Anti-DDoS:Anti-DDoS Proxy を使用して相互認証をデプロイする

自己署名ルート CA 証明書または自己署名中間 CA 証明書は、相互認証でサポートされています。 このトピックでは、自己署名ルート CA 証明書を例として使用します。

1. OPENSSL を使用して自己署名ルート CA 証明書を生成する。

   1. 次のコマンドを使用して、ルート CA 証明書の秘密鍵を作成します。

      openssl genrsa -out root.key 4096

   2. 次のコマンドを使用して、ルート CA 証明書をリクエストするためのファイルを作成します。

      openssl req -new -out root.csr -key root.key

      その他のパラメーターを設定します。 例:

      説明

      CA 証明書の共通名は、クライアント証明書とサーバー証明書の共通名とは異なるようにしてください。

      Country Name (2 letter code) [XX]:cn
      State or Province Name (full name) []:bj
      Locality Name (eg, city) [Default City]:bj
      Organization Name (eg, company) [Default Company Ltd]:alibaba
      Organizational Unit Name (eg, section) []:test
      Common Name (eg, your name or your servers hostname) []:root  //ルート証明書の共通名
      Email Address []:a****@example.com
      A challenge password []:
      An optional company name []:

   3. 次のコマンドを使用して、ルート CA 証明書を作成します。

      openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

      出力例:

      

   4. ls コマンドを使用して、生成されたルート CA 証明書 root.crt とルート CA 証明書の秘密鍵 root.key を確認します。

      後で Certificate Management Service にアップロードできるように、これらのルート CA 証明書ファイルをローカルコンピューターに ダウンロード します。

2. ルート CA 証明書を使用してクライアント証明書を生成する。

   1. 次のコマンドを使用して、クライアント証明書キーを生成します。

      openssl genrsa -out client.key 4096

   2. 次のコマンドを使用して、クライアント証明書をリクエストするためのファイルを作成します。

      openssl req -new -out client.csr -key client.key

      その他のパラメーターを設定します。 例:

      説明

      CA 証明書の共通名は、サーバー証明書、ルート証明書、およびその他のクライアント証明書の共通名とは異なるようにしてください。

      Country Name (2 letter code) [XX]:cn
      State or Province Name (full name) []:bj
      Locality Name (eg, city) [Default City]:bj
      Organization Name (eg, company) [Default Company Ltd]:alibaba
      Organizational Unit Name (eg, section) []:test
      Common Name (eg, your name or your servers hostname) []:client-alb-user //クライアント証明書の共通名
      Email Address []:username@example.com
      A challenge password []:
      An optional company name []:

   3. 次のコマンドを使用して、クライアント証明書を生成します。

      openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650

      出力例:

      

   4. 次のコマンドを使用して、生成されたクライアント証明書 client.crt を、ブラウザで認識できる PKCS12 ファイルに変換します。 プロンプトに従って、設定したクライアント秘密鍵の暗号化パスワードを入力します。

      openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

   5. ls コマンドを使用して、生成された client.p12 クライアント証明書ファイルを確認します。

      後でクライアントに送信できるように、クライアント証明書ファイルをローカルコンピューターに ダウンロード します。

3. 自己署名ルート CA 証明書を Alibaba Cloud Certificate Management Service にアップロードする。

   1. Certificate Management Service コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[証明書とドメインアプリケーションサービス] > [証明書アプリケーションリポジトリ] を選択します。

   3. [証明書アプリケーションリポジトリ] ページで、[リポジトリの作成] をクリックします。 パネルで、[データソース] を [CA 証明書のアップロード] に設定し、[OK] をクリックします。

      

   4. [証明書アプリケーションリポジトリ] ページで、作成した証明書リポジトリをクリックします。

   5. 注:[公式証明書] ページで、[アップロードされた証明書] をクリックします。 [CA 情報] パネルで、ルート CA 証明書ファイル root.crt をアップロードし、[確認して有効化] をクリックします。