:プライベート証明書の管理

開始方法

前提条件

プライベート CA を購入し、有効化済みであること。 詳細については、「プライベートCAの購入と有効化」をご参照ください。

プライベート証明書の購入

ルート CA に含まれる証明書リソースが不足している場合、証明書を追加購入することで、そのルート CA 傘下のすべての下位 CA が発行できる証明書の総数を増やすことができます。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象のルート CA を見つけます。操作 列で、購入証明書 をクリックします。

4. 購入証明書 パネルで、購入する証明書の数を入力し、購入 をクリックして支払いを完了します。

   説明

   単一のルート CA について、購入した証明書の累計数が特定のしきい値を超えた場合、そのしきい値を超えた分の証明書料金は免除されます。正確なしきい値については、アカウントマネージャーにお問い合わせください。

プライベート証明書の割り当て

ルート CA は直接証明書を発行できません。まず、ルート CA から下位 CA に証明書リソースを割り当てる必要があります。割り当てるには、ルート CA と下位 CA の両方が次の条件を満たしている必要があります。

• ルート CA と下位 CA の両方が 有効 状態であること。

• ルート CA の残りの証明書数が 0 より大きいこと。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象のルート CA を見つけます。証明書の残り数量 列で、証明書の割り当て をクリックします。

4. 証明書の割り当て パネルで、対象の下位 CA を選択し、証明書の残り数量 の値を設定して、決定 をクリックします。

プライベート証明書の申請

証明書の残り数量 の値が 0 より大きい場合にのみ、下位 CA にプライベート証明書を申請できます。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象の下位 CA を見つけます。操作 列で、アプリケーション証明書 をクリックします。

4. アプリケーション証明書 パネルで、証明書の詳細を設定し、申請の確認 をクリックします。

   申請を送信すると、プライベート CA 証明書は即座に発行されます。プライベート証明書が発行された後、下位 CA の 操作 列にある 証明書リスト をクリックすると、証明書リスト ページで発行済みの証明書を表示できます。

設定項目	説明
[証明書タイプ]	[サーバー証明書]：アプリケーションサーバーにインストールし、サーバー側の ID 認証に使用します。 [クライアント証明書]：クライアントにインストールし、クライアント側の ID 認証に使用します。
[共通名 (cn)]	証明書サブジェクトの共通名。
[有効期間]	プライベート証明書の有効期間。 有効期間は、下位 CA のサービス期間に依存します。 サービス期間が 1 年未満の場合、証明書の有効期間は購入した PCA サービスの期間を超えることはできません。たとえば、1 か月間の PCA サービスを購入した場合、証明書の最大有効期間は 31 日です。有効期間を延長するには、PCA サービスを更新してください。更新手順については、「更新ポリシー」をご参照ください。 サービス期間が 1 年以上の場合、サポートされる証明書の有効期間は 1 年から 100 年の範囲です。
[拡張san]	プライベート証明書の SAN 拡張プロパティ。証明書を複数のサブジェクトに適用するために使用されます。 証明書を複数のサブジェクトに適用する必要がある場合は、SAN 拡張を使用して他のサブジェクト情報を追加してください。 サーバー証明書の場合は、ドメイン名または IP アドレスを入力してください。クライアント証明書の場合は、メールアドレスまたは URI を入力してください。 最大 10 個の SAN 拡張を追加できます。 説明 SAN (サブジェクトの別名) は、X.509 標準で定義された拡張フィールドであり、1 つの証明書で複数のドメイン名をサポートできます。 URI (統一資源識別子) は、証明書に関連付けられた Alibaba Cloud リソースを識別します。たとえば、プライベート証明書がデプロイされている Elastic Compute Service (ECS) インスタンスなどです。
[詳細]	証明書に証明書名、会社、または部署の情報を追加するには、詳細 をクリックします。
[CRL アドレスが含まれているかどうか]	デフォルトで有効になっています。CRL の詳細については、「CRL サービス」をご参照ください。

プライベート証明書のダウンロード

プライベート証明書が発行された後、それをダウンロードして、対応するエンティティに配布してインストールできます。

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象の下位 CA を見つけます。操作 列で、証明書リスト をクリックします。

4. 証明書リスト ページで、対象のプライベート証明書を見つけます。操作 列で、ダウンロード をクリックします。

5. 証明書のダウンロード ダイアログボックスで、証明書の形式を選択し、確認してダウンロードする をクリックします。

プライベート証明書のインストール

プライベート証明書をダウンロードした後、サーバー証明書をアプリケーションサーバーに、クライアント証明書をクライアントブラウザーにインストールしてください。サーバー証明書のインストール方法は、SSL 証明書と同じです。手順については、「SSL 証明書のデプロイ」をご参照ください。

プライベート証明書の失効

1. Certificate Management Service コンソール にログインします。

2. 左側のナビゲーションウィンドウで、[証明書管理] > [PCA 証明書管理] を選択します。 [PCA 証明書管理] ページで、PCA が存在するリージョンを選択します。

3. プライベートca タブで、対象の下位 CA を見つけます。操作 列で、証明書リスト をクリックします。

4. 証明書リスト ページで、対象のプライベート証明書を見つけます。操作 列で、失効 をクリックします。

5. 確認 ダイアログボックスで、失効 をクリックしてください。

   確認後、証明書は即座に失効します。証明書の [ステータス] は [失効] に変わります。この時点で、証明書リストから証明書を削除できます。