17.1 認証局の管理

デフォルトでは、認証サーバのインストールプロセスで、組織認証局(CA)が作成されます。組織認証局の名前を指定するように求められます。［終了］をクリックすると、組織認証局がデフォルトのパラメータで作成され、セキュリティコンテナに配置されます。組織認証局の作成をより詳細に制御する場合は、OpenText Identity Consoleポータルを使用して手動で組織認証局を作成できます。また、組織認証局を削除した場合、それを再作成する必要があります。

認証局モジュールを使用して、次のタスクを実行できます。

17.1.1 組織認証局証明書の作成

組織認証局オブジェクトを作成するには、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. 組織の認証局オブジェクトが存在しない場合、［Create an Organizational Certificate Authority Object］ダイアログボックスとオブジェクトを作成するウィザードが開きます。メッセージに従ってオブジェクトを作成します。

    メモ:ここで指定するCRLファイルパスが、OpenText eDirectoryインストールパスと対応していることを確認します。

  3. 認証局の作成を完了したら、認証局の公開鍵/秘密鍵のペアのバックアップを作成し、安全な場所に保存することをお勧めします。詳細については、組織認証局証明書のバックアップを参照してください。

17.1.2 組織認証局証明書のバックアップ

組織認証局のホストサーバで回復不能な障害が発生する場合に備え、組織認証局の秘密鍵と証明書をバックアップしておくことをお勧めします。障害が発生した場合、バックアップファイルを使用して、組織認証局をツリー内の任意のサーバに復元できます。

メモ:組織認証局をバックアップする機能は、NetIQ Certificate Serverバージョン9.0以上で作成された組織認証局に対してのみ使用できます。証明書サーバの以前のバージョンでは、組織認証局の秘密鍵は、エクスポートできない方法で作成されていました。

バックアップファイルには、認証局の秘密鍵、自己署名証明書、公開鍵証明書、およびこの操作に必要とされるいくつかの他の証明書が含まれています。この情報は、PKCS #12形式(PFXとも呼ばれます)で保存されます。

組織認証局が正常に機能しているときに、組織認証局をバックアップする必要があります。

組織認証局をバックアップするには、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. ［証明書］タブをクリックします。

  3. ［自己署名証明書］または［公開鍵証明書］のいずれかを選択します。証明書は両方とも、バックアップ操作中にファイルに書き込まれます。RSAとECDSA証明書の［自己署名証明書］を別個に選択することをお勧めします。

  4. アイコンをクリックします。

  5. 秘密鍵のエクスポートを選択して、6文字以上の英数字でPFXファイルの暗号化に使用するパスワードを指定し、PKCS12をエクスポートフォーマットとして選択し、［OK］をクリックします。

  6. 暗号化されたバックアップファイルは、指定した場所に書き込まれます。これで、緊急用に、ファイルを安全な場所に保存する準備ができました。

17.1.3 組織認証局の復元

組織のCAオブジェクトが削除または破損した場合や、組織のCAのホストサーバで回復不能な障害が発生した場合には、バックアップファイルを使用して組織のCAを復元できます。CA証明書のバックアップ方法の詳細については、組織認証局証明書のバックアップを参照してください。

組織認証局を復元するには、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. 画面の上部の(［認証局の管理］の横)をクリックして、既存の組織認証局を削除します。

  3. 新しい組織認証局の設定が求められます。この操作により、［Create an Organizational Certificate Authority Object］ダイアログボックスと、オブジェクトを作成する対応するウィザードが開きます。

  4. 作成ダイアログボックスで、組織認証局をホストするサーバおよび組織認証局オブジェクトの名前を指定する必要があります。

  5. [インポート] を選択します。

  6. RSAとECDSAの両方の証明書を選択します。証明書サーバでは、両方の証明書のサブジェクト名が同じである必要があります。ただし、証明書サーバでは、外部自己署名認証局証明書のインポートをサポートしません。ただし、従属認証局証明書をインポートすることはできます。

  7. その後の画面でRSAとECDSAのファイルの名前をブラウズし、選択します。

  8. バックアップ実行時に、ファイルを暗号化するために使用したパスワードを入力し、［OK］をクリックします。

  9. これで組織認証局の秘密鍵と証明書が復元され、認証局が完全に機能するようになります。将来の使用に備え、ここでファイルをもう一度保存できます。

17.1.4 組織認証局の証明書の検証

証明書に問題があることが疑われる場合や、失効している場合には、OpenText Identity Consoleを使用して簡単に証明書を検証できます。外部認証局によって発行された証明書を含め、OpenText eDirectoryツリー内のすべての証明書を検証できます。

証明書の検証プロセスには、証明書のデータだけでなく、証明書チェーン内のデータに対する複数のチェックが含まれます。証明書チェーンは、ルート認証局証明書と、必要に応じて1つ以上の中間認証局の証明書からなります。

証明書を検証するには、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. ［証明書］タブをクリックします。

  3. ［自己署名証明書］または［公開鍵証明書］のいずれかを選択します。

  4. 選択した認証局証明書を検証するには、をクリックします。

17.1.5 組織認証局証明書の置き換え

証明書が何らかの理由で破損または無効になった場合、または既存の証明書を置き換える場合は、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. ［証明書］タブをクリックします。

  3. ［自己署名証明書］または［公開鍵証明書］のいずれかを選択します。

  4. 選択した認証局証明書を置き換えるには、をクリックします。

  5. 認証局証明書を.pfxまたは.p12形式でインポートし、秘密鍵を暗号化するためのパスワードを指定します。

  6. OKをクリックします。

メモ:OpenText Identity Consoleは、有効期限の 60日前から認証局証明書の有効期限について警告を開始します。このメッセージは、OpenText Identity Consoleにログインすると表示されます。

17.1.6 組織認証局証明書の取り消し

証明書を取り消すには、次の手順を実行します。

  1. ランディングページから、［証明書管理］>［認証局の管理］オプションをクリックします。

  2. ［証明書］タブをクリックします。

  3. ［自己署名証明書］または［公開鍵証明書］のいずれかを選択します。

  4. アイコンをクリックします。

  5. サーバ証明書の取り消しに伴うリスクを読み、理解をしてください。

  6. ドロップダウンリストから取り消しの有効な理由を選択し、無効日を選択して、その他のコメントを指定します。

  7. ［OK］をクリックして取り消しを完了します。