49.2 SSL証明書の作成とインストール

認証を保証するために、Access ManagerとOSPはそれぞれのSSL証明書のルート認証局を共有する必要があります。このセクションでは、Access Managerの新しい証明書を作成した後、トラストストアに適切な証明書が存在することを保証する方法について説明します。

49.2.1 Access ManagerのSSL証明書の作成

Access Managerは、そのデフォルトのSSL証明書test-connectorを使用してIdentity Managerと通信することはできません。かわりに、証明書の件名にホスト名を含む証明書を作成してAccess Managerに割り当てる必要があります。

詳細については、『NetIQ Access Manager Administration Console Guide』の「Security and Certificate Management」を参照してください。

  1. Access Managerの管理コンソールを開きます。

  2. ［Security (セキュリティ)］>［Certificates (証明書)］の順にクリックします。

  3. ［New (新規)］をクリックします。

  4. 新しい証明書の名前を指定します。たとえば、「hostname_ssl」と指定します。

  5. ウィンドウの右側にある編集ボタンをクリックします。

  6. ［Common name (一般名)］でAccess ManagerをホストするサーバのDNS名を指定し、［OK］をクリックします。

  7. ［Months valid (有効な月数)］では、最大99までの値を指定します。

  8. ［Key size (キーサイズ)］では、2048を指定します。

  9. 新しく作成した証明書を選択し、［Actions (アクション)］>［Add certificate to Keystores... (証明書をキーストアに追加)］の順にクリックします。

  10. ［Keystores (キーストア)］の右側にある編集ボタンをクリックします。

  11. ［SSL connector (SSLコネクタ)］を選択して［OK］をクリックします。

  12. ［OK］をクリックします。

  13. OSPトラストストアに新しい証明書をインストールします。詳細については、セクション 49.2.2, Access Managerの証明書のIdentity Managerトラストストアへのインストールを参照してください。

49.2.2 Access Managerの証明書のIdentity Managerトラストストアへのインストール

OSPトラストストアには、Access Managerのセキュリティ証明書が存在する必要があります。

  1. 新しく作成したSSL証明書をエクスポートするには、次のアクションを実行します。

  2. エクスポートされた証明書をOSPを実行しているサーバにコピーします。

  3. このファイルを、Javaに付属のkeytoolを使用して、JREのcacertsキーストアにインポートします。

    例: /opt/netiq/idm/apps/jre/bin/keytool -keystore /opt/netiq/idm/apps/jre/lib/security/cacerts -storepass <password> -importcert -trustcacerts -alias <NAM-cert> -file custom_location/<exported_file>

  4. OSP証明書をAccess Managerトラストストアにインストールします。

    詳細については、セクション 49.2.3, SSLサーバの証明書のAccess Managerトラストストアへのインストールを参照してください。

49.2.3 SSLサーバの証明書のAccess Managerトラストストアへのインストール

Access Managerトラストストアには、OSPのセキュリティ証明書が存在する必要があります。詳細については、『NetIQ Access Manager Administration Console Guide』の「Managing Trusted Roots and Trust Stores」を参照してください。

OSPを実行しているTomcatインスタンスによってSSLに使用されるサーバ証明書を取得します。

  1. OSPをホストするTomcatインスタンスのSSLサーバ証明書を、Access Managerをインストールしたサーバにコピーします。

  2. Access Managerの管理コンソールを開きます。

  3. 証明書をインポートするには、セキュリティ］ > ［NIDP Trust Store (NIDPトラストストア)をクリックします。

  4. 追加をクリックします。

  5. Add dialog (ダイアログの追加) > インポートからルート認証局を選択します。

  6. インポートするルート証明書を選択してOKをクリックします。

  7. OSPがSAMLからの認証アサーションを認識することを確認します。

    詳細については、セクション 49.4.2, SAMLの属性セットの作成を参照してください。