Systemwalker Operation Managerでは、WebコンソールやWeb API【Windows版】【Linux版】との通信に暗号化通信(SSL: Secure Socket Layer)を使用します。SSLの使用時に必要な証明書/鍵管理環境について説明します。
証明書と秘密鍵
SSLを使用するためには、認証局の証明書(発行局証明書)、サイト証明書、それに対応する秘密鍵が必要となります。また、証明書の有効性を確認するために、CRL(証明書失効リスト)が利用されます。
X.509またはRFC5280に準拠し、RSA暗号アルゴリズムの鍵が使用されている証明書・CRLが使用できます。
認証局の証明書(発行局証明書)
認証局(発行局)が発行した証明書を保証するための、認証局自身の証明書です。CA証明書ともいいます。
認証局が配下の認証局に証明書を発行することがあります。この場合、認証局自身の証明書に加え、配下の認証局に発行した証明書も、認証局の証明書と呼びます。
なお、認証局自身の証明書を「ルートCA証明書」、配下の認証局に発行した証明書を「中間CA証明書」と区別することがあります。
サイト証明書
サーバ、クライアント、および、サービスの身元を保証するために、認証局が発行した証明書です。利用者（サーバ/クライアント/サービス)に関する情報と認証局に関する情報が含まれています。サイト証明書は、必ずこれを発行した認証局の証明書を組み合わせて使用する必要があります。
証明書には有効期間が設定されています。有効期間を過ぎた証明書は無効と判断され、利用することができなくなります。有効期間を過ぎる前に、証明書を更新し、新しい証明書を入手する必要があります。詳細については、“Systemwalker Operation Manager 導入ガイド”の“証明書の配置”にある注意事項“サイト証明書および認証局の証明書（発行局証明書）の有効期限について”を参照してください。
サイト証明書に対応する秘密鍵
サイト証明書の中に含まれている公開鍵と対になる鍵です。
注意
秘密鍵をなくすと、対応するサイト証明書は使用できなくなります。そのため、必ずバックアップするようにしてください。
CRL(証明書失効リスト)
CRLは認証局が発行し、その認証局が発行したが無効になった証明書の一覧が含まれています。証明書を無効にする(失効する)のは、秘密鍵が盗まれた場合や、利用資格がなくなった場合、などがあります。
SSL通信で利用する場合には、接続先のサーバの証明書が無効になっていないかを確認する場合に参照されます。
CRLは定期的に発行され、認証局の管理しているWebサーバやディレクトリサーバなどに公開されます。公開方法は、認証局の運用によって異なるため、認証局に確認してください。なお、証明書の中に公開場所が記載されている場合もあります。
認証局からの発行時やバックアップ/移行などの場合に、PKCS#12データが用いられることがあります。PKCS#12データには、証明書とそれに対応する秘密鍵、および、その証明書の検証に必要な証明書が含まれており、パスワード文字列で暗号化されています。
証明書/鍵管理環境では、以下のPKCS#12データを移入する(登録する)ことができます。
Systemwalker Operation Manager V16.0.1以前の証明書/鍵管理環境からcmmkpfxコマンドで移出されたPKCS#12データ
移入方法は“Systemwalker Operation Manager 移行ガイド”の“証明書/鍵管理環境を移行する場合”を参照してください。
認証局(証明書発行局)
証明書は、認証局(証明書発行局)が発行します。
証明書/鍵管理環境では、以下の条件を満たす証明書を扱うことができます。
X.509またはRFC5280に準拠
RSA暗号アルゴリズムを利用し、その鍵長が4096bit以下
ハッシュアルゴリズムには下記を利用
SHA256
SHA384
SHA512
認証局への証明書取得申請(CSR)に必要な情報やその申請方法、発行された証明書の取得方法、証明書に取り込まれる情報は、認証局の運用に依存して異なります。そのため、運用開始前に、認証局が公開しているテスト用証明書などを利用し、証明書/鍵管理環境に登録できるか確認しておくことを推奨します。
