Server Load Balancer:HTTPS 相互認証

コンソールから

詳細については、「プライベート証明書の申請」をご参照ください。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象の中間CAを見つけ、操作 列のアプリケーション証明書 をクリックします。

4. アプリケーション証明書 パネルで、以下の表に従って証明書の設定を行い、申請の確認 をクリックします。

   この例では、クライアント証明書を申請する際に、証明書のタイプ を クライアント証明書 に設定し、氏名 を入力してクライアントユーザーを一意に識別します。その他のパラメーターは、デフォルト値のままにするか、必要に応じて変更できます。

   申請を送信すると、プライベート CA は直ちに証明書を発行します。その後、中間CAの操作 列にある証明書リスト をクリックして、発行された証明書を表示できます。

自己署名

1. ECS01 にログオンし、次のコマンドを実行して自己署名ルート CA 証明書を生成します。

   ALB インスタンスは、自己署名ルート CA 証明書または自己署名中間 CA 証明書を使用した相互認証をサポートしています。 この例では、自己署名ルート CA 証明書を使用します。

   1. 次のコマンドを実行して、ルート CA 証明書の秘密キーを作成します：

      openssl genrsa -out root.key 4096

   2. 次のコマンドを実行して、ルート CA 証明書の証明書署名要求 (CSR) を作成します：

      openssl req -new -out root.csr -key root.key

      プロンプトに従って必要な情報を入力します。以下に例を示します。

      説明

      CA 証明書のコモンネームが一意であり、サーバー証明書またはクライアント証明書のコモンネームと同じにならないようにしてください。

      Country Name (2 letter code) [XX]:cn
      State or Province Name (full name) []:bj
      Locality Name (eg, city) [Default City]:bj
      Organization Name (eg, company) [Default Company Ltd]:alibaba
      Organizational Unit Name (eg, section) []:test
      Common Name (eg, your name or your servers hostname) []:root
      Email Address []:a****@example.com
      A challenge password []:
      An optional company name []:

   3. 次のコマンドを実行して、ルート CA 証明書を作成します：

      openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

      次の出力が返されます。

      Signature ok
      subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = root, emailAddress = a****@example.com
      Getting Private Key

   4. ls コマンドを実行して、生成されたルート CA 証明書 root.crt とその秘密鍵 root.key を表示します。

      これらのルート CA 証明書ファイルは、後で使用するためにコンピューターに ダウンロード できます。

2. 自己署名ルート CA 証明書を証明書管理サービスにアップロードします。

   1. Certificate Management Service コンソール にログインします。

   2. 左側のナビゲーションウィンドウで、[証明書とドメインアプリケーションサービス] > [証明書アプリケーションリポジトリ] を選択します。

   3. 証明書アプリケーションリポジトリ ページで、[リポジトリの作成] をクリックします。[リポジトリの作成] パネルで、[データソース] を [アップロードされた CA 証明書] に設定し、OK をクリックします。

   4. 証明書アプリケーションリポジトリ ページで、作成したリポジトリをクリックします。

   5. 証明書 ページで、作成 をクリックします。[CA 情報] パネルで、ルート CA 証明書ファイル root.crt をアップロードし、[確認して有効化] をクリックします。

コンソールからエクスポート

コンソールから購入したクライアント証明書を相互認証に使用するには、次の手順に従ってエクスポートします：

1. プライベートca タブで、対象の下位 CA を見つけ、操作 列の 証明書リスト をクリックします。

2. 証明書リスト ページで、対象のプライベート証明書を探し、操作 列の ダウンロード をクリックします。

3. 証明書のダウンロード ダイアログボックスで、ダウンロードする証明書の形式を選択し、確認してダウンロードする をクリックします。信頼チェーンを含める を選択した場合、ダウンロードされた証明書には完全な証明書チェーンが含まれます。

   この例では、証明書形式として [PFX] を選択します。この形式はブラウザで認識できます。

   ダウンロードしたファイルには、.pfx 拡張子のクライアント証明書ファイルと、クライアントの秘密鍵の暗号化パスワードが記載された .txt 拡張子のテキストファイルが含まれています。

自己署名のエクスポート

自己署名 CA 証明書から生成されたクライアント証明書を相互認証に使用するには、次の手順に従って生成します：