17.6 公開鍵証明書の発行

組織認証局は、外部認証局と同じ方法で機能します。つまり、証明書署名要求(CSR)から証明書を発行する機能があります。ユーザが署名のためにCSRを送信してきたら、組織認証局を使用して証明書を発行できます。証明書を要求したユーザは、発行された証明書を取得し、暗号化対応アプリケーションに直接インポートします。

このタスクでは、サーバ証明書オブジェクトを認識しない暗号化対応アプリケーション用の証明書を生成できます。

証明書を発行するには、次の手順を実行します。

ランディングページから、［証明書管理］>［証明書の発行］オプションをクリックします。
CSRファイルをブラウズし、選択します。
キーの使用目的仕様で、適切なキータイプと対応するキーの使用目的を選択します。これらのオプションを使用してキータイプを選択できます。それぞれのキータイプには、キータイプに関連付けられた定義済みのキーの使用目的の値が設定されています。
1. ［指定なし］: このオプションはデフォルトで選択されており、証明書のキーの使用目的のいずれもアクティブではありません。
2. 認証局: このオプションでは、証明書署名とCRL署名キーの使用目的がアクティブになります。
3. 暗号化: このオプションを選択すると、キーの使用目的としてキー暗号化がアクティブになります。
4. 署名: このオプションを選択すると、キーの使用目的としてデジタル署名がアクティブになります。
5. SSLまたはTLS: このオプションを選択すると、SSLまたはTLSトランザクションで使用できるようにキーが設定されます。
6. カスタム: このオプションを選択すると、キーの使用目的のいずれか、またはすべてを手動で選択できます。
7. キーの使用目的拡張を重要に設定する: ［指定なし］以外のキータイプが選択された状態で、そのキーの使用目的拡張を重要に設定することができます。証明書を使用するには、「重要」に設定された拡張が受信側のソフトウェアでサポートされている必要があります。したがって、アプリケーションは必ずしも証明書を使用できないことから、拡張を「重要」に設定することにはある程度のリスクが伴います。ただし、キーの使用目的のような既知の拡張の場合は、リスクは最小限に抑えられます。一般的に、キーの使用目的が指定されている場合は、拡張を重要に設定する必要があります。
証明書内の拡張キーの使用目的の拡張をエンコードできます。この機能をアクティブにするには、［拡張キーの使用目的を許可する］を選択します。
1. サーバ: このオプションは、サーバ認証による拡張キーの使用目的をアクティブにします。
2. ユーザ: このオプションは、ユーザ認証および電子メール保護による拡張キーの使用をアクティブにします。
3. カスタム: このオプションで、拡張キーの使用のいずれかまたはすべてを選択できます。
4. 任意: 拡張キーのどの使用に対してもキーを使用できます。
5. キーの拡張使用目的のエクステンションを「重要」に設定する: 証明書を使用するには、「重要」に設定された拡張が受信側のソフトウェアでサポートされている必要があります。したがって、アプリケーションは必ずしも証明書を使用できないことから、拡張を「重要」に設定することにはある程度のリスクが伴います。多くのアプリケーションでは拡張キー使用目的の拡張を認識しないため、この拡張を「重要」とマークすると、特定のアプリケーションによって証明書が受諾されない大きなリスクが発生します。したがって、必要な場合以外は「重要」と設定しないでください。
適切な基本制約条件を選択します。
1. 証明書タイプ:
  1. ［指定なし］: 証明書の基本制約条件を拡張しない場合は、このオプションを選択します。
  2. 認証局: 証明書の認証局基本制約条件を拡張する場合は、このオプションを選択します。認証局用の証明書の場合は、このオプションを選択する必要があります。
  3. エンドエンティティ: 証明書に対して、(認証局でない)エンドエンティティ証明書であると指定する基本制約条件を拡張するには、このオプションを選択します。メモ: 証明書のタイプがエンドエンティティである場合は、パスの長さを［指定なし］に設定します。
2. ［パス長］:
  1. ［指定なし］: このCA下で作成できるサブオーディネートCAのレベル数を指定しない場合、このオプションを選択します。
    
    メモ:証明書のタイプがエンドエンティティである場合は、パスの長さを［指定なし］に設定します。
  2. ［固有］: このCA下で作成できるサブオーディネートCAのレベル数を指定する場合、このオプションを選択します。上矢印と下矢印をクリックして、パスの長さを指定します。
    
    メモ:作成された証明書が従属CAである場合、パスの長さは上位のCAと一致していなければなりません。たとえば、上位のCAのパスの長さが3である場合、サブオーディネートのパスの長さは2以下でなければなりません。上位のCAのパスの長さが指定されていない場合、サブオーディネートのパスの長さも指定されないか、または任意の長さになります。
3. ［基本制約条件の拡張を「重要」に設定］: 一般的に基本制約条件の拡張は、CA証明書に対して「重要」に設定する必要があります。証明書を使用するには、「重要」に設定された拡張が受信側のソフトウェアでサポートされている必要があります。したがって、アプリケーションは必ずしも証明書を使用できないことから、拡張を「重要」に設定することにはある程度のリスクが伴います。ただし、基本制約条件のような既知の拡張の場合は、リスクは最小限に抑えられます。
次の証明書パラメータを指定します。
1. サブジェクト名: OpenText eDirectoryツリーの完全識別名が表示されます。
2. サブジェクト名: OpenText eDirectoryツリーの完全識別名が表示されます。
3. 有効期間: ドロップダウンリストを使用して、証明書が有効になる期間を指定します。範囲は最短で6ヶ月から、最長で2036年(32ビット時刻値に基づく時間制限)まで指定できます。［日付の指定］オプションを選択する場合、［発効日］および［有効期限］フィールドを編集して、カスタムの有効期間を作成することができます。最長の日付は認証局の有効期限の範囲内で選択する必要があります。
  1. 有効開始日: 証明書が有効になる日時を表示または編集できます。
  2. 有効期限日: 証明書が無効になる日時を表示または編集できます。
4. カスタム拡張: この機能により、作成する証明書に含める標準拡張またはカスタム拡張を、Certificate Serverでサポートできるようになります。拡張は、あらかじめ作成してファイルに格納しておく必要があります(1ファイルにつき1つの拡張)。拡張は、IETF RFC 2459/3280セクション4.2の定義に従って、ASN.1でエンコードされている必要があります。
  
  作成中の証明書に1つ以上のカスタム拡張機能を含めるには、［新規］をクリックし、カスタム拡張機能を含むファイルをブラウズして、証明書に追加します。このプロセスを繰り返すことで、複数の拡張機能を追加できます。
  
  カスタム拡張ファイルを削除するには、ファイルを選択して、アイコンをクリックします。
次のオプションから適切な証明書形式を選択します。
1. バイナリDER形式のファイル: このオプションを使用すると、ファイル名フィールドに表示されるファイルに証明書を保存またはエクスポートできます。デフォルトでは、証明書ファイルには.DER拡張子が付けられ、WindowsベースのOpenText Identity ConsoleワークステーションではCドライブのルートに、またLinuxベースのOpenText Identity Consoleワークステーションではホームディレクトリにエクスポートされます。
2. Base64形式のファイル: このオプションを使用すると、CSRの保存やファイル名フィールドに表示されているファイルに証明書をエクスポートできます。デフォルトでは、証明書ファイルおよびCSRファイルには.B64拡張子が付けられ、WindowsベースのOpenText Identity ConsoleワークステーションではCドライブのルートに、またLinuxベースのOpenText Identity Consoleワークステーションではホームディレクトリにエクスポートされます。
3. CER形式のファイル: このオプションを使用すると、CSRの保存やファイル名フィールドに表示されているファイルに証明書をエクスポートできます。デフォルトでは、証明書ファイルおよびCSRファイルには.CERの拡張子が付けられ、WindowsベースのOpenText Identity ConsoleワークステーションではCドライブのルートに、またLinuxベースのOpenText Identity Consoleワークステーションではホームディレクトリにエクスポートされます。
次の画面で証明書の概要を確認し、［OK］をクリックします。
証明書が正常に発行されたことを示す確認メッセージが表示されます。