25.3 OpenText Certificate Serverの設定

OpenText Certificate Serverをインストールした後、次のタスクを実行して、ネットワーク上で使用できるように設定する必要があります。

25.3.1 使用する認証局のタイプの決定

OpenText Certificate Serverでは、サーバとエンドユーザの両方の証明書を作成できます。組織認証局または外部(サードパーティ)認証局のいずれかによって、サーバ証明書に署名できます。ユーザ証明書への署名は組織認証局でしかできませんが、PKCS #12形式でサードパーティ認証局によって署名されたユーザ証明書をインポートすることもできます。

サーバ証明書オブジェクトの作成プロセス中に、サーバ証明書オブジェクトに署名する認証局のタイプを尋ねられます。

組織認証局は組織固有のものであり、署名操作には組織固有の公開鍵を使用します。秘密鍵は、組織認証局を作成するときに作成されます。

サードパーティ認証局は、OpenText eDirectoryツリーの外部でサードパーティによって管理されます。サードパーティ認証局の例として、VeriSignがあります。

認証局の両方のタイプを同時に使用できます。認証局の1つのタイプを使用しても、もう一方を使用できなくなることはありません。

OpenText Certificate Serverで提供される組織認証局を使用することの利点

  • 互換性。 組織認証局は、LDAPサービスなどのOpenTextのアプリケーションと互換性があります。組織認証局によって発行される証明書は、X.509 v3に準拠しており、サードパーティ製のアプリケーションでも使用できます。

  • 認証局のコスト削減。 組織認証局では、コストをかけずにいくらでも公開鍵証明書を作成できます。外部の認証局で単一の公開鍵証明書を取得しようとすると、かなりの費用がかかる可能性があります。

  • すべて揃った互換性のあるソリューションのコンポーネント。 組織認証局を使用すると、どんな外部サービスにも依存せずに、OpenText eDirectoryに組み込まれた完全な暗号化システムを使用できます。さらに、OpenText Certificate Serverは、さまざまなOpenText製品と互換性があります。

  • 証明書の属性およびコンテンツ制御。 組織認証局は、ネットワーク管理者によって管理されます。ネットワーク管理者は、証明書の有効期間、キーサイズ、署名アルゴリズムなどの公開鍵証明書の属性を決定します。

  • 簡単な管理。 組織認証局は、追加コストや複雑な手順なしに、外部認証局と同様の機能を実行します。

外部認証局を使用することの利点

  • 法的責任。 外部認証局の過失により、秘密鍵が漏洩したり、公開鍵証明書が改ざんされたりした場合に、その認証局が賠償責任を負う可能性があります。

  • 可用性。 外部認証局の証明書は、OpenText eDirectoryの外部アプリケーションでも幅広く利用可能で信頼される可能性があります。

25.3.2 組織の認証局オブジェクトを作成する

デフォルトでは、OpenText Certificate Serverのインストールプロセスで、組織認証局(CA)が作成されます。組織認証局の名前を指定するように求められます。［完了］クリックすると、組織認証局がデフォルトのパラメータで作成され、セキュリティコンテナに配置されます。

組織認証局の作成をより細かく制御する場合は、OpenText Identity Consoleを使用して組織認証局を手動で作成できます。また、組織認証局を削除した場合、それを再作成する必要があります。

作成プロセス時に、組織認証局オブジェクトの名前を付け、組織認証局サービスをホストするサーバ(組織認証局サービスが実行されるサーバ)を選択するよう求められます。組織認証局サービスをホストするサーバを決定する際、次の点を考慮します。

  • 物理的に安全なサーバを選択します。

    認証局サーバへの物理的アクセスは、システムのセキュリティ上、重要な部分になります。認証局サーバが侵害されると、その認証局によって発行されたすべての証明書も侵害されます。

  • 可用性、安定性、および堅牢性の高いサーバを選択します。

    認証局サービスが使用できない場合、証明書は作成できません。証明書はインストール時に作成される必要があるため、これは新しいサーバのインストールに影響します。

  • 信頼できるソフトウェアのみが実行されているサーバを選択します。

    不明なまたは不審なソフトウェアを実行していると、認証局サービスが侵害される可能性があります。

  • ツリーから削除されないサーバを選択します。

    サーバがツリーから削除されると、認証局を削除する前に取ったバックアップを使用して認証局オブジェクトを再作成するか、新しい認証局を作成する必要があります。新しい認証局を作成する場合、既存のサーバとユーザ証明書を置換する必要があります。

  • ツリー内の他のサーバと互換性があるプロトコルを実行しているサーバを選択します。

    たとえば、IPです。

  • ECDSA証明書で組織認証局を作成します。

組織認証局オブジェクトを作成するには、次の手順を実行します。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］タイル>［CA管理］タイル>［OpenText Certificate Server］>［認証局の設定(Configure Certificate Authority)］の順に選択します。

    組織の認証局オブジェクトが存在しない場合、［Create an Organizational Certificate Authority Object］ダイアログボックスとオブジェクトを作成するウィザードが開きます。メッセージに従ってオブジェクトを作成します。ダイアログボックスまたはウィザードページの具体的な説明については、［ヘルプ］をクリックしてください。

    メモ:ここで指定するCRLファイルパスが、OpenText eDirectoryインストールパスと対応していることを確認します。

  4. 認証局の作成を完了したら、認証局の公開鍵/秘密鍵のペアのバックアップを作成し、安全な場所に保存することをお勧めします。詳細については、組織認証局のバックアップを参照してください。

メモ:OpenText eDirectoryツリーは組織の認証局を1つしか格納できません。

OpenText eDirectoryでは、管理者は、デフォルトのサーバ証明書が生成されるときに使用されるRSA鍵のサイズ、楕円曲線、および証明書を指定できます。認証局オブジェクトの次の3つの属性を使用して、これらのパラメータを指定できます。

  • ndspkiDefaultRSAKeySize: RSAサーバ証明書の鍵サイズを指定します。このフィールドでは、最大で8192ビットRSA暗号化まで指定できます。

    重要:TLS接続を確立するために8KビットRSA公開鍵のX.509証明書を使用すると、OpenText eDirectoryサーバのパフォーマンスに影響します。OpenTextでは、8Kビット鍵のRSA証明書を使用するようにOpenText eDirectoryサーバを構成することを推奨していません。TLSセッションを確立する処理はサーバでの計算量が多くなり、複数のTLSセッションが同時に確立されるとシステムのパフォーマンスが大幅に低下する可能性があるためです。

  • ndspkiDefaultECCurve: サーバ証明書のEC制限の曲線を指定します。次のいずれかのECを指定できます。

    • P256

    • P384

    • P521

  • ndspkiDefaultCertificateLife: デフォルトのサーバ証明書の証明書有効期限を指定します。年単位でサーバ証明書有効期限を指定できます。たとえば、このフィールドに4と指定すると、サーバ証明書有効期限は4年間に設定されます。証明書サーバは、デフォルトのサーバ証明書の最小の有効期間が1年間であることと、最大の有効期間がCAの期限を超えていないことを確認します。

    メモ:

    • ndspkiDefaultCertificateLife属性は、サーバ証明書にのみ適用できます。

    • 新しいOpenText eDirectoryサーバを設定する際に古いデフォルト値を渡すと、上記のパラメータは未設定のままになります。

    • 上記のパラメータは、既存のデフォルト証明書には影響しません。認証局にこれらのパラメータを指定した後にOpenText eDirectoryサーバを9.2にアップグレードする場合、既存のデフォルトサーバ証明書は再作成されません。

新しいOpenText eDirectoryツリーを設定する際にこれらのパラメータを指定すると、組織認証局証明書もこれらのパラメータを使用して作成されます。詳細については、『OpenText™ eDirectory CE 24.4 (v9.3)インストールガイド』を参照してください。

25.3.3 従属認証局

OpenText Certificate Serverに、従属認証局のサポートが追加されました。この機能によって、組織認証局をサードパーティ認証局または別のOpenText eDirectoryツリーにある認証局のいずれかに従属させることができます。OpenText eDirectoryツリーには、組織認証局を1つしか格納できません。

従属認証局を使用する次のような理由があります。

  • 組織認証局を既存のサードパーティPKIの一部にすることができます。

  • 複数のツリーで、共通のPKIのルート認証局(または信頼アンカー)を共有することができます。

  • 認証局をより安全なシステム上に配置することにより、ルート認証局のセキュリティを向上させることができます。

  • より緊密に管理されているツリー内にルート認証局を配置することにより、リスクを低減します(たとえば、不正管理者または不正ユーザから保護されているツリー)。

従属認証局の作成

従属認証局を作成するには、既存の組織認証局を最初に削除する必要があります(組織認証局の削除を参照してください)。従属認証局の公開鍵/秘密鍵と証明書チェーンが格納されているPKCS #12ファイルが存在している必要があります。サードパーティ認証局から直接このファイルを取得できます。また、このファイルを作成する方法については、従属認証局のPKCS #12ファイルの作成を参照してください。従属認証局を作成するには、OpenText Identity Consoleでツリーに接続して認証局の設定タスクを実行し、［インポート］作成方法を使用します。

従属認証局のPKCS #12ファイルの作成

  1. サーバ証明書オブジェクト(またはKMO)およびECDSAとRSAキーでPKCS #10 CSRを作成します。

    1. OpenText Identity Consoleを起動します。

    2. OpenText Identity Consoleのホームページで、［サーバ証明書の管理］タイル>、［サーバ証明書の作成 ］の順に選択します。

    3. 認証局をホストするサーバを選択し、証明書のニックネームを指定します。［カスタム］作成方法を選択して［次へ］をクリックします。

    4. ［External Certificate Authority］を選択して、［次へ］をクリックします。

    5. アルゴリズムおよびキーサイズを選択し、［秘密鍵のエクスポートを許可］が選択されていることを確認して、［次へ］をクリックします。

      重要:OpenText eDirectory環境でRSAとECDSAの両方の証明書を使用する場合、使用する証明書ごとにこの手順を繰り返します。OpenTextでは、RSAでは2048ビット、ECDSAでは384ビットのキーサイズを使用することをお勧めします。

    6. ［サブジェクト名］フィールドの右側にある［編集］ボタンをクリックして、従属認証局とツリーを表すように［サブジェクト名］を編集し、署名アルゴリズムを選択します(OpenTextでは、SHA-1より強力なアルゴリズムを使用することをお勧めします)。

    7. 概要が正しいことを確認し、［完了］をクリックします。

    8. ［証明書署名要求の保存］をクリックし、プロンプトに従ってCSRをファイルに保存します。

  2. CSRに署名を行い証明書を作成します。

    1. 従属認証局がサードパーティPKIの一部である場合、サードパーティ認証局にCSRから証明書を作成させます。

      または

      従属認証局が別のOpenText eDirectoryツリー内の認証局によって署名される場合は、ステップ 2.bから続行します。

      メモ:ECDSAの場合、CSRはECDSA CAでしか署名できません。

    2. OpenText Identity Consoleを起動します。

    3. OpenText Identity Consoleのホームページで、［サーバ証明書の管理］タイル>、［サーバ証明書の作成 ］の順に選択します。

    4. CSRを含むファイルを選択します。

    5. ［認証局］のキータイプを選択し、［拡張キーの使用を有効にする］を選択解除します。

    6. 認証局の証明書タイプを選択し、［指定なし］または［特定のパス(Specific Path)］長のいずれかを選択します。

    7. ［証明書パラメータ］ドロップダウンをクリックして、サブジェクト名を確認し、必要に応じて編集します。有効期間を指定します(5～10年を推奨)。

    8. ［証明書フォーマット］ドロップダウンをクリックして証明書のフォーマットを選択し、［次へ］をクリックします。

    9. 完了をクリックします。

  3. 認証局証明書を取得します。

    1. 従属認証局がサードパーティPKIの一部になる場合、サードパーティから認証局証明書を取得します。

      または

      従属認証局が別のOpenText eDirectoryツリー内の認証局によって署名される場合は、ステップ 3.bから続行します。°

    2. Identity Consoleを起動します。

    3. OpenText Identity Consoleのホームページで、［サーバ証明書の管理］タイルをクリックして、［CA管理］をクリックします。

    4. ［自己署名証明書ECDSA (Self-Signed Certificate ECDSA)］ 選択します。

      ［秘密鍵のエクスポート］チェックボックスをオンにすると、PKCS12としてのエクスポート形式が有効になります。

    5. ［OK］をクリックし、［エクスポートしたファイルを保存する］オプションをクリックしてファイルを必要な場所に保存し、［OK］をクリックします。

  4. 証明書をサーバ証明書オブジェクト(またはKMO)にインポートします。

    1. OpenText Identity Consoleを起動します。

    2. OpenText Identity Consoleのホームページで［CA管理］タイルを選択します。

    3. ［認証局の作成］ページで、［サーバ］を選択し、［オブジェクト名］を指定して、［作成方法］を選択します。［次へ］>［OK］の順にクリックします。

    4. ［拡張キー使用の仕様］ドロップダウンを選択して、必要な認証局を選択します。

    5. ［基本制約］ドロップダウンをクリックして、［指定］を選択します。

    6. ［次へ］をクリックして。［OK］をクリックします。

    7. ステップ 1で作成したサーバ証明書オブジェクト(またはKMO)を選択し、［インポート］をクリックします。

    8. ステップ 2およびステップ 3で取得した証明書を格納している2つのファイルを選択し、［OK］をクリックします。

    重要:OpenText eDirectory環境でRSAとECDSAの両方の証明書を使用する場合、使用する証明書ごとにこの手順を繰り返します。

  5. PKCS #12ファイルに公開鍵/秘密鍵をエクスポートします。

    1. ステップ 4.hから操作を続け、［エクスポート］をクリックして、秘密鍵を含めることを選択し、［次へ］をクリックします。

    2. ［Save the Exported Certificate to a File］をクリックし、プロンプトに従ってPKCS#12ファイルを保存します。

    3. このファイルのコピーを作成し、パスワードと一緒に安全な場所に保存します。

  6. (オプション)サーバ証明書オブジェクト(またはKMO)を削除します。

  7. 組織認証局を削除します。詳細については、組織認証局の削除を参照してください。

  8. サブ認証局証明書と秘密鍵をPKCS #12ファイルからインポートします。詳細については、組織認証局の復元を参照してください。

25.3.4 認証局オブジェクトの作成に関する制限事項

OpenText eDirectory 9.0以降では、認証局のRSAとECの両方の証明書をサポートします。RSAおよびEC証明書で認証局オブジェクトを作成する際に、次の考慮事項が適用されます。

  • RSAおよびEC証明書のサブジェクト名は同じである必要があります。

  • RSAとEC CAは、混合モードにはできません。RSAとEC CAは、ルート認証局またはサブ認証局のいずれかとして使用できます。たとえば、RSA CAをルート認証局として使用し、EC CAをサブCAとして使用することはできません。またその逆も同様です。

  • OpenText eDirectoryでは、OpenText eDirectory外部のサードパーティアプリケーションで生成された自己署名認証局証明書をインポートすることはできません。

25.3.5 Suite Bモードでの認証局の設定

Suite Bモードで認証局を設定する前に、認証局がホストされているサーバに、NICI 3.0がインストールされていること、Enhanced Background Authenticationを実行するように設定がなされていることを確認します。

Suite Bモードで動作するように認証局を設定するには、次の手順を実行します。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

  3. ［証明書管理］タイル>［CA管理］の順に移動します。

  4. ［CA環境設定］()をクリックして、［Suite Bモードを有効にする(Enable Suite B Mode)］チェックボックスをオンにします。

  5. 適用をクリックします。

認証局がSuite Bモードのとき、証明書サーバはRSA証明書を作成できません。どのECDSA証明書がサポートされているかについては、OpenText Certificate Serverのコンポーネントを参照してください。

Suite Bで設定されているOpenText eDirectory 9.0以降のツリーにOpenText eDirectoryの旧バージョンを使用するサーバを追加する場合、サーバにSuite B機能がないため、Certificate Serverはそのサーバの証明書を作成しません。これらのサーバでSuite B機能を有効にするには、サーバをOpenText eDirectory 9.0以降にアップグレードする必要があります。

25.3.6 サーバ証明書オブジェクトを作成する

サーバ証明書オブジェクトは、サーバのOpenText eDirectoryオブジェクトを格納するコンテナに作成されます。必要に応じて、サーバ上にある暗号化対応アプリケーションごとに別個のサーバ証明書オブジェクトを作成することも、そのサーバで使用するすべてのアプリケーションに対して1つのサーバ証明書オブジェクトを作成することもできます。

メモ:サーバ証明書オブジェクトと暗号化キーオブジェクト(KMO)は同じ意味です。OpenText eDirectoryオブジェクトのスキーマ名はNDSPKI:暗号化キーです。

Certificate Serverをインストールすると、OpenText eDirectoryはデフォルトパラメータで、サーバ証明書オブジェクトを自動的に作成し、ターゲットサーバが存在するコンテナに配置します。デフォルト証明書を上書きまたは新しく作成する必要がある場合は、［デフォルト証明書の作成］ウィザードを使用できます。詳細については、デフォルトのサーバ証明書オブジェクトを作成するを参照してください。

サーバ証明書オブジェクトの作成をより細かく制御する場合は、サーバ証明書オブジェクトを手動で作成できます。追加のサーバ証明書オブジェクトを作成することもできます。

サーバ証明書オブジェクトを手動で作成する

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. ［証明書管理］に移動して、［サーバ証明書の管理］をクリックします。

  4. をクリックして、サーバ証明書オブジェクトを作成します。［サーバ証明書の作成(Create a Server Certificate)］ページが開きます。

  5. 作成されるサーバ証明書オブジェクトの［ニックネーム］を指定します。

  6. ［作成方法］を選択して、［次へ］をクリックします。

  7. ［サマリ］タブで、作成するユーザ証明書に適用されるパラメータを表示します。

  8. ［OK］をクリックします。

サーバ証明書の作成に関するヒント

サーバ証明書オブジェクトの作成プロセス中に、鍵ペアの名前を指定し、鍵ペアを関連付けるサーバを選択するよう求められます。サーバ証明書オブジェクトは、OpenText Certificate Serverによって生成され、その名前は選択した鍵ペアの名前に基づいて指定されます。

［カスタム］作成方法を選択する場合も、サーバ証明書オブジェクトを、組織の組織認証局または外部認証局のいずれで署名するか指定するよう求められます。この決定方法の詳細については、使用する認証局のタイプの決定を参照してください。

組織の組織認証局を使用する場合、サーバ証明書オブジェクトが関連付けられているサーバが、組織認証局をホストするサーバと通信できるようにするか、またはそのサーバと同じである必要があります。これらのサーバでは、同じプロトコル(IP)を実行している必要があります。

外部認証局を使用して証明書に署名する場合は、サーバ証明書オブジェクトが関連付けられているサーバによって、外部認証局に送信する必要がある証明書署名要求が生成されます。

証明書が署名されて返されたら、外部認証局のルート認証局と一緒に、それをサーバ証明書オブジェクトにインストールする必要があります。

サーバ証明書オブジェクトを作成した後、これを使用するアプリケーションを設定できます。(参照先暗号化対応アプリケーションの設定.)アプリケーションの設定では、鍵は、サーバ証明書オブジェクトを作成したときに入力した鍵ペアの名前で参照されます。

25.3.7 暗号化対応アプリケーションの設定

OpenText Certificate Serverを設定した後、個々の暗号化対応アプリケーションを設定して、作成したカスタム証明書を使用できるようにする必要があります。設定手順は個々のアプリケーションに固有のものであるため、具体的な手順についてはアプリケーションのマニュアルを参照することをお勧めします。

25.3.8 追加コンポーネントの設定

OpenText Certificate Serverには、追加機能を提供するように設定可能な追加コンポーネントが含まれています。

ユーザ証明書の作成

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］>［ユーザ証明書の管理 > ］ユーザ証明書の管理>［ユーザ証明書の作成 ］の順にクリックします。

    この操作により、ユーザ証明書の作成を支援するウィザードが開きます。メッセージに従ってオブジェクトを作成します。ウィザードの各ページに関する特定の情報については、［ヘルプ］をクリックします。

ルート認証局コンテナの作成

OpenText eDirectoryツリーの任意の場所に、ルート認証局コンテナを作成できます。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持つ管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. ［証明書管理］に移動して、［ルート認証局管理］をクリックします。

  4. をクリックして、新しいルート認証局コンテナを作成します。

  5. ルート認証局コンテナの［名前］と［コンテキスト］を指定します。オブジェクトセレクタ()を使用して、ルート認証局コンテナの［コンテキスト］を選択します。

  6. ［OK］をクリックします。

メモ:複数のアプリケーションで、ルート認証局コンテナに特定の名前を指定し、OpenText eDirectoryツリーの特定の場所に配置することが必要になる場合があります。OpenText Certificate Serverでは、ルート認証局コンテナの名前を「ルート認証局」とし、セキュリティコンテナに配置する必要があります。このコンテナ内の証明書は、外部認証局によって署名されたユーザ証明書と、ルート認証局オブジェクトに保存される中間認証局証明書を検証するために使用されます。サーバ証明書と組織認証局証明書は、独自のオブジェクトに保存されている証明書チェーンを使用します。

ルート認証局オブジェクトの作成

ルート認証局オブジェクトは、ルート認証局コンテナにのみ格納できます。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］>［ルート認証局管理］>［ルート認証局］タブ>［ルート認証局の作成 ］の順にクリックします。

    この操作によって、ルート認証局オブジェクトを作成するための［Create a Trusted Root Object］ウィザードが開きます。メッセージに従ってオブジェクトを作成します。ウィザードの各ページに関する特定の情報については、［ヘルプ］をクリックします。

メモ:ルート認証局オブジェクトには、すべてのタイプの証明書を保存できます(認証局証明書、中間認証局証明書、またはユーザ証明書)。

SASサービスオブジェクトの作成

SASサービスオブジェクトは、サーバヘルスチェックの一部として自動的に作成されます。このオブジェクトを手動で作成する必要はありません。手動で作成する必要がある場合、次の手順を実行します。

  1. OpenText Identity Consoleを起動します。

  2. 適切な権利を持った管理者としてOpenText eDirectoryツリーにログインします。

    このタスクのための適切な権利を確認するには、タスクを実行するために必要なエントリ権を参照してください。

  3. OpenText Identity Consoleのホームページで、［証明書管理］>［SASサービスオブジェクト］>［SASサービスオブジェクトの作成］の順にクリックします。

    この操作によって、SASサービスオブジェクトを作成するための［SASサービスオブジェクトの作成］ウィザードが開きます。メッセージに従ってオブジェクトを作成します。ウィザードの各ページに関する特定の情報については、をクリックします。