Server Load Balancer:CLB を使用した相互認証での HTTPS サービスのデプロイ

設定手順

このガイドでは、自己署名認証局 (CA) 証明書を使用してクライアント証明書に署名します。HTTPS リスナーで相互認証を設定するには、次の手順を実行します。

前提条件

• Classic Load Balancer (CLB) インスタンスを作成済みであること。

• 2 つのバックエンドサーバー ECS01 と ECS02 を作成し、各サーバーに異なるアプリケーションをデプロイ済みであること。

ステップ 1：サーバー証明書の購入

サーバー証明書は、Alibaba Cloud の Certificate Management Service コンソールまたは他のサービスプロバイダーから購入できます。ブラウザは、サーバーから送信された証明書が信頼できる認証局 (CA) によって発行されたものであるかどうかを確認します。

ステップ 2：OpenSSL を使用した CA 証明書の生成

OpenSSL がインストールされている Linux マシンにログインします。

1. 次のコマンドを実行して、ルート CA 証明書の秘密鍵を作成します。

   openssl genrsa -out root.key 4096

2. 次のコマンドを実行して、ルート CA の証明書署名要求 (CSR) ファイルを作成します。

   openssl req -new -out root.csr -key root.key

   プロンプトが表示されたら、次のパラメーターの値を入力します。次のコードは一例です。

   説明

   CA 証明書のコモンネームは一意である必要があります。サーバー証明書またはクライアント証明書のコモンネームと同じにすることはできません。

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:root
   Email Address []:a.alibaba.com
   A challenge password []:
   An optional company name []:

3. 次のコマンドを実行して、ルート CA 証明書を作成します。

   openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

   次の図は結果を示しています。

4. ls コマンドを実行して、生成されたルート CA 証明書ファイル root.crt と秘密鍵ファイル root.key を表示します。

ステップ 3：クライアント証明書の生成

1. 次のコマンドを実行して、クライアント証明書の秘密鍵を生成します。

openssl genrsa -out client.key 4096

2. 次のコマンドを実行して、クライアント証明書の CSR ファイルを生成します。コモンネームにご利用のドメイン名を設定します。

openssl req -new -out client.csr -key client.key

3. 次のコマンドを実行して、クライアント証明書を生成します。

openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650

4. 次のコマンドを実行して、生成された client.crt 証明書をブラウザと互換性のある PKCS12 ファイルに変換します。プロンプトが表示されたら、クライアントの秘密鍵を暗号化するためのパスワードを入力します。

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

5. ls コマンドを実行し、生成されたクライアント証明書ファイル client.key、client.crt、および client.p12 を表示します。

ステップ 4：クライアント証明書のインストール

生成されたクライアント証明書をクライアントにインストールします。

ステップ 5：サーバー証明書と CA 証明書のアップロード

1. Classic Load Balancer (CLB) コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Classic Load Balancer CLB > 証明書管理 を選択します。次に、[証明書の作成] をクリックして、サーバー証明書をアップロードします。

3. [証明書の作成] パネルで [サードパーティ証明書のアップロード] をクリックし、次の構成を完了してから [作成] をクリックします。

   構成	説明
   [証明書名]	証明書の名前を入力します。
   証明書タイプ	このトピックでは、[サーバー証明書] を選択します。
   [公開鍵証明書]	サーバー証明書をコピーします。
   秘密鍵	サーバー証明書の秘密鍵をコピーします。
   証明書デプロイリージョン	CLB インスタンスがデプロイされているリージョンを選択します。

4. [証明書管理] ページで、[証明書の作成] をクリックして CA 証明書をアップロードします。

5. [証明書の作成] パネルで、[サードパーティ証明書のアップロード] をクリックし、次の構成を完了してから [作成] をクリックします。

   構成	説明
   [証明書名]	証明書の名前を入力します。
   証明書タイプ	このトピックでは、[CA 証明書] を選択します。
   クライアント CA 公開鍵証明書	クライアント CA の公開鍵証明書をアップロードします。
   証明書デプロイリージョン	CLB インスタンスがデプロイされているリージョンを選択します。

ステップ 6：相互認証を使用する HTTPS リスナーの設定

1. Classic Load Balancer (CLB) コンソールにログインします。

2. 作成した CLB インスタンスの ID をクリックします。

3. [リスナー] タブで、[リスナーの追加] をクリックします。

4. [プロトコルとリスナー] タブで、次の構成を完了し、[次へ] をクリックします。

   • リスナープロトコルの選択：HTTPS

   • リスナーポート：443

5. [SSL 証明書] タブで、アップロードしたサーバー証明書を選択します。

6. [高度な設定] の横にある [編集] をクリックし、相互認証を有効にして、アップロードした CA 証明書を選択してから、[次へ] をクリックします。

7. [デフォルトサーバーグループ] を選択し、[追加] をクリックして、バックエンドサーバーを追加します。

8. 他のパラメーターはデフォルト値のままにします。[次へ] をクリックして続行します。最後のステップで [送信] をクリックして、リスナーの設定を完了します。

ステップ 7：HTTPS 相互認証のテスト

sudo curl --cert /home/ca/client.crt --key /home/ca/client.key --cacert /home/ca/ca.crt https://<サーバー証明書にバインドされたドメイン名>:<ポート>