10.4. ハードウェアセキュリティーモジュール

• 以下に例を示します。

  # TokenInfo /var/lib/pki/rhcs10-ECC-SubCA/alias
  
  Database Path: .
  Found external module 'NSS Internal PKCS #11 Module'
  Found external module 'nfast'
  Found external module 'p11-kit-proxy'
  Found external token 'accelerator'
  Found external token 'NHSM-CONN-XC'

  Copy to Clipboard Toggle word wrap

  このユーティリティーは、Certificate System にインストールされたトークンだけでなく、Certificate System で検出できるすべてのトークンを返します。

• サーバー証明書
• クライアント証明書
• オブジェクト署名証明書
• OCSP 応答署名証明書

• すべての PKI サブスキームの TLS サーバー証明書は、サーバー証明書の手順 に従います。
• サブシステムの監査署名証明書は、以下の手順に従って オブジェクト署名証明書 を検証します。
• CA サブシステムの署名証明書は、上記の手順に従って 中間証明書チェーン をインポートして検証しますが、caSigningCert でのみ行います。
• CA サブシステムの OCSP 署名証明書は、以下の手順に従って OCSP 証明書 を検証します。
• PKI サブシステムのその他のシステム証明書は、Client Certificate の手順 に従います。

サーバー証明書をインポートするには、以下を実行します。

• PKICertImport -d . -h HSM -f password_file -n "host.name.example.com" -t ",," -a -i service.crt -u V

  このコマンドは、サーバー証明書を検証して HSM にインポートします。エラーメッセージが出力されず、戻りコードが 0 の場合は、検証が成功します。戻りコードを確認するには、上記のコマンド実行後すぐに echo $? を実行します。ほとんどの場合は、視覚的なエラーメッセージが出力されます。通常、親証明書の有効期限または CA 信頼チェーンの欠落 (中間証明書の欠落や CA ルートの欠落など) が原因で、証明書の検証に失敗します。検証に成功しなかった場合は、発行者に連絡し、すべての中間証明書およびルート証明書がシステムに存在することを確認します。

クライアント証明書をインポートするには、以下を実行します。

• PKICertImport -d . -h HSM -f password_file -n "client name" -t ",," -a -i client.crt -u C

  このコマンドは、クライアント証明書を HSM に検証し、インポートします。エラーメッセージが出力されず、戻りコードが 0 の場合は、検証が成功します。戻りコードを確認するには、上記のコマンド実行後すぐに echo $? を実行します。ほとんどの場合は、視覚的なエラーメッセージが出力されます。検証に成功しなかった場合は、発行者に連絡し、すべての中間証明書およびルート証明書がシステムに存在することを確認します。

オブジェクト署名証明書をインポートするには、以下を実行します。

• PKICertImport -d . -h HSM -f password_file -n "certificate name" -t ",,P" -a -i objectsigning.crt -u J

  このコマンドは、オブジェクト署名証明書を HSM に検証し、インポートします。エラーメッセージが出力されず、戻りコードが 0 の場合は、検証が成功します。戻りコードを確認するには、上記のコマンド実行後すぐに echo $? を実行します。ほとんどの場合は、視覚的なエラーメッセージが出力されます。検証に成功しなかった場合は、発行者に連絡し、すべての中間証明書およびルート証明書がシステムに存在することを確認します。

OCSP 応答署名証明書をインポートするには、以下を実行します。

• PKICertImport -d . -h HSM -f password_file -n "certificate name" -t ",," -a -i ocsp.crt -u O

  このコマンドは、OCSP レスポンダー証明書を HSM に検証し、インポートします。エラーメッセージが出力されず、戻りコードが 0 の場合は、検証が成功します。戻りコードを確認するには、上記のコマンド実行後すぐに echo $? を実行します。ほとんどの場合は、視覚的なエラーメッセージが出力されます。検証に成功しなかった場合は、発行者に連絡し、すべての中間証明書およびルート証明書がシステムに存在することを確認します。