6.2. 主な更新および新機能
Red Hat Certificate System 9.2 には、次の新機能と重要な更新が導入されました。
重要
このドキュメントには、ベースの Red Hat Enterprise Linux 7.4 リリースでは使用できない機能のリリースノートのみが含まれていることに注意してください。Red Hat Certificate System の新機能の多くは、pki-coreこれらについては Red Hat Enterprise Linux 7.4 リリースノート に記載されています。
Red Hat Certificate System サーバー上の SSL/TLS セッションイベントに新しい監査イベントが追加されました
Red Hat Certificate System は、
SSL および TLS セッションイベント、つまり接続確立の成功と失敗、および接続の終了に関連するいくつかの新しい監査ログイベントをサポートするようになりました。
新しいログイベントは次のとおりです。
- 接続が成功した場合は ACCESS_SESSION_ESTABLISH_SUCCESS
- 失敗した接続の場合は ACCESS_SESSION_ESTABLISH_FAILURE
- 終了した接続の場合は ACCESS_SESSION_TERMINATED
これらの新しいイベントは、デフォルトでサーバー監査ログファイルに記録されます。これらの設定をさらに設定するには、
CS.cfg ファイルを使用します。(BZ#1404080)
Red Hat Certificate System は安全な接続の開始時にカスタムバナーを表示できるようになりました
新しい設定オプションが Red Hat Certificate System に追加され、安全な接続の開始時にカスタマイズ可能なバナーを表示できるようになりました。これにより、組織は不正使用に関する勧告通知や警告メッセージなどのメッセージを表示できるようになります。このメッセージは、PKI クライアント (PKI コマンドライン、Web ユーザーインターフェイス、または PKI コンソール) が
SSL または TLS 接続を使用してサーバーに接続するたびに表示されます。接続しているユーザーは、通常のクライアント操作を再開する前に、バナーを読んだことを確認するよう求められます。
この機能を有効にするには、
/etc/pki/pki-tomcat/banner.txt にファイルを作成し、表示するメッセージをこのファイルに配置します。ファイルが UTF-8 としてエンコードされていて、pkiuser ユーザーアカウントで読み取り可能であることを確認してください。バナーを削除するには、上記のファイルを削除してください。バナーを追加、変更、または削除するためにサーバーを再起動する必要はありません。(BZ#1404085)
Red Hat Certificate System サーバーから監査ログを取得するための新しいツール
監査ログを取得するための新しいツールが Red Hat Certificate System に追加され、監査人が検査と検証のために監査ログをローカルで取得できるようになりました。
既存の監査ログファイルをリスト表示するには、次のコマンドを使用します。
pki <subsystem>-audit-file-find
特定の監査ログファイルを取得するには、次のコマンドを使用します。
pki <subsystem>-audit-file-retrieve <filename>
必要な監査ログを取得した後、grep などの標準ツールを使用して特定のログエントリーを検索し、AuditVerify ツールを使用してその信頼性を検証します。これらのツールの詳細については、それぞれのマニュアルページを参照してください。(BZ#1417307)
PKI コンソール の新しいセッションタイムアウトパラメーター
新しいパラメーター
keepAliveTimeout が Certificate System のサーバー設定ファイルに追加されました。このパラメーターは、PKI コンソール のセッションタイムアウト期間を制御します。PKI コンソールは、 このパラメーターで指定された期間アイドル状態が続いた後、サーバーから自動的に切断されます。コンソールはエラーメッセージを表示して終了します。
タイムアウトは
server.xml ファイルで設定され、タイムアウト期間をミリ秒単位で指定する整数を受け入れます。デフォルト値は 300000、つまり 5 分です。(BZ#1446877)
Certificate System が SCP03 対応トークンをサポートするようになりました
この機能強化により、Certificate System は、トークン管理システム (TMS) でセキュアチャネルプロトコル 03 (SCP03) 対応の Giesecke & Devrient (G&D) Smart Cafe 6 および Smart Cafe 7 トークンをサポートするようになりました。これにより、TMS ユーザーは、SCP03 に応答するスマートカードのトークンのフォーマットや登録などのトークン操作を実行できるようになり、トークンの操作中に Advanced Encryption Standard (AES) を使用して追加のセキュリティーが提供されます。(BZ#1274086)
