インターシステムズ公開鍵インフラストラクチャ

新しい秘密鍵と証明書での CA サーバの構成

新しい秘密鍵と証明書を作成している場合、手順は次のとおりです。

1. 選択した Caché インスタンスで、管理ポータルの [公開鍵インフラストラクチャ] ページ ([システム管理] > [セキュリティ] > [公開鍵インフラストラクチャ]) に移動します。

2. [公開鍵インフラストラクチャ] ページの [認証機関サーバ] で、[ローカル認証機関サーバの構成] を選択します。これにより、(1) CA サーバの証明書および秘密鍵のファイル名ルート、(2) これらのファイルがあるディレクトリの各フィールドが表示されます。

   Important:

   既存の証明書と秘密鍵を指すパスおよびファイル名ルートを指定する場合、Caché はその CA サーバの証明書と秘密鍵を使用します。それ以外の場合、Caché は新しい証明書と秘密鍵を作成します(また、いずれか 1 つのファイルが存在する場合、Caché はこれに.old 接尾辞を付加して名前を変更し、新しいファイルを作成します)。

   フィールドは以下のとおりです。

   • [認証機関の証明書と秘密鍵ファイルのファイル名ルート (拡張子なし)] — 必須。秘密鍵と証明書のファイル名の共通部分を指定します。これは、既存のファイルのペアのものでも新しいファイルのペアのものでもかまいません。したがって、ファイル名ルートとして MyCA を選択すると、秘密鍵は MyCA.key ファイルに保存され、証明書は MyCA.cer ファイルに保存されます。このフィールドで有効な文字は、英数字、ハイフン、およびアンダースコアです。ルートを文字列 “cache” にすることはできません。

   • [認証機関の証明書と秘密鍵ファイルのディレクトリ] — 必須。CA の証明書と秘密鍵のファイルを格納するディレクトリへのパスです。ディレクトリが存在しない場合は、Caché がその作成を試みます。このディレクトリは、(ローカル・ハード・ドライブやネットワーク・サーバではなく) 外部デバイス (暗号化された外部デバイスを推奨) に存在する必要があります。これは CA の秘密鍵を保持するディレクトリであるため、完全に安全な場所であることが極めて重要です。ここで相対パスを指定すると、Caché インスタンスの <install-dir>/mgr/ を基準とした相対パスになります。

3. [次へ] をクリックして次に進みます。

4. 次に表示されるフィールドは、新しい秘密鍵と証明書ペアを作成しているのか、既存の秘密鍵と証明書を使用しているのかによって異なります。新しい秘密鍵と証明書を作成している場合、Caché には次のフィールドが表示されます。

   • [認証機関の秘密鍵ファイルのパスワード] および [パスワード確認] — 必須。CA の秘密鍵ファイルを暗号化および解読するためのパスワードです。

   • [認証機関所有者識別名] — CA 証明書のベアラを示す識別名 (DN) を定義する 1 つ以上の名前と値のペアのセットです。1 つ以上の属性の値を指定する必要があります。属性は以下のとおりです。

     • [国] — ISO 国コードOpens in a new tabを使用して国を識別する 2 文字のコードです。

     • [州または県] — CA のある州または県の名前です。通常、CA 証明書ではこのフィールドは使用しません。

     • [地域] — CA のある市町村の名前です。通常、CA 証明書ではこのフィールドは使用しません。

     • [組織] — CA を管理している組織の名前です。規則により、この値は単に “InterSystems” や “InterSystems Corp” ではなく、“InterSystems Corporation” のように略さずに入力します。

     • [組織単位] — その他の組織情報または CA に関する特記事項です。ここには、CA の部署、CA は社内のみで使用するという記述などを入力できます。

     • [共通名] — “ドキュメント・テスト CA” など、CA のわかりやすい名前です。

   • [認証機関の証明書の有効期間 (日数)] — 必須。CA 証明書自体の有効期間 (存続期間) です。

   • [認証機関により発行された証明書の有効期間 (日数)] — 必須。CA がそのクライアントに対して発行する証明書の有効期間 (存続期間) です。

   • [電子メールの構成] — CA およびそのタスクを管理するための電子メール・アカウントで必要な情報です。

     • [SMTP サーバ] — 完全修飾ホスト名の形式の、CA メールを処理するSimple Mail Transfer Protocol (SMTP) サーバです (“MyMachine.MyDomain.com” など)。

     • [SMTPユーザ名] — 指定した SMTP サーバが認証できるユーザ名です。このフィールドでは完全修飾ユーザ名とする必要はありません。

     • [SMTP パスワード] — SMTP ユーザ名に関連付けられているパスワードです。

     • [パスワード確認] — SMTP ユーザ名に関連付けられているパスワードの確認です。

     • [認証機関サーバ管理者の電子メール・アドレス] — CA の証明書署名要求を受け取るユーザです。このフィールドは、“CAMgr@MyDomain.com” のように完全修飾ユーザ名とする必要があります。

5. 必要に応じてこれらのフィールドに入力し、[保存] をクリックします。Caché には、成功したことを示す次のようなメッセージが表示されます。

   Certificate Authority server successfully configured. 
   Created new files: C:\pki\FileNameRoot.cer .key, and .srl. 
   Certificate Authority Certificate SHA-1 fingerprint: 
   E3:FB:30:09:53:90:9A:31:30:D3:F0:07:8F:64:65:CD:11:0A:1A:A2 
   Confirmation email sent to: CAserver-admin@intersystems.com
   

   これは、秘密鍵、証明書、およびそれらに関連付けられた SRL (シリアル) ファイルが作成されたことを示しています(それ以外の場合はエラー・メッセージを表示します)。

   ファイルが作成されたら、物理的に保護される暗号化されたリムーバブル・メディアに、この機密情報を保存することを強くお勧めします。

   WARNING:

   

   すべての秘密鍵を適切に保護することが重要です。特に CA の秘密鍵の保護は最も重要です。秘密鍵が漏洩されると、セキュリティの侵害、データの漏洩、財務損失、および法的な脆弱性が生じる可能性があります。

   成功した場合、Caché では以下のようなアクションが実行されたことになります。

   • 鍵のペアの作成。

   • 指定のファイル名ルートで、指定の場所のファイルに秘密鍵を保存 (下記参照)。

   • 公開鍵を含む自己署名 CA 証明書の作成。

   • 指定のファイル名ルートで、指定の場所のファイルに証明書を保存 (下記参照)。

   • 発行された証明書数のカウンタを作成し、証明書や秘密鍵と同じディレクトリにある SRL (シリアル) ファイルに保存(CA が新しい証明書を発行するたびに、Caché はこのカウンタに基づいて証明書に一意のシリアル番号を付与し、SRL ファイル内の値をインクリメントします)。

CA 秘密鍵と証明書を作成したら、証明書署名要求 (CSR) を処理できます。CA クライアントが CSR を作成すると、CA 管理者はこれについての電子メール通知を受け取ります。

既存の秘密鍵と証明書での CA サーバの構成

(別の Caché CA や、商用 CA などの外部 CA などからの) 既存の秘密鍵と証明書を使用している場合、手順は以下のとおりです。

1. 秘密鍵と証明書を作成または取得します。証明書は PEM 形式であるか、PEM 形式に変換できることが必要です。

2. 証明書と秘密鍵にまだ同一のファイル名ルートがない場合、証明書は filenameroot.cer、秘密鍵は filenameroot.key という名前に変更します。この filenameroot が使用するファイル名ルートです。

3. 両方のファイルを同じディレクトリに保存します。このディレクトリは、CA サーバとして構成している Caché インスタンスからアクセスできることを確認してください。このディレクトリは、(ローカル・ハード・ドライブやネットワーク・サーバではなく) 外部デバイス (暗号化された外部デバイスを推奨) に存在する必要があります。これは CA の秘密鍵を保持するディレクトリであるため、完全に安全な場所であることが極めて重要です。

   WARNING:

   

   すべての秘密鍵を適切に保護することが重要です。特に CA の秘密鍵の保護は最も重要です。秘密鍵が漏洩されると、セキュリティの侵害、データの漏洩、財務損失、および法的な脆弱性が生じる可能性があります。

4. 選択した Caché インスタンスで、管理ポータルの [公開鍵インフラストラクチャ] ページ ([システム管理] > [セキュリティ] > [公開鍵インフラストラクチャ]) に移動します。

5. [公開鍵インフラストラクチャ] ページの [認証機関サーバ] で、[ローカル認証機関サーバの構成] を選択します。このページのフィールドに、以下のとおり入力します。

   • [認証機関の証明書と秘密鍵ファイルのファイル名ルート (拡張子なし)] — 必須。秘密鍵と証明書のファイル名の共通部分です。この値には、ファイルが持つファイル名ルート、または手順 2 で選択したファイル名ルートを使用します。

   • [認証機関の証明書と秘密鍵ファイルのディレクトリ] — 必須。CA の証明書と秘密鍵のファイルを保持するディレクトリへのパスです。この値には、手順 3 で選択したディレクトリを使用します。ここで相対パスを指定すると、Caché インスタンスの <install-dir>/mgr/ を基準とした相対パスになります。

6. [次へ] をクリックして次に進みます。

7. 次に表示されるフィールドは、新しい秘密鍵と証明書ペアを作成しているのか、既存の秘密鍵と証明書を使用しているのかによって異なります。既存の秘密鍵と証明書を使用している場合、Caché には以下のフィールドが表示されます。

   • [認証機関により発行された証明書の有効期間 (日数)] — 必須。CA がそのクライアントに対して発行する証明書の有効期間 (存続期間) です。

   • [電子メールの構成] — CA およびそのタスクを管理するための電子メール・アカウントで必要な情報です。

     • [SMTP サーバ] — 完全修飾ホスト名の形式の、CA メールを処理するSimple Mail Transfer Protocol (SMTP) サーバです (“MyMachine.MyDomain.com” など)。

     • [SMTPユーザ名] — 指定した SMTP サーバが認証できるユーザ名です。このフィールドでは完全修飾ユーザ名とする必要はありません。

     • [SMTP パスワード] — SMTP ユーザ名に関連付けられているパスワードです。

     • [パスワード確認] — SMTP ユーザ名に関連付けられているパスワードの確認です。

     • [認証機関サーバ管理者の電子メール・アドレス] — CA の証明書署名要求を受け取るユーザです。このフィールドは、“CAMgr@MyDomain.com” のように完全修飾ユーザ名とする必要があります。

   Important:

   管理ポータルにこれら以外のフィールドが表示される場合は、使用しようとしている秘密鍵と証明書に向けて適切に指定していないことになります。表示されたすべてのフィールドに記入し、[保存] をクリックして成功すると、CA サーバの新しい秘密鍵と証明書の作成は完了です。

8. [保存] をクリックします。ローカル CA サーバの構成情報を保存する際、Caché は既存の証明書と秘密鍵を使用します(存在しない場合は SRL ファイルも作成します)。これで、次のような成功メッセージが表示されます。

   Certificate Authority server successfully configured. 
   Using existing files: C:\pki\FileNameRoot.cer and .key 
   Certificate Authority Certificate SHA-1 fingerprint: 
   E3:FB:30:09:53:90:9A:31:30:D3:F0:07:8F:64:65:CD:11:0A:1A:A2 
   Confirmation email sent to: CAserver-admin@intersystems.com
   

新しい秘密鍵と証明書の作成の場合と同様に、この時点で、CA サーバは構成され、証明書署名要求 (CSR) を処理できる状態になります。CA クライアントが CSR を作成すると、CA 管理者はこれについての電子メール通知を受け取ります。

CA サーバの再初期化

CA サーバとしてすでにインスタンスを構成している場合、CA の構成用のページには [再初期化] ボタンが表示されます。これを選択すると、以下のような影響があります。

• CA サーバのすべての構成情報が削除されます。

• 発行された証明書のすべての情報が破棄されます。

• CA で保留中のすべての証明書署名要求が破棄されます。

このボタンをクリックすると、CA を再初期することを確認するプロンプトが表示されます。再初期化すると、新しい CA サーバを構成することができます。

証明書署名要求 (CSR) の処理

要求の処理とは、CSR を証明書に変換することです。以下はその方法です。

1. 管理ポータルで、[公開鍵インフラストラクチャ] ページ ([システム管理] > [セキュリティ] > [公開鍵インフラストラクチャ]) に移動します。

2. [公開鍵インフラストラクチャ] ページの [認証機関サーバ] で、[保留中の証明書署名要求の処理] を選択します。これにより、CA が受け取った後、処理または削除が行われていない CSR のテーブルが表示されます。各 CSR の右には、[プロセス] および [削除] リンクが表示されます。

3. CA サーバの証明書と秘密鍵のファイルが含まれるメディアをマウントします(これは、CA サーバとして Caché インスタンスを構成する際にこれらのファイルを格納したメディアです)。

4. CSR を処理するには、[プロセス] をクリックします。これにより CSR の内容が表示されます。

5. 証明書を発行する前に、証明書の使用法を指定する必要があります。[証明書の使用法] ラジオ・ボタンの選択により、証明書が実行できる処理が指定されます。

   • [TLS/SSL および XML セキュリティ] — Caché 内のさまざまなセキュリティ機能を直接使用している CA クライアント用。

   • [中間認証機関] — Caché の他のインスタンスの CA として機能している CA クライアント用。

   • [コード署名] — 証明書を使用してコード署名を実行する CA クライアント用。

6. Important:

   この手順では、偽装を防止する手段を使用して、潜在的な CA クライアントの技術担当者の識別情報を検証する必要があります。

   このページの手順で示したように、CSR を送信したインスタンスの指定された技術担当者に問い合わせる必要があります。組織のポリシーに従って、この担当者に電話で、または直接会って、確認します。

   • この担当者の識別情報

   • この担当者が、CA サーバ管理者が管理する CA によって署名された、上記所有者識別名を含む証明書を保持する権限

   • 上記の SHA-1 指紋が、証明書署名要求の送信時にレポートされた指紋と一致すること

7. 証明書の目的を指定し、技術担当者に関連する情報を検証したら、証明書を発行できます。これを実行するには、[証明書の発行] をクリックします。これにより、ページに [認証機関の秘密鍵ファイルのパスワード] フィールドが表示されます。

8. [認証機関の秘密鍵ファイルのパスワード] フィールドに、CA サーバの秘密鍵ファイルを解読するためのパスワードを入力します。Caché を使用して秘密鍵と証明書を作成した場合、これは [認証機関の秘密鍵ファイルのパスワード] に入力した値となります。他のツールを使用して秘密鍵と証明書を作成した場合、これはこの目的でそれらのツールに指定したパスワード (存在する場合) です。

9. [完了] をクリックすると、証明書が作成されます。成功すると、Caché には次のようなメッセージが表示されます。

   Certificate number 31 issued for Certificate Signing Request 
   "Santiago Development Group"
   

10. CA サーバの証明書と秘密鍵を保持するメディアを取り外し、安全な場所に保存します。

これで、Caché により証明書が作成され、CA クライアントの技術担当者には電子メールで証明書がダウンロード可能であることが通知されました。CA クライアントの技術担当者は、証明書をクライアント・ホストにダウンロードできるようになりました。

証明書署名要求 (CSR) の削除

要求を削除する手順は以下のとおりです。

1. 管理ポータルで、[公開鍵インフラストラクチャ] ページ ([システム管理] > [セキュリティ] > [公開鍵インフラストラクチャ]) に移動します。

2. [公開鍵インフラストラクチャ] ページの [認証機関サーバ] で、[保留中の証明書署名要求の処理] を選択します。これにより、CA が受け取った後、処理または削除が行われていない CSR のテーブルが表示されます。各 CSR の右には、[プロセス] および [削除] リンクが表示されます。

3. CSR を削除するには、[削除] をクリックします。操作を確認するダイアログが表示されます。

4. 確認ダイアログで [OK] をクリックします。

5. 必要に応じてこれらのフィールドに入力し、[保存] をクリックします。

これで CSR が削除されます。