Server Load Balancer:HTTPS 相互認証

コンソールから

詳細については、「プライベート証明書の申請」をご参照ください。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、使用するプライベート中間CAを見つけ、操作 列の アプリケーション証明書 をクリックします。

4. アプリケーション証明書 パネルでパラメーターを設定し、申請の確認 をクリックします。 下表に、各パラメーターを説明します。

   この例では、クライアント証明書を申請する際に、証明書のタイプ を クライアント証明書 に設定し、クライアントユーザーを一意に識別するために 氏名 を入力します。他のパラメーターは、デフォルト値のままにするか、必要に応じて変更できます。

   証明書アプリケーションを送信すると、すぐにプライベート証明書が発行されます。 次に、操作 列の 証明書リスト をクリックして、プライベート証明書に関する情報を表示します。

自己署名

1. ECS01 にログインし、次のコマンドを実行して、自己署名ルート CA 証明書を生成します。

   ALB インスタンスは、自己署名ルート CA 証明書または自己署名中間 CA 証明書のいずれかを使用した相互認証をサポートします。この例では、自己署名ルート CA 証明書を使用します。

   1. 次のコマンドを実行して、ルート CA 証明書の秘密鍵を作成します：

      openssl genrsa -out root.key 4096

   2. 次のコマンドを実行して、ルート CA 証明書の証明書署名リクエスト (CSR) を作成します：

      openssl req -new -out root.csr -key root.key

      プロンプトに従って必要な情報を入力します。以下はコード例です。

      説明

      CA 証明書のコモンネームは一意であり、サーバー証明書やクライアント証明書のコモンネームと同じにならないようにしてください。

      Country Name (2 letter code) [XX]:cn
      State or Province Name (full name) []:bj
      Locality Name (eg, city) [Default City]:bj
      Organization Name (eg, company) [Default Company Ltd]:alibaba
      Organizational Unit Name (eg, section) []:test
      Common Name (eg, your name or your servers hostname) []:root
      Email Address []:a****@example.com
      A challenge password []:
      An optional company name []:

   3. 次のコマンドを実行して、ルート CA 証明書を作成します：

      openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

      次の出力が返されます：

      Signature ok
      subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = root, emailAddress = a****@example.com
      Getting Private Key

   4. ls コマンドを実行して、生成されたルート CA 証明書 root.crt とその秘密鍵 root.key を確認します。

      これらのルート CA 証明書ファイルを後で利用するために、お使いのコンピューターにダウンロードできます。

2. 自己署名ルート CA 証明書を証明書管理サービスにアップロードします。

   1. Certificate Management Service コンソール にログインします。

   2. 左側のナビゲーションウィンドウで、[証明書とドメインアプリケーションサービス] > [証明書アプリケーションリポジトリ] を選択します。

   3. 証明書アプリケーションリポジトリ ページで、[リポジトリの作成] をクリックします。 [リポジトリの作成] パネルで、[データソース] を [アップロードされた CA 証明書] に設定し、OK をクリックします。

   4. 証明書アプリケーションリポジトリ ページで、作成したリポジトリをクリックします。

   5. 証明書 ページで、作成 をクリックします。[CA 情報] パネルで、ルート CA 証明書ファイル root.crt をアップロードし、[確認して有効化] をクリックします。

コンソールからエクスポート

コンソールから購入したクライアント証明書を相互認証に使用する場合は、次の手順に従ってエクスポートします：

1. プライベートca タブで、対象の下位 CA を探し、操作 列にある 証明書リスト をクリックします。

2. 証明書リスト ページで、対象のプライベート証明書を見つけ、操作 列の ダウンロード をクリックします。

3. 証明書のダウンロード ダイアログボックスで、ダウンロードする証明書形式を選択し、確認してダウンロードする をクリックします。信頼チェーンを含める を選択した場合、ダウンロードした証明書には完全な証明書チェーンが含まれます。

   この例では、証明書形式として [PFX] を選択します。これはブラウザで認識可能な形式です。

   ダウンロードしたファイルには、.pfx 拡張子のクライアント証明書ファイルと、クライアントの秘密鍵の暗号化パスワードが記載された .txt 拡張子のテキストファイルが含まれています。

自己署名証明書のエクスポート

自己署名 CA 証明書から生成されたクライアント証明書を相互認証に使用する場合は、次の手順に従って生成します：