A.3.1 openssl

名前: openssl － RSA秘密鍵の作成／CSR作成／証明書のフィンガープリント表示／DHパラメーターファイル作成

形式

(1) RSA秘密鍵の作成

   openssl genrsa [-aes256] [-out filename] [numbits]

(2) CSR(証明書取得申請書)の作成

   openssl req -new [-key filename] [-subj args] [-config configfilename]

(3) 証明書のフィンガープリント表示

   openssl x509 [-sha1|-sha256|-md5] -fingerprint -noout [-in file]

(4) DHパラメーターファイル作成

   openssl dhparam [-outform DER | PEM] [-out filename] numbits

機能説明

本コマンドではRSA秘密鍵の作成、CSR(証明書取得申請書)の作成、証明書のフィンガープリントを表示します。

本コマンドのオプションとパラメーターを以下に示します。

genrsaサブコマンド

-aes256: aes256で暗号化します。本オプションを省略した場合は暗号化されません。

-out filename: 出力ファイル名を指定します。本オプションを省略した場合は標準出力に出力されます。

numbits: 生成する秘密鍵のbitサイズを指定します。これは最後に指定する必要があります。デフォルトは2048で、512未満の値は許可されていません。

reqサブコマンド

-new: 新しくCSRを生成します。

-key filename: 入力する秘密鍵ファイル名を指定します。

-subj args

証明書に記載されるサーバ情報を設定します。指定する内容は、/ で区切って以下の書式で指定します。

/属性1=値1/属性2=値2/属性3=...

属性と値は以下を指定します。

C : 2文字の国コード日本は JP

ST : 都道府県

L : 市区町村

O : 組織名

OU : 部門名

CN : サーバの FQDN

本オプションを省略した場合はコマンド実行時、以下のように入力を求められます。

# /opt/FJSVahs/oss/openssl/bin/openssl req -new -key server.key
Country Name (2 letter code) [GB]: JP
State or Province Name (full name) [Berkshire]:Tokyo
Locality Name (eg, city) [Newbury]:Shinagawa
Organization Name (eg, company) [My Company Ltd]:Fujitsu
Organizational Unit Name (eg, section) []:soft
Common Name (eg, your name or your server's hostname) []:myhost.example.com
Email Address []:Enterキー
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:Enterキー
An optional company name []:Enterキー

備考) 下線付き太字部分は入力値です。

-config configfilename

openssl設定ファイル(openssl.cnf)の絶対パスと同一のパス文字列を指定します。

本オプションを省略した場合、省略値は以下となります。

/opt/FJSVahs/oss/openssl/ssl/openssl.cnf

-out filename: 出力ファイル名を指定します。本オプションを省略した場合は標準出力に出力されます。

x509サブコマンド

-sha1|-sha256|-md5: フィンガープリント表示で使用するダイジェストを指定します。本オプションを省略した場合はsha256となります。

-fingerprint: 指定されたダイジェストの計算結果を出力します。

-noout: 証明書の出力を抑止します。

-in file: 入力する証明書ファイル名を指定します。

dhparamサブコマンド

-outform DER | PEM: 出力フォーマットを指定します。本オプションを省略した場合はPEMとなります。

-out filename: 出力ファイル名を指定します。本オプションを省略した場合は標準出力に出力されます。

numbits: 生成するパラメーターbitサイズを指定します。これは最後に指定する必要があります。

注意

本コマンドは、ネットワーク上でのパスフレーズ漏洩を防ぐため、コンソールで実行するか、または外部から接続されないLANで接続された端末で実行することを推奨します。

使用例

■ RSA秘密鍵の作成

# /opt/FJSVahs/oss/openssl/bin/openssl genrsa -aes256 -out /export/home/ahs/sslcert/cert/server.key 2048
  (以下はコマンド実行結果です)
Generating RSA private key, 2048 bit long modulus
......+++
...........++
e is 65537 (0x10001)
Enter pass phrase for server.key: (注)
Verifying - Enter pass phrase for server.key: (注)

注) 本文字列が表示された場合は、パスフレーズを入力してください。なお、入力される文字はエコーバックされません。

■ CSR(証明書取得申請書)の作成

# /opt/FJSVahs/oss/openssl/bin/openssl req -new -key /export/home/ahs/sslcert/cert/server.key -out /export/home/ahs/sslcert/server.csr -subj "/C=JP/ST=Shizuoka/L=Shizuoka-shi/O=fujitsu/OU=4-1f/CN=www.example.com"
  (以下はコマンド実行結果です）
Enter pass phrase for server.key: (注)

注) 本文字列が表示された場合は、パスフレーズを入力してください。なお、入力される文字はエコーバックされません。

■ 証明書のフィンガープリント表示

# /opt/FJSVahs/oss/openssl/bin/openssl x509 -sha256 -fingerprint -noout -in /export/home/ahs/sslcert/ca.crt
SHA256 Fingerprint=F7 16 00 6E A1 6E A2 14 ... ←(16進数で32バイト分表示されます。)

■ DHパラメーターファイル作成

# /opt/FJSVahs/oss/openssl/bin/openssl dhparam -out /export/home/ahs/sslcert/dh2048.pem -outform PEM 2048