ApsaraDB RDS:カスタム証明書の設定

単一エンドポイント

以下の 3 つのコマンドを順番に実行します。

# 1. 自己署名 CA 証明書とその秘密鍵を作成
openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-server-ca"

# 2. サーバー証明書の証明書署名要求 (CSR) と秘密鍵を作成
#    CN の値を保護したいエンドポイントに置き換える
openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=pgm-bpxxxxx.pg.rds.aliyuncs.com"

# 3. CA で CSR に署名してサーバー証明書を生成
openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial -out server.crt

CN 値で使用するエンドポイントを確認するには、「ApsaraDB RDS for PostgreSQL インスタンスのエンドポイントとポート番号の表示と変更」をご参照ください。

複数のエンドポイント (サブジェクト代替名)

複数のエンドポイントを保護するには、それらをサブジェクト代替名 (SAN) として証明書に含めます。

# 1. 自己署名 CA 証明書とその秘密鍵を作成
openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-server-ca"

# 2. デフォルトの OpenSSL 設定を一時ファイルにコピー
cp /etc/pki/tls/openssl.cnf /tmp/openssl.cnf

Windows では、openssl.cnf ファイルは OpenSSL のインストールフォルダー配下の \bin\cnf ディレクトリにあります。任意のディレクトリにコピーしてください。

テキストエディターで /tmp/openssl.cnf を開き、以下の内容を追加します。

# [ req ] セクションの末尾に追加
req_extensions = v3_req

# 新しい [ v3_req ] セクションを追加
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

# 新しい [ alt_names ] セクションを追加 — 各エンドポイントを DNS エントリとしてリストアップ
[ alt_names ]
DNS.1 = pgm-bpxxxxx.pg.rds.aliyuncs.com
DNS.2 = pgm-bpyyyyy.pg.rds.aliyuncs.com

次に、CSR とサーバー証明書を生成します。

# 3. 更新された設定を使用して CSR とサーバーの秘密鍵を作成
openssl req -new -nodes -text -out server.csr -keyout server.key -config /tmp/openssl.cnf

# 4. SAN 拡張を含めて CA で CSR に署名
openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial -out server.crt -extensions v3_req -extfile /tmp/openssl.cnf

ステップ 3 を実行すると、OpenSSL によって CSR パラメーターの入力を求められます。次の表に、各フィールドの説明を示します。

出力の確認

コマンドが完了したら、ls を実行して、必要なすべてのファイルが存在することを確認します。

server-ca.crt  server-ca.key  ca.srl  server.crt  server.csr  server.key

次の表に、各ファイルとその SSL における役割を示します。

「証明書のアドレスにインスタンスの接続文字列が含まれていません」というエラーが表示されるのはなぜですか？

証明書の CN (コモンネーム) または SAN (サブジェクト代替名) に RDS インスタンスのエンドポイントが含まれていません。ワイルドカード証明書 (例：*.example.com) はサポートされていません。

この問題を解決するには、証明書を再生成し、CN 値または SAN エントリを完全な RDS インスタンスのエンドポイント (例：pgm-xxx.pg.rds.aliyuncs.com) に設定します。エンドポイントの表示方法については、「ApsaraDB RDS for PostgreSQL インスタンスのエンドポイントとポート番号の表示と変更」をご参照ください。

秘密鍵のエラーで SSL 設定が失敗するのはなぜですか？

秘密鍵がパスワード暗号化を使用して生成されました。パスワードで暗号化された秘密鍵はサポートされていません。

この問題を解決するには、パスワード暗号化なしで秘密鍵を再生成します。ステップ 1 で示したように、openssl req コマンドで -nodes フラグを使用します。秘密鍵ファイルは -----BEGIN PRIVATE KEY----- で始まる必要があります。

証明書のアップロード時に証明書フォーマットエラーが表示されるのはなぜですか？

証明書ファイルが PEM 形式でないか、余分な内容が含まれている可能性があります。

この問題を解決するには、PEM 形式の証明書ファイルをアップロードしていることを確認してください。内容は -----BEGIN CERTIFICATE----- で始まり、-----END CERTIFICATE----- で終わる必要があり、これらの行の外に余分なテキストがあってはなりません。