1.15. 共通SSL設定

WebOTXではWebサーバとして、Webコンテナに内蔵されているJavaベースのWebサーバと、WebOTX Webサーバ、IIS、Apache などの外部Webサーバが利用できます。ここでは、Webコンテナに内蔵されているJavaベースのWebサーバ、WebOTX WebサーバでTLS/SSL(以降SSLとします)をプライベートCAを立てずに利用する方法について説明します。

1.15.1. Webコンテナ内蔵のWebサーバを使う場合

1.15.1.1. CA(認証局)を利用しない場合

WebOTX Webコンテナに内蔵されているWebサーバでSSLを利用する手順について説明します。ここでは、図1.15.1-1のようなファイル構成を仮定して説明します。単方向/双方向認証と実際に使用するファイル名は、動作させる環境に応じて置き換えてください。

単方向認証を行うためには、サーバのキーストアからサーバ証明書を取り出し、クライアント側のトラストストアへインポートします。 さらに双方向通信を行うためには、単方向通信の設定に加えて、クライアントのキーストアからクライアント証明書を取り出し、サーバ側のトラストストアへインポートします。

以上を設定するための手順として、J2SEのkeytoolコマンドとWebOTXの運用管理コマンド(otxadmin)を利用した場合について説明します。

説明の中で例示しているコマンドが複数行になっていても、必ず1行で実行してください。

1. サーバ鍵の作成

   J2SEのkeytoolコマンドを利用してサーバ用の鍵を作成します。下にコマンドの例を示します。<DOMAIN_ROOT>はサーバアプリケーションを配備するドメインのルートディレクトリです。ドメインにはじめから設定されているキーストア(keystore.jks)に鍵を追加します。keystore.jksのパスワードは「changeit」です。-dnameオプションのCN属性は必ずサーバのFQDNに一致させなければなりません。

   > keytool -genkey -alias server -dname "CN=server_name, O=X, L=Y, C=XX, OU=YY, S=XY" -keyalg RSA -keypass changeit -storepass changeit -keystore <DOMAIN_ROOT>/config/keystore.jks

2. サーバ証明書をエクスポート

   サーバの証明書をエクスポートします。

   > keytool -export -alias server -storepass changeit -file server.cer -keystore <DOMAIN_ROOT>/config/keystore.jks

3. クライアント用キーストア、鍵の作成

   クライアント用のキーストア、鍵を作成します。

   > keytool -genkey -alias client -dname "CN=client_name, O=X, L=Y, C=XX, OU=YY, S=XY" -keyalg RSA -keypass changeit -storepass changeit -keystore client.jks

   双方向SSL(クライアント認証をするとき)には同様に別途キーストアをもう一つ作成します。例ではclientKey.jksとしています。
   

   > keytool -genkey -alias client -dname "CN=client_name, O=X, L=Y, C=XX, OU=YY, S=XY" -keyalg RSA -keypass changeit -storepass changeit -keystore clientKey.jks

4. クライアントの証明書のエクスポート

   クライアントの証明書をエクスポートします。これは双方向認証(クライアント認証)をするときのみ必要な作業です。

   > keytool -export -alias client -storepass changeit -file client.cer -keystore clientKey.jks

5. サーバの証明書をインポート(クライアント)

   クライアントのキーストアにサーバの証明書をインポートします。

   > keytool -import -trustcacerts -alias server -file server.cer -keystore client.jks -keypass changeit -storepass changeit

6. クライアントの証明書をインポート(サーバ)

   サーバのキーストアにクライアントの証明書をインポートします。これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

   > keytool -import -trustcacerts -alias client -file client.cer -keystore <DOMAIN_ROOT>/config/keystore.jks -keypass changeit -storepass changeit

7. SSL設定コマンドの実行

   運用管理コマンドを起動し、サーバアプリケーションを配備するドメインにログインします。続いて、HTTPSリスナのSSLのcertnameを変更します。certnameはSSLの認証に使うエイリアスを指定します。

   ドメインへのログインコマンド

   otxadmin> login --user admin --password adminadmin --port 6212

   create-sslコマンドはSSL構成により、以下のどちらかを実行してください。

   (単方向SSLのとき)

   otxadmin> set server.network-config.protocols.protocol.https-listener.ssl.cert-nickname=server
   

   (双方向SSLのとき)

   otxadmin> set server.network-config.protocols.protocol.https-listener.ssl.cert-nickname=server
otxadmin> set server.network-config.protocols.protocol.https-listener.ssl.client-auth-enabled=true
   

8. ドメインの再起動

   ドメインを再起動します。

9. クライアントのキーストアを配置

   クライアント環境にクライアントのキーストアを配置します。

10. クライアントアプリケーションへのコード追加

    クライアントアプリケーションがJavaアプリケーションの場合、次のコードを追加します。このコードはコンストラクタなどのインスタンス生成直後に実行される場所に追加し、必ずサーバアプリケーション呼び出し処理の前に実行されるようにします。javax.net.ssl.trustStoreキーの値はトラストストアのパスです。クライアントアプリケーションを実行するJava VMのユーザホームディレクトリからの相対パス、または絶対パスで指定します。ただし、クライアントアプリケーションをWebOTX上で動作させる場合は、javax.net.ssl.trustStoreキーを設定しないでください。javax.net.ssl.trustStoreキーとjavax.net.ssl.keyStoreキーの値は、クライアントのキーストアのパスになることに注意し、適宜変更してください。

    なお、System.setPropertyで設定している値は、Java VM 実行時引数に与えることでソースコードの変更を省略できます。また、セキュリティプロバイダ「com.sun.net.ssl.internal.ssl.Provider」はJ2SEの初期値で追加されているため、J2SEのjava.securityファイルの内容を変更していない場合、「java.security.Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());」を省略できます。

    (単方向SSLのとき)

    System.setProperty("java.protocol.handler.pkgs","com.sun.net.ssl.internal.www.protocol"); System.setProperty("javax.net.ssl.trustStore", "keystore/client.jks"); java.security.Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());

    (双方向SSLのとき)

    System.setProperty("java.protocol.handler.pkgs","com.sun.net.ssl.internal.www.protocol"); System.setProperty("javax.net.ssl.trustStore", "keystore/client.jks"); System.setProperty("javax.net.ssl.keyStore", "keystore/clientKey.jks"); System.setProperty("javax.net.ssl.keyStorePassword", " changeit"); java.security.Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());

    
    
11. nec-ejb-jar.xmlの設定追加

    サーバアプリケーションがWebサービスで、EJBサービスエンドポイントの場合、nec-ejb-jar.xmlのwebservice-endpoint要素にtransport-guarantee要素を追加します。値はINTEGRALかCONFIDENTIALにします。

    <webservice-endpoint> 〜 <transport-guarantee>INTEGRAL or CONFIDENTIAL</transport-guarantee> </webservice-endpoint>

    
    
12. アクセスURL情報確認

    クライアントアプリケーション実行時に指定するURLを次のことに注意して変更します。

• 「http://〜」を「https://〜」に変更します。
• FQDNまたはIPアドレスを指定します。ホスト名が「localhost」では動作しません。
• ドメインの設定でSSLのポート番号を変更している場合、そのポート番号を指定します。

1.15.1.2. CA(認証局)を利用する場合

WebOTX Webコンテナに内蔵されているWebサーバでCA(認証局)を使用してSSLを利用する手順について説明します。ここでは、図1.15.1-2のようなファイル構成を仮定して説明します。単方向/双方向認証と実際に使用するファイル名は、動作させる環境に応じて置き換えてください。

単方向認証を行うためには、CA証明書をサーバ側のキーストアとクライアント側のトラストストアへインポートします。 さらに双方向通信を行うためには、単方向通信の設定に加えて、CA証明書をクライアント側のキーストアとサーバ側のトラストストアへインポートします。

以上を設定するための手順として、OpenSSLのca.plコマンドとJ2SEのkeytoolコマンドとWebOTXの運用管理コマンド(otxadmin)を利用した場合について説明します。

1. サーバ鍵の作成

   CA(認証局)を利用しない場合の手順1.「サーバ鍵の作成」を実行します。

2. サーバ証明書署名要求(CSR)の作成

   CAに送るためのサーバ証明書署名要求(CSR)を作成します。

   > keytool -certreq -alias server -keystore <DOMAIN_ROOT>/config/keystore.jks -file server_certreq.csr -storepass changeit

3. プライベートCAを作成する(プライベートCAを利用する場合のみ)

   テスト用の証明書を作成する場合などで独自にCAを利用する場合に行います。 ここではOpenSSLに含まれるca.plを利用します。 任意のCAの情報を入力する必要があります。

   > ca.pl -newca
   Enter PEM pass phrase:
   Verifying - Enter PEM pass phrase:
   
   Country Name (2 letter code) [AU]:
   State or Province Name (full name) [Some-State]:
   Locality Name (eg, city) []:
   Organization Name (eg, company) [Internet Widgits Pty Ltd]:
   Organizational Unit Name (eg, section) []:
   Common Name (e.g. server FQDN or YOUR name) []:
   Email Address []:
   A challenge password []:
   An optional company name []:
   

4. プライベートCAでサーバ証明書を発行する(プライベートCAを利用する場合のみ)

   先に作成したプライベートCAを使ってテスト用の証明書を発行します。

   > openssl ca -policy policy_anything -keyfile demoCA\private\cakey.pem -cert demoCA\cacert.pem -in server_certreq.csr -out server_cert.csr

5. CA証明書をキーストアにインポートする(サーバ)

   プライベートCAを作成した際の(demoCA\cacert.pem)または正式なCAから入手したCA証明書をキーストアにインポートします。

   > keytool -import -noprompt -trustcacerts -alias cacert -file demoCA\cacert.pem -keystore <DOMAIN_ROOT>/config/keystore.jks -storepass changeit

   cacert.pemの内容が"-----BEGIN CERTIFICATE-----"から始まっていない場合は、先頭から"-----BEGIN CERTIFICATE-----"までの余計な文字列を削除します。
   

   ↓↓↓削除↓↓↓ Certificate: … ↑↑↑削除↑↑↑ -----BEGIN CERTIFICATE----- … -----END CERTIFICATE-----

6. サーバ証明書をキーストアにインポートする(サーバ)

   プライベートCAで発行したサーバ証明書または正式なCAから発行されたサーバ証明書をキーストアにインポートします。 alias名はインポートするキーストアで鍵を生成した際のalias名に合わせます。

   > keytool -import -v -trustcacerts -alias server -file server_cert.csr -keystore <DOMAIN_ROOT>/config/keystore.jks -storepass changeit

   server_cert.csrの内容が"-----BEGIN CERTIFICATE-----"から始まっていない場合は、先頭から"-----BEGIN CERTIFICATE-----"までの余計な文字列を削除します。
   

7. CA証明書をトラストストアにインポートする(クライアント)

   プライベートCAを作成した際の(demoCA\cacert.pem)または正式なCAから入手したCA証明書をクライアントのトラストストアにインポートします。

   > keytool -import -noprompt -trustcacerts -alias cacert -file demoCA\cacert.pem -keystore client.jks -storepass changeit

8. クライアント鍵の作成

   ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

   クライアント用のキーストア、鍵を作成します。 例ではclientKey.jksとしています。
   

   > keytool -genkey -alias client -dname "CN=client_name, O=X, L=Y, C=XX, OU=YY, S=XY" -keyalg RSA -keypass changeit -storepass changeit -keystore clientKey.jks

9. クライアント証明書署名要求(CSR)の作成

   ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

   CAに送るためのクライアント証明書署名要求(CSR)を作成します。

   > keytool -certreq -alias client -keystore clientKey.jks -file client_certreq.csr -storepass changeit

10. プライベートCAでクライアント証明書を発行する(プライベートCAを利用する場合のみ)。

    ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

    先に作成したプライベートCAを使ってテスト用のクライアント証明書を発行します。

    > openssl ca -policy policy_anything -keyfile demoCA\private\cakey.pem -cert demoCA\cacert.pem -in client_certreq.csr -out client_cert.csr

11. CA証明書をキーストアにインポートする(クライアント)。

    ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

    プライベートCAを作成した際の(demoCA\cacert.pem)または正式なCAから入手したCA証明書をクライアントのキーストアにインポートします。

    > keytool -import -noprompt -trustcacerts -alias cacert -file demoCA\cacert.pem -keystore clientKey.jks -storepass changeit

12. クライアント証明書をインポートする(クライアント)。

    ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

    プライベートCAで発行したクライアント証明書または正式なCAから発行されたクライアント証明書をクライアントキーストアにインポートします。 alias名は、インポートするキーストアでクライアント鍵を生成した際のalias名に合わせます。

    > keytool -import -v -trustcacerts -alias client -file client_cert.csr -keystore clientKey.jks -storepass changeit

    client_cert.csrの内容が"-----BEGIN CERTIFICATE-----"から始まっていない場合は、先頭から"-----BEGIN CERTIFICATE-----"までの余計な文字列を削除します。
    

13. CA証明書をトラストストアにインポートする(サーバ)。

    ※これは双方向SSL(クライアント認証をするとき)のみ必要な作業です。

    プライベートCAを作成した際の(demoCA\cacert.pem)または正式なCAから入手したCA証明書をサーバトラストストアにインポートします。

    > keytool -import -noprompt -trustcacerts -alias cacert -file demoCA\cacert.pem -keystore <DOMAIN_ROOT>/config/cacerts.jks -storepass changeit

14. SSL設定

    CA(認証局)を利用しない場合の手順7〜12を実行します。

1.15.2. WebOTX Webサーバを使う場合

WebOTX WebサーハでSSLを利用する手順を説明します。

図1.15.2-1

1.15.2.1. 単方向認証の場合の手順

1.15.2.1.1. CA(認証局)を利用しない場合

loginコマンドの--portオプションはSSLを有効にしたいWebサーバと連動しているドメインに割り当てられたポート番号を指定します。

コマンド実行後、いくつか聞かれる質問のうち「Common Name (eg, YOUR name)[]:」には、必ずバーチャルサーバのFQDNまたはIPアドレスを指定します。

-dnameオプションのCNにはクライアントのFQDNまたはIPアドレスを指定します。

-keyalg、-keypass、-storepassで指定する値は適宜変更してください。

-keystoreで指定している値は、図1.15.2-1に沿ったものです。

-keypass、-storepassで指定する値は適宜変更してください。

自作のトラストストアにインポートする場合に-keystoreで指定している値は、図1.15.2-1に沿ったものです。

<Domain_ROOT>は(1)でSSLを有効にしたWebサーバと連動しているドメインがインストールされたルートフォルダ(ルートディレクトリ)です。

これらのパラメータは、バーチャルサーバ一つにつき一つのみ設定できます。 一つのバーチャルサーバに対して複数設定しないように注意してください。

<Domain_ROOT>は(1)でSSLを有効にしたWebサーバと連動しているドメインがインストールされたルートフォルダ(ルートディレクトリ)です。

• 「http://〜」を「https://〜」に変更します。
• FQDNまたはIPアドレスを指定します。ホスト名が「localhost」では動作しません。
• バーチャルサーバの設定でSSLのポート番号を指定している場合、そのポート番号を指定します。

1.15.2.1.2. CA(認証局)を利用する場合

(1)WebOTX WebサーバのSSL機能を有効にします。詳細については、「ドメイン構築・基本設定ガイド> 7. WebOTXの内部サービス > 7.6. WebOTX Webサーバ」を参照してください。ここでは、otxadminコマンドを使った設定例を示します。

[コマンド例]

>otxadmin otxadmin>login --user admin --password adminadmin --port 6212 otxadmin>set server.WebServer.security-enabled=true

loginコマンドの--portオプションはSSLを有効にしたいWebサーバと連動しているドメインに割り当てられたポート番号を指定します。

(3)(2)で作成した秘密鍵からCSRを作成します。コマンド実行時に秘密鍵作成時に指定したパスフレーズを入力してください。続いてディスティングイッシュネームを入力してください。

[コマンド例]

>openssl req -new -key vs1.key > vs1.csr

いくつか聞かれる質問のうち「Common Name (eg, YOUR name) []:」には、必ずバーチャルサーバのFQDNまたはIPアドレスを指定します。

1.15.2.2. 双方向認証の場合の手順

-dnameオプションのCNにはクライアントのFQDNまたはIPアドレスを指定します。

-keyalg、-keypass、-storepassで指定する値は適宜変更してください。

キーストアを作成する場合、-keystoreで指定している値は、図1.15.2-1に沿ったものです。

クライアントアプリケーションがJavaアプリケーションの場合、ここで作成したキーストアを使いますので、削除しないでください。

WebOTXのキーストアは「<Domain_ROOT>/config/keystore.jks」です。

keystore.jksのキーストアパスワードの初期値は「changeit」です。

<Domain_ROOT>は(1)でSSLを有効にしたWebサーバと連動しているドメインがインストールされたルートフォルダ(ルートディレクトリ)です。

クライアントアプリケーションをWebブラウザで動作させる場合、キーストアをpkcs#12形式にしないとインポートできないことが多いことに注意してください。キーストア作成の際に「-storetype」オプションを追加して「pkcs12」を指定すると、キーストアはpkcs#12形式になります。

WebOTXのキーストア「<Domain_ROOT>/config/keystore.jks」のキーストアパスワードの初期値は「changeit」です。

<Domain_ROOT>は(1)でSSLを有効にしたWebサーバと連動しているドメインがインストールされたルートフォルダ(ルートディレクトリ)です。

SSLCACertificateFileパラメータとSSLCACertificatePathパラメータは、バーチャルサーバ一つにつきどちらか一つのみ設定できます。両方同時に設定しないように注意してください。

これらのパラメータは、バーチャルサーバ一つにつき一つのみ設定できます。一つのバーチャルサーバに対して複数設定しないように注意してください。