第3章 Elytron における証明書失効チェックの設定

手順

1. 次のいずれかの手順を使用して、CRL を使用するようにトラストマネージャーを設定します。

   • トラストマネージャーが、証明書で参照されるディストリビューションポイントから取得した CRL を使用するように設定します。

     構文

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=certificate-revocation-lists,value=[])

     Copy to Clipboard Toggle word wrap

     例

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=certificate-revocation-lists,value=[])

     Copy to Clipboard Toggle word wrap

   • 証明書で参照されているディストリビューションポイントから取得した CRL を上書きします。

     構文

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=certificate-revocation-lists,value=[{path="<CRL-file-1>"},{path="<CRL-file-2>"},...,{path="<CRL-file-N>"}])

     Copy to Clipboard Toggle word wrap

     例

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=certificate-revocation-lists,value=[{path="intermediate.crl.pem"}])

     Copy to Clipboard Toggle word wrap

2. 証明書失効チェックに CRL を使用するようにトラストマネージャーを設定します。

   • OCSP レスポンダーも証明書失効チェック用に設定されている場合は、トラストマネージャーで ocsp.prefer-crls 属性の値 true を追加し、証明書失効チェックに CRL を使用します。

     構文

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=ocsp.prefer-crls,value="true")

     Copy to Clipboard Toggle word wrap

     例

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=ocsp.prefer-crls,value="true")

     Copy to Clipboard Toggle word wrap

   • OCSP レスポンダーが証明書失効チェック用に設定されていない場合、設定は完了です。