2.7 OpenText Certificate Serverについて

OpenText Certificate Serverでは、セキュリティコンテナオブジェクトと組織の認証局(CA)オブジェクトを作成することによって、デジタル証明書を作成、発行、および管理できます。組織の認証局オブジェクトにより、セキュリティで保護されたデータ伝送が可能になります。Web関連製品には、組織の認証局オブジェクトが必須です。最初のOpenText eDirectory SP4サーバによって、OpenText eDirectoryツリー全体のセキュリティコンテナオブジェクトと組織の認証局オブジェクトが自動的に作成され、物理的に格納されます。どちらのオブジェクトもOpenText eDirectoryツリーの最上部に作成されます。これらのオブジェクトは、移動せずに作成時の位置にそのまま保管する必要があります。

1つのOpenText eDirectoryツリー内に存在できる組織の認証局オブジェクトは1つだけです。最初のサーバ上にすでに作成されている組織の認証局オブジェクトを、別のサーバに移動することはできません。組織の認証局オブジェクトを削除したり、再作成すると、その組織の認証局に関連する証明書はすべて無効になります。

重要:組織の認証局オブジェクトを永続的に保管しようとするサーバを、最初のOpenText eDirectoryサーバにするようにします。組織の認証局オブジェクトの保管先のサーバは、ネットワーク内の継続して稼働する部分であり、アクセス可能で、信頼性が高くなければなりません。

インストール中のサーバがネットワーク内の最初のOpenText eDirectoryサーバでない場合、インストールプログラムは組織の認証局オブジェクトが存在するOpenText eDirectoryサーバを探し、このサーバを参照します。インストールプログラムは、セキュリティコンテナにアクセスし、サーバ証明書オブジェクトを作成します。

ネットワーク内に組織の認証局オブジェクトがまったく存在しないと、Web関連製品は機能しません。

2.7.1 OpenText Certificate Serverでタスクを実行するのに必要な権利

OpenText Certificate Serverの設定に関連するタスクを完了するには、次の表に記載されている権利を管理者が持っている必要があります。

OpenText Certificate Serverのタスク

必要な権利

1台目のサーバを新しいツリーにインストールするか、まだベースセキュリティをインストールしていないツリーの1台目のサーバをアップグレードするためのベースセキュリティ設定

ツリーのルートのスーパバイザ権

セキュリティコンテナのスーパバイザ権

2台目以降のサーバをインストールするためのベースセキュリティ設定

サーバコンテナのスーパバイザ権

W0オブジェクト(セキュリティコンテナ内)のスーパバイザ権

組織の認証局の作成

セキュリティコンテナのスーパバイザ権

サーバ証明書オブジェクトを作成する

サーバコンテナのスーパバイザ権

組織の認証局オブジェクトのNDSPKI:プライベートキー属性の読み込み権

また、ルート管理者は、サブコンテナの管理者に次の権利を割り当てることによって、組織の認証局を使用する権限を委託することもできます。サブコンテナ管理者がSSLセキュリティを使用してOpenText eDirectoryをインストールするには、次の権利が必要です。

  • セキュリティコンテナにある組織の認証局オブジェクトのNDSPKI:プライベートキー属性の読み込み権

  • KAPオブジェクト内のセキュリティコンテナにあるW0オブジェクトのスーパバイザ権

これらの権利はグループや役割に割り当てられ、ここではすべての管理者ユーザが定義されます。OpenText Certificate Serverに関連する特定のタスクを実行するのに必要な権利の詳細リストについては、セクション 25.0, Certificate Serverについてを参照してください。

2.7.2 Linuxコンピュータ上のOpenText eDirectory操作をセキュリティで保護する

eDirectoryには、PKCS (公開鍵暗号化サービス)が付属しています。PKCSには、PKI (公開鍵インフラストラクチャ)サービスを提供するOpenText Certificate Server、NICI (Novell International Cryptographic Infrastructure)、およびSAS-SSLサーバが含まれます。

次のセクションでは、OpenText eDirectoryの操作におけるセキュリティの確保について説明します。

外部認証局の使用については、セクション 25.0, Certificate Serverについてを参照してください。

サーバ上にNICIがインストールおよび初期化されているかどうかを確認する

次の条件を満たしているかチェックします。これらの条件は、NICIモジュールが正しくインストールおよび初期化されていることを表します。

  • ファイル/etc/nici.cfgが存在する

  • ディレクトリ/var/novell/niciが存在する

  • ファイル/var/novell/nici/primeniciが存在する

これらの条件を満たしていない場合、次のセクション(サーバ上のNICIモジュールを初期化する)の手順に従ってください。

サーバ上のNICIモジュールを初期化する

  1. OpenText eDirectoryサーバを停止します。

    • Linuxシステムでは、次のコマンドを入力します。

      /etc/init.d/ndsd stop

    重要:ndsdの開始と停止には、ndsmangaeを使用することをお勧めします。

  2. NICIパッケージがインストールされているかどうかを確認します。

    • Linuxでは、次のコマンドを入力します。

      rpm -qa | grep nic i

  3. (状況によって実行)NICIパッケージがインストールされていない場合、インストールします。

    NICIパッケージがインストールされていないと先に進みません。

  4. OpenText eDirectoryサーバを開始します。

    • Linuxシステムでは、次のように入力します。

      /etc/init.d/ndsd start

    重要:ndsdの開始と停止には、ndsmangaeを使用することをお勧めします。

Certificate Server(PKIサービス)を起動する

PKIサービスを開始するには、次のコマンドを入力します。

npki -1

Certificate Server(PKIサービス)を停止する

PKIサービスを停止するには、次のコマンドを入力します。

npki -u

組織の認証局オブジェクトを作成する

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、『OpenText Certificate Server 3.3 Administration Guide』の「Creating an Organizational Certificate Authority Object」を参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］をクリックします。

  4. ［CA管理］>［認証局管理］の順にクリックします。

    組織の認証局オブジェクトが存在しない場合、［Create an Organizational Certificate Authority Object］ダイアログボックスとオブジェクトを作成するウィザードが開きます。メッセージに従ってオブジェクトを作成します。ダイアログボックスまたはウィザードページの具体的な説明については、［ヘルプ］をクリックしてください。

メモ:OpenText eDirectoryツリーは組織の認証局を1つしか格納できません。組織の認証局の作成の詳細については、組織用の組織認証局を作成するを参照してください。

サーバ証明書オブジェクトを作成する

サーバ証明書オブジェクトは、OpenText eDirectoryサーバオブジェクトを保持するコンテナに作成されます。必要に応じて、サーバ上の個々の暗号化対応アプリケーションに対して、サーバ証明書オブジェクトを個別に作成することができます。あるいは、そのサーバで使用するすべてのアプリケーションに対してサーバ証明書オブジェクトを1つ作成することもできます。

メモ:サーバ証明書オブジェクトと暗号化キーオブジェクト(KMO)は同じ意味です。OpenText eDirectoryオブジェクトのスキーマ名はNDSPKI:暗号化キーです。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、サーバ証明書オブジェクトを作成するを参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］をクリックします。

  4. ［サーバ証明書の管理］をクリックして、［サーバ証明書の作成 ］をクリックします。

    これによってサーバ証明書の作成ウィザードが開始します。メッセージに従ってオブジェクトを作成します。ウィザードのページに関する具体的な説明については、［ヘルプ］をクリックしてください。

組織の認証局の自己署名証明書のエクスポート

自己署名付き証明書は、組織の認証局の識別情報と、組織の認証局によって署名された証明書の有効性を確認するために使用できます。

組織の認証局のプロパティページでは、このオブジェクトに関連付けられた証明書とプロパティを参照できます。［自己署名付き証明書］プロパティページでは、自己署名付き証明書を、暗号化対応のアプリケーションで使用するファイルにエクスポートできます。

組織の認証局に存在する自己署名証明書は、組織の認証局によって署名された証明書を持つサーバ証明書オブジェクトのルート認証局証明書と同じものです。組織の認証局の自己署名付き証明書をルート認証局証明書として認識するサービスでは、組織の認証局によって署名された有効なユーザやサーバが許可されます。

  1. OpenText Identity Consoleのホームページで、［証明書管理］タイル>［CA管理］の順にクリックします。

  2. ［証明書］タブをクリックして、［自己署名証明書］をクリックします。

  3. エクスポートをクリックします。

    証明書のエクスポートウィザードが開始します。メッセージに従って証明書をエクスポートします。ウィザードのページに関する具体的な説明については、［ヘルプ］をクリックしてください。

  4. ［証明書のエクスポートの概要］ページで、［Save the Exported Certificate to a File］をクリックします。

    証明書がファイルに保存され、ルート認証局として暗号化対応アプリケーションにインポートできるようになります。

  5. 閉じるをクリックします。

OpenText eDirectoryへの保護接続を確立するためのすべてのコマンドライン操作にこのファイルを組み込みます。