Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

6.10. 失効ルーティングの設定

失効ルーティングを設定するには、まず関連する CA コネクターのリストを定義し、それらを以下の形式でコネクターリストに追加する必要があります。

Copy to Clipboard Toggle word wrap 
tps.connCAList=ca1,ca2

さらに、CA 署名証明書を TPS nssdb に追加し、信頼を設定する必要があります。

Copy to Clipboard Toggle word wrap 
#cd <TPS instance directory>/alias
 Copy to Clipboard Toggle word wrap 
#certutil -d . -A -n <CA signing cert nickname> -t “CT,C,C” -i <CA signing cert b64 file name>

最後に、以下のオプションを使用して CA 署名証明書のニックネームをコネクターに追加する必要があります。

Copy to Clipboard Toggle word wrap 
tps.connector.ca1.caNickname=caSigningCert cert-pki-tomcat CA
注記

CA の検出時に、TPS は CA の Authority Key Identifier を自動的に計算し、コネクター設定に追加する場合があります。以下に例を示します。

Copy to Clipboard Toggle word wrap 
tps.connector.ca1.caSKI=i9wOnN0QZLkzkndAB1MKMcjbRP8=

この動作は想定されています。

6.10.1. サーバー側の鍵生成の設定

サーバー側の鍵の生成は、鍵が任意の Certificate System サブシステムである Key Recovery Authority (KRA) により生成されることを意味します。KRA によるキーの生成は、紛失したトークンまたは破損したトークンのキーの回復、または外部登録の場合のキーの取得を可能にするために必要です。このセクションでは、TMS でサーバー側の鍵の生成を設定する方法を説明します。

TPS のインストール時に、キーのアーカイブを使用するかどうかを尋ねられます。確認すると、セットアップは自動基本設定、特に次のパラメーターを実行します。

KRA の TPS コネクターパラメーター
Copy to Clipboard Toggle word wrap 
tps.connector.kra1.enable=true
tps.connector.kra1.host=host1.EXAMPLE.com
tps.connector.kra1.maxHttpConns=15
tps.connector.kra1.minHttpConns=1
tps.connector.kra1.nickName=subsystemCert cert-pki-tomcat
tps.connector.kra1.port=8443
tps.connector.kra1.timeout=30
tps.connector.kra1.uri.GenerateKeyPair=/kra/agent/kra/GenerateKeyPair
tps.connector.kra1.uri.TokenKeyRecovery=/kra/agent/kra/TokenKeyRecovery
サーバー側の鍵生成用の TPS プロファイル固有のパラメーター
Copy to Clipboard Toggle word wrap 
op.enroll.userKey.keyGen.encryption.serverKeygen.archive=true
op.enroll.userKey.keyGen.encryption.serverKeygen.drm.conn=kra1
op.enroll.userKey.keyGen.encryption.serverKeygen.enable=true

serverKeygen.archive の serverKeygen.enable=true オプションを有効にします。

重要

LunaSA HSM は、RSA 暗号化用に 2048 ビットより小さい鍵サイズに対応しません。

たとえば、鍵のサイズを 2048 ビットに設定するには、/var/lib/pki/ instance_name/tps/conf/CS.cfg ファイルに以下のパラメーターを設定します。

Copy to Clipboard Toggle word wrap 
op.enroll.userKey.keyGen.encryption.keySize=2048
TKS 設定

以下は、(TPS を介して) TKS と KRA との間の通信に使用されるトランスポート証明書のニックネームを設定します。

Copy to Clipboard Toggle word wrap 
tks.drm_transport_cert_nickname=transportCert cert-pki-tomcat KRA

参照したトランスポート証明書も TKS インスタンスセキュリティーモジュールに存在する必要があります。以下に例を示します。

Copy to Clipboard Toggle word wrap 
transportCert cert-pki-tomcat KRA                            u,u,u
KRA の設定

PKCS#11 トークンに応じて、kra.keygen.temporaryPairs パラメーター、kra.keygen.sensitivePairs パラメーター、および kra.keygen.extractablePairs パラメーターは、鍵生成オプションに合わせてカスタマイズできます。これらのパラメーターはすべて、デフォルトで false に設定されます。

これらのパラメーターの値は、Red Hat Certificate System でサポートされているセキュリティーモジュールでテストされています。

NSS (FIPS モードの場合)
Copy to Clipboard Toggle word wrap 
kra.keygen.extractablePairs=true
nCipher nShield Connect 6000 (デフォルトでは指定なしの機能)

  • RSA 鍵を指定する場合:

    Copy to Clipboard Toggle word wrap 
    kra.keygen.temporaryPairs=true

    (他のパラメーターは指定しないでください。)

  • ECC キーを生成する場合:

    Copy to Clipboard Toggle word wrap 
    kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=false
kra.keygen.extractablePairs=true
LunaSA CKE - Key Export Model (非 FIPS モード)
Copy to Clipboard Toggle word wrap 
kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=true
kra.keygen.extractablePairs=true
注記

Gemalto SafeNet LunaSA は、CKE - Key Export モデルでの PKI 秘密鍵抽出のみおよび非 FIPS モードでのみサポートされます。FIPS モードの LunaSA Cloning モデルおよび CKE モデルは、PKI 秘密鍵の抽出をサポートしません。

注記

LunaSA CKE - Key Export Model が FIPS モードにあると、pki 秘密鍵を抽出できません。

トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat, Inc.