第18章 Web サーバー

1. モジュールは変更されている可能性があるため、すべてのモジュール名が正しいことを確認してください。名前が変更された各モジュールの LoadModule ディレクティブを調整します。
2. サードパーティーのモジュールは、読み込みを試みる前にすべて再コンパイルをします。これは一般的に認証と権限付与のモジュールに該当します。
3. mod_userdir モジュールを使用する場合は、ディレクトリー名（通常は public_html）を示す UserDir ディレクティブが指定されていることを確認してください。
4. Apache HTTP Secure Server を使用する場合は、Secure Sockets Layer (SSL) プロトコルの有効化に関する重要な情報について 「mod_ssl モジュールの有効化」 を参照してください。

手順18.4 mod_nss の設定

1. root で mod_nss をインストールします。

   ~]# yum install mod_nss

   Copy to Clipboard Toggle word wrap
   これにより、/etc/httpd/conf.d/nss.conf に mod_nss 設定ファイルが作成されます。/etc/httpd/conf.d/ ディレクトリーは、デフォルトでメインの Apache HTTP Server 設定ファイルに含まれます。モジュールを読み込むには、「サービスの再起動」 の説明に従って httpd サービスを再起動します。
2. root で /etc/httpd/conf.d/nss.conf ファイルを開き、Listen ディレクティブの すべて のインスタンスを検索します。
   Listen 8443 行を以下のように編集します。

   Listen 443

   Copy to Clipboard Toggle word wrap

   ポート 443 は、HTTPS のデフォルトポートです。
3. デフォルトの VirtualHost _default_:8443 行を以下のように編集します。

   VirtualHost _default_:443

   Copy to Clipboard Toggle word wrap

   デフォルト以外の他のすべての仮想ホストセクション (存在する場合) を編集します。ファイルを保存してから閉じます。
4. Mozilla NSS は、証明書を /etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase ディレクティブで示唆される サーバー証明書データベース に保存します。デフォルトでは、パスはインストール時に作成された NSS データベースである /etc/httpd/alias に設定されます。
   デフォルトの NSS データベースを表示するには、以下のコマンドを実行します。

   ~]# certutil -L -d /etc/httpd/alias
   
   Certificate Nickname                                         Trust Attributes
                                                                SSL,S/MIME,JAR/XPI
   
   cacert                                                       CTu,Cu,Cu
   Server-Cert                                                  u,u,u
   alpha                                                        u,pu,u

   Copy to Clipboard Toggle word wrap

   上記のコマンド出力では、Server-Cert がデフォルトの NSSNickname です。-L オプションは、証明書データベースにすべての証明書を一覧表示したり、名前付き証明書に関する情報を表示します。-d オプションは、証明書およびキーデータベースファイルを含むデータベースディレクトリーを指定します。その他のコマンドラインオプションは、certutil(1) の man ページを参照してください。
5. 別のデータベースを使用するように mod_nss を設定するには、/etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase 行を編集します。デフォルトファイルの VirtualHost セクション内には以下の行が含まれます。

   #   Server Certificate Database:
   #   The NSS security database directory that holds the certificates and
   #   keys. The database consists of 3 files: cert8.db, key3.db and secmod.db.
   #   Provide the directory that these files exist.
   NSSCertificateDatabase /etc/httpd/alias

   Copy to Clipboard Toggle word wrap

   上記のコマンド出力では、alias がデフォルトの NSS データベースディレクトリー /etc/httpd/alias/ です。
6. デフォルトの NSS 証明書データベースにパスワードを適用するには、root で以下のコマンドを使用します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

   Copy to Clipboard Toggle word wrap
7. HTTPS サーバーをデプロイする前に、認証局 (CA) により署名された証明書を使用して新しい証明書データベースを作成します。

   例18.81 Mozilla NSS データベースへの証明書の追加

   certutil コマンドは、CA 証明書を NSS データベースファイルに追加するために使用されます。

   certutil -d /etc/httpd/nss-db-directory/ -A -n "CA_certificate" -t CT,, -a -i certificate.pem

   Copy to Clipboard Toggle word wrap

   上記のコマンドは、certificate.pem という名前の PEM 形式のファイルに保存されている CA 証明書を追加します。-d オプションは、証明書およびキーデータベースファイルを含む NSS データベースディレクトリーを指定します。-n オプションは、証明書の名前( -t CT,, )を設定します。これは、証明書が TLS クライアントおよびサーバーで使用されるように信頼されることを意味します。-A オプションは、既存の証明書を証明書データベースに追加します。データベースが存在しない場合は、作成されます。-a オプションを使用すると、入力または出力に ASCII 形式を使用でき、-i オプションは certificate.pem 入力ファイルをコマンドに渡します。

   その他のコマンドラインオプションは、certutil(1) の man ページを参照してください。
8. 秘密鍵を保護するために、NSS データベースはパスワードで保護する必要があります。

   例18.82 Setting_a_Password_for_a_Mozilla_NSS_database

   NSS データベースのパスワードを設定するには、以下のように certutil ツールを使用できます。

   certutil -W -d /etc/httpd/nss-db-directory/

   Copy to Clipboard Toggle word wrap

   たとえば、デフォルトのデータベースの場合は、root で以下のコマンドを実行します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password: 
   Re-enter password: 
   Password changed successfully.

   Copy to Clipboard Toggle word wrap
9. 以下のように NSSPassPhraseDialog ディレクティブで行を変更して、NSS 内部ソフトウェアトークンを使用するように mod_nss を設定します。

   ~]# vi /etc/httpd/conf.d/nss.conf
   NSSPassPhraseDialog file:/etc/httpd/password.conf

   Copy to Clipboard Toggle word wrap

   これにより、システムの起動時にパスワードを手動で入力する必要がなくなります。ソフトウェアトークンは NSS データベースに存在しますが、証明書を含む物理トークンを使用することもできます。
10. NSS データベースに含まれる SSL サーバー証明書が RSA 証明書である場合は、NSSNickname パラメーターのコメントを解除し、上記の手順 4 で示されたニックネームに一致するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSNickname Server-Cert

    Copy to Clipboard Toggle word wrap
    NSS データベースに含まれる SSL サーバー証明書が ECC 証明書である場合は、NSSECCNickname パラメーターのコメントを解除し、上記の手順 4 で示されたニックネームに一致するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSECCNickname Server-Cert

    Copy to Clipboard Toggle word wrap
    NSSCertificateDatabase パラメーターがコメント解除され、上記の手順 4 で示された、または手順 5 で設定された NSS データベースディレクトリーを参照するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSCertificateDatabase /etc/httpd/alias

    Copy to Clipboard Toggle word wrap

    /etc/httpd/alias を、使用する証明書データベースへのパスに置き換えます。
11. root で /etc/httpd/password.conf ファイルを作成します。

    ~]# vi /etc/httpd/password.conf

    Copy to Clipboard Toggle word wrap

    internal:password

    Copy to Clipboard Toggle word wrap

    の形式の行を追加します。上記の手順 6 で NSS セキュリティーデータベースに適用したパスワードでパスワードを置き換えます。
12. 適切な所有権とパーミッションを /etc/httpd/password.conf ファイルに適用します。

    ~]# chgrp apache /etc/httpd/password.conf
    ~]# chmod 640 /etc/httpd/password.conf
    ~]# ls -l /etc/httpd/password.conf
    -rw-r-----. 1 root apache 10 Dec  4 17:13 /etc/httpd/password.conf

    Copy to Clipboard Toggle word wrap
13. NSS のソフトウェアトークンを使用するように mod_nss を設定するには、/etc/httpd/password.conf で /etc/httpd/conf.d/nss.conf を以下のように編集します。

    ~]# vi /etc/httpd/conf.d/nss.conf

    Copy to Clipboard Toggle word wrap
14. 変更を反映するために、「サービスの再起動」 の説明通りに Apache サーバーを再起動します。