| Internet Navigware e-Learning Pack V9.0 |
|
目次
|
| 第2部 システム管理編 | > 第17章 セキュリティ | > 17.2 SSL通信、署名や暗号処理を行うための設定方法 |
運用開始後も、証明書や秘密鍵やCRLを管理する必要があります。
そのため、証明書の管理を行うための以下のコマンドを用意しています。
|
コマンド |
説明 |
|---|---|
|
scsmakeenv |
Interstage証明書環境にCSRと秘密鍵、またはテスト用証明書を作成します。 |
|
scsenter |
証明書またはCRLをInterstage証明書環境に登録します。 |
|
scslistcrl |
Interstage証明書環境に登録されているCRLの概要を表示します。 |
|
scsdelete |
サイト証明書とそれに対応する秘密鍵、または認証局の証明書をInterstage証明書環境から削除します。 |
以降に示すような場面に、コマンドが利用できます。
なお、各コマンドの書式、使用方法は、“17.2.3.1 scsmakeenv〜17.2.3.4 scsdelete”を参照してください。
|
|
有効期限が切れると、運用や機能が停止してしまう場合があります。
有効期限が切れる前に、事前に新しい証明書を入手し、登録しておく必要があります。
新しい証明書を入手したら、使用する証明書を新しい証明書に切りかえるのが一般的な運用です。
その際、今まで使用していた古い証明書は、削除せずにそのまま残しておいてください。
手順は、“17.2.2 環境の構築方法”を再度実行することになります。
運用変更により日本ベリサイン株式会社や日本認証サービス株式会社の発行する証明書も使用することになった場合、scsmakeenvコマンドで-cオプションを指定し、CSRを作成してください。
手順は、“17.2.2 環境の構築方法”を再度実行することになります。
運用開始時よりも利用する証明書が増えた時など、新たに証明書を発行してもらった場合や、新しいCRLを入手した場合は、scsenterコマンドでInterstage証明書環境に登録してください。
運用開始前や証明書の発行依頼中に、テスト用サイト証明書でシステム構築し動作確認を行うことができます。
scsmakeenvコマンドでテスト用サイト証明書を作成できます。なお、この場合、テスト用サイト証明書はInterstage証明書環境に自動的に登録されますので、scsenterコマンドで証明書を登録する必要はありません。
|
|
使用されなくなった証明書を削除することができます。
なお、サイト証明書を削除すると、対応する秘密鍵も削除されます。認証局証明書を削除すると、その認証局の発行した認証局証明書やサイト証明書は使用できなくなります。
十分注意の上、scsdeleteコマンドで削除してください。
なお、使用されなくなった証明書をそのまま残しておいても問題はありません。
scsmakeenv − CSR(証明書取得申請書)の作成
[CSR(証明書取得申請書）作成]
scsmakeenv -n nickname -f filename [-c] [-k keysize]
[テスト用サイト証明書作成]
scsmakeenv -n nickname [-c] [-k keysize] [-v valday]
scsmakeenvコマンドは、RSA公開鍵・秘密鍵の鍵ペアを作成し、CSR(証明書取得申請書)をファイルへ出力します。また、オプション（-f filename）を省略することによりテスト用サイト証明書を作成することもできます。scsmakeenvコマンドで作成した、テスト用の鍵・サイト証明書はInterstage証明書環境に登録されます。
本コマンドをシステムで初めて実行したとき、Interstage証明書環境を作成し、パスワードを設定します。以後は、その設定したパスワードでInterstage証明書環境を使用します。
指定可能なパラメタを以下に示します。
秘密鍵のニックネームを指定します。英数字を先頭にし、以下の指定可能な文字から1〜32文字で指定してください。省略はできません。
認証局から取得したサイト証明書を登録する時、ここで指定したニックネームをscsenterコマンドに指定する必要があります。忘れないでください。
なお、すでに使用されているニックネームと同じニックネームは指定できません。また、ニックネームに指定する英字は大文字と小文字は区別されません。
ニックネームに指定可能な文字については以下を参照してください。
|
カテゴリ |
文字 |
|---|---|
|
英字 |
ABCDEFGHIJKLMNOPQRSTUVWXYZ |
|
数字 |
0123456789 |
|
記号 |
()-[]_ |
作成されたCSR(証明書取得申請書)を格納するファイル名をフルパスで指定します。
本オプションを指定した場合、CSRとRSA鍵ペアが作成され、Interstage証明書環境に登録されます。
本オプションを省略した場合は、テスト用サイト証明書が作成され、Interstage証明書環境に登録されます。
日本ベリサイン株式会社、日本認証サービス株式会社の認証局証明書を登録します。
日本ベリサイン株式会社、日本認証サービス株式会社から証明書を発行してもらう場合には、本オプションの指定は必須です。
なお、一度本オプションを指定して実行した後は、scsdeleteコマンドで認証局証明書を削除しない限り有効です。本コマンドを再実行する時に再指定する必要はありません。
作成されるRSA公開鍵と秘密鍵の鍵ペアの鍵の強度をビット長で指定します。省略時は1024bit長で作成されます。指定する場合は512,768,1024,2048のどれかを指定してください。
なお、今日では、マシンの処理性能の向上などにより、512、768ビットのRSA鍵は必ずしも安全とは言えなくなっています。そのため、1024ビット以上を指定することを推奨します。運用上やむを得ず512、768ビットのRSA鍵を使用する際には、その危険性を認識の上、ご使用ください。
テスト用サイト証明書の有効日数を1〜7300の範囲で指定します。省略時は365日です。
有効期間を過ぎると、その証明書は使用できません。そのため、テスト完了予定日までの期間を指定することを推奨します。
コマンドを実行すると、名前などの情報の入力が求められます。
以下の情報を入力してください。省略はしないでください。(省略すると“Unknown”が指定されたものとみなされます。なお、国名コードを省略すると“Un”が指定されたものとみなされます。)
|
入力を求めるメッセージ |
入力する情報 |
|---|---|
|
What is your first and last name? |
名前。サイト証明書の場合はドメイン名。 |
|
What is the name of your organizational unit? |
組織単位名(例：部署名) |
|
What is the name of your organization? |
組織名(例：会社名) |
|
What is the name of your City or Locality? |
都市名または地域名(例：市区町村名) |
|
What is the name of your State or Province? |
州名または地方名(例：都道府県名) |
|
What is the two-letter country code for this unit? |
国名コード(ISO3166)。日本の場合は"jp" |
以下の文字が指定できます。ただし、国名コード(ISO3166)は英字2文字で指定してください。
|
カテゴリ |
文字 |
|---|---|
|
英字 |
ABCDEFGHIJKLMNOPQRSTUVWXYZ |
|
数字 |
0123456789 |
|
記号 |
(),-./:?'+=#;<> |
|
空白 |
' ' |
コマンドを実行すると、パスワードの入力が求められます。
本コマンドを初めて実行した時は、Interstage証明書環境へアクセスするためのパスワードとして登録します。以下の指定可能な文字から6〜128文字で指定してください。パスワードはInterstage証明書環境へアクセスするために必須ですから、忘れないでください。
本コマンドを実行するのが初めてではない場合、登録したパスワードを入力してください。
|
カテゴリ |
文字 |
|---|---|
|
英字 |
ABCDEFGHIJKLMNOPQRSTUVWXYZ |
|
数字 |
0123456789 |
|
記号 |
!"#%&'()*+,-./:;<=>?[\]^_{|}~ |
|
空白 |
' ' |
|
Interstage証明書環境 |
なお、Interstage証明書環境を作成後に環境が破壊された場合は、Interstage証明書環境を復元するようにしてください。
CSRを作成する場合
|
>scsmakeenv -n SiteCert -f C:\my_folder\my_csr.txt -c |
注1) 入力したパスワードは表示されません。なお、初回はパスワード登録となり、以下のプロンプト表示となります。入力したパスワードの確認のため、再入力(Retype)してください。
|
New Password: |
注2) 注意事項を参照し、入力してください。
注3) 表示された情報でCSRを作成する場合、“yes”を入力してください。再度入力しなおしたい場合には、“no”を入力してください。
テスト用サイト証明書を作成する場合
|
> scsmakeenv -n testCert |
scsenter − 証明書・CRLの登録
[証明書登録]
scsenter -n nickname -f filename [-p password] [-o | -e]
[CRL登録]
scsenter -c -f filename [-p password]
scsenterコマンドは、証明書またはCRLの有効性を検証し、有効である場合にInterstage証明書環境に登録します。指定可能なパラメタを以下に示します。
Interstage証明書環境にアクセスするためのパスワードを指定します。scsmakeenvコマンドで指定したパスワードと同じものを指定してください。本オプションの指定を省略するとパスワード入力を求めるプロンプトが表示されます。
登録する証明書のニックネームを、英数字を先頭にし、以下の指定可能な文字から1〜32文字で指定してください。認証局から発行されたサイト証明書を登録する場合は、scsmakeenvコマンドで秘密鍵に指定したのと同じニックネームを指定します。
また、認証局証明書を登録する際には、すでに登録済の証明書と重複しないニックネームを指定してください。また、ニックネームに指定する英字は大文字と小文字は区別されません。
ニックネームに指定可能な文字については、以下を参照してください。
|
カテゴリ |
文字 |
|---|---|
|
英字 |
ABCDEFGHIJKLMNOPQRSTUVWXYZ |
|
数字 |
0123456789 |
|
記号 |
()-[]_ |
証明書（サイト証明書・認証局の証明書）、またはCRLが格納されているファイル名をフルパスで指定します。省略はできません。
X.509またはRFC2459に準拠し、RSA鍵が使用されている証明書・CRLを登録することができます。
なお、指定可能なデータ形式はバイナリデータ(DER形式)とBase64エンコーディングデータ(PEM形式)です。
証明書をBase64エンコーディングデータ(PEM形式)で指定する場合は、“-----BEGIN CERTIFICATE-----”で始まり、“-----END CERTIFICATE-----”で終わっているデータを指定してください。また、CRLをBase64エンコーディングデータ(PEM形式)で指定する場合は、“-----BEGIN X509 CRL-----”で始まり、“-----END X509 CRL-----”で終わっているデータを指定してください。
PEM形式の証明書の例を以下に示します。
|
-----BEGIN CERTIFICATE----- |
PEM形式のCRLの例を以下に示します。
|
-----BEGIN X509 CRL----- |
認証局から発行された、自分のサイト証明書を登録する場合に指定してください。認証局の証明書や、それに付随する証明書(中間CA証明書)や、他のサイトの証明書を登録する場合は、指定しないでください。
他のサイトの証明書を登録する場合に指定してください。登録した証明書は、信頼できるサイトの証明書として扱われます。認証局の証明書や、それに付随する証明書(中間CA証明書)や、自分のサイト証明書を登録する場合は、指定しないでください。
なお、登録された他のサイト証明書は、Interstage管理コンソールの[システム] > [セキュリティ] > [証明書] > [認証局証明書]画面で参照してください。
CRLを登録する場合に指定してください。
認証局の証明書を登録する場合
|
>scsenter -n CA -f C:\my_folder\CA.der |
注1) 入力したパスワードは表示されません。
サイト証明書を登録する場合
|
>scsenter -n SiteCert -f C:\my_folder\SiteCert.der -o |
他のサイト証明書を登録する場合
|
>scsenter -n OtherSiteCert -f C:\my_folder\OtherSiteCert.der -e |
CRLを登録する場合
|
>scsenter -c -f C:\my_folder\CRL.der |
scslistcrl − CRLの一覧表示
scslistcrl [-p password]
scslistcrlコマンドは、Interstage証明書環境に登録されているCRLの一覧を表示します。指定可能なパラメタを以下に示します。
Interstage証明書環境にアクセスするためのパスワードを指定します。scsmakeenvコマンドで指定したパスワードと同じものを指定してください。本オプションの指定を省略するとパスワード入力を求めるプロンプトが表示されます。
コマンドを実行すると、以下の情報が表示されます。
|
項目 |
表示される情報 |
|---|---|
|
Issuer |
CRLを発行した認証局の名前などの情報 |
|
ThisUpdate |
CRLが発行された日時 |
|
NextUpdate |
次にCRLが発行される予定の日時 |
|
>scslistcrl |
注1) 入力したパスワードは表示されません。
scsdelete − 証明書の削除
scsdelete -n nickname [-p password]
scsdeleteコマンドは、証明書をInterstage証明書環境から削除します。指定可能なパラメタを以下に示します。
Interstage証明書環境にアクセスするためのパスワードを指定します。scsmakeenvコマンドで指定したパスワードと同じものを指定してください。本オプションの指定を省略するとパスワード入力を求めるプロンプトが表示されます。
削除する証明書のニックネーム、または、scsmakeenvコマンドで指定した秘密鍵のニックネームを指定します。省略はできません。サイト証明書のニックネームを指定した場合は、同じニックネームの秘密鍵も削除されますので、ご注意ください。
また、ニックネームに指定する英字は大文字と小文字は区別されません。
認証局の証明書を削除する場合
|
>scsdelete -n CA |
入力したパスワードは表示されません。
サイト証明書を削除する場合
|
>scsdelete -n SiteCert |
|
目次
|
