暗号鍵サーバーに使用される証明書

鍵サーバーを使用して暗号化を有効にする場合、システムと暗号化鍵サーバー間のセキュア通信を確保するために、2 つのタイプの証明書が必要です。

証明書は、鍵サーバーではシステムの認証に使用され、システムでは鍵サーバーに対する認証に使用される基本的な方法です。これらの証明書を交換することで、鍵サーバーに保管されている暗号鍵へのアクセスが許可されるかどうかが確認されます。鍵サーバーは、システムの認証を行うことで、信頼されない利用者に鍵サーバーへのアクセスを付与しません。システムは、鍵サーバーの認証を行うことで、信頼されない利用者によって機密の鍵を保管するよう要求することがありません。システムのセキュリティーは 2 つの要因に依存します。第 1 に、各デバイスが相互を信頼できるように、鍵サーバーとシステムのパブリック証明書がセキュアに交換される必要があります。第 2 に、鍵サーバーとシステムは、証明書に関連付けられた秘密鍵をセキュアに保つ必要があります。

鍵サーバーを検証するためにシステムで使用される鍵サーバー証明書は、システムに転送され、インストールされなければなりません。鍵サーバーをシステムに追加する際には、信頼のおける第三者機関によって署名された証明書、または自己署名証明書のいずれかを使用できます。複数の鍵サーバーを追加する場合は、これらの証明書を組み合わせて使用できます。自己署名証明書と CA 署名証明書を組み合わせてインストールする場合、システムにインストールされる自己署名鍵サーバー証明書は、システムにインストールされる CA 署名鍵サーバー証明書よりも優先されます。

すべての鍵サーバーが、同じ認証局によって署名される証明書を使用する場合、CA 証明書を鍵サーバーのエンドポイントにインストールする (例えば、mkkeyserver -sslcert …) のではなく、鍵サーバー・タイプの設定でインストールする (例えば、chkeyserverisklm -sslcert …) ことをお勧めします。鍵サーバー・タイプの設定の CA 証明書を使用するのは、鍵サーバーのエンドポイントにインストールされた証明書がない場合に鍵サーバーに接続するときのみです。鍵サーバーごとに個別の自己署名証明書を使用する場合、証明書は、各鍵サーバー・エンドポイントに対してインストールされます。信頼チェーンに含まれている鍵サーバー証明書を使用する場合は、鍵サーバーの証明書チェーンの使用を参照してください。

複数の鍵サーバーが同じシステムに含まれ、鍵と証明書を相互に複製するように構成されている場合、鍵サーバー証明書はすべての鍵サーバーにコピーされます。システムは、同じサーバー証明書を持つすべての鍵サーバーに接続できます。さらに、各構成済み鍵サーバーにシステムの証明書をインストールすることも必要です。鍵サーバーの管理者は、そのシステム証明書を受け入れて鍵サーバーへのアクセスを認可します。セキュア通信用にシステム証明書を構成するには、「設定」 > 「セキュリティー」 > 「セキュア通信」を選択します。

鍵サーバーの証明書チェーンの使用

システムが、署名付き証明書チェーンを使用する鍵サーバーで SSL を使用して認証するには、システムには複数の証明書のインストールが必要です。証明書チェーン内のすべての証明書 (サーバー証明書そのもの、つまり、リーフ証明書は除く) をインストールする必要があります。例えば、鍵サーバー X の証明書が認証局 Y によって署名され、認証局 Y の証明書がルート認証局 Z によって署名される場合、システムでは、鍵サーバー X と正常に通信するために証明書 X と証明書 Y がシステム上にインストールされる必要があります。この証明書をインストールするために、鍵サーバーの証明書を除く、証明書のフル・チェーンが含まれている単一の証明書ファイルを作成します。このファイル内の最初の証明書は CA 証明書です。これは、証明書チェーンのリーフ (鍵サーバー証明書) に署名するのに使用された証明書です。このファイル内の最後の証明書はルート CA 証明書です。ファイルの最初の証明書とルート証明書との間に、中間 CA 証明書がすべて順に指定されます。複数の中間証明書がある場合、リーフからルートの順にこれらの証明書を組み込んでください。

結果として生じる証明書ファイルでは、ファイルの一番上に最初のリーフ証明書があり、その後に後続の中間 CA 証明書が 1 つずつ順に続く必要があります。最後に、ルート CA 証明書がファイルの一番下にあります。その結果作成されるファイルには、証明書ごとに PEM データのみが含まれ、コメントなどの他のものはファイルから削除されます。ファイル内の各証明書は改行で区切られ、各証明書はヘッダー「-----BEGIN CERTIFICATE-----」で始まり、「-----END CERTIFICATE-----」で終わります。

深さ 3 の証明書チェーンの証明書ファイル例は、次のようになります。以下の例には、2 つの証明書が含まれています。含まれている証明書は、最初に中間 CA 証明書 Y があり、その後に、ルート CA 証明書 Z が続きます。鍵サーバー証明書 X は含まれません。使用される証明書チェーンが大きいほど、証明書ファイルに含まれる中間 CA 証明書の数は多くなります。