- 追加された行はこの色です。
- 削除された行はこの色です。
* OpenSSLのCAコマンドを使ったCA構築 [#n2e59462]
** CA構築の準備 [#f9ac15cb]
mkdir /tmp/pki
cd /tmp/pki/
cp /etc/pki/tls/misc/CA .
cp /etc/pki/tls/openssl.cnf .
- CA（CA作成スクリプト）やopenssl.cnfの設置場所はOSによって異なるので、予め探しておく。
- 今回は作業を/tmp/pki以下で行う。
** openssl.cnfの修正 [#g10e00f0]
** CATOPの設定 [#g10e00f0]
vi openssl.cnf
[ CA_default ]
dir = /tmp/pki/myCA
- 今回はCAを/tmp/pki/myCAに作成する。
- 今回は作業を/tmp/pkiで行い、CAを/tmp/pki/myCAに作成する。
- OS標準では/etc/pkiがルートで、CAは/etc/pki/CAに作成される。
** CA証明書・秘密鍵の作成 [#if175212]
*** CA作成スクリプトの実行 [#u595de39]
SSLEAY_CONFIG="-config ./openssl.cnf" DAYS=3650 CATOP=./myCA ./CA -newca
- Organizational Unit NameやEmail Addressは未入力で良いが、他の項目は何か入力する
SSLEAY_CONFIG="-config ./openssl.cnf" CATOP=./myCA ./CA -newca
- CA証明書の有効期限を変更にするにはCAコマンドを編集してCADAYS変数の値を修正する。
*** CA作成スクリプトによって作成されたファイル [#i1891ddc]
- CA証明書 /tmp/pki/myCA/cacert.pem
- CA秘密鍵 /tmp/pki/myCA/private/cakey.pem
*** CA証明書の内容確認 [#p4683af5]
** CA証明書の内容確認 [#pd1397b9]
openssl x509 -in ./myCA/cacert.pem -text
** CA秘密鍵の内容確認 [#jcd4d0f4]
openssl rsa -in ./myCA/private/cakey.pem -text
** CA証明書をPEM形式からDER形式（IE等ブラウザ用）に変換 [#j50ae98e]
openssl x509 -in cacert.pem -outform der -out cacert.der
** サーバ証明書の署名要求を作成 [#zc9abcc4]
SSLEAY_CONFIG="-config ./openssl.cnf" ATOP=./myCA ./CA -newreq
DAYS="-days 3650" ./CA -newreq
- 以下のファイルが作成される。
-- newkey.pem サーバ秘密鍵
-- newreq.pem サーバ証明書の署名要求
** サーバ署名要求（CSR）をCA証明書で署名してサーバ証明書を作成 [#j8c52c96]
SSLEAY_CONFIG="-config ./openssl.cnf" CATOP=./myCA ./CA -sign
- 以下のファイルが作成される。
SSLEAY_CONFIG="-config ./openssl.cnf" ./CA -sign
- 上のコマンドを実行すると証明書の詳細が表示されて、署名するか？と問われるのでYESを選ぶ。
- すると、以下のファイルが作成される。
-- newcert.pem サーバ証明書
-- myCA/newcerts/F1234XXXXXXF1.pem サーバ証明書（newcert.pemと同じもの）
- さらに、この内容をコミットするか？と問われるのでYESを選ぶ。
- すると、以下のファイルが更新される。
-- myCA/index.txt データベースファイル
-- myCA/serial シリアルファイル
** 参考 [#n02396f8]
*** CAコマンド [#rbec2e7a]
- http://fc-lab.com/network/server/pki/openssl.html
- http://tenj.jp/modules/smartsection/item.php?itemid=139
*** opensslコマンド [#f82d0a54]
- http://ash.jp/sec/openssl.htm
