CDN:証明書形式

事前準備

アップロードする前に、証明書と秘密鍵が以下のすべての要件を満たしていることを確認してください。

ルート CAから発行された証明書

ルート CA 証明書は、Apache、IIS、NGINX、Tomcat などの Web サーバーと互換性があります。CDN で使用される SSL 証明書は、NGINX 互換形式を使用します。証明書ファイルの拡張子は .crt で、秘密鍵ファイルの拡張子は .key です。

テキストエディタで .crt ファイルを開き、証明書の内容を確認します。

証明書は、次の構造と一致している必要があります。

• -----BEGIN CERTIFICATE----- で始まること

• -----END CERTIFICATE----- で終わること

• 最終行を除く各行は正確に 64 文字で構成され、最終行は 64 文字以下であること

-----BEGIN CERTIFICATE----- から -----END CERTIFICATE----- までの内容全体をアップロードしてください。

中間 CAから発行された証明書

証明書が中間 CA から発行されている場合は、完全な証明書チェーン (サーバー証明書とすべての中間証明書を1つのファイルに結合したもの) をアップロードしてください。

-----BEGIN CERTIFICATE-----
(サーバー証明書の内容)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(中間証明書の内容)
-----END CERTIFICATE-----

チェーンを構築するには、各 .pem ファイルをテキストエディタで開き、内容を順序どおりに貼り付けます。サーバー証明書ブロックを最初に配置し、各中間証明書ブロックをその直後に配置し、それらの間にスペースを入れないでください。

RSA秘密鍵の形式

秘密鍵ファイルの拡張子は .pem または .key です。テキストエディタで開き、内容を確認します。

有効な RSA 秘密鍵は、次の条件を満たす必要があります。

• -----BEGIN RSA PRIVATE KEY----- で始まること

• -----END RSA PRIVATE KEY----- で終わること

• 最終行を除く各行は正確に 64 文字で構成され、最終行は 64 文字以下であること

新しい RSA 秘密鍵の生成

次のコマンドを実行して、2048 ビットの RSA 秘密鍵を生成します。出力は privateKey.pem に保存されます。

openssl genrsa -out privateKey.pem 2048

-----BEGIN PRIVATE KEY----- で始まる秘密鍵の変換

秘密鍵が -----BEGIN PRIVATE KEY----- で始まり、-----BEGIN RSA PRIVATE KEY----- で始まっていない場合は、アップロードする前に OpenSSL で変換してください。

openssl rsa -in old_server_key.pem -out new_server_key.pem

new_server_key.pem の内容を証明書と一緒にアップロードしてください。

キー長の要件

CDN でサポートされている RSA 秘密鍵のキー長は次のとおりです：

• 2048 ビット未満の RSA キー (1024 ビットなど) は安全でないと見なされ、バックエンドの検証で拒否される可能性があります。

• 2048 ビットまたは 4096 ビットを使用してください。キーを生成するには、

  openssl genrsa -out privateKey.pem 2048

  を使用するか、2048 を 4096 に置き換えてください。

• CDN は ECC (Elliptic Curve Cryptography) 証明書もサポートしています。一般的な ECC 曲線タイプには、prime256v1 (secp256r1) および secp384r1 があります。ECC 秘密鍵を生成するには、次のコマンドを使用します。

openssl ecparam -genkey -name prime256v1 -out ecc_key.pem

証明書形式の変換

CDN は PEM 形式の証明書のみをサポートしています。他の形式から変換するには、OpenSSL を使用してください。

.crt ファイルは、PEM 形式または Distinguished Encoding Rules (DER) 形式のいずれかである可能性があります。テキストエディタで開き、-----BEGIN CERTIFICATE----- が表示される場合は、すでに PEM 形式であり、変換は不要です。PEM は Base64 でエンコードされたテキスト形式です。PEM 形式の秘密鍵ファイルの拡張子は .key です。

openssl x509 -inform der -in certificate.cer -out certificate.pem

openssl rsa -inform DER -outform pem -in privatekey.der -out privatekey.pem

openssl pkcs7 -print_certs -in incertificate.p7b -out outcertificate.cer

openssl pkcs12 -in certname.pfx -nokeys -out cert.pem

openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes

署名アルゴリズムのサポート

CDN でサポートされている署名アルゴリズムは、バックエンド API の検証ルールによって決まります。以下は、一般的な署名アルゴリズムの互換性に関する参考情報です：

• 推奨される署名アルゴリズム：

  • SHA-256 with RSA (sha256WithRSAEncryption)

  • SHA-384 with RSA

  • SHA-512 with RSA

  • ECDSA with SHA-256 (ECC 証明書用)

• 非推奨：

  • SHA-1 with RSA: SHA-1 は主要なブラウザによって安全でないと見なされており、一部のバックエンド検証では SHA-1 署名証明書が拒否される可能性があります。

証明書の署名アルゴリズムは、次のコマンドで確認できます。

openssl x509 -in your_cert.pem -noout -text | grep "Signature Algorithm"

出力は Signature Algorithm: sha256WithRSAEncryption のようになります。