Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

15.4. スマートカード CA プロファイルの管理

注記

TMS 上のこのセクションにある機能は、評価でテストされていません。このセクションは参照用途としてのみ提供されています。

TPS は、証明書要求を生成または承認しません。Enterprise Security Client を介して承認された要求を、設定済みの CA に送信して証明書を発行します。これは、CA にトークンとスマートカードに使用するプロファイルが実際に含まれることを意味します。使用するプロファイルは、カードの種類に基づいて自動的に割り当てられます。

プロファイルの設定ファイルは、他の CA プロファイルが含まれる /var/lib/ instance_name/ca/profiles/ca/ ディレクトリーにあります。デフォルトのプロファイルは、表15.2「デフォルトのトークン証明書プロファイル」 に一覧表示されます。

表15.2 デフォルトのトークン証明書プロファイル
プロファイル名設定ファイル説明

通常の登録プロファイル

トークンデバイスのキー登録

caTokenDeviceKeyEnrollment.cfg

デバイスまたはサーバーに使用するトークンの登録

トークンユーザー暗号化証明書の登録

caTokenUserEncryptionKeyEnrollment.cfg

ユーザーのトークンで暗号化証明書を登録する場合。

トークンユーザーの署名証明書登録

caTokenUserSigningKeyEnrollment.cfg

ユーザーのトークンに署名証明書を登録する場合。

トークンユーザー MS ログイン証明書の登録

caTokenMSLoginEnrollment.cfg

Windows ドメインまたは PC へのシングルサインオンに使用するユーザー証明書を登録する場合。

一時トークンプロファイル

一時的なデバイス証明書の登録

caTempTokenDeviceKeyEnrollment.cfg

一時的なトークンでデバイスの証明書を登録する場合

一時的なトークン暗号化証明書の登録

caTempTokenUserEncryptionKeyEnrollment.cfg

ユーザーの一時的なトークンに暗号化証明書を登録する場合。

一時的なトークンユーザー署名証明書

caTempTokenUserSigningKeyEnrollment.cfg

ユーザーの一時的なトークンに署名証明書を登録する場合。

プロファイルの更新

トークンユーザー暗号化証明書の登録 (更新)

caTokenUserEncryptionKeyRenewal.cfg

更新が許可される場合に、ユーザーのトークンで暗号化証明書を更新する場合。

トークンユーザー署名証明書の登録 (更新)

caTokenUserSigningKeyRenewal.cfg

更新が許可される場合に、トークンの署名証明書を更新するため。

15.4.1. TPS の登録プロファイルの編集

管理者は、TPS で使用されるデフォルトのスマートカード登録プロファイルをカスタマイズできます。たとえば、プロファイルを編集して、サブジェクト代替名拡張子にユーザーの電子メールアドレスを含めることができます。ユーザーのメールアドレスは認証ディレクトリーから取得されます。LDAP アクセス用に CA を設定するには、プロファイルファイルの次のパラメーターを、適切なディレクトリー情報とともに変更します。 

policyset.set1.p1.default.params.dnpattern=UID=$request.uid$, O=Token Key User
				policyset.set1.p1.default.params.ldap.enable=true
				policyset.set1.p1.default.params.ldap.basedn=ou=people,dc=host,dc=example,dc=com
				policyset.set1.p1.default.params.ldapStringAttributes=uid,mail
				policyset.set1.p1.default.params.ldap.ldapconn.host=localhost.example.com
				policyset.set1.p1.default.params.ldap.ldapconn.port=389
Copy to Clipboard

これらの CA プロファイルには、LDAP ルックアップがデフォルトで無効になっています。ldapStringAttributes パラメーターは、会社のディレクトリーから取得する LDAP 属性を CA に指示します。たとえば、ディレクトリーに LDAP 属性名として uid が含まれており、証明書のサブジェクト名に使用される場合、uid は ldapStringAttributes パラメーターにリストされ、request.uid は dnpattern のコンポーネントのひとつとしてリストされなければなりません。

証明書プロファイルの編集は、Red Hat Certificate System 管理ガイド の 証明書プロファイルの設定 で説明されています。

dnpattern パラメーターのフォーマットは、パラメーターは、Red Hat Certificate System 管理ガイド の サブジェクト名の制約 セクションおよび サブジェクト名のデフォルト セクションで説明されています。

15.4.2. カスタム TPS プロファイルの作成

証明書プロファイルは通常どおり CA で作成されますが、トークンの登録で使用できるようにするには、TPS で設定する必要もあります。

ヒント

新しいプロファイルは、Red Hat Certificate System の新しいリリースで追加されます。インスタンスが Certificate System 10.0 に移行されると、新しいプロファイルは、カスタムプロファイルであるかのように、移行されたインスタンスに追加する必要があります。

  1. 発行する CA 用の新しいトークンプロファイルを作成します。プロファイルの設定は、Red Hat Certificate System 管理ガイド の 証明書のプロファイルの設定 セクションで説明されています。
  2. プロファイルを CA のプロファイルディレクトリー /var/lib/ instance_name/ca/profiles/ca/ にコピーします。

  3. CA の CS.cfg ファイルを編集し、新規プロファイルの参照およびプロファイル名を CA のプロファイル一覧に追加します。以下に例を示します。 

    # vim etc/pki/ instance_name/ca/CS.cfg

				profile.list=caUserCert,...,caManualRenewal,tpsExampleEnrollProfile
				...
				profile.caTokenMSLoginEnrollment.class_id=caUserCertEnrollImpl
				profile.caTokenMSLoginEnrollment.config=/var/lib/pki/ instance_name/profiles/ca/tpsExampleEnrollProfile.cfg
    Copy to Clipboard

  4. TPS CS.cfg ファイルを編集し、新しい CA 登録プロファイルを参照する行を追加します。以下に例を示します。 

    # vim /etc/pki/ instance_name/tps/CS.cfg

				op.enroll.userKey.keyGen.signing.ca.profileId=tpsExampleEnrollProfile
    Copy to Clipboard

  5. スマートカードプロファイルを編集したら、インスタンスを再起動します。 

    # systemctl restart pki-tomcatd-nuxwdog@instance_name.service
    Copy to Clipboard

    CA と TPS が別のインスタンスにある場合は、両方のインスタンスを再起動します。

注記

外部登録の登録プロファイル (externalReg) 設定は、ユーザーの LDAP エントリーで設定されます。

15.4.3. Windows スマートカードのログオンプロファイルの使用

TPS はプロファイルを使用して、Windows ドメインまたは PC へのシングルサインオンに使用する証明書を生成します。これは、トークンユーザーの MS ログイン証明書の登録プロファイルです (caTokenMSLoginEnrollment.cfg)。

ただし、管理者が Windows スマートカードログインを設定するときに考慮する 必要 がある特別な考慮事項がいくつかあります。

  • TLS に対して設定されていない場合は、ドメインコントローラーに証明書を発行します。
  • グローバルポリシーではなく、ユーザーごとのスマートカードログインを設定して、ドメイン管理者のロックアウトを防止します。
  • ドメインコントローラーはログインのたびに CRL をチェックするため、Active Directory サーバーへの CRL 公開を有効にします。
トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat, Inc.