第1章 Red Hat Directory Server のセキュリティー保護

手順

1. プライベートキーおよび証明書署名要求 (CSR) を作成します。外部ユーティリティーを使用して作成する場合は、この手順を省略します。

   • ホストが 1 つの名前のみで到達可能である場合は、以下を実行します。

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

     Copy to Clipboard Toggle word wrap

   • 複数の名前でホストにアクセスできる場合は、以下を行います。

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     Copy to Clipboard Toggle word wrap

     最後のパラメーターとしてホスト名を指定した場合、このコマンドは DNS:server.example.com, DNS:server.example.net エントリーで SAN (Subject Alternative Name) 拡張を CSR に追加します。

   -s subject パラメーターで指定した文字列は、RFC 1485 に従って有効なサブジェクト名である必要があります。サブジェクトの CN フィールドが必要で、サーバーの完全修飾ドメイン名 (FQDN) の 1 つに設定する必要があります。このコマンドは、/etc/dirsrv/slapd-<instance_name>/Server-Cert.csr ファイルに CSR を保存します。

2. 認証局 (CA) に CSR を送信し、発行した証明書を取得します。詳細は、CA のドキュメントを参照してください。

3. CA が発行するサーバー証明書を NSS データベースにインポートします。

   • dsctl tls generate-server-cert-csr コマンドを使用して秘密鍵を作成した場合は、以下を入力します。

     # dsconf <instance_name> security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     Copy to Clipboard Toggle word wrap

     --name _certificate_nickname パラメーターで設定した証明書の名前を書き留めておきます。これは後のステップで必要になります。

   • 外部ユーティリティーを使用して秘密鍵を作成した場合は、サーバー証明書および秘密鍵をインポートします。

     # dsctl <instance_name> tls import-server-key-cert /root/server.crt /root/server.key

     Copy to Clipboard Toggle word wrap

     このコマンドでは、最初にサーバー証明書へのパスを指定してから、秘密鍵へのパスを指定する必要があります。このメソッドは、証明書のニックネームを常に Server-Cert に設定します。

4. CA 証明書を NSS データベースにインポートします。

   # dsconf <instance_name> security ca-certificate add --file /root/ca.crt --name "Example CA"

   Copy to Clipboard Toggle word wrap

5. CA 証明書の信頼フラグを設定します。

   # dsconf <instance_name> security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   Copy to Clipboard Toggle word wrap

   これにより、Directory Server が、TLS による暗号化および証明書ベースの認証に対して CA を信頼するように設定します。

6. TLS を有効にし、LDAPS ポートを設定します。

   # dsconf <instance_name> config replace nsslapd-securePort=636 nsslapd-security=on

   Copy to Clipboard Toggle word wrap

7. firewalld サービスで LDAPS ポートを開きます。

   # firewall-cmd --permanent --add-port=636/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

8. RSA 暗号ファミリーを有効にし、NSS データベースセキュリティーデバイスおよびサーバー証明書名を設定します。

   # dsconf <instance_name> security rsa set --tls-allow-rsa-certificates on --nss-token "internal (software)" --nss-cert-name Server-Cert

   Copy to Clipboard Toggle word wrap

   デフォルトでは、NSS データベースのセキュリティーデバイスの名前は internal (software) です。

9. オプション: プレーンテキストの LDAP ポートを無効にします。

   # dsconf <instance_name> security disable_plain_port

   Copy to Clipboard Toggle word wrap

10. インスタンスの再起動

    # dsctl <instance_name> restart

    Copy to Clipboard Toggle word wrap

手順

1. Server Security Certificate Management Certificate Signing Request に移動し、Create Certificate Signing Request をクリックします。

2. 証明書署名要求 (CSR)、共通名 (CN)、および組織 (O) の名前を設定します。

   

   View larger image

   

   ホストに複数の名前でアクセスできる場合は、Subject Alternative Names フィールドに代替名を設定します。

3. Create Certificate Signing Request をクリックします。

4. CSR テキストを表示し、これをコピーします。

   1. 表示する CSR の Node options アイコンをクリックして、View CSR を選択します。
   2. CSR コンテンツをコピーします。
5. 認証局 (CA) に CSR ファイルを送信し、発行した証明書を取得します。詳細は、CA のドキュメントを参照してください。
6. CA から証明書を取得したら、Server Security Certificate Management TLS Certificates に移動し、Add Server Certificate をクリックします。

7. サーバー証明書に一意のニックネームを設定し、発行された証明書をアップロードし、Add Certificate をクリックします。

   後のステップには証明書のニックネームが必要であるため、証明書のニックネームを覚えておいてください。

8. Server Security Certificate Management Trusted Certificate Authorities に移動し、Add CA Certificate をクリックします。
9. CA 証明書に一意のニックネームを設定し、CA 証明書ファイルをアップロードし、Add Certificate をクリックします。

10. オプション: Directory Server インスタンスのインストール時に TLS 暗号化を有効にしなかった場合は、有効にします。

    1. Server Security Settings に移動し、セキュリティースイッチを有効にします。
    2. ポップアップウィンドウで、Enable Security をクリックします。
    3. Security Setting ページで Save Configuration をクリックします。

11. Security Configuration ページで Server Certificate Name を設定します。

    1. Server Security Security Configuration の順に移動します。
    2. Server Certificate Name ドロップダウンリストでサーバー証明書のニックネームを選択し、Save Configuration をクリックします。
    3. オプション: ドロップダウンリストに証明書のニックネームが表示されない場合は、Security Settings ページを更新して、前の手順を再度実行します。
12. オプション: 636 以外の LDAPS ポートを使用する場合は、Server Server Settings に移動し、LDAPS ポートを設定して、Save をクリックします。

13. firewalld サービスで LDAPS ポートを開きます。

    # firewall-cmd --permanent --add-port=636/tcp
    # firewall-cmd --reload

    Copy to Clipboard Toggle word wrap

14. オプション: Server Security Security Configuration に移動し、Require Secure Connections チェックボックスを選択し、Save Configuration をクリックします。

    Directory Server は、プレーンテキストの LDAP ポートを無効にします。

15. 右上隅の Actions をクリックし、Restart Instance を選択します。

手順

1. 以下のコマンドを使用して NSS データベースのパスワードを変更します。

   # certutil -d /etc/dirsrv/slapd-<instance_name>/ -W
   
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

   Copy to Clipboard Toggle word wrap

2. NSS データベースのパスワードを要求せずに、パスワードファイルを使用して Directory Server を自動的に起動する場合は、以前のパスワードを /etc/dirsrv/slapd-<instance_name>/pin.txt 内の新しいパスワードに置き換えます。

   • NSS ソフトウェア暗号モジュールを使用する場合は、以下になります。

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • Hardware Security Module (HSM) を使用する場合:

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

手順

1. 以下の内容で /etc/dirsrv/slapd-<instance_name>/pin.txt ファイルを作成します。

   • NSS ソフトウェア暗号モジュールを使用する場合は、以下になります。

     Internal (Software) Token:password

     Copy to Clipboard Toggle word wrap

   • Hardware Security Module (HSM) を使用する場合:

     name_of_the_token:password

     Copy to Clipboard Toggle word wrap

2. ファイルの権限を設定します。

   # chown dirsrv:root /etc/dirsrv/slapd-<instance_name>/pin.txt
   # chmod 400 /etc/dirsrv/slapd-<instance_name>/pin.txt

   Copy to Clipboard Toggle word wrap

手順

1. Directory Server が使用する CA 証明書のローカルコピーがない場合は、以下を実行します。

   1. サーバーのネットワークセキュリティーサービス (NSS) データベースで証明書をリスト表示します。

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L
      
      Certificate Nickname                       Trust Attributes
                                                 SSL,S/MIME,JAR/XPI
      
      Example CA                                 C,,
      Server-Cert                                u,u,u

      Copy to Clipboard Toggle word wrap

   2. NSS データベースの CA 証明書のニックネームを使用して、CA 証明書をエクスポートします。

      # certutil -d /etc/dirsrv/slapd-<instance_name>/ -L -n "Example CA" -a > /tmp/ds-ca.crt

      Copy to Clipboard Toggle word wrap

2. CA 証明書を /etc/pki/ca-trust/source/anchors/ ディレクトリーにコピーします。

   # cp /tmp/ds-ca.crt /etc/pki/ca-trust/source/anchors/

   Copy to Clipboard Toggle word wrap

3. CA 信頼データベースを再構築します。

   # update-ca-trust

   Copy to Clipboard Toggle word wrap