ページの先頭行へ戻る
Interstage Application Server V12.3.0 ディレクトリサービス運用ガイド
FUJITSU Software
第4章 SSL通信環境の構築 > 4.1 サーバ側の環境構築 > 4.1.2 Interstage証明書環境の環境構築(サーバ)
前次

4.1.2 Interstage証明書環境の環境構築(サーバ)

Interstage証明書環境を使用した、Interstage ディレクトリサービスのサーバ側の環境構築について説明します。

  

4.1.2.1 Interstage証明書環境の作成(サーバ)

Interstage ディレクトリサービスのサーバ側で構築します。

ここでは、CSR(証明書取得申請書)を利用した、Interstage証明書環境の構築方法について説明します。

  

Interstage証明書環境は、以下の手順で構築します。

  1. Interstage証明書環境の構築と、CSR(証明書取得申請書)の作成

  2. 証明書の発行依頼

  3. 証明書とCRL(証明書失効リスト)の登録

なお、Interstage証明書環境を構築した後は、証明書を利用するための環境設定が必要です。詳細は、“4.1.2.2 証明書を利用するための設定(サーバ)”を参照してください。

以降で使用する各コマンドの詳細は、“リファレンスマニュアル(コマンド編)”の“SSL環境設定コマンド”を参照してください。

注意


コマンドはAdministrator権限をもつユーザで実行してください。


コマンドはスーパユーザで実行してください。
環境変数(JAVA_HOME)にJDK、またはJREのインストールパスを設定して実行してください。

■Interstage証明書環境の構築とCSR(証明書取得申請書)の作成(サーバ)

SSL通信など、署名や暗号処理を行うには、証明書を取得する必要があります。そのために、本製品がサポートしている認証局のいずれかへ証明書の発行を依頼するためのデータである、CSR(証明書取得申請書)を作成します。
このとき、Interstage証明書環境が存在しなければ、同時にInterstage証明書環境も作成されます。存在している場合には、そのInterstage証明書環境が利用されます。

注意

  • CSRを作成する際に指定するニックネームは、サイト証明書の登録時にも指定するため、忘れないようにしてください。
      

  • CSRを作成すると、Interstage証明書環境に秘密鍵が作成されます。秘密鍵を保護するために、証明書を入手するまでの間、Interstage証明書環境をバックアップしてください。バックアップ方法については、“運用ガイド(基本編)”の“資源のバックアップとリストア”を参照してください。
    なお、バックアップしていないときにInterstage証明書環境が破壊された場合、Interstage証明書環境の作成(CSRの作成)と証明書の発行依頼を再度行う必要があります。
      

  • 以下の場合は、テスト用証明書を使用することはできません。テスト用証明書ではなく、CSRを作成してください。
      

    • スタンドアロン形態のInterstage ディレクトリサービスのサーバ

    • データベース共用形態のInterstage ディレクトリサービスのサーバ

CSRの作成例を以下に示します。

■証明書の発行依頼(サーバ)

認証局に証明書の発行を依頼し、証明書を取得します。

scsmakeenvコマンドが正常に終了すると、申請書がscsmakeenvコマンドの-fオプションで指定した証明書取得申請書(CSR)を格納するファイル名に出力されます。そのファイルを認証局に送付し、証明書の発行を依頼してください。なお、依頼方法は認証局に従ってください。

  

■証明書とCRL(証明書失効リスト)の登録(サーバ)

認証局から取得した証明書とCRLをInterstage証明書環境に登録します。
証明書は、認証局自身の証明書から順に登録してください。

  

■認証局の証明書の登録(サーバ)

取得した認証局の証明書を登録します。

例

登録例を以下に示します。


  認証局の証明書  C:\sslenv\CA.der
  認証局の証明書のニックネーム  CA

scsenter -n CA -f C:\sslenv\CA.der
Password: (注1)
証明書がキーストアに追加されました。
SCS: 情報: scs0104: 証明書を登録しました。


  認証局の証明書  /sslenv/CA.der
  認証局の証明書のニックネーム  CA

# scsenter -n CA -f /sslenv/CA.der
Password: (注1)
証明書がキーストアに追加されました。
UX: SCS: 情報: scs0104: 証明書を登録しました。

注1) パスワードを入力します。なお、入力した文字列はエコーバックされません。

■中間CA証明書の登録(サーバ)

認証局によっては、認証局証明書とサイト証明書のほかに、中間CA(中間認証局)証明書が用意されている場合があります。その場合、サイト証明書の登録の前に、認証局から配布されている中間CA証明書を登録してください。
なお、登録方法は認証局証明書の場合と同じです。“■認証局の証明書の登録(サーバ)”を参照してください。ただし、中間CA証明書のニックネームは認証局証明書やサイト証明書と異なるものを指定してください。

参考

本製品では、“セキュリティシステム運用ガイド”の“Interstage組み込み証明書一覧”に記載されている証明書を組み込んでいます。本製品に組み込まれている中間CA証明書は、Interstage証明書環境の構築時にscsmakeenvコマンドで-cオプションを指定すれば、認証局証明書と共にInterstage証明書環境に登録されます。

■サイト証明書の登録(サーバ)

発行された証明書をサイト証明書として登録します。

例

登録例を以下に示します。


  サイト証明書  C:\sslenv\SiteCert.der
  サイト証明書のニックネーム  SiteCert

scsenter -n SiteCert -f C:\sslenv\SiteCert.der -o
Password: (注1)
証明書応答がキーストアにインストールされました。
SCS: 情報: scs0104: 証明書を登録しました。


  サイト証明書  /sslenv/SiteCert.der
  サイト証明書のニックネーム  SiteCert

# scsenter -n SiteCert -f /sslenv/SiteCert.der -o
Password: (注1)
証明書応答がキーストアにインストールされました。
UX: SCS: 情報: scs0104: 証明書を登録しました。

注1) パスワードを入力します。なお、入力した文字列はエコーバックされません。

■CRLの登録(サーバ)

取得したCRLを登録します。

例

登録例を以下に示します。


  CRL  C:\sslenv\CRL.der

scsenter -c -f C:\sslenv\CRL.der
Password: (注1)
SCS: 情報: scs0105: CRLを登録しました。


  CRL  /sslenv/CRL.der

# scsenter -c -f /sslenv/CRL.der
Password: (注1)
UX: SCS: 情報: scs0105: CRLを登録しました。

注1) パスワードを入力します。なお、入力した文字列はエコーバックされません。

■Interstage証明書環境のバックアップ(サーバ)

取得した証明書・CRLを登録後は必ず、Interstage証明書環境をバックアップしてください。バックアップ方法については、“運用ガイド(基本編)”の“資源のバックアップとリストア”を参照してください。

なお、Interstage証明書環境をバックアップしていなかった場合にInterstage証明書環境が破壊されると、Interstage証明書環境の作成(CSRの作成)や、証明書の発行依頼を再度行うことになります。

例

  例を以下に示します。

mkdir X:\Backup\scs
xcopy /E C:\Interstage\etc\security X:\Backup\scs (注1)

# mkdir /backup/scs
# cp -rp /etc/opt/FJSVisscs/security /backup/scs (注1)

注1) リムーバブル媒体などに退避しておくことを推奨します。

4.1.2.2 証明書を利用するための設定(サーバ)

Interstage ディレクトリサービスのサーバ側で設定します。

Interstage証明書環境を構築後は、証明書を利用するための設定が必要です。その手順について、以降に説明します。

  

■証明書の利用設定(サーバ)

Interstage証明書環境に登録されている証明書は、Interstage管理コンソールの次の画面で参照できます。

[システム] > [セキュリティ] > [証明書] > [認証局証明書]画面、または
[システム] > [セキュリティ] > [証明書] > [サイト証明書]画面

取得した証明書の内容が正しいか確認してください。

SSLで通信するためには、SSL定義を作成する必要があります。Interstage管理コンソールの次の画面でSSL定義を作成してください。

[システム] > [セキュリティ] > [SSL]の[新規作成]タブ

ポイント

テスト用証明書ではなく、テスト用証明書以外のサイト証明書を選択してください。

クライアント認証およびプロトコルバージョンは、以下のように選択します。

[クライアント認証]

[プロトコルバージョン]

クライアント認証をしない場合

以下を選択します。

  • しない

以下のいずれかを選択します。

  • SSL 2.0

  • SSL 3.0

  • TLS 1.0

  • TLS 1.1

  • TLS 1.2（推奨）

クライアント認証をする場合

以下のいずれかを選択します。

  • する(クライアント証明書を必ず認証する)

  • する(クライアント証明書が提示された場合、認証する)

以下のいずれかを選択します。

  • SSL 3.0

  • TLS 1.0

  • TLS 1.1

  • TLS 1.2（推奨）

前次
Copyright 2007-2020 FUJITSU LIMITED