ロード・バランサのSSL証明書

PEM形式への変換

証明書とキーをPEM以外の形式で受信した場合は、システムにアップロードする前にそれらを変換する必要があります。OpenSSLを使用して、証明書とキーをPEM形式に変換できます。次のコマンド例でガイダンスを提供します。

証明書または証明書チェーンをDERからPEMへ

openssl x509 -inform DER -in <certificate_name>.der -outform PEM -out <certificate_name>.pem

秘密キーをDERからPEMへ

openssl rsa -inform DER -in <private_key_name>.der -outform PEM -out <private_key_name>.pem

証明書バンドルをPKCS#12 (PFX)からPEMへ

openssl pkcs12 -in <certificate_bundle_name>.p12 -out <certificate_bundle_name>.pem -nodes

証明書バンドルをPKCS#7からPEMへ

openssl pkcs7 -in <certificate_bundle_name>.p7b -print_certs -out <certificate_bundle_name>.pem

ピア証明書の検証の構成

クライアント認証にはピア証明書の検証が使用されます。ピア証明書の検証の深さは、クライアント認証で検証する必要があるチェーン内の証明書の数です。

次は、設定することが予想される値です:

• 1つの中間証明書、クライアント証明書、ルート証明書 - 2

• クライアント証明書、ルート証明書 - 1

ピア証明書の検証が誤って構成されているかどうかを判断するには、次に注意してください:

• クライアントは、証明書を検証できず、クライアントSSLハンドシェイクが失敗することを示します。このエラー・メッセージは、クライアント・タイプによって異なります。

• ロード・バランサのログに、次のエラーが表示されます: Client %s has SSL certificate verify error

• OpenSSLユーティリティを使用して、次のコマンドを実行します: openssl verify -verbose -CAfile RootCert.pem Intermediate.pem

  検証の失敗が発生している深さを示すエラーが発生します: error 20 at 0 depth lookup:unable to get local issuer certificate

この状況を解決するには、正しい証明書の深さを指定し、クライアント証明書と認証局の証明書が一致していること、およびそれらが正しい順序であることを確認します。

証明書チェーンのアップロード

1つの証明書チェーンを形成する証明書(中間認証局証明書など)が複数ある場合は、システムにアップロードする前に、関連するすべての証明書を1つのファイルに正しい順序で含めます。信頼できるルート認証局によって直接署名された証明書をリストの一番下にして開始するのが正しい順序です。追加の証明書は、署名証明書の上位に貼り付けます。

サーバー証明書(SSL_Certificate.crt)と中間認証局証明書(intermediateCA.crt)のファイルを、連結された1つのファイルに結合します。

SSL証明書と中間認証局証明書から連結された1つのファイルを取得するには、コマンド・プロンプトを開いて、次のコマンドを実行します:

cat ssl_certificate.crt IntermediateCA.crt >> certbundle.pem

次に示す連結された証明書チェーン・ファイルの例には、4つの証明書が含まれています:

-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----

秘密キーの送信

秘密キーの送信でエラーが返された場合の最も一般的な理由は3つあります:

• 指定したパスフレーズが正しくありませんでした。

• 秘密キーの形式が不正です。

• システムがキーで使用されている暗号化方式を認識していません。

キー・ペアの不一致

秘密キーと公開キーの不一致に関連するエラーを受信した場合、アップロードの前に、次のOpenSSLコマンドを使用してそれらが同じペアの一部であることを確認します:

openssl x509 -in certificate_name.crt -noout -modulus | openssl sha1
openssl rsa -in private_key.key -noout -modulus | openssl sha1

返されたsha1ハッシュ値が完全に一致していることを確認します。それらが異なる場合、指定された秘密キーはパブリック証明書の署名に使用されず、使用できません。

秘密キーの整合性

秘密キーに関連するエラーが発生した場合は、OpenSSLを使用してその整合性をチェックできます:

openssl rsa -check -in <private_key>.pem

このコマンドは、キーが完全であること、パスフレーズが正しいこと、およびファイルに有効なRSA秘密キーが含まれていることを確認します。

秘密キーの復号化

システムが秘密キーで使用されている暗号化テクノロジを認識していない場合、そのキーを復号化します。暗号化されていないバージョンのキーと証明書バンドルをアップロードします。OpenSSLを使用して秘密キーを復号化できます:

openssl rsa -in <private_key>.pem -out <decrypted_private_key>.pem