6.2. 証明書の取り消し

以下の内容で、/home/user_name/cmc-request.cfg などの CMC 失効要求の設定ファイルを作成します。

#numRequests: Total number of PKCS10 requests or CRMF requests.
numRequests=1

#output: full path for the CMC request in binary format
output=/home/user_name/cmc.revoke.userSigned.req

#tokenname: name of token where user signing cert can be found
#(default is internal)
tokenname=internal

#nickname: nickname for user signing certificate which will be used
#to sign the CMC full request.
nickname=signer_user_certificate

#dbdir: directory for cert9.db, key4.db and pkcs11.txt
dbdir=/home/user_name/.dogtag/nssdb/

#password: password for cert9.db which stores the user signing
#certificate and keys
password=myPass

#format: request format, either pkcs10 or crmf.
format=pkcs10

## revocation parameters
revRequest.enable=true
revRequest.serial=45
revRequest.reason=unspecified
revRequest.comment=user test revocation
revRequest.issuer=issuer
revRequest.sharedSecret=shared_secret

CMC 要求を作成します。

# CMCRequest /home/user_name/cmc-request.cfg

コマンドが成功すると、CMCRequest ユーティリティーは、要求設定ファイルの output パラメーターで指定されたファイルに CMC 要求を保存します。

/home/user_name/cmc-submit.cfg などの設定ファイルを作成します。このファイルは、後で CMC 失効要求を CA に送信します。作成されたファイルに以下の内容を追加します。

#host: host name for the http server
host=>server.example.com

#port: CA port number
port=8443

#secure: true for secure connection, false for nonsecure connection
secure=true

#input: full path for the enrollment request, the content must be
#in binary format
input=/home/user_name/cmc.revoke.userSigned.req

#output: full path for the response in binary format
output=/home/user_name/cmc.revoke.userSigned.resp

#tokenname: name of token where SSL client authentication certificate
#can be found (default is internal)
#This parameter will be ignored if secure=false
tokenname=internal

#dbdir: directory for cert9.db, key4.db and pkcs11.txt
#This parameter will be ignored if secure=false
dbdir=/home/user_name/.dogtag/nssdb/

#clientmode: true for client authentication, false for no client
#authentication. This parameter will be ignored if secure=false
clientmode=true

#password: password for cert9.db
#This parameter will be ignored if secure=false and clientauth=false
password=password

#nickname: nickname for client certificate
#This parameter will be ignored if clientmode=false
nickname=signer_user_certificate

要求に署名したユーザーに応じて、HttpClient の設定ファイルの servlet パラメーターを適切に設定する必要があります。

CMC 要求を送信します。

# HttpClient /home/user_name/cmc-submit.cfg

既存の証明書の CMC 失効要求を作成します。

# CMCRevoke -d/path/to/AgentCertDb -pPasswordToDb -nNickname -iIssuerName -sDecimalSerialNumber -mReasonToRevoke -cComment*

たとえば、エージェント証明書を含むディレクトリーが ~jsmith/.mozilla/firefox/、証明書のニックネームが AgentCert、証明書のシリアル番号が 22 の場合、コマンドは次のとおりです

# CMCRevoke -d"~jsmith/.mozilla/firefox/" -pPass -n"AgentCert" -i"cn=agentAuthMgr" -s22 -m0 -c"test comment"

エンドエンティティーを開きます。

https://server.example.com:8443/ca/ee/ca

List Certificates をクリックします。

制限または上限フィールドを空白のままにすると、指定された番号の証明書と、シーケンスの前または後のすべての証明書が表示されます。

results ページで返される条件に一致する証明書の最大数を入力します。

数値を入力すると、条件に一致する番号までの最初の証明書が表示されます。

Find をクリックします。

Certificate System は、検索条件に一致する証明書の一覧を表示します。リスト内の証明書を選択して詳細を確認し、さまざまな操作を実行します。詳細は、「証明書の詳細の調査」 を参照してください。

Search for Certificates をクリックして Search for Certificates フォームを表示し、検索条件を指定します。

特定の基準で検索するには、Search for Certificates フォームのセクションを 1 つ以上使用します。セクションを使用するには、チェックボックスを選択して、必要な情報を入力します。

特定のサブジェクト名を持つ証明書を検索するには、サブジェクト名 セクションを使用します。チェックボックスを選択し、サブジェクト名の基準を入力します。含まれている検索基準の値を入力し、その他は空白のままにします。

標準のタグまたはコンポーネントは以下のとおりです。

サーバーが照合するフィールド値を入力したら、実行する検索のタイプを指定します。

検索条件を入力したら、フォームの一番下までスクロールし、指定された条件に一致する返される証明書の数を入力します。

返される証明書の数を設定すると、その数までの検索条件に一致する最初に見つかった証明書が返されます。検索に時間制限を秒単位で指定することもできます。

Search Results フォームが表示され、検索条件に一致する証明書のリストが表示されます。リストで証明書を選択して、詳細を確認します。詳細は、「証明書の詳細の調査」 を参照してください。

Search Results フォームで、確認する証明書を選択します。

必要な証明書が表示されない場合は、リストの下部までスクロールし、返される証明書数をさらに指定し、Find をクリックします。システムは、元の検索条件に一致する次の数まで、次の証明書を表示します。

Certificate ページには、選択した証明書の詳細と、サーバーまたは Web ブラウザーに証明書をインストールする手順が表示されます。

図6.1 証明書の詳細

証明書が取り消される理由を選択し、Submit をクリックします。

Check whether the following certificate is included in CRL cache または Check whether the following certificate is listed by CRL のラジオボタンを選択し、証明書のシリアル番号を入力します。

Submit ボタンをクリックします。

メッセージは、証明書が CRL にリストされていないことを示すか、証明書が含まれる CRL の情報を提供します。

ラジオボタンを選択して、CRL を表示、ダウンロード、またはインポートします。