13.4. Tomcat Engine および Web サービスの設定ファイル

Red Hat Certificate System は TLS 1.2 暗号スイートをサポートしています。これらは、CS インスタンスがサーバーとして機能する場合はインスタンスの server.xml で定義され、CS インスタンスがクライアントとして機能する場合は CS.cfg で定義されています。

失効チェックは、他のすべての RHCS サブシステムと同じ方法で CA でサポート/有効化されます (RHCS サブシステムの証明書失効チェックの有効化 を参照)。RHCS は、効率的な証明書失効チェックのために OCSP を推奨しています。ただし、CA が他の CS サブシステムと異なる点として、CA が発行する証明書の CRL の作成者であり、したがって OCSP サブシステムに必要な CRL のソースであることが挙げられます。そのため、OCSP や他の RHCS サブシステムの前に独立して起動できる必要があります。

CA が CA 自体の内部 LDAP サーバー証明書を発行する場合、CA 起動時に鶏が先か卵が先かという問題に陥らないように、AIA (OCSP) ではなく CRL 配布ポイント拡張を使用することが非常に重要です。

証明書失効チェックは、PKI 環境における証明書検証の重要な要素です。RHCS は、ピア証明書の AIA (OCSP) または CRL 配布ポイント拡張のいずれかを検出/処理する 2 種類の証明書失効検証方法 (OCSP と CRL) を提供します。

RHCS では、より効率的な証明書失効チェックのために OCSP が推奨されます。

OCSP を採用するアプリケーション (この場合は PKI サブシステム) は、問題の証明書を検証するために OCSP システムに接続する方法を認識している必要があります。PKI サブシステムでは、デフォルトで OCSP チェックは有効になっていません。PKI サブシステムの OCSP チェックを有効にするには、server.xml ファイルを編集します。

デフォルトでは、明示的に指定されていない限り、CA は、CA 自身の内部 OCSP を指す AIA (Authority Information Access) 拡張を持つ証明書を発行します。OCSP インスタンスのセットアップを完了すると、CA を設定して、代わりに OCSP インスタンスを指す AIA 拡張機能を使用して証明書の発行を開始できます。

証明書に CRL 配布ポイント拡張を追加するには、CRL 配布ポイント拡張を備えた証明書登録プロファイルを使用する必要があります。証明書登録プロファイルを有効にするには、CRL 配布ポイントを使用した CA の登録プロファイル設定 を参照してください。

このプロファイルが機能するには、CA が CRL 配布ポイントを処理するように設定されている必要があることに注意してください。CRL 配布ポイントのサポートを設定する を参照してください。

TLS セッションは、TLS ハンドシェイクプロトコルを介して確立された TLS 接続におけるセキュアな通信チャネルです。

PKI サーバーは、TLS セッションアクティビティーの監査イベントを生成します。サーバーは、接続の作成時に、Outcome=Success の ACCESS_SESSION_ESTABLISH 監査イベントを生成します。接続の作成に失敗した場合、サーバーは Outcome=Failure を指定した ACCESS_SESSION_ESTABLISH 監査イベントを生成します。接続が閉じられると、サーバーは ACCESS_SESSION_TERMINATED 監査イベントを生成します。

TLS セッションタイムアウト (TLS 接続タイムアウト) は、/etc/pki/instance/server.xml ファイルの Secure Connector 要素の keepAliveTimeout パラメーターで設定されます。

...
Server
	Service
		Connector name="Secure"
			...
			keepAliveTimeout="300000"
			...
			/
	/Service
/Server
...

...
Server
	Service
		Connector name="Secure"
			...
			keepAliveTimeout="300000"
			...
			/
	/Service
/Server
...

デフォルトではタイムアウト値は 300000 ミリ秒 (5 分) に設定されます。この値を変更するには、/etc/pki/instance/server.xml ファイルを編集し、サーバーを再起動します。

HTTP セッションは、HTTP クッキーを使用して複数の HTTP リクエストでユーザーを追跡するメカニズムです。PKI サーバーは、HTTP セッションの監査イベントを生成しません。

HTTP セッションのタイムアウトは、/etc/pki/instance/web.xml ファイルの session-timeout 要素で設定できます。

...
web-app
	session-config
		session-timeout30/session-timeout
	/session-config
/web-app
...

...
web-app
	session-config
		session-timeout30/session-timeout
	/session-config
/web-app
...

デフォルトでは、タイムアウト値は 30 分に設定されています。値を変更するには、/etc/pki/instance/web.xml ファイルを編集し、サーバーを再起動します。

PKI Web UI は、ブラウザーで実行されるインタラクティブな Web ベースのクライアントです。現在、クライアント証明書認証のみをサポートしています。

Web UI が開くと、ブラウザーはサーバーに複数の TLS 接続を作成できます。これらの接続は単一の HTTP セッションに関連付けられます。

Web UI のタイムアウトを設定するには、「HTTP セッションのタイムアウト」 を参照してください。ブラウザーがクライアント証明書をキャッシュし、TLS セッションを自動的に再作成できるようにするため、TLS セッションのタイムアウトは通常無関係です。

HTTP セッションの期限が切れると、Web UI は即座に表示されません。ただし、Web UI は、ユーザーが操作を実行する前にアクセスバナー (有効な場合) を表示します。

PKI コンソールは、インタラクティブなスタンドアロングラフィカル UI クライアントです。ユーザー名/パスワードおよびクライアント証明書認証をサポートします。

コンソールの起動時に、サーバーへの 1 つの TLS 接続が作成されます。コンソールは、グラフィカルインターフェイスを開く前に、アクセスバナー (有効な場合) を表示します。Web UI とは異なり、コンソールはサーバーで HTTP セッションを維持しません。

コンソールのタイムアウトを設定するには、「TLS セッションのタイムアウト」 を参照してください。コンソールは HTTP セッションを使用しないため、HTTP セッションタイムアウトは無関係です。

TLS セッションの期限が切れると、TLS 接続が閉じられ、コンソールがシステムにすぐに終了します。ユーザーが続行する場合は、コンソールを再起動する必要があります。

PKI CLI は、一連の操作を実行するコマンドラインクライアントです。ユーザー名/パスワードおよびクライアント証明書認証をサポートします。

CLI の起動時に、サーバーと HTTP セッションへの単一の TLS 接続を作成します。CLI は、操作を実行する前にアクセスバナー (有効な場合) を表示します。

通常、操作は遅延なく順次実行され、CLI が完了するとすぐに CLI を終了するため、両方のタイムアウトは PKI CLI とは無関係です。ただし、CLI がユーザー入力を待機するか、速度が低下するか、応答しなくなると、TLS セッションまたは HTTP セッションが期限切れになり、残りの操作が失敗する場合があります。このような遅延が予想される場合は、「TLS セッションのタイムアウト」 と 「HTTP セッションのタイムアウト」 を参照して、想定される遅延に対応します。