HTTPプロトコルを介して他のコンピューターのアプリケーションとデータを安全に交換したい。（セルフホスト）

Question

実現したいこと（目的）

HTTPプロトコルを介して他のコンピューター上のアプリケーションとデータを交換したい。
要件:

• 盗聴、改竄、なりすまし対策が施されている。
• セルフホストである（IISは使用しない。）

試したこと

• WCFを使用
• RESTFul方式(WebHttpBinding)を使用
• SSLを使用

　　但し、サーバー証明書をコンピューターにインポートする手順に未精通なため、サービスのアプリケーションが直接pfxファイルを読み込んで行う方式で実装している。

問題点

エラー（後述）が発生して、データを交換できない。

よろしくお願い致します。

#概要
###通信イメージ

###サービス外観

###サービス利用側外観

どうぞよろしくお願い致します。

該当のソースコード

サービス

Program.cs

using System;
using System.Security.Cryptography.X509Certificates;
using System.ServiceModel;
using System.ServiceModel.Description;
using System.ServiceModel.Security;
using System.ServiceModel.Web;

namespace TestService
{
    class Program
    {
        static WebServiceHost host;

        static void Main()
        {
            //--------------------------バインディング
            WebHttpBinding binding = new WebHttpBinding();
            binding.Security.Mode = WebHttpSecurityMode.Transport;
            binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;
            binding.Security.Transport.ProxyCredentialType = HttpProxyCredentialType.None;

            //--------------------------アドレス
            Uri uri = new Uri("https://localhost:5000/TestService");

            //--------------------------サービスの作成とエンドポイントの追加
            host = new WebServiceHost(typeof(TestService));
            ServiceEndpoint se = host.AddServiceEndpoint(typeof(ITestService), binding, uri);

            var behavior = new WebHttpBehavior();
            behavior.FaultExceptionEnabled = false;
            behavior.HelpEnabled = true;
            behavior.DefaultOutgoingRequestFormat = WebMessageFormat.Json;
            behavior.DefaultOutgoingResponseFormat = WebMessageFormat.Json;
            se.EndpointBehaviors.Add(behavior);

            //--------------------------
            ServiceDebugBehavior debug = host.Description.Behaviors.Find<ServiceDebugBehavior>();
            debug.IncludeExceptionDetailInFaults = true;

            ServiceMetadataBehavior metad = new ServiceMetadataBehavior();
            metad.HttpGetEnabled = true;
            metad.HttpsGetEnabled = true;
            host.Description.Behaviors.Add(metad);

            //--------------------------
            var certificate = new X509Certificate2(@"D:\Work\TestService\ServerCert1.pfx", "pswd", X509KeyStorageFlags.UserKeySet);
            host.Credentials.ServiceCertificate.Certificate = certificate;
            host.Credentials.ClientCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None;

            //--------------------------
            host.Open();
            Console.WriteLine(string.Format(null, "URL : {0}", uri.ToString()));
            Console.WriteLine("Press <ENTER> to terminate");
            Console.ReadLine();
            host.Close();

        }
    }
}

ITestService.cs

using System.Runtime.Serialization;
using System.ServiceModel;
using System.ServiceModel.Web;

namespace TestService
{
    [ServiceContract]
    interface ITestService
    {
        [OperationContract]
        [WebInvoke(Method = "POST"
                            , RequestFormat = WebMessageFormat.Json
                            , UriTemplate = "/PostMsg"
            )]
        MessageData PostMsg(MessageData msg);
    }

    [DataContract]
    public class MessageData
    {
        [DataMember]
        public string Name { get; set; }

        [DataMember]
        public int Gender { get; set; }

        [DataMember]
        public int Age { get; set; }

    }

}

TestService.cs

using System;

namespace TestService
{
    class TestService : ITestService
    {
        public MessageData PostMsg(MessageData msg)
        {
            Console.WriteLine(string.Format(null, "受信 : {0}", msg.ToString()));

            return new MessageData()
            {
                Name = msg.Name,
                Gender = msg.Gender,
                Age = msg.Age + 1
            };
        }

    }
}

サービス利用側

Form1.cs

using System;
using System.Windows.Forms;
using System.Security.Cryptography.X509Certificates;
using System.ServiceModel;
using System.ServiceModel.Description;
using System.ServiceModel.Security;
using System.ServiceModel.Web;
using TestService;

namespace TestClient
{
    public partial class Form1 : Form
    {
        WebChannelFactory<ITestService> cf = null;
        ITestService channel = null;

        public Form1()
        {
            InitializeComponent();
        }

        private void Form1_Load(object sender, EventArgs e)
        {
            listBox1.HorizontalScrollbar = true;

            Uri uri = new Uri("https://123.123.123.123:5000/TestService");
            EndpointAddress endpointAddress = new EndpointAddress(uri);

            //--------------------------チャンネル
            cf = new WebChannelFactory<ITestService>(uri);
            WebHttpBinding binding = cf.Endpoint.Binding as WebHttpBinding;
            binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;
            binding.Security.Mode = WebHttpSecurityMode.Transport;

            var behavior = new WebHttpBehavior();
            behavior.FaultExceptionEnabled = false;
            behavior.HelpEnabled = true;
            behavior.DefaultOutgoingRequestFormat = WebMessageFormat.Json;
            behavior.DefaultOutgoingResponseFormat = WebMessageFormat.Json;
            cf.Endpoint.Behaviors.Add(behavior);

            var clientCertificate = new X509Certificate2(@"D:\Work\TestService\ServerCert1.pfx", "pswd", X509KeyStorageFlags.UserKeySet);
            cf.Credentials.ClientCertificate.Certificate = clientCertificate;
            cf.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None;

            channel = cf.CreateChannel();

        }

        private void button1_Click(object sender, EventArgs e)
        {
            MessageData msg = new MessageData()
            {
                Name = "Taro",
                Gender = 1,
                Age = 3
            };
            MessageData rtn = channel.PostMsg(msg);   //<--------ここでエラー発生
            listBox1.Items.Insert(0, string.Format("Name:{0}, Gender:{1}, Age{2} ", rtn.Name, rtn.Gender, rtn.Age));

        }
    }
}

エラー内容

https://123.123.123.123:5000/TestService/PostMsg に対する HTTP 要求の発行中にエラーが発生しました。この原因としては、HTTPS ケースの HTTP.SYS でサーバー証明書が正しく構成されていないこと、またはクライアントとサーバーの間でセキュリティ バインドが整合していないことが考えられます。

証明書作成

自己証明機関の作成
makecert -n "CN=ServerCN1" -a sha1 -eku 1.3.6.1.5.5.7.3.3 -r -sv ServerCert1.pvk ServerCert1.cer -ss Root -sr localMachine -cy authority -b 11/06/2019 -e 12/31/2019

ソフトウェア発行元証明書の作成
cert2spc ServerCert1.cer ServerCert1.spc

個人情報交換ファイルの作成
pvk2pfx -pvk ServerCert1.pvk -spc ServerCert1.spc -po pswd -pfx ServerCert1.pfx -f

#試したこと１
①パワーシェルで、以下のコマンドを実行し、証明書の捺印を取得
Get-PfxCertificate -FilePath ServerCert1.pfx

②トランスポート層で X.509 証明書を使用して認証するクライアントをサポートするために
netsh http add sslcert ipport=0.0.0.0:5000 certhash=9512A6EA3042F7717EA02194097187207136E5FB appid={541eea84-c788-4d23-b6b2-f5210bcdf5c5} clientcertnegotiation=enable
を実行　※certhashに①で取得した捺印を、appidには、Visual StudioのサービスプロジェクトのプロパティウィンドウにあるGUIDを設定。

＝＝＝＞下記エラー発生
SSL 証明書を追加できませんでした。エラー: 1312
指定されたログオン セッションは存在しません。そのセッションは既に終了している可能性があります。

#試したこと２
サービスとクライアントの各ソースコードからセキュリティ関連のコードを除去した場合は、正常なメッセージのやり取りが実現できています。

#試したこと３
X509Certificate2メソッドのパスワードの引数をわざと違うものに設定するとちゃんとエラーになります。

#補足１
IISでは.pfxファイルをコンピュータにインポートするが、今回の試みでは、X509Certificate2メソッドの引数にファイルを指定している。

#補足２
HTTPS通信は、共通鍵暗号方式と公開鍵暗号方式のハイブリッドで成り立っているらしい。

環境

Microsoft Windows 10 Pro (Version 1903)
Microsoft Visual Studio Community 2019
Microsoft .NET Framework 4.7.2

Answer 1

WCFには明るくないので外しているかもですが、サーバー側でホスティングしようとしているURIは"https://localhost:5000/TestService"であるのに対し、クライアント側は違うURI、"https://123.123.123.123:5000/TestService" でアクセスしようとしています。

"123.123.123.123"は質問投稿用の仮のIPアドレスなのかもしれませんが、いずれにせよlocalhostとは異なります。httpsで運用するサーバーは、アクセスされる際のホスト名を厳密に意識しているはずなので、ここで不一致は良くないのでは。

開発環境上では同一PCということなので、hostsファイルなどを利用してホスト名の部分を合わせてみるか、IPアドレスを合わせてアクセスしてみてください。あるいは簡単に、クライアント側から "https://localhost:5000/TestService" でアクセスできるのであれば、やはりそういうことなのではないかな、と思います。

---

追記しました：2019-11-12 02:42

先の回答は外していました。くやしかった(？)のと、お手を煩わせてしまった罪滅ぼしに当方でも検証してみました。
結果から書きますと、以下の処置で限定的ながら通信できるようになりました。

1. 作成した自己証明書の*.pfxファイルをWindows証明書マネージャでインポート
2. インポートしたWindows証明書マネージャで証明書のサムプリント（拇印）を取得
3. netshコマンドでポート構成をバインド
4. サーバー側プログラムで、匿名アクセスを受け付けるよう修正
5. クライアント側プログラムで、「自己証明書による不正な証明書エラー」によるエラーを回避するよう修正

以下、順にご説明します。

1. 作成した自己証明書の*.pfxファイルをWindows証明書マネージャでインポート

質問者さんの「試したこと1」で、netsh コマンドによるSSL証明書のポート構成のバインド操作ですが、PowerShellのGet-PfxCertificateコマンドで得た拇印ではダメでした。（私自身がこの辺りに不慣れなこともあって）様々なオプションを試しましたが、結局、以下の記事を参考にさせていただき、MMCでの「Windows証明書マネージャcertlm」を用いて自己（オレオレ）SSL証明書ファイルServerCert1.pfxをインポートしました。（すべてデフォルトの指定に沿います）
OnTimeサーバーにSSL証明書を設定する - OnTime Group Calendar

2. インポートしたWindows証明書マネージャで証明書のサムプリント（拇印）を取得

証明書のサムプリント（拇印）は、1.のWindows証明書マネージャで得られたものを利用しました。 （操作方法は記事中に記載されています

3. netshコマンドでポート構成をバインド

証明書のサムプリントの取得部分が違うだけで、あとは質問者さんで行った方法と同じです。

netsh http add sslcert ipport=0.0.0.0:5000 certhash=eae70a1d0144a9a367b4aa810f22b8e95815b602 appid={90164bb5-886c-4536-a752-7fbbf652c070} clientcertnegotiation=enable

netsh http show sslcertでSSL証明書のバインド状況を確認すると、以下のようなものとなりました。

C> netsh http show sslcert
SSL 証明書のバインド: 
------------------------- 



    IP:ポート                     : 0.0.0.0:5000
    証明書ハッシュ                : eae70a1d0144a9a367b4aa810f22b8e95815b602
    アプリケーション ID           : {90164bb5-886c-4536-a752-7fbbf652c070}
    証明書ストア名                : (null)
    クライアント証明書の失効状態の検証: Enabled
    キャッシュされたクライアント証明書のみを使用した失効状態の検証: Disabled
    使用法のチェック              : Enabled
    失効リストの更新を確認する間隔: 0
    URL 取得のタイムアウト        : 0
    Ctl 識別子                    : (null)
    Ctl ストア名                  : (null)
    DS マッパーの使用法           : Disabled
    クライアント証明書のネゴシエート: Enabled
    接続の拒否                    : Disabled
    HTTP2 を無効にする           : Not Set
    QUIC を無効にする            : Not Set
    TLS1.2 を無効にする          : Not Set
    TLS1.3 を無効にする          : Not Set
    OCSP Stapling を無効にする   : Not Set
    トークンのバインドを有効にする         : Not Set
    拡張イベントをログに記録する          : Not Set
    レガシ TLS バージョンを無効にする  : Not Set
    セッション チケットを有効にする        : Not Set
 拡張プロパティ:
    PropertyId                   : 0
    受信ウィンドウ               : 1048576
 拡張プロパティ:
    PropertyId                   : 1
    フレームごとの最大設定       : 2796202
    1 分間の最大設定      : 4294967295

4. クライアント側プログラムで、「自己証明書による不正な証明書エラー」によるエラーを回避するよう修正

もとのサーバー、クライアントプログラムですと、自己証明書を使っていることによる、System.ServiceModel.Security.SecurityNegotiationException 「リモート証明書は無効です。」例外が起きます。

System.ServiceModel.Security.SecurityNegotiationException
  HResult=0x80131501
  Message=機関 'servercn1:5000' との SSL/TLS のセキュリティで保護されているチャネルに対する信頼関係を確立できませんでした。
  Source=mscorlib
  スタック トレース:
   ...(省略)

内部例外 1:
WebException: 接続が切断されました: SSL/TLS のセキュリティで保護されているチャネルに対する信頼関係を確立できませんでした。

内部例外 2:
AuthenticationException: 検証プロシージャによると、リモート証明書は無効です。

これを避けるために、クライアント側に自己証明書であった場合でも、無理やりOKとするよう修正します。
参考：How to accept a self-signed SSL certificate in a WCF client? - Stack Overflow

// MessageData rtn = channel.PostMsg(msg); で送信する前に、リモート証明書の妥当性チェックコールバックを登録
ServicePointManager.ServerCertificateValidationCallback +=
    new System.Net.Security.RemoteCertificateValidationCallback(EasyCertCheck);

// コールバックメソッド
bool EasyCertCheck(object sender, X509Certificate cert,
    X509Chain chain, System.Net.Security.SslPolicyErrors error)
{
    // 自己証明書の場合でも必ずチェックOKとする
    Debug.WriteLine("EasyCertCheck");
    return true;
}

5. サーバー側プログラムで、匿名アクセスを受け付けるよう修正

サーバー側のコードで、binding.Security.Transport.ClientCredentialTypeがHttpClientCredentialType.Certificateであると、以下の例外となります。HTTPステータス403なので一応は繋がっているかたちですが、成功としてレスポンスを受信したいので、この設定値を緩やかなものに変えます。

System.ServiceModel.Security.MessageSecurityException
  HResult=0x80131501
  Message=この HTTP 要求は、クライアントの認証方式 'Anonymous' で許可されませんでした。
  Source=WindowsFormsApp1
  スタック トレース:
   ...(省略)

内部例外 1:
WebException: リモート サーバーがエラーを返しました: (403) 使用不可能

//ここを無効にして binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;

// 匿名アクセスを可能とする
binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.None;

6. まとめ

自己証明書用でも構わず処理するようにクライアントを修正したのと、特に匿名アクセスでも受け付けるようにサーバーを修正した点は気になるところですが、一応https接続はできるようになったので、現状の回答として追記させてもらった次第です。

検証した環境は以下となります。。

• Windows 10 Professional Version 1903 (OSビルド 18362.418)
• Visual Studio 2017 (Version 15.9.17)
• .NET Framework 4.5

プログラムの実行状況です。

クライアント側はProgram.csの修正量が多いので、全部掲載します。

using System;
using System.Windows.Forms;
using System.Security.Cryptography.X509Certificates;
using System.ServiceModel;
using System.ServiceModel.Description;
using System.ServiceModel.Security;
using System.ServiceModel.Web;
using System.Net;
using System.Diagnostics;
using TestService;

namespace TestClient
{
    public partial class Form1 : Form
    {
        WebChannelFactory<ITestService> cf = null;
        ITestService channel = null;
        //private static string pfxPath = @"D:\Work\TestService\ServerCert1.pfx";
        private static string pfxPath = @"C:\project\teratail\221557\ServerCert1.pfx";
        //private static string uris = @"https://123.123.123.123:5000/TestService";
        //private static string uris = @"https://localhost:5000/TestService";
        //private static string uris = @"https://ServerCN1:5000/TestService";
        private static string uris = @"https://192.168.11.103:5000/TestService";

        public Form1()
        {
            InitializeComponent();
        }

        private void Form1_Load(object sender, EventArgs e)
        {
            listBox1.HorizontalScrollbar = true;

            //Uri uri = new Uri("https://123.123.123.123:5000/TestService");
            Uri uri = new Uri(uris);
            EndpointAddress endpointAddress = new EndpointAddress(uri);

            //--------------------------チャンネル
            cf = new WebChannelFactory<ITestService>(uri);
            WebHttpBinding binding = cf.Endpoint.Binding as WebHttpBinding;
            binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;
            binding.Security.Mode = WebHttpSecurityMode.Transport;

            var behavior = new WebHttpBehavior();
            behavior.FaultExceptionEnabled = false;
            behavior.HelpEnabled = true;
            behavior.DefaultOutgoingRequestFormat = WebMessageFormat.Json;
            behavior.DefaultOutgoingResponseFormat = WebMessageFormat.Json;
            cf.Endpoint.Behaviors.Add(behavior);

            ServicePointManager.ServerCertificateValidationCallback +=
                new System.Net.Security.RemoteCertificateValidationCallback(EasyCertCheck);

            //var clientCertificate = new X509Certificate2(@"D:\Work\TestService\ServerCert1.pfx", "pswd", X509KeyStorageFlags.UserKeySet);
            var clientCertificate = new X509Certificate2(pfxPath, "pswd", X509KeyStorageFlags.UserKeySet);
            cf.Credentials.ClientCertificate.Certificate = clientCertificate;
            cf.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None;
            //cf.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.PeerTrust;

            channel = cf.CreateChannel();
        }

        private void button1_Click(object sender, EventArgs e)
        {
            MessageData msg = new MessageData()
            {
                Name = "Taro",
                Gender = 1,
                Age = 3
            };
            try
            {
                MessageData rtn = channel.PostMsg(msg);   //<--------ここでエラー発生
                listBox1.Items.Insert(0, string.Format("Name:{0}, Gender:{1}, Age{2} ", rtn.Name, rtn.Gender, rtn.Age));
            }
            catch (Exception ex)
            {
                Trace.WriteLine(ex.Message);
                throw ex;
            }
        }

        private bool EasyCertCheck(object sender, X509Certificate cert,
            X509Chain chain, System.Net.Security.SslPolicyErrors error)
        {
            Debug.WriteLine("EasyCertCheck");
            return true;
        }
    }
}

Comments

[firstlast]

ありがとうございます。
でも、ソースコードからSSL関連の部分を除去すると正常に動作するんですよねぇ。
SSLが絡んでくるとアドレス認識がシビアになるのかもしれないので、一度確認してみます。

[firstlast]

localhostでなくIPアドレスを指定してみましたが、同じエラーが発生しました。残念

[dodox86]

こちらでも検証してみましたが、確かにlocalhostをIPアドレスやホスト名に変更してもダメでした。この点では回答は外していました。申し訳ありません。少々手強かったですが、少なくともWindows 10同一マシンでは繋がるようにはなったので追って回答に追記します。（若干の制限条件があります）

[firstlast]

ご協力ありがとうございます。
私の方は、未だ試行錯誤地獄を彷徨っています...

[firstlast]

＞罪滅ぼし
とんでもございません。ありがとうございます。
戴いた回答をこちらでも検証してみます。

[firstlast]

＜証明書の捺印を取得する方法について＞
Get-PfxCertificateは、捺印でなく違うものが返ってきていたようです。
ご指摘のようにWindows10のGUIツール(MMCやCERTLM)で取得できることを確認できました。
ご指摘ありがとうございます。

[firstlast]

教えて頂いた方法でhttpsでデータのやり取りをすることができました。ありがとうございます。６．まとめでおっしゃっている通り、気になる点については私も同感です。

[dodox86]

自己SSL証明書の方は現段階では仕方が無いと思いますが、匿名アカウントの件はクライアントからの証明書が使われているのかどうか分からない（＜私には判断できなかった）ので、当初の目的を達せているか（質問と要望を満たせているか）疑問ですね。自己証明書を本物にしたらまた状況が変わったりするのかもしれませんが。私で検証できるのはここまででした。

[firstlast]

大変感謝しております。
現時点で要望を満たしていなくても、今後の道筋を付けて頂いたように思います。最終的に私の要望自体が無理なことだった結論に至ることもあるかと思います。取り敢えず、今気になっているのは、makecertの ekuスイッチで、生成する証明書の種類（サーバー証明書、クライアント証明書、コード証明書、等）が指定できることです。コード証明書は、ソフトウェア等に電子署名をする際に必要なもののようです。サーバー証明書、クライアント証明書が、今やろうとしていることと、どう絡んでくるか絡まないのか調べて行こうと思っています。

[firstlast]

https://docs.microsoft.com/ja-jp/dotnet/framework/wcf/feature-details/how-to-create-temporary-certificates-for-use-during-development
これも気になっています。
～～～引用開始～～～
新しい SelfSignedCertificate コマンドレットによって生成される証明書は、テスト目的でのみ提供されます。
～中略～
自己署名証明書を信頼されたルート証明機関ストアに配置すると、展開環境をより厳密にシミュレートする開発環境を作成できます。
～～～引用終了～～～

[dodox86]

情報提供ありがとうございます。興味深く思いますが、開発／テスト環境用に特別に設定できるとなると、更に条件が増えることになるので実運用への展開でまた少し苦労しそうですね。

[firstlast]

回答していただいた内容で、この質問は解決したことにしようと思います。実際、HTTPSでの通信は達成できているのでそれが妥当かと思いました。いろいろ調べているうちに、セキュリティの知識がほとんどないことがわかったので、今後はその知識を充実していこうと思います。親身になって協力していただきありがとうございました。＾＾

[firstlast]

binding.Security.Transport.ClientCredentialType の値を
HttpClientCredentialType.Certificateから
HttpClientCredentialType.Noneに変更すること
の意味について考察

・SSLを使うと、サーバーの認証とクライアントの認証を行うことができる。
・クライアントの認証は必ずしも必要ではない。
・クライアント認証をしないときは、binding.Security.Transport.ClientCredentialType にHttpClientCredentialType.Noneを指定すればよい。
・クライアント認証をするときは、binding.Security.Transport.ClientCredentialType にHttpClientCredentialType.Certificateを指定すればよい。
という理解に至りました。

Answer 2

セルフホストでSSL結構邪魔くさいですよ。

WCFの基本（念のためです）はこちらで
(docs.microsoft.com)チュートリアル: 基本的な Windows Communication Foundation サービスをホストして実行する

(!)注意
このようなサービスでは、リッスンするコンピューターに HTTP アドレスを登録するための適切なアクセス許可が必要です。 管理者アカウントにはこのアクセス許可がありますが、管理者以外のアカウントの場合は、HTTP 名前空間へのアクセス許可を付与する必要があります。 名前空間の予約を構成する方法については、「HTTP および HTTPS の構成」を参照してください。

ということで以下も参照ください。
(docs.microsoft.com)HTTP および HTTPS の構成

WCF サービスが自己ホスト型の場合は、コマンド ライン ツールを使用して HTTP または HTTPS の設定を構成します。

SSL 証明書の構成
・・・略・・・
手順については、次を参照してください。方法。SSL 証明書でポートを構成します。

ということでこちらも参照ください。
(docs.microsoft.com)方法: SSL 証明書を使用してポートを構成する

Comments

[firstlast]

アドバイスありがとうございます。

戴いたリンク

https://docs.microsoft.com/ja-jp/dotnet/framework/wcf/feature-details/how-to-configure-a-port-with-an-ssl-certificate

の先にあるページを重点的に読解しているところです。いろいろ試行錯誤できそうです。

[firstlast]

ここにあった内容は、質問本文に転記

[Y.H.]

ここより多くの人の目に止まるので、質問に追記された方がよろしいかと思います。

[firstlast]

Y.Hさん、アドバイスありがとうございます。質問の方に転記します。

[firstlast]

遠回りでも、戴いた回答のリンク先にあるようなマイクロソフトのドキュメントをまず読むことが重要だと改めて認識しました。まだ全部読めてませんが...^^;