IdM での証明書の管理

手順

1. Identity タブで、 Users、Hosts、または Services のサブタブを選択します。

2. ユーザー、ホスト、またはサービス名をクリックして、設定ページを開きます。

   図2.1 ホストのリスト

   
3. Actions → New Certificate をクリックします。
4. 必要に応じて、発行元の CA およびプロファイル ID を選択します。
5. 画面の certutil コマンドライン (CLI) ユーティリティーの使用手順に従います。
6. Issue をクリックします。

手順

1. 証明書データベースの一時ディレクトリーを作成します。

   # mkdir ~/certdb/

2. 以下のように、新しい一時証明書データベースを作成します。

   # certutil -N -d ~/certdb/

3. CSR を作成し、出力をファイルにリダイレクトします。たとえば、4096 ビット証明書の CSR を作成し、発行先を CN=server.example.com,O=EXAMPLE.COM に設定するには、以下を実行します。

   # certutil -R -d ~/certdb/ -a -g 4096 -s "CN=server.example.com,O=EXAMPLE.COM" -8 server.example.com > certificate_request.csr

4. IdM サーバーで実行している CA に証明書要求ファイルを送信します。新しく発行した証明書に関連付ける Kerberos プリンシパルを指定します。

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM の ipa cert-request コマンドは、次のデフォルトを使用します。

   • caIPAserviceCert 証明書プロファイル

     カスタムプロファイルを選択するには、--profile-id オプションを使用します。

   • 統合 IdM のルート CA (ipa)

     サブ CA を選択するには、--ca オプションを使用します。

手順

1. Kerberos プリンシパル test/server.example.com のエイリアスを 1 つ以上作成します。例: test1/server.example.com および test2/server.example.com

2. CSR で dnsName (server.example.com) と otherName (test2/server.example.com) の subjectAltName を追加します。これには、UPN otherName および subjectAltName を指定する以下の行を追加するように、openssl.conf ファイルを 設定します。

   otherName=1.3.6.1.4.1.311.20.2.3;UTF8:test2/server.example.com@EXAMPLE.COM
   DNS.1 = server.example.com

3. openssl を使用して証明書要求を作成します。

   openssl req -new -newkey rsa:2048 -keyout test2service.key -sha256 -nodes -out certificate_request.csr -config openssl.conf

4. IdM サーバーで実行している CA に証明書要求ファイルを送信します。新しく発行した証明書に関連付ける Kerberos プリンシパルを指定します。

   # ipa cert-request certificate_request.csr --principal=host/server.example.com

   IdM の ipa cert-request コマンドは、次のデフォルトを使用します。

   • caIPAserviceCert 証明書プロファイル

     カスタムプロファイルを選択するには、--profile-id オプションを使用します。

   • 統合 IdM のルート CA (ipa)

     サブ CA を選択するには、--ca オプションを使用します。

手順

1. ユーザー、ホスト、またはサービスの証明書署名要求 (CSR) を生成します。たとえば、openssl ユーティリティーを使用して client.idm.example.com で実行されている HTTP サービスの CSR を生成するには、次のように入力します。

   # openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout new.key -out new.csr -subj '/CN=client.idm.example.com,O=IDM.EXAMPLE.COM'

   その結果、CSR は new.csr に保存されます。

2. 次の内容を含む Ansible Playbook ファイル request-certificate.yml を作成します。

   ---
   - name: Playbook to request a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Request a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         state: requested
         csr: |
           -----BEGIN CERTIFICATE REQUEST-----
           MIGYMEwCAQAwGTEXMBUGA1UEAwwOZnJlZWlwYSBydWxlcyEwKjAFBgMrZXADIQBs
           HlqIr4b/XNK+K8QLJKIzfvuNK0buBhLz3LAzY7QDEqAAMAUGAytlcANBAF4oSCbA
           5aIPukCidnZJdr491G4LBE+URecYXsPknwYb+V+ONnf5ycZHyaFv+jkUBFGFeDgU
           SYaXm/gF8cDYjQI=
           -----END CERTIFICATE REQUEST-----
         principal: HTTP/client.idm.example.com
       register: cert

   証明書要求を new.csr の CSR に置き換えます。

3. 証明書を要求します。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/request-certificate.yml

手順

1. 次の内容を含む Ansible Playbook ファイル revoke-certificate.yml を作成します。

   ---
   - name: Playbook to revoke a certificate
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Revoke a certificate for a web server
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         revocation_reason: "keyCompromise"
         state: revoked

2. 証明書を取り消します。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/revoke-certificate.yml

手順

1. 次の内容を含む Ansible Playbook ファイル restore-certificate.yml を作成します。

   ---
   - name: Playbook to restore a certificate
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Restore a certificate for a web service
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         state: released

2. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/restore-certificate.yml

手順

1. 次の内容を含む Ansible Playbook ファイル retrieve-certificate.yml を作成します。

   ---
   - name: Playbook to retrieve a certificate and store it locally on the managed node
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Retrieve a certificate and save it to file 'cert.pem'
       ipacert:
         ipaadmin_password: "{{ ipaadmin_password }}"
         serial_number: 123456789
         certificate_out: cert.pem
         state: retrieved

2. 証明書を取得します。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/retrieve-certificate.yml

手順

1. Identity タブを開き、Users、Hosts、または Services サブタブを選択します。
2. ユーザー、ホスト、またはサービス名をクリックして、設定ページを開きます。

3. Certificates エントリーの横にある Add をクリックします。

   図4.1 ユーザーアカウントへの証明書の追加

   
4. Base64 または PEM でエンコードされた形式で証明書をテキストフィールドに貼り付け、Add をクリックします。
5. Save をクリックして変更を保存します。

手順

1. Identity タブを開き、Users、Hosts、または Services サブタブを選択します。
2. ユーザー、ホスト、またはサービス名をクリックして、設定ページを開きます。
3. 削除する証明書の横にある Actions をクリックし、Delete を選択します。
4. Save をクリックして変更を保存します。

手順

1. 既存のデフォルトプロファイルをコピーしてカスタムプロファイルを作成します。

   $ ipa certprofile-show --out smime.cfg caIPAserviceCert
   ------------------------------------------------
   Profile configuration stored in file 'smime.cfg'
   ------------------------------------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE

2. テキストエディターで新たに作成されたプロファイル設定ファイルを開きます。

   $ vi  smime.cfg

3. プロファイル ID は、smime など、プロファイルの用途を反映する名前に変更します。

   注記

   新規作成されたプロファイルをインポートする場合は、profileId フィールドがある場合には、profiledId はコマンドラインで指定した ID と一致する必要があります。

4. Extended Key Usage 設定を更新します。Extended Key Usage のデフォルト拡張設定は、TLS サーバーとクライアント認証向けです。たとえば、S/MIME の場合に、電子メール保護のために Extended Key Usage を設定する必要があります。

   policyset.serverCertSet.7.default.params.exKeyUsageOIDs=1.3.6.1.5.5.7.3.4

5. 新しいプロファイルをインポートします。

   $ ipa certprofile-import smime --file smime.cfg \
     --desc "S/MIME certificates" --store TRUE
   
   ------------------------
   Imported profile "smime"
   ------------------------
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE

手順

1. 証明書プロファイルのユーザーに新しいグループを作成します。

   $ ipa group-add smime_users_group
   ---------------------------------
   Added group "smime users group"
   ---------------------------------
     Group name: smime_users_group
     GID: 75400001

2. smime_user_group グループに追加する新規ユーザーを作成します。

   $ ipa user-add smime_user
   First name: smime
   Last name: user
   ----------------------
   Added user "smime_user"
   ----------------------
     User login: smime_user
     First name: smime
     Last name: user
     Full name: smime user
     Display name: smime user
     Initials: TU
     Home directory: /home/smime_user
     GECOS: smime user
     Login shell: /bin/sh
     Principal name: smime_user@IDM.EXAMPLE.COM
     Principal alias: smime_user@IDM.EXAMPLE.COM
     Email address: smime_user@idm.example.com
     UID: 1505000004
     GID: 1505000004
     Password: False
     Member of groups: ipausers
     Kerberos keys available: False

3. smime_user は smime_users_group に追加します。

   $ ipa group-add-member smime_users_group --users=smime_user
     Group name: smime_users_group
     GID: 1505000003
     Member users: smime_user
   -------------------------
   Number of members added 1
   -------------------------

4. CA ACL を作成し、グループのユーザーが証明書プロファイルにアクセスできるようにします。

   $ ipa caacl-add smime_acl
   ------------------------
   Added CA ACL "smime_acl"
   ------------------------
     ACL name: smime_acl
     Enabled: TRUE

5. CA ACL にユーザーグループを追加します。

   $ ipa caacl-add-user smime_acl --group smime_users_group
     ACL name: smime_acl
     Enabled: TRUE
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

6. CA ACL に証明書プロファイルを追加します。

   $ ipa caacl-add-profile smime_acl --certprofile smime
     ACL name: smime_acl
     Enabled: TRUE
     Profiles: smime
     User Groups: smime_users_group
   -------------------------
   Number of members added 1
   -------------------------

手順

1. ユーザーの証明書要求を生成します。例: OpenSSL の使用:

   $ openssl req -new -newkey rsa:2048 -days 365 -nodes -keyout private.key -out cert.csr -subj '/CN=smime_user'

2. IdM CA からユーザーの新しい証明書を要求します。

   $ ipa cert-request cert.csr --principal=smime_user --profile-id=smime

   必要に応じて、--ca sub-CA_name オプションをコマンドに指定して、ルート CA ではなくサブ CA から証明書を要求します。

手順

1. 変更する証明書プロファイルの証明書プロファイル ID を確認します。IdM に現在保存されている証明書プロファイルをすべて表示するには、次のコマンドを実行します。

   # ipa certprofile-find
   
   ------------------
   4 profiles matched
   ------------------
     Profile ID: caIPAserviceCert
     Profile description: Standard profile for network services
     Store issued certificates: TRUE
   
     Profile ID: IECUserRoles
     ...
   
     Profile ID: smime
     Profile description: S/MIME certificates
     Store issued certificates: TRUE
   --------------------------
   Number of entries returned
   --------------------------

2. 証明書プロファイルの説明を変更します。たとえば、既存のプロファイルを使用して S/MIME 証明書のカスタム証明書プロファイルを作成した場合は、説明を新しい使用方法に合わせて変更します。

   # ipa certprofile-mod smime --desc "New certificate profile description"
   ------------------------------------
   Modified Certificate Profile "smime"
   ------------------------------------
       Profile ID: smime
       Profile description: New certificate profile description
       Store issued certificates: TRUE

3. テキストエディターでカスタマー証明書プロファイルファイルを開き、要件に合わせてを変更します。

   # vi smime.cfg

   証明書プロファイルの設定ファイルで指定できるオプションの詳細は、証明書プロファイル設定パラメーター を参照してください。

4. 既存の証明書プロファイルの設定ファイルを更新します。

   # ipa certprofile-mod _profile_ID_ --file=smime.cfg

手順

1. Authentication メニューで、Certificates > Certificates をクリックします。

2. 証明書のシリアル番号をクリックして、証明書情報ページを開きます。

   図7.1 証明書のリスト

   
3. 証明書の情報ページで、失効日 情報を見つけます。

1. PEM 形式の CA 証明書を含むファイルを取得します。
2. ビルトイン ipa-advise スクリプトを実行します。
3. システム設定をリロードします。

手順

1. 設定を行うディレクトリーを作成します。

   [root@server]# mkdir ~/SmartCard/

2. そのディレクトリーに移動します。

   [root@server]# cd ~/SmartCard/

3. PEM 形式のファイルに保存されている関連する CA 証明書を取得します。CA 証明書が DER などの異なる形式のファイルに保存されている場合は、これを PEM 形式に変換します。IdM 認証局の証明書は PEM 形式で、/etc/ipa/ca.crt ファイルにあります。

   DER ファイルを PEM ファイルに変換します。

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

4. 便宜上、設定を行うディレクトリーに証明書をコピーします。

   [root@server SmartCard]# cp /tmp/rootca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/subca.pem ~/SmartCard/
   [root@server SmartCard]# cp /tmp/issuingca.pem ~/SmartCard/

5. オプション: 外部認証局の証明書を使用する場合は、openssl x509 ユーティリティーを使用して PEM 形式のファイルの内容を表示し、Issuer と Subject の値が正しいことを確認します。

   [root@server SmartCard]# openssl x509 -noout -text -in rootca.pem | more

6. 管理者の権限を使用して、組み込みの ipa-advise ユーティリティーで設定スクリプトを生成します。

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-server-for-smart-card-auth > config-server-for-smart-card-auth.sh

   config-server-for-smart-card-auth.sh スクリプトは、以下の操作を実行します。

   • IdM Apache HTTP サーバーを設定します。
   • キー配布センター (KDC) の Kerberos (PKINIT) で、初回認証用の公開鍵暗号化機能を有効にします。
   • スマートカード認可要求を受け入れるように IdM Web UI を設定します。

7. スクリプトを実行し、root CA と サブ CA 証明書が含まれる PEM ファイルを引数として追加します。

   [root@server SmartCard]# chmod +x config-server-for-smart-card-auth.sh
   [root@server SmartCard]# ./config-server-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注記

   ルート CA 証明書を、サブ CA 証明書の前に引数として追加します。また、CA またはサブ CA 証明書の有効期限が切れていないことを確認します。

8. オプション: ユーザー証明書を発行した認証局が Online Certificate Status Protocol (OCSP) レスポンダーを提供しない場合は、IdM Web UI への認証に対する OCSP チェックを無効にすることが必要になる場合があります。

   1. /etc/httpd/conf.d/ssl.conf ファイルで SSLOCSPEnable パラメーターを off に設定します。

      SSLOCSPEnable off

   2. 変更をすぐに有効にするには、Apache デーモン (httpd) を再起動します。

      [root@server SmartCard]# systemctl restart httpd

   警告

   IdM CA が発行したユーザー証明書のみを使用する場合は、OCSP チェックを無効にしないでください。OCSP レスポンダーは IdM に含まれます。

   ユーザー証明書を発行した CA が、OCSP サービスリクエストをリッスンする場所に関する情報がユーザー証明書に含まれていない場合に、OCSP チェックを有効にしたまま、ユーザー証明書が IdM サーバーにより拒否されないようにする方法は、Apache mod_ssl 設定オプション の SSLOCSPDefaultResponder ディレクティブを参照してください。

手順

1. CA 証明書が DER などをはじめとする別の形式のファイルに保存されている場合、それらを PEM 形式に変換します。

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM 認証局の証明書は PEM 形式で、/etc/ipa/ca.crt ファイルにあります。

2. オプション: openssl x509 ユーティリティーを使用して PEM 形式のファイルの内容を表示し、Issuer と Subject の値が正しいことを確認します。

   # openssl x509 -noout -text -in root-ca.pem | more

3. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

4. CA 証明書専用のサブディレクトリーを作成します。

   $ mkdir SmartCard/

5. 便宜上、必要なすべての証明書を ~/MyPlaybooks/SmartCard/ ディレクトリーにコピーします。

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Ansible インベントリーファイルで、以下を指定します。

   • スマートカード認証用に設定する IdM サーバー。
   • IdM 管理者パスワード。

   • CA の証明書へのパス (次の順序に従う)。

     • ルート CA 証明書ファイル
     • 中間 CA 証明書ファイル
     • IdM CA 証明書ファイル

   ファイルは次のようになります。

   [ipaserver]
   ipaserver.idm.example.com
   
   [ipareplicas]
   ipareplica1.idm.example.com
   ipareplica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password= "{{ ipaadmin_password }}"
   ipasmartcard_server_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 次の内容で install-smartcard-server.yml playbook を作成します。

   ---
   - name: Playbook to set up smart card authentication for an IdM server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipasmartcard_server
       state: present

8. ファイルを保存します。

9. Ansible Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-server.yml

   ipasmartcard_server Ansible ロールは、次のアクションを実行します。

   • IdM Apache HTTP サーバーを設定します。
   • キー配布センター (KDC) の Kerberos (PKINIT) で、初回認証用の公開鍵暗号化機能を有効にします。
   • スマートカード認可要求を受け入れるように IdM Web UI を設定します。

10. オプション: ユーザー証明書を発行した認証局が Online Certificate Status Protocol (OCSP) レスポンダーを提供しない場合は、IdM Web UI への認証に対する OCSP チェックを無効にすることが必要になる場合があります。

    1. root として IdM サーバーに接続します。

       ssh root@ipaserver.idm.example.com

    2. /etc/httpd/conf.d/ssl.conf ファイルで SSLOCSPEnable パラメーターを off に設定します。

       SSLOCSPEnable off

    3. 変更をすぐに有効にするには、Apache デーモン (httpd) を再起動します。

       # systemctl restart httpd

    警告

    IdM CA が発行したユーザー証明書のみを使用する場合は、OCSP チェックを無効にしないでください。OCSP レスポンダーは IdM に含まれます。

    ユーザー証明書を発行した CA が、OCSP サービスリクエストをリッスンする場所に関する情報がユーザー証明書に含まれていない場合に、OCSP チェックを有効にしたまま、ユーザー証明書が IdM サーバーにより拒否されないようにする方法は、Apache mod_ssl 設定オプション の SSLOCSPDefaultResponder ディレクティブを参照してください。

手順

1. IdM サーバーで、管理者権限を使用して、ipa-advise で設定スクリプトを生成します。

   [root@server SmartCard]# kinit admin
   [root@server SmartCard]# ipa-advise config-client-for-smart-card-auth > config-client-for-smart-card-auth.sh

   config-client-for-smart-card-auth.sh スクリプトは、以下の操作を実行します。

   • スマートカードデーモンを設定する。
   • システム全体のトラストストアを設定します。
   • System Security Services Daemon (SSSD) を設定して、ユーザーがユーザー名とパスワード、またはスマートカードで認証できるようにします。スマートカード認証用の SSSD プロファイルオプションの詳細は、RHEL のスマートカード認証オプション を参照してください。

2. IdM サーバーから、IdM クライアントマシンの任意のディレクトリーに、スクリプトをコピーします。

   [root@server SmartCard]# scp config-client-for-smart-card-auth.sh root@client.idm.example.com:/root/SmartCard/
   Password:
   config-client-for-smart-card-auth.sh        100%   2419       3.5MB/s   00:00

3. 便宜上、IdM サーバーから、上の手順で使用した IdM クライアントマシンのディレクトリーに、PEM 形式の CA 証明書ファイルをコピーします。

   [root@server SmartCard]# scp {rootca.pem,subca.pem,issuingca.pem} root@client.idm.example.com:/root/SmartCard/
   Password:
   rootca.pem                          100%   1237     9.6KB/s   00:00
   subca.pem                           100%   2514    19.6KB/s   00:00
   issuingca.pem                       100%   2514    19.6KB/s   00:00

4. クライアントマシンで、スクリプトを実行し、CA 証明書を含む PEM ファイルを引数として追加します。

   [root@client SmartCard]# kinit admin
   [root@client SmartCard]# chmod +x config-client-for-smart-card-auth.sh
   [root@client SmartCard]# ./config-client-for-smart-card-auth.sh rootca.pem subca.pem issuingca.pem
   Ticket cache:KEYRING:persistent:0:0
   Default principal: admin@IDM.EXAMPLE.COM
   [...]
   Systemwide CA database updated.
   The ipa-certupdate command was successful

   注記

   ルート CA 証明書を、サブ CA 証明書の前に引数として追加します。また、CA またはサブ CA 証明書の有効期限が切れていないことを確認します。

手順

1. CA 証明書が DER などをはじめとする別の形式のファイルに保存されている場合、それらを PEM 形式に変換します。

   # openssl x509 -in <filename>.der -inform DER -out <filename>.pem -outform PEM

   IdM CA 証明書は PEM 形式で、/etc/ipa/ca.crt ファイルにあります。

2. オプション: openssl x509 ユーティリティーを使用して PEM 形式のファイルの内容を表示し、Issuer と Subject の値が正しいことを確認します。

   # openssl x509 -noout -text -in root-ca.pem | more

3. Ansible コントロールノードで、~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

4. CA 証明書専用のサブディレクトリーを作成します。

   $ mkdir SmartCard/

5. 便宜上、必要なすべての証明書を ~/MyPlaybooks/SmartCard/ ディレクトリーにコピーします。以下はその例です。

   # cp /tmp/root-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /tmp/intermediate-ca.pem ~/MyPlaybooks/SmartCard/
   # cp /etc/ipa/ca.crt ~/MyPlaybooks/SmartCard/ipa-ca.crt

6. Ansible インベントリーファイルで、以下を指定します。

   • スマートカード認証用に設定する IdM クライアント。
   • IdM 管理者パスワード。

   • CA の証明書へのパス (次の順序に従う)。

     • ルート CA 証明書ファイル
     • 中間 CA 証明書ファイル
     • IdM CA 証明書ファイル

   ファイルは次のようになります。

   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword
   ipasmartcard_client_ca_certs=/home/<user_name>/MyPlaybooks/SmartCard/root-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/intermediate-ca.pem,/home/<user_name>/MyPlaybooks/SmartCard/ipa-ca.crt

7. 次の内容で install-smartcard-clients.yml playbook を作成します。

   ---
   - name: Playbook to set up smart card authentication for an IdM client
     hosts: ipaclients
     become: true
   
     roles:
     - role: ipasmartcard_client
       state: present

8. ファイルを保存します。

9. Ansible Playbook を実行します。Playbook とインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory install-smartcard-clients.yml

   ipasmartcard_client Ansible ロールは、次のアクションを実行します。

   • スマートカードデーモンを設定する。
   • システム全体のトラストストアを設定します。
   • System Security Services Daemon (SSSD) を設定して、ユーザーがユーザー名とパスワード、またはスマートカードで認証できるようにします。スマートカード認証用の SSSD プロファイルオプションの詳細は、RHEL のスマートカード認証オプション を参照してください。

手順

1. 別のユーザーに証明書を追加する場合は、管理者として IdM Web UI にログインします。独自のプロファイルに証明書を追加する場合は、管理者の認証情報が必要ありません。
2. Users → Active users → sc_user の順に移動します。
3. Certificate オプションを探して、Add をクリックします。

4. コマンドラインインターフェイスで、cat ユーティリティーまたはテキストエディターを使用して、PEM 形式の証明書を表示します。

   [user@client SmartCard]$ cat testuser.crt

5. CLI で、証明書をコピーし、Web UI で開いたウィンドウにこれを貼り付けます。

6. Add をクリックします。

   図8.1 IdM Web UI で新しい証明書の追加

   

手順

1. 別のユーザーに証明書を追加する場合は、管理者として IdM Web CLI にログインします。

   [user@client SmartCard]$ kinit admin

   独自のプロファイルに証明書を追加する場合は、管理者の認証情報は必要ありません。

   [user@client SmartCard]$ kinit sc_user

2. ヘッダーとフッターのある証明書を含む環境変数を作成し、1 行に連結します。これは、ipa user-add-cert コマンドで必要な形式です。

   [user@client SmartCard]$ export CERT=`openssl x509 -outform der -in testuser.crt | base64 -w0 -`

   testuser.crt ファイルの証明書は、PEM 形式である必要があることに注意してください。

3. ipa user-add-cert コマンドを使用して、sc_user のプロファイルに証明書を追加します。

   [user@client SmartCard]$ ipa user-add-cert sc_user --certificate=$CERT

手順

1. opensc パッケージおよび gnutls-utils パッケージをインストールします。

   # dnf -y install opensc gnutls-utils

2. pcscd サービスを開始します。

   # systemctl start pcscd

手順

1. スマートカードを消去して PIN で自身を認証します。

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   カードが削除されました。

2. スマートカードを初期化し、ユーザーの PIN と PUK を設定します。また、セキュリティー担当者の PIN と PUK を設定します。

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \ --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init ツールは、スマートカードに新しいスロットを作成します。

3. スロットのラベルと認証 ID を設定します。

   $ pkcs15-init --store-pin --label testuser \ --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   ラベルは人間が判読できる値に設定されます (この場合は testuser)。auth-id は 16 進数の値である必要があります。この場合、01 に設定されます。

4. スマートカードの新しいスロットに秘密鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \ --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   --id に指定する値は、秘密鍵を保存するときと、次の手順で証明書を保存するときに同じである必要があります。--id に独自の値を指定することを推奨します。そうしないと、より複雑な値がツールによって計算されます。

5. スマートカードの新しいスロットに証明書を保存し、ラベル付けします。

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \ --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. オプション: スマートカードの新しいスロットに公開鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-public-key testuserpublic.key --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   公開鍵が秘密鍵または証明書に対応する場合は、秘密鍵または証明書の ID と同じ ID を指定します。

7. オプション: スマートカードの中には、設定をロックしてカードをファイナライズする必要があるものもあります。

   $ pkcs15-init -F

   この段階では、スマートカードには、新たに作成されたスロットに証明書、秘密鍵、および公開鍵が含まれます。ユーザーの PIN と PUK、およびセキュリティー担当者の PIN と PUK も作成しました。

手順

1. ブラウザーで IdM Web UI を開きます。

2. Log In Using Certificate をクリックします。

   

3. Password Required ダイアログボックスが開いたら、スマートカードのロックを解除する PIN を追加して、OK ボタンをクリックします。

   User Identification Request ダイアログボックスが開きます。

   スマートカードに複数の証明書が含まれている場合は、Choose a certificate to present as identification の下にあるドロップダウンリストで、認証に使用する証明書を選択します。

4. OK ボタンをクリックします。

手順

1. スマートカードをリーダーに挿入します。
2. スマートカード PIN を入力します。
3. Sign In をクリックします。

手順

1. IdM サーバー から接続し、adcs-winserver-ca.cer ルート証明書を IdM サーバーにコピーします。

   root@idmserver ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd <Path to certificates>
   sftp> ls
   adcs-winserver-ca.cer    aduser1.pfx
   sftp>
   sftp> get adcs-winserver-ca.cer
   Fetching <Path to certificates>/adcs-winserver-ca.cer to adcs-winserver-ca.cer
   <Path to certificates>/adcs-winserver-ca.cer                 100%  1254    15KB/s 00:00
   sftp quit

2. IdM クライアント から接続し、aduser1.pfx ユーザー証明書をクライアントにコピーします。

   [root@client1 ~]# sftp Administrator@winserver.ad.example.com
   Administrator@winserver.ad.example.com's password:
   Connected to Administrator@winserver.ad.example.com.
   sftp> cd /<Path to certificates>
   sftp> get aduser1.pfx
   Fetching <Path to certificates>/aduser1.pfx to aduser1.pfx
   <Path to certificates>/aduser1.pfx                 100%  1254    15KB/s 00:00
   sftp quit

手順

1. IdM サーバーで、クライアントを設定する ipa-advise スクリプトを使用します。

   [root@idmserver ~]# ipa-advise config-client-for-smart-card-auth > sc_client.sh

2. IdM サーバーで、サーバーを設定する ipa-advise スクリプトを使用します。

   [root@idmserver ~]# ipa-advise config-server-for-smart-card-auth > sc_server.sh

3. IdM サーバーで、スクリプトを実行します。

   [root@idmserver ~]# sh -x sc_server.sh adcs-winserver-ca.cer

   • IdM Apache HTTP サーバーを設定します。
   • キー配布センター (KDC) の Kerberos (PKINIT) で、初回認証用の公開鍵暗号化機能を有効にします。
   • スマートカード認可要求を受け入れるように IdM Web UI を設定します。

4. sc_client.sh スクリプトをクライアントシステムにコピーします。

   [root@idmserver ~]# scp sc_client.sh root@client1.idm.example.com:/root
   Password:
   sc_client.sh                  100%  2857   1.6MB/s   00:00

5. Windows 証明書をクライアントシステムにコピーします。

   [root@idmserver ~]# scp adcs-winserver-ca.cer root@client1.idm.example.com:/root
   Password:
   adcs-winserver-ca.cer                 100%  1254   952.0KB/s   00:00

6. クライアントシステムで、クライアントスクリプトを実行します。

   [root@idmclient1 ~]# sh -x sc_client.sh adcs-winserver-ca.cer

手順

1. IdM クライアントで、PEM 形式に変換します。

   [root@idmclient1 ~]# openssl pkcs12 -in aduser1.pfx -out aduser1_cert_only.pem -clcerts -nodes
   Enter Import Password:

2. 鍵を別のファイルにデプロイメントします。

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -nocerts -out adduser1.pem > aduser1.key

3. パブリック証明書を別のファイルにデプロイメントします。

   [root@idmclient1 ~]# openssl pkcs12 -in adduser1.pfx -clcerts -nokeys -out aduser1_cert_only.pem > aduser1.crt

手順

1. opensc パッケージおよび gnutls-utils パッケージをインストールします。

   # dnf -y install opensc gnutls-utils

2. pcscd サービスを開始します。

   # systemctl start pcscd

手順

1. スマートカードを消去して PIN で自身を認証します。

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   カードが削除されました。

2. スマートカードを初期化し、ユーザーの PIN と PUK を設定します。また、セキュリティー担当者の PIN と PUK を設定します。

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \ --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   pcks15-init ツールは、スマートカードに新しいスロットを作成します。

3. スロットのラベルと認証 ID を設定します。

   $ pkcs15-init --store-pin --label testuser \ --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   ラベルは人間が判読できる値に設定されます (この場合は testuser)。auth-id は 16 進数の値である必要があります。この場合、01 に設定されます。

4. スマートカードの新しいスロットに秘密鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \ --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   --id に指定する値は、秘密鍵を保存するときと、次の手順で証明書を保存するときに同じである必要があります。--id に独自の値を指定することを推奨します。そうしないと、より複雑な値がツールによって計算されます。

5. スマートカードの新しいスロットに証明書を保存し、ラベル付けします。

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \ --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

6. オプション: スマートカードの新しいスロットに公開鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-public-key testuserpublic.key --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   注記

   公開鍵が秘密鍵または証明書に対応する場合は、秘密鍵または証明書の ID と同じ ID を指定します。

7. オプション: スマートカードの中には、設定をロックしてカードをファイナライズする必要があるものもあります。

   $ pkcs15-init -F

   この段階では、スマートカードには、新たに作成されたスロットに証明書、秘密鍵、および公開鍵が含まれます。ユーザーの PIN と PUK、およびセキュリティー担当者の PIN と PUK も作成しました。

手順

1. sssd.conf ファイルを開きます。

   [root@idmclient1 ~]# vim /etc/sssd/sssd.conf

2. p11_child_timeout の値を変更します。

   [pam]
   p11_child_timeout = 60

3. krb5_auth_timeout の値を変更します。

   [domain/IDM.EXAMPLE.COM]
   krb5_auth_timeout = 60

4. 設定を保存します。

1. 管理者は、証明書マッピングデータまたは完全な証明書をユーザーアカウントにロードする必要があります。
2. 管理者は、証明書の情報と一致する証明書マッピングデータエントリーがアカウントに含まれているユーザーが IdM に正常にログインできるように、証明書マッピングルールを作成する必要があります。

手順

1. 必要なデータを取得できるように、正しくエンコードされていることを確認する証明書を指す変数を作成します。

   # CERT=$(openssl x509 -in /path/to/certificate -outform der|base64 -w0)

2. sssctl cert-eval-rule を使用して、一致するデータを確認します。次の例では、証明書のシリアル番号が使用されています。

   # sssctl cert-eval-rule $CERT --match='<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --map='LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'
   Certificate matches rule.
   Mapping filter:
   
       (altSecurityIdentities=X509:<I>DC=com,DC=example,DC=ad,CN=adcs19-WIN1-CA<SR>0F0000000000DB8852DD7B246C9C0F0000003B)

   この場合、altSecurityIdentities= 以降のすべてをユーザーの AD の altSecurityIdentities 属性に追加します。SKI マッピングを使用する場合は、--map='LDAPU1:(altSecurityIdentities=X509:<SKI>{subject_key_id!hex_u})' を使用します。

3. オプション: 証明書の発行者が ad.example.com ドメインの adcs19-WIN1-CA と一致し、証明書のシリアル番号がユーザーアカウントの altSecurityIdentities エントリーと一致する必要があることを指定する一致ルールに基づいて、CLI で新しいマッピングルールを作成するには、以下を実行します。

   # ipa certmaprule-add simple_rule --matchrule '<ISSUER>CN=adcs19-WIN1-CA,DC=AD,DC=EXAMPLE,DC=COM' --maprule 'LDAPU1:(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<SR>{serial_number!hex_ur})'

1. Identity Management サーバーで管理者権限を取得し、サーバーを設定するシェルスクリプトを作成します。

   1. ipa-advise config-server-for-smart-card-auth コマンドを実行し、その出力をファイル (例: server_certificate_script.sh) に保存します。

      # kinit admin
      # ipa-advise config-server-for-smart-card-auth > server_certificate_script.sh

   2. chmod ユーティリティーを使用して、実行パーミッションをファイルに追加します。

      # chmod +x server_certificate_script.sh

2. Identity Management ドメインの全サーバーで、server_certificate_script.sh スクリプトを実行します。

   1. 証明書認証を有効にするユーザーの証明書を発行した唯一の認証局が IdM CA である場合は、IdM Certificate Authority 証明書へのパス (/etc/ipa/ca.crt) を使用します。

      # ./server_certificate_script.sh /etc/ipa/ca.crt

   2. 証明書認証を有効にするユーザーの証明書を外部の複数の CA が署名した場合は、関連する CA 証明書へのパスを使用します。

      # ./server_certificate_script.sh /tmp/ca1.pem /tmp/ca2.pem

手順

1. オプション: 新しいディレクトリー (例: ~/certdb/) を作成し、それを一時的な証明書データベースにします。要求されたら、NSS 証明書の DB パスワードを作成し、後続の手順で生成される証明書への鍵を暗号化します。

   # mkdir ~/certdb/
   # certutil -N -d ~/certdb/
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:

2. 証明書署名要求 (CSR) を作成し、その出力をファイルにリダイレクトします。たとえば、IDM.EXAMPLE.COM レルムの idm_user ユーザーの 4096 ビット証明書に対して、certificate_request.csr という名前の CSR を作成する場合は、判別を簡単にするために、証明書の秘密鍵のニックネームを idm_user に設定し、発行先を CN=idm_user,O=IDM.EXAMPLE.COM に設定します。

   # certutil -R -d ~/certdb/ -a -g 4096 -n idm_user -s "CN=idm_user,O=IDM.EXAMPLE.COM" > certificate_request.csr

3. プロンプトが表示されたら、certutil を使用して一時データベースを作成したときに入力したパスワードを入力します。その後、止めるように言われるまで、ランダムにタイピングし続けます。

   Enter Password or Pin for "NSS Certificate DB":
   
   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:

4. 証明書要求ファイルをサーバーに送信します。新しく発行した証明書に関連付ける Kerberos プリンシパルと、証明書を保存する出力ファイルを指定し、必要に応じて証明書のプロファイルを指定します。たとえば、IECUserRoles プロファイル (idm_user@IDM.EXAMPLE.COM プリンシパルに追加したユーザーロール拡張を持つプロファイル) の証明書を取得して、それを ~/idm_user.pem ファイルに保存する場合は、次のコマンドを実行します。

   # ipa cert-request certificate_request.csr --principal=idm_user@IDM.EXAMPLE.COM --profile-id=IECUserRoles --certificate-out=~/idm_user.pem

5. 証明書を NSS データベースに追加します。証明書が NSS データベースの秘密鍵に一致するように、CSR を作成する際に使用したニックネームを設定するには、-n オプションを使用します。-t オプションは信頼レベルを設定します。詳細は、certutil(1) man ページを参照してください。-i オプションは、入力証明書ファイルを指定します。たとえば、idm_user ニックネームを持つ証明書を NSS データベースに追加するには、次のコマンドを実行します。証明書は、~/certdb/ データベースの ~/idm_user.pem ファイルに保存されます。

   # certutil -A -d ~/certdb/ -n idm_user -t "P,," -i ~/idm_user.pem

6. NSS データベースの鍵で、ニックネームが (orphan) と表示されていないことを確認します。たとえば、~/certdb/ データベースに保存されている証明書で、対応する鍵が存在することを確認するには、以下のコマンドを実行します。

   # certutil -K -d ~/certdb/
   < 0> rsa      5ad14d41463b87a095b1896cf0068ccc467df395   NSS Certificate DB:idm_user

7. 証明書を、NSS データベースから PKCS12 形式にエクスポートするには、pk12util コマンドを使用します。たとえば、NSS データベース /root/certdb から ~/idm_user.p12 ファイルへ、idm_user ニックネームを持つ証明書をエクスポートする場合は、次のコマンドを実行します。

   # pk12util -d ~/certdb -o ~/idm_user.p12 -n idm_user
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL

8. idm_user の証明書認証を有効にするホストに、証明書を転送します。

   # scp ~/idm_user.p12 idm_user@client.idm.example.com:/home/idm_user/

9. セキュリティー上の理由から、証明書が転送されたホストの、.pkcs12 ファイルが格納されているディレクトリーに、other グループがアクセスできないようにします。

   # chmod o-rwx /home/idm_user/

10. セキュリティー上の理由から、一時 NSS データベースおよび .pkcs12 ファイルを、サーバーから削除します。

    # rm ~/certdb/
    # rm ~/idm_user.p12

手順

1. Firefox を開き、設定 → プライバシーとセキュリティー に移動します。

   図11.1 設定のプライバシーおよびセキュリティーセクション

   

2. 証明書を表示 をクリックします。

   図11.2 プライバシーおよびセキュリティーで証明書を表示

   
3. あなたの証明書 タブで、インポート をクリックします。PKCS12 形式のユーザー証明書を見つけて開きます。OK をクリックし、OK をクリックします。

4. Identity Management 認証局が、Firefox で信頼できる認証局として認識されていることを確認します。

   1. IdM CA 証明書をローカルに保存します。

      • Firefox アドレスバーに IdM サーバーの名前を入力し、IdM の Web UI に移動します。接続が安全ではないことを警告するページで、詳細 をクリックします。

        図11.3 安全ではない接続

        

      • 例外を追加 します。表示 をクリックします。

        図11.4 証明書の詳細の表示

        

      • 詳細 タブで、認証局 フィールドを強調表示します。

        図11.5 CA 証明書のエクスポート

        
      • Export をクリックします。CA 証明書を、CertificateAuthority.crt ファイルとして保存し、閉じる をクリックして、キャンセル をクリックします。

   2. IdM CA 証明書を、信頼できる認証局の証明書として Firefox にインポートします。

      • Firefox を起動し、設定に移動して、プライバシーおよびセキュリティーに移動します。

        図11.6 設定のプライバシーおよびセキュリティーセクション

        

      • 証明書を表示 をクリックします。

        図11.7 プライバシーおよびセキュリティーで証明書を表示

        
      • 認証機関 タブで、インポート をクリックします。CertificateAuthority.crt ファイルで、上の手順で保存した CA 証明書を見つけて開きます。証明書を信頼し、Web サイトを識別したら、OK をクリックし、OK をクリックします。
5. Identity Management ユーザーとして証明書を使用した Identity Management Web UI の認証 に進みます。

手順

1. ブラウザーで、Identity Management の Web UI (例: https://server.idm.example.com/ipa/ui) に移動します。

2. Login Using Certificate をクリックします。

   図11.8 Identity Management の Web UI で Login Using Certificate

   
3. ユーザーの証明書がすでに選択されているはずです。Remember this decision の選択を解除して、OK をクリックします。

手順

1. IdM 管理者認証情報を取得します。

   ~]$ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

2. オプション: デプロイメント内のどの IdM サーバーが新しい CA 更新サーバーになるのに必要な CA ロールを持っているかを確認するには、次のコマンドを実行します。

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   デプロイメントには、2 つの CA サーバーがあります。

3. オプション: どの CA サーバーが現在の CA 更新サーバーであるかを確認するには、次のコマンドを実行します。

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   現在の更新サーバーは server.idm.example.com です。

4. 更新サーバー設定を変更するには、--ca-renewal-master-server オプションを指定して ipa config-mod ユーティリティーを使用します。

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   重要

   以下を使用して、新しい CA 更新サーバーに切り替えることもできます。

   • ipa-cacert-manage --renew コマンド。このコマンドは、CA 証明書を更新し、かつコマンドを実行する CA サーバーを新しい CA 更新サーバーにします。

   • ipa-cert-fix コマンド。このコマンドは、期限切れの証明書が失敗の原因になっている場合にデプロイメントを回復します。また、コマンドを実行する CA サーバーを新しい CA 更新サーバーにします。

     詳細は IdM がオフライン時に期限切れのシステム証明書の更新 を参照してください。

手順

1. IdM CA 更新サーバーで、CA 証明書を自己署名として更新します。

   # ipa-cacert-manage renew --self-signed
   Renewing CA certificate, please wait
   CA certificate successfully renewed
   The ipa-cacert-manage command was successful

2. root として、残りのすべての IdM サーバーとクライアントに SSH で接続します。以下に例を示します。

   # ssh root@idmclient01.idm.example.com

3. IdM クライアントで、サーバーからの証明書を使用して、ローカルの IdM 証明書データベースを更新します。

   [idmclient01 ~]# ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

検証

1. 更新が成功し、新しい CA 証明書が /etc/ipa/ca.crt ファイルに追加されたかどうかを確認するには、次のコマンドを実行します。

   [idmclient01 ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   この出力は、新規 CA 証明書が古い CA 証明書と共にリストされているため、更新が正常に行われたことを示しています。

1. 外部 CA に送信される CSR を作成します。

   • 外部 CA が AD CS の場合は、--external-ca-type=ms-cs オプションを使用します。デフォルトの subCA テンプレート以外のテンプレートが必要な場合は、--external-ca-profile を使用してこれを指定します。

     ~]# ipa-cacert-manage renew --external-ca --external-ca-type=ms-cs [--external-ca-profile=PROFILE]
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

   • 外部 CA が AD CS ではない場合は、以下のようになります。

     ~]# ipa-cacert-manage renew --external-ca
     Exporting CA certificate signing request, please wait
     The next step is to get /var/lib/ipa/ca.csr signed by your CA and re-run ipa-cacert-manage as:
     ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
     The ipa-cacert-manage command was successful

     この出力は、CSR が作成され、/var/lib/ipa/ca.csr ファイルに保存されていることを示しています。

2. /var/lib/ipa/ca.csr にある CSR を外部 CA に送信します。このプロセスは、外部 CA として使用するサービスにより異なります。

3. 発行された証明書と、発行元 CA の CA 証明書チェーンを Base 64 でエンコードされた Blob 形式で取得します。これは次のどちらかの形式です。

   • PEM ファイル (外部 CA が AD CS でない場合)

   • Base_64 証明書 (外部 CA が AD CS である場合)

     プロセスは、各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が、必要なすべての証明書をダウンロードできるようになっています。

     外部 CA が AD CS で、Microsoft Windows 認証局管理ウィンドウから既知のテンプレートで CSR を送信した場合、AD CS は証明書を直ちに発行し、その証明書を保存する証明書の保存ダイアログが AD CS Web インターフェイスに表示されます。

4. ipa-cacert-manage renew コマンドを再度実行し、完全な証明書チェーンを提供するのに必要な CA 証明書ファイルをすべて追加します。--external-cert-file オプションを複数回使用して、必要な数だけファイルを指定します。

   ~]# ipa-cacert-manage renew --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate_1 --external-cert-file=/path/to/external_ca_certificate_2

5. すべての IdM サーバーおよびクライアントで、サーバーの証明書でローカルの IdM 証明書データベースを更新します。

   [client ~]$ ipa-certupdate
   Systemwide CA database updated.
   Systemwide CA database updated.
   The ipa-certupdate command was successful

検証

1. 更新が成功し、新しい CA 証明書が /etc/ipa/ca.crt ファイルに追加されたかどうかを確認するには、次のコマンドを実行します。

   [client ~]$ openssl crl2pkcs7 -nocrl -certfile /etc/ipa/ca.crt | openssl pkcs7 -print_certs -text -noout
   [...]
   Certificate:
       Data:
           Version: 3 (0x2)
           Serial Number: 39 (0x27)
           Signature Algorithm: sha256WithRSAEncryption
           Issuer: O=IDM.EXAMPLE.COM, CN=Certificate Authority
           Validity
               Not Before: Jul  1 16:32:45 2019 GMT
               Not After : Jul  1 16:32:45 2039 GMT
           Subject: O=IDM.EXAMPLE.COM, CN=Certificate Authority
   [...]

   この出力は、新規 CA 証明書が古い CA 証明書と共にリストされているため、更新が正常に行われたことを示しています。

手順

1. オプション: システムをバックアップします。これは、ipa-cert-fix が nssdbs に対して元に戻せない変更を行うため、強く推奨されます。ipa-cert-fix は LDAP に対しても変更を行うため、クラスター全体をバックアップすることも推奨されます。

2. ipa-cert-fix ツールを起動して、システムを分析し、更新を必要とする期限切れの証明書のリストを表示します。

   # ipa-cert-fix
   ...
   The following certificates will be renewed:
   
   Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  13
     Expires: 2019-05-12 05:55:47
   ...
   Enter "yes" to proceed:

3. 更新プロセスを開始するには、yes を入力します。

   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca1.example.com,O=EXAMPLE.COM 201905222205
     Serial:  268369925
     Expires: 2021-08-14 02:19:33
   ...
   
   Becoming renewal master.
   The ipa-cert-fix command was successful

   ipa-cert-fix が期限切れの証明書をすべて更新する前に、最大 1 分かかる場合があります。

検証

1. すべてのサービスが実行されていることを確認します。

   # ipactl status
   Directory Service: RUNNING
   krb5kdc Service: RUNNING
   kadmin Service: RUNNING
   httpd Service: RUNNING
   ipa-custodia Service: RUNNING
   pki-tomcatd Service: RUNNING
   ipa-otpd Service: RUNNING
   ipa: INFO: The ipactl command was successful

手順

1. --force パラメーターで IdM を再起動します。

   # ipactl restart --force

   --force パラメーターを使用すると、ipactl ユーティリティーは個々のサービスの起動失敗を無視します。たとえば、サーバーに期限切れの証明書を持つ CA もあると、pki-tomcat サービスが起動に失敗します。--force パラメーターを使用しているため、これが予想され、無視されます。

2. 再起動後に、certmonger サービスが証明書を更新することを確認します (証明書の状態は MONITORING になります)。

   # getcert list | egrep '^Request|status:|subject:'
   Request ID '20190522120745':
           status: MONITORING
           subject: CN=IPA RA,O=EXAMPLE.COM 201905222205
   Request ID '20190522120834':
           status: MONITORING
           subject: CN=Certificate Authority,O=EXAMPLE.COM 201905222205
   ...

   certmonger がレプリカ上で共有証明書を更新する前に時間がかかる場合があります。

3. サーバーも CA の場合、上記のコマンドは、pki-tomcat サービスが使用する証明書の CA_UNREACHABLE を報告します。

   Request ID '20190522120835':
           status: CA_UNREACHABLE
           subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
   ...

4. この証明書を更新するには、ipa-cert-fix ユーティリティーを使用します。

   # ipa-cert-fix
   Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM
     Serial:  3
     Expires: 2019-05-11 12:07:11
   
   Enter "yes" to proceed: true
   Proceeding.
   Renewed Dogtag sslserver certificate:
     Subject: CN=ca2.example.com,O=EXAMPLE.COM 201905222205
     Serial:  15
     Expires: 2019-08-14 04:25:05
   
   The ipa-cert-fix command was successful

手順

1. サーバーが CRL を生成しているかどうかを確認します。

   [root@server ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. サーバーで CRL の生成を停止します。

   [root@server ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. サーバーが CRL の生成を停止したかどうかを確認します。

   [root@server ~]# ipa-crlgen-manage status

手順

1. CRL の生成を開始します。

   [root@replica1 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

2. CRL が生成されているかどうかを確認します。

   [root@replica1 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

手順

1. CRL 生成サーバーを停止します。

   # systemctl stop pki-tomcatd@pki-tomcat.service

2. /var/lib/pki/pki-tomcat/conf/ca/CS.cfg ファイルを開き、ca.crl.MasterCRL.autoUpdateInterval の値を新しい間隔設定に変更します。たとえば、60 分ごとに CRL を生成するには、次のコマンドを実行します。

   ca.crl.MasterCRL.autoUpdateInterval=60

   注記

   ca.crl.MasterCRL.autoUpdateInterval パラメーターを更新すると、すでにスケジュールされている CRL の次回更新後に変更が有効になります。

3. CRL 生成サーバーを起動します。

   # systemctl start pki-tomcatd@pki-tomcat.service

手順

1. HTTP サービスが稼働している IdM クライアント my_company.idm.example.com で、以下を指定する HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM プリンシパルに対応するサービスの証明書を要求します。

   • 証明書は、ローカルの /etc/pki/tls/certs/httpd.pem ファイルに保存されます。
   • 秘密鍵は、ローカルの /etc/pki/tls/private/httpd.key ファイルに保存されます。

   • SubjectAltName の extensionRequest が、my_company.idm.example.com の DNS 名の署名要求に追加されます。

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     上記のコマンドでは、以下のようになります。

     • ipa-getcert request コマンドは、証明書が IdM CA から取得することを示しています。ipa-getcert request コマンドは、getcert request -c IPA のショートカットです。
     • -g オプションは、生成先のキーのサイズ (設定されていない場合) を指定します。
     • -D オプションは、要求に追加する DNS 値 SubjectAltName を指定します。
     • -C オプションは、証明書の取得後に httpd サービスを再起動するように certmonger に指示します。
     • 特定のプロファイルで証明書を発行するように指定する場合は、-T オプションを使用します。
     • 指定した CA から名前付き発行者を使用して証明書を要求するには、-X ISSUER オプションを使用します。

2. オプション: リクエストのステータスを確認するには、次のコマンドを実行します。

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
   [...]

   この出力は、要求が MONITORING 状況であることを表しています。これは、証明書が取得されていることを示しています。キーペアと証明書の場所は、要求された場所です。

1. IdM サーバーでは、存在していないシステムの証明書を作成する。
2. 新しいシステムを作成する。
3. 新しいシステムを IdM クライアントとして登録する。
4. IdM クライアントの IdM サーバーから、証明書および鍵をインポートする。
5. certmonger を使用して証明書の追跡を開始し、有効期限が切れる時に証明書を更新するようにする。

手順

1. サブシステムの CA 証明書の PIN を取得します。

   # grep 'internal=' /var/lib/pki/pki-tomcat/conf/password.conf

2. サブシステムの CA 証明書に追跡を追加します。次のコマンドの [internal PIN] を、直前の手順で取得した PIN に置き換えます。

   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "caSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "caSigningCert cert-pki-ca"' -T caCACert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "auditSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "auditSigningCert cert-pki-ca"' -T caSignedLogCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "ocspSigningCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "ocspSigningCert cert-pki-ca"' -T caOCSPCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "subsystemCert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "subsystemCert cert-pki-ca"' -T caSubsystemCert
   
   # getcert start-tracking -d /etc/pki/pki-tomcat/alias -n "Server-Cert cert-pki-ca" -c 'dogtag-ipa-ca-renew-agent' -P [internal PIN] -B /usr/libexec/ipa/certmonger/stop_pkicad -C '/usr/libexec/ipa/certmonger/renew_ca_cert "Server-Cert cert-pki-ca"' -T caServerCert

3. 残りの IdM 証明書、HTTP 証明書、LDAP 証明書、IPA 更新エージェント 証明書、および PKINIT 証明書の追跡を追加します。

   # getcert start-tracking -f /var/lib/ipa/certs/httpd.crt -k /var/lib/ipa/private/httpd.key -p /var/lib/ipa/passwds/idm.example.com-443-RSA -c IPA -C /usr/libexec/ipa/certmonger/restart_httpd -T caIPAserviceCert
   
   # getcert start-tracking -d /etc/dirsrv/slapd-IDM-EXAMPLE-COM -n "Server-Cert" -c IPA -p /etc/dirsrv/slapd-IDM-EXAMPLE-COM/pwdfile.txt -C '/usr/libexec/ipa/certmonger/restart_dirsrv "IDM-EXAMPLE-COM"' -T caIPAserviceCert
   
   # getcert start-tracking -f /var/lib/ipa/ra-agent.pem -k /var/lib/ipa/ra-agent.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_ra_cert -T caSubsystemCert
   
   # getcert start-tracking -f /var/kerberos/krb5kdc/kdc.crt -k /var/kerberos/krb5kdc/kdc.key -c dogtag-ipa-ca-renew-agent -B /usr/libexec/ipa/certmonger/renew_ra_cert_pre -C /usr/libexec/ipa/certmonger/renew_kdc_cert -T KDCs_PKINIT_Certs

4. certmonger を再起動します。

   # systemctl restart certmonger

5. certmonger の起動後 1 分待ってから、新しい証明書の状況を確認します。

   # getcert list

手順

1. IdM デプロイメント全体で ACME を有効にします。

   # ipa-acme-manage enable
   The ipa-acme-manage command was successful

2. 期限切れの証明書を CA から自動的に削除するように ACME を設定します。

   # ipa-acme-manage pruning --enable --cron "0 0 1 * *"

   注記

   期限切れの証明書は、保持期間が経過すると削除されます。デフォルトでは、これは有効期限切れから 30 日後です。

手順

1. IdM デプロイメント全体で ACME を無効にします。

   # ipa-acme-manage disable
   The ipa-acme-manage command was successful

2. オプション: 期限切れの証明書の自動削除を無効にします。

   ipa-acme-manage pruning --disable

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: "*.example.com"
           ca: self-sign

   • name パラメーターを希望する証明書の名前 (mycert など) に設定します。
   • dns パラメーターを *.example.com などの証明書に含むドメインに設定します。
   • ca パラメーターを self-sign に設定します。

   デフォルトでは、certmonger は有効期限が切れる前に証明書の更新を自動的に試行します。これは、Ansible Playbook の auto_renew パラメーターを no に設定すると無効にできます。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: www.example.com
           principal: HTTP/www.example.com@EXAMPLE.COM
           ca: ipa

   • name パラメーターを希望する証明書の名前 (mycert など) に設定します。
   • dns パラメーターをドメインに設定し、証明書に追加します (例: www.example.com)。
   • principal パラメーターを設定し、Kerberos プリンシパルを指定します (例: HTTP/www.example.com@EXAMPLE.COM)。
   • ca パラメーターを ipa に設定します。

   デフォルトでは、certmonger は有効期限が切れる前に証明書の更新を自動的に試行します。これは、Ansible Playbook の auto_renew パラメーターを no に設定すると無効にできます。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.certificate
     vars:
       certificate_requests:
         - name: mycert
           dns: www.example.com
           ca: self-sign
           run_before: systemctl stop httpd.service
           run_after: systemctl start httpd.service

   • name パラメーターを希望する証明書の名前 (mycert など) に設定します。
   • dns パラメーターをドメインに設定し、証明書に追加します (例: www.example.com)。
   • ca パラメーターを証明書を発行する際に使用する CA に設定します (例: self-sign)。
   • この証明書を発行または更新する前に、run_before パラメーターを実行するコマンドに設定します (例: systemctl stop httpd.service)。
   • この証明書を発行または更新した後に、run_after パラメーターを実行するコマンドに設定します (例: systemctl start httpd.service)。

   デフォルトでは、certmonger は有効期限が切れる前に証明書の更新を自動的に試行します。これは、Ansible Playbook の auto_renew パラメーターを no に設定すると無効にできます。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. Authentication メニューで、Certificates > Certificates をクリックします。

   図22.2 証明書リストに含まれるサブ CA 証明書

   
2. サブ CA 証明書のシリアル番号をクリックして、証明書情報ページを開きます。
3. 証明書情報ページで、Actions > Download をクリックします。

4. CLI で、サブ CA 証明書を /etc/pki/tls/private/ ディレクトリーに移動します。

   # mv path/to/the/downloaded/certificate /etc/pki/tls/private/sub-ca.crt

手順

1. HTTP サービスが稼働している IdM クライアント my_company.idm.example.com で、以下を指定する HTTP/my_company.idm.example.com@IDM.EXAMPLE.COM プリンシパルに対応するサービスの証明書を要求します。

   • 証明書は、ローカルの /etc/pki/tls/certs/httpd.pem ファイルに保存されます。
   • 秘密鍵は、ローカルの /etc/pki/tls/private/httpd.key ファイルに保存されます。
   • サブ CA webserver-ca は、発行元の認証局になります。

   • SubjectAltName の extensionRequest が、my_company.idm.example.com の DNS 名の署名要求に追加されます。

     # ipa-getcert request -K HTTP/my_company.idm.example.com -k /etc/pki/tls/private/httpd.key -f /etc/pki/tls/certs/httpd.pem -g 2048 -D my_company.idm.example.com -X webserver-ca -C "systemctl restart httpd"
     New signing request "20190604065735" added.

     上記のコマンドでは、以下のようになります。

     • ipa-getcert request コマンドは、証明書が IdM CA から取得することを示しています。ipa-getcert request コマンドは、getcert request -c IPA のショートカットです。
     • -g オプションは、生成先のキーのサイズ (設定されていない場合) を指定します。
     • -D オプションは、要求に追加する DNS 値 SubjectAltName を指定します。
     • -X オプションは、証明書の発行者が、ipa ではなく webserver-ca でなければならないことを指定します。
     • -C オプションは、証明書の取得後に httpd サービスを再起動するように certmonger に指示します。
     • 特定のプロファイルで証明書を発行するように指定する場合は、-T オプションを使用します。

2. オプション: リクエストのステータスを確認するには、次のコマンドを実行します。

   # ipa-getcert list -f /etc/pki/tls/certs/httpd.pem
   Number of certificates and requests being tracked: 3.
   Request ID '20190604065735':
       status: MONITORING
       stuck: no
       key pair storage: type=FILE,location='/etc/pki/tls/private/httpd.key'
       certificate: type=FILE,location='/etc/pki/tls/certs/httpd.crt'
       CA: IPA
       issuer: CN=WEBSERVER,O=IDM.EXAMPLE.COM
   
   [...]

   この出力は、要求が MONITORING 状況であることを表しています。これは、証明書が取得されていることを示しています。キーペアと証明書の場所は、要求された場所です。

手順

1. httpd パッケージをインストールします。

   # dnf install httpd

2. firewalld を使用する場合は、ローカルのファイアウォールで TCP ポート 80 を開きます。

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

3. httpd サービスを有効にして起動します。

   # systemctl enable --now httpd

4. 必要に応じて、HTML ファイルを /var/www/html/ ディレクトリーに追加します。

   注記

   /var/www/html/ にコンテンツを追加する場合には、httpd を実行するユーザーが、デフォルトでファイルとディレクトリーを読み取れるようにする必要があります。コンテンツの所有者は、 root ユーザーおよび root ユーザーグループ、または管理者別のユーザーまたはグループのいずれかになります。コンテンツの所有者が root ユーザーおよび root ユーザーグループの場合には、他のユーザーがファイルを読み取れるようにする必要があります。すべてのファイルとディレクトリーの SELinux コンテキストは httpd_sys_content_t である必要があります。これはデフォルトで /var/www ディレクトリー内の全コンテンツに適用されます。

手順

1. mod_ssl パッケージをインストールします。

   # dnf install mod_ssl

2. /etc/httpd/conf.d/ssl.conf ファイルを編集し、以下の設定を <VirtualHost _default_:443> ディレクティブに追加します。

   1. サーバー名を設定します。

      ServerName my_company.idm.example.com

   重要

   サーバー名は、証明書の Common Name フィールドに設定されているエントリーと一致している必要があります。

   1. 必要に応じて、証明書の Subject Alt Names (SAN) フィールドに追加のホスト名が含まれる場合に、これらのホスト名にも TLS 暗号化を提供するように mod_ssl を設定できます。これを設定するには、ServerAliases パラメーターと対応する名前を追加します。

      ServerAlias www.my_company.idm.example.com server.my_company.idm.example.com

   2. 秘密鍵、サーバー証明書、および CA 証明書へのパスを設定します。

      SSLCertificateKeyFile "/etc/pki/tls/private/httpd.key"
      SSLCertificateFile "/etc/pki/tls/certs/httpd.pem"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. セキュリティー上の理由から、root ユーザーのみが秘密鍵ファイルにアクセスできるように設定します。

   # chown root:root /etc/pki/tls/private/httpd.key
   # chmod 600 //etc/pki/tls/private/httpd.key

   警告

   秘密鍵に権限のないユーザーがアクセスした場合は、証明書を取り消し、新しい秘密鍵を作成し、新しい証明書を要求します。そうでない場合は、TLS 接続が安全ではなくなります。

4. firewalld を使用する場合は、ローカルのファイアウォールでポート 443 を開きます。

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. httpd サービスを再起動します。

   # systemctl restart httpd

   注記

   パスワードで秘密鍵ファイルを保護した場合は、httpd サービスの起動時に毎回このパスワードを入力する必要があります。

   • ブラウザーを使用して https://my_company.idm.example.com に接続します。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS プロトコルバージョンを設定する <VirtualHost> ディレクティブに以下の設定を追加します。たとえば、TLSv1.3 プロトコルのみを有効にするには、以下を実行します。

   SSLProtocol -All TLSv1.3

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証

1. 以下のコマンドを使用して、サーバーが TLSv1.3 に対応していることを確認します。

   # openssl s_client -connect example.com:443 -tls1_3

2. 以下のコマンドを使用して、サーバーが TLSv1.2 に対応していないことを確認します。

   # openssl s_client -connect example.com:443 -tls1_2

   サーバーがプロトコルに対応していない場合には、このコマンドは以下のエラーを返します。

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 必要に応じて、他の TLS プロトコルバージョンのコマンドを繰り返し実行します。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS 暗号を設定する <VirtualHost> ディレクティブに SSLCipherSuite パラメーターを追加します。

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   この例では、EECDH+AESGCM、EDH+AESGCM、AES256+EECDH、および AES256+EDH 暗号のみを有効にし、SHA1 および SHA256 メッセージ認証コード (MAC) を使用するすべての暗号を無効にします。

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証

1. Apache HTTP Server が対応する暗号化のリストを表示するには、以下を行います。

   1. nmap パッケージをインストールします。

      # dnf install nmap

   2. nmap ユーティリティーを使用して、対応している暗号を表示します。

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、以下の設定をクライアント認証を設定する <VirtualHost> ディレクティブに追加します。

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   SSLVerifyClient require の設定では、/var/www/html/Example/ ディレクトリーのコンテンツにクライアントがアクセスする前に、サーバーがクライアント証明書を正常に検証する必要があることを定義します。

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証

1. curl ユーティリティーを使用して、クライアント認証なしで URL https://my_company.idm.example.com/Example/ にアクセスします。

   $ curl https://my_company.idm.example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   このエラーから、Web サーバー my_company.idm.example.com にクライアント証明書認証が必要であることが分かります。

2. クライアントの秘密鍵と証明書、および CA 証明書を curl に指定して、クライアント認証で同じ URL にアクセスします。

   $ curl --cacert ca.crt --key client.key --cert client.crt https://my_company.idm.example.com/Example/

   要求に成功すると、curl は /var/www/html/Example/ ディレクトリーに保存されている index.html ファイルを表示します。