TLS証明書の手動管理

一般的な認証機関から入手したTLS証明書を HCL Domino 12.0 サーバーの証明書ストアで手動管理する方法について、認証機関への新規申込みから証明書ストアへの設定までの操作の流れを実際に実施したとおりに示します。

Transcript

1. TLS 証明書の手動管理 新規に TLS 証明書を取得し HCL Domino 12.0 の証明書ストアと CertMgr で「手動」管理する 中野 晴幸 Haruyuki Nakano @harunakano (Twitter) https://harunakano.blogspot.com (blog)
2. TLS 証明書の手動管理とは ここでは ACME プロトコルを使用せず TLS 証明書の取得/更新 を行うことを「手動管理」と表現します
3. 今回行った作業 1. 証明書の申込み • 文書規約への同意 • 商品選択 • CSR 作成（証明書ストア） • CSR 提出 • 承認方式選択 • 申請情報入力 • 決済情報入力 2. TXT レコードの追加 3. 各種証明書の取込み 4. ドミノディレクトリ変更 5. TXT レコード削除 ※本スライドは4～5を省略しています
4. 1. 証明書の申込み 今回は FUJISSL
5. FUJISSL Webサイト
6. FUJISSL Webサイト
7. FUJISSL Webサイト
8. FUJISSL Webサイト
9. FUJISSL Webサイト
10. FUJISSL Webサイト
11. FUJISSL Webサイト
12. 「アクセスできるサーバー」には、 取得した証明書を使用するDomino サーバー名を指定します 「証明書ストア(CertStore.nsf)」は、 CertMgrタスクの初回起動時に自動作 成されます 証明書ストア
13. Dominoコンソール CertMgr タスクが要求を処理する ※CertMgr タスクの起動「load certmgr」 ※CertMgr タスクに処理を要求「tell certmgr process」
14. 証明書ストア
15. FUJISSL Webサイト
16. FUJISSL Webサイト 認証方式に「DNS認証」を選択した理由： • 実サーバーが存在しないため「ファイル認 証」ができなさそう • dominov12beta.work をメールアドレスに含む メールサーバーを要求されそう • dominov12beta.work のDNSを自由に操作で きる
17. FUJISSL Webサイト
18. FUJISSL Webサイト
19. FUJISSL Webサイト
20. FUJISSL Webサイト
21. FUJISSL Webサイト
22. FUJISSL Webサイト
23. FUJISSL Webサイト
24. FUJISSL Webサイト DNS認証の場合 指定したメールアドレス宛に認証局から メールが届きます。TXTレコードへ設定す る文字列はこのメールに記載されています。
25. FUJISSL Webサイト
26. TXTレコードの追加 認証に必要な文字列を含むTXTレコードをDNSへ追加します
27. メール
28. メール 追加するTXTレコードは daos.dominov12beta.work だけではNGでしたので dominov12beta.work も追加しました。 （試してませんが dominov12beta.work のみ 追加するだけでOKだったかもしれません）
29. DNS
30. DNS
31. コマンドプロンプト
32. コマンドプロンプト
33. FUJISSL Webサイト DNS認証の場合、承認されるまで 時間がかかる場合があるようです
34. FUJISSL Webサイト ユーザーポータルの「注文情報一覧」 の有効期限は、申し込みの直後はブラ ンクだったが、証明書が発行されると 日時が（UTCで）表示された
35. 各種証明書の取込み 証明書ストア（CertStore.nsf）へ各種証明書を取り込みます
36. メール
37. メール 証明書と中間証明書はメール内にも記 載されているがファイルでも提供され る
38. 圧縮解凍ツール
39. 証明書ストア ルート証明書と中間証明書を 「信頼するルート」へ取込む
40. 証明書ストア
41. 証明書ストア
42. 証明書ストア
43. 証明書ストア 追加した中間証明書の「証明書のステータス」は ”警告 – Not a root certificate” と表示されますが、チェーンを完成するために使用されます
44. 証明書ストア TLS証明書をCSR生成時に作成した TLS証明書文書へ取込む
45. 証明書ストア
46. 証明書ストア
47. 証明書ストア
48. 証明書ストア 証明書ストアの認証期限に日時が （JSTで）表示された
49. 証明書ストア
50. この直後に行うこと • DNSへ追加した2つのTXTレコードの削除 • ドミノディレクトリの変更（下記に例を示す） • サーバー文書 > [ポート]タブ > [インターネッ トポート]タブ > TLSの設定 > ホスト名を 「TLSキーファイル名」へ記載する • Webサイト文書 > [セキュリティ]タブ > TLSオ プション > ホスト名を「キーファイル名」へ記 載する ※キーリングファイル名を指定する欄にある 「keyfile.kyr」のような文字列をホスト名に書き 換える この後、証明書の有効期限前に行うこと • FUJISSLの申込み画面から更新を申込み • TXTレコードの追加 • 各種証明書と取込み • TXTレコードの削除
51. 請求書