Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
HCL Domino 12.0 (ベータ) TLS証明書管理の自動化
Search
Haruyuki Nakano
September 01, 2022
Technology
0
580
HCL Domino 12.0 (ベータ) TLS証明書管理の自動化
HCL Domino 12.0 の新機能であるTLS証明書管理機能についてベータ版を使い検証しました。
2021年3月の「テクてくLotus技術者夜会」で使用した資料です。
Haruyuki Nakano
September 01, 2022
Tweet
Share
More Decks by Haruyuki Nakano
See All by Haruyuki Nakano
HCL Nomad Designer 1.0.11
harunakano
0
68
HCL Notes 14.0 「スタイルの変更」で「3 設定の確認」を深掘り
harunakano
0
2.9k
HCL Notes 14.0 EA2 Domino Restyle を試してみた
harunakano
0
300
HCL Nomad 1.0.7 Restyle
harunakano
0
170
添付された日本語テキストファイルを全文検索でヒットさせる方法
harunakano
0
11k
12.0.2 ビュー索引更新の改善
harunakano
0
11k
HCL Notes で管理する AWS リソース
harunakano
0
13k
UNKテーブル
harunakano
0
13k
HCL Notes 12.0.2 アプリケーション・デザインの一括変更
harunakano
0
620
Other Decks in Technology
See All in Technology
プロファイラを使ってPythonアプリをチューニングしよう
tokibito
2
270
組織的なクラウド統制のはじめの一歩 後編
nyankotaro
0
250
JaSST'24 Tohoku基調講演/jasst24tohoku_keynote
omn
0
110
Building Static Websites with Sculpin
opdavies
0
1.3k
Open Source Developer Experience, Platform Engineering and AI-infused Apps - DevTalks Romania
kdubois
0
100
Oracle Database Technology Night #79 - Oracle Database 23ai 新機能 Oracle Advanced Cluster File System (ACFS)
oracle4engineer
PRO
1
140
[JSAI24] Attention Lattice Adapter: Visual Explanation for Vision-Language Foundation Models
keio_smilab
PRO
0
130
BigQueryとCloud Composerを使って大規模バッチ処理をデータパイプラインに再構築する
monotaro
PRO
2
160
Goのライブラリのバグを見つけてから直すまで layerx.go#0
tomoaki25
5
300
Handling Large Data with Python
topspinj
0
150
Python Web UIフレームワークのススメ
terapyon
0
250
OpenStack再入門「ネットワーク編」
kajinamit
0
250
Featured
See All Featured
How To Stay Up To Date on Web Technology
chriscoyier
782
250k
The Success of Rails: Ensuring Growth for the Next 100 Years
eileencodes
34
6.1k
CoffeeScript is Beautiful & I Never Want to Write Plain JavaScript Again
sstephenson
155
14k
Large-scale JavaScript Application Architecture
addyosmani
504
110k
Typedesign – Prime Four
hannesfritz
36
2.1k
It's Worth the Effort
3n
180
27k
Done Done
chrislema
178
15k
How to Create Impact in a Changing Tech Landscape [PerfNow 2023]
tammyeverts
24
1.7k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
136
41k
Scaling GitHub
holman
457
140k
Six Lessons from altMBA
skipperchong
22
3.1k
Designing for Performance
lara
603
67k
Transcript
証明書管理の 自動化 V12 Beta 2 の CertMgr による DNS-01 challenge
を試す @harunkakano (Twitter) harunakano.blogspot.com (Blog)
検証の前に 証明書の取得と自動化のために知っておきたいことがあります
V11までの手動での証明書管理 • KYRTOOL(Domino V11に同梱、V10以前は別途ダウンロー ド) • OpenSSL(別途ダウンロード)のインストールと設定 • 長いコマンドを何度もタイプする操作を求められる
V11までの証明書管理の自動化ツール • midpoints Let’s Encrypt for Domino (LE4D) • Domino
に nsf ファイルを設置 • 開発言語は Java
Let’s Encrypt https://letsencrypt.org/ja/
Let’s Encrypt について • HTTPS (SSL/TLS) の有効化に必要なデジタル証明書を、無料で 提供する認証局(CA) • ISRGがサービスを提供
• 証明書の取得や更新の自動化が可能 https://letsencrypt.org/ja/about/
ACMEプロトコル • 証明書の要求から取得までを自動化するためのルール • RFC 8555 - Automatic Certificate Management
Environment (ACME) • CA(認証局)は、要求したドメイン名が我々の制御下にあるこ とを証明できれば証明書を発行する • ホスティングプロバイダによる ACMEクライアント( ACMEプ ロトコルを実装するソフトウェア)のサポートが必要
証明書自動入手の流れ 1. 証明書リクエスト 2. 認証用トークン発行 3. トークンの登録 4. 認証チャレンジの要求 5.
トークンの確認 6. 証明書発行 ホスティング プロバイダ ドメインが我々の制御下にあることを証明 証明書等の要求と発行 CA CA CA CA CA ホスティング プロバイダ ACMEクライアント ACMEクライアント ACMEクライアント ACMEクライアント ACMEクライアント ※ホスティングプロバイダ:WEBサーバーまたはDNSサービス
「チャレンジ」のタイプ HTTP-01 チャレンジ • ACMEクライアントが、Let’s Encrypt が発行したトークン をセットしたファイルをWeb サーバーへ設置する DNS-01
チャレンジ • ACMEクライアントが、Let’s Encrypt が発行したトークン をセットしたTXTレコードを DNSへ設置する
利点/欠点 HTTP-01 チャレンジ ✓メリット • 証明書の取得が比較的簡単に自 動化できる ╳デメリット • Let’s
Encrypt がWebサーバー へアクセスできる必要がある • ワイルドカード証明書を発行で きない DNS-01 チャレンジ ✓メリット • ワイルドカード証明書を発行可 能 • 複数のWEBサーバーの証明書 を取得可能 ╳デメリット • DNS プロバイダによる自動 アップデート可能なAPIの提供 が必要
CertMgr の検証 V12 Beta 2 で DNS-01 チャレンジによるTLS証明書の自動取得を検証
DNS-01チャレンジの検証 • ACMEクライアント:CertMgr タスク • CertMgrの初回起動時に CertStore.nsf を自動作成 • TLS
Credentials, DNS Provider, DNS Configuration の各設定を追加 • DNS-01チャレンジでは Domino にDSAPI 設定や HTTP タスク起動が不要 • ホスティングプロバイダ(DNS):CloudFlare • CertStore.nsf へTXTレコードを追加/削除するための設定を追加 • DNSプロバイダによるAPI提供が必要 使用中の MyDNS.jp はAPI仕様不明のため CloudFlare へ乗り換え • ドメインのAレコードを登録 • ドメイン名:dominov12beta.work • お名前.com で取得 • DNS として CloudFlare を指定
検証した DNS-01 チャレンジ 1. 証明書リクエスト 2. 認証用トークン発行 3. トークンをTXTレコードにして登録 4.
認証チャレンジの要求 5. TXTレコードの確認 6. 証明書発行 7. TXTレコードの削除
CertStore.nsf の作成 • CertMgr タスクの実行 コンソールで “load certmgr” コマンドを実行、または notes.ini
の ServerTasks= へ certmgr を追加 初回起動時に CertStore.nsf が無ければ自動作成 コマンドに “-d” を付けて起動するとデバッグモードになる
CertStore.nsf の画面ショット
ACME Account ACMEプロトコルに対応したCAを設定します
DB作成時に既存の2文書
「Accept Let’s Encrypt terms of service」にチェックが必要
DNS Provider Configuration CertMgr が DNS プロバイダへアクセスしTXTレコードの登録と削除を行う ために必要な設定を行います
[Add Config]ボタンでDNS設定を白紙から作成することも 可能だが、DXLファイルからのインポートも可能 ベータフォーラムで公開されていた DXLファイルをインポートして追加 された2つのDNS設定
None
インポートしたままの設定では cfg_DnsZone フィールドの値を取得できなかったため 「Lookup header formula」の式を変更した
DNS Provider Account ドメイン名と、DNSプロバイダの認証情報を登録します
None
ドメイン名 DNSプロバイダでの認証時の情報 (ここでは Authorization token のみ記入) DNS Provider Configuration で
設定済みのプロバイダを選択
TLSクレデンシャル文書 CAが証明書の発行に必要な情報を登録し、実行します
Basicタブで入力する項目 Hostname Common Name (CN) Country Key type に“ECDSA”を選択 そのほかはデフォルトのまま
[Submit Request]ボタンを クリック 実行結果
None
[Examine Certificate(s)]ボタンで 入手できた証明書の詳細を確認
スライドの最後