワードの認証をサポートし、クライアント証明書は不要です。 EAP-TLSはクライアント証明書を必要とするため、この要件には合いません。PEAP-TLSというプロトコルは存在しません。EAP-MD5はパスワードをハッシュ化して送信しますが、TLSトンネルによる保護がないため、安全ではありません。