10.2. CUPS サーバーでの TLS 暗号化の設定

手順

1. /etc/cups/cups-files.conf ファイルを編集し、次の設定を追加して自己署名証明書の自動作成を無効にします。

   CreateSelfSignedCerts no

2. 自己署名証明書と秘密鍵を削除します。

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

3. オプション: サーバーの FQDN を表示します。

   # hostname -f
   server.example.com

4. オプション: 証明書の CN フィールドと SAN フィールドを表示します。

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt
   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

5. サーバー証明書の CN または SAN フィールドにサーバーの FQDN とは異なるエイリアスが含まれている場合は、ServerAlias パラメーターを /etc/cups/cupsd.conf ファイルに追加します。

   ServerAlias alternative_name.example.com

   この場合、以降の手順で FQDN の代わりに代替名を使用します。

6. 秘密鍵とサーバー証明書を /etc/cups/ssl/ ディレクトリーに保存します。次に例を示します。

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   重要

   CUPS では、秘密鍵に <fqdn>.key、サーバー証明書ファイルに <fqdn>.crt という名前を付ける必要があります。エイリアスを使用する場合は、ファイルに <alias>.key および <alias>.crt という名前を付ける必要があります。

7. root ユーザーのみがこのファイルを読み取ることができるように、秘密鍵にセキュアなパーミッションを設定します。

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   証明書は、セキュアな接続を確立する前のクライアントとサーバー間の通信の要素であるため、どのクライアントも認証なしで証明書を取得できます。したがって、サーバー証明書ファイルに厳密なパーミッションを設定する必要はありません。

8. SELinux コンテキストを復元します。

   # restorecon -Rv /etc/cups/ssl/

9. デフォルトでは、CUPS は、Web インターフェイスの /admin ページで管理タスクを実行する場合など、タスクで認証が必要な場合にのみ暗号化接続を強制します。

   CUPS サーバー全体の暗号化を強制するには、/etc/cups/cupsd.conf ファイル内のすべての <Location> ディレクティブに Encryption Required を追加します。次に例を示します。

   <Location />
     ...
     Encryption Required
   </Location>

10. CUPS を再起動します。

    # systemctl restart cups

検証

1. ブラウザーを使用して、https://<hostname>:631/admin/ にアクセスします。接続が成功すれば、CUPS で TLS 暗号化が正しく設定されています。
2. サーバー全体の暗号化を必須とするように設定した場合は、http://<hostname>:631/ にアクセスします。この場合、CUPS は Upgrade Required というエラーを返します。