Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

証明書の登録

さまざまな PKI 証明書を登録および管理する方法について説明します。

CA はデジタル証明書を発行し、証明書の検証によって 2 つのエンドポイント間のセキュアな接続を確立するのに役立ちます。次のトピックでは、SCEP を使用して CA 証明をオンラインまたはローカルで設定する方法について説明します。

デジタル証明書のオンライン登録:構成の概要

CMPv2 または SCEP を使用して、デジタル証明書を登録できます。オンラインで証明書を登録するには:

  1. デバイス上でキーペアを生成します。 「自己署名デジタル証明書」を参照してください。

  2. CA プロファイルまたは CA に固有の情報を含むプロファイルを作成します。 例:CA プロファイルの設定を参照してください。

  3. SCEP の場合のみ、CA 証明書を登録します。 「SCEP を使用した CA 証明書のオンライン登録」を参照してください。

  4. 以前にロードした CA 証明書を持つ CA からローカル証明書を登録します。 「例:SCEP を使用したローカル証明書のオンライン登録」を参照してください。

  5. 自動再登録を構成します。 「例:SCEP を使用したローカル証明書の自動更新」を参照してください。

証明書の登録

オンライン CA 証明書登録

SCEP を使用すると、CA 証明書をオンラインで取得し、指定された証明書IDのオンライン登録を開始するようにジュニパーネットワークス デバイスを設定できます。CA 公開鍵は、リモート ピアからの証明書を検証します。

ローカル証明書要求

ローカル証明書要求を作成すると、デバイスは、同じ証明書IDを使用して以前に生成したキーペアから、PKCS #10形式のEE証明書を生成します。

サブジェクト名は、共通名(CN)、組織単位(OU)、組織名(O)、地域(L)、都道府県(ST)、国(C)、およびドメイン コンポーネント(DC)の形式でローカル証明書要求に関連付けられます。また、SANは以下の形式で関連付けられます。

  • IP アドレス

  • メルアド

  • FQDN

    ドメインコンポーネント(DC)、共通名(CN)、シリアル番号(SN)、組織単位名(OU)、組織名(O)、地域(L)、都道府県(ST)、国(C)など、サブジェクト名を引用符で囲んでDN形式で指定します。

    一部の CA は、証明書のドメイン名として電子メール アドレスをサポートしていません。ローカル証明書要求に電子メールアドレスを含めない場合、デバイスを動的ピアとして構成するときに、ローカルIKE IDとして電子メールアドレスを使用することはできません。代わりに、FQDN (ローカル証明書にある場合) を使用するか、ローカル ID フィールドを空のままにすることができます。動的ピアにローカルIDを指定しない場合は、ピアIDフィールドに、IPsec トンネルのもう一方の端にあるデバイス上のそのピアの hostname.domain-name を入力します。

CMPv2およびSCEP証明書の登録

展開環境に基づいて、オンライン証明書登録に CMPv2 または SCEP を使用できます。このトピックでは、2 つのプロトコルの基本的な違いについて説明します。

表 1 では、CMPv2 と SCEP 証明書登録プロトコルの違いについて説明します。

表 1:CMPv2 と SCEP 証明書の登録

属性

CMPv2

SCEP

サポートされている証明書の種類:

DSA、ECDSA、および RSA

RSA のみ

対応規格

RFC 4210 および 4211

IETF草案

証明書の登録、再登録要求、および応答は、CMPv2 と SCEP で異なります。CMPv2 では、CA 証明を登録するための個別のコマンドはありません。SCEP では、 request security pki ca-certificate enroll コマンドでCA 証明を登録し、CA プロファイルを指定します。CA プロファイルは、CMPv2 または SCEP のいずれかで設定する必要があります。

例:ローカル証明書の CSR の手動生成

この例では、CSR を手動で生成する方法を示します。

必要条件

公開鍵と秘密鍵を生成します。 「自己署名デジタル証明書」を参照してください。

概要

この例では、以前に生成した公開鍵と秘密鍵のペア(ca-ipsec)の証明書IDを使用して、証明書要求を生成します。次に、ドメイン名 (example.net) と関連する共通名 (abc) を指定します。証明書要求は PEM 形式で表示されます。

生成された証明書要求をコピーし、CA Web サイトの適切なフィールドに貼り付けて、ローカル証明書を取得します(証明書要求を貼り付ける場所を決定するには、CA サーバーのドキュメントを参照してください)。PKCS #10 コンテンツが表示されると、PKCS #10 ファイルの MD5 ハッシュと SHA-1 ハッシュも表示されます。

構成

プロシージャ
手順

ローカル証明書を手動で生成するには、次のようにします。

  • 証明書ID、ドメイン名、および共通名を指定します。

検証

CSR を表示するには、 show security pki certificate-request detail コマンドを入力します。

例:CA 証明書とローカル証明書の手動ロード

この例では、CA 証明書とローカル証明書を手動でロードする方法を示しています。

必要条件

開始する前に、以下を実行します。

概要

この例では、local.cert 証明書と ca.cert 証明書をダウンロードし、証明書をデバイスの /var/tmp/ディレクトリに保存します。

CA から証明書をダウンロードした後、(FTP などを使用して)証明書をデバイスに転送します。

次に、次の証明書ファイルを Junos OS を実行しているデバイスに読み込むことができます。

  • ローカル・デバイスを識別するローカル証明書または EE 証明書。この証明書は公開鍵です。

  • CA の公開キーを含む CA 証明書。

  • CA によって取り消された証明書を一覧表示する CRL。

    複数の EE 証明書をデバイスにロードできます。

構成

プロシージャ
手順

証明書ファイルをデバイスに読み込むには、次の手順に従います。

  1. ローカル証明書を読み込みます。

  2. CA 証明書を読み込みます。

  3. CA 証明書のフィンガープリントを調べます。この CA 証明書が正しい場合は、 [はい] を選択して受け入れます。

検証

正しく読み込まれた証明書を確認するには、運用モードで show security pki local-certificate コマンドと show security pki ca-certificate コマンドを入力します。

ユーザーを認証するためのPKIおよびSSLフォワードプロキシの設定

非ドメイン ユーザーは、PKI を構成して、トラフィックの整合性、機密性、および信頼性を検証できます。PKI には、CA によって発行されたデジタル証明書、証明書の有効性と有効期限、証明書の所有者と発行者に関する詳細、およびセキュリティ ポリシーが含まれます。

非ドメインユーザーまたは非ドメインマシン上のドメインユーザーの場合、管理者はキャプティブポータルを指定して、ユーザーにファイアウォール認証を強制します(ファイアウォールがトラフィックタイプのキャプティブポータルをサポートしている場合)。ユーザーが名前とパスワードを入力してファイアウォール認証に合格すると、デバイスはファイアウォール認証のユーザーまたはグループの情報を取得し、それに応じてユーザー ファイアウォール ポリシーを適用してユーザーを制御できます。キャプティブポータルに加えて、IPアドレスまたはユーザー情報がイベントログから利用できない場合、ユーザーはWindows PCに再度ログインしてイベントログエントリを生成できます。次に、それに応じてユーザーの認証エントリが生成されます。

デバイスがHTTPS経由でユーザーを認証できるようにするには、ユーザーはSSLフォワードプロキシを設定して有効にする必要があります。ローカル証明書を生成し、SSL 終端プロファイルを追加し、SSL プロキシー・プロファイルを追加し、セキュリティー・ポリシーで SSL プロキシー・プロファイルを参照する必要があります。SSL フォワード プロキシが有効になっていない場合、ファイアウォールは HTTPS を使用しているユーザーを認証できませんが、HTTP、FPT、および Telnet を使用しているユーザーの場合、認証は期待どおりに実行できます。

PKIを生成し、SSLフォワードプロキシを有効にするには:

  1. ローカルデジタル証明書のPKI公開鍵と秘密鍵のペアを生成します。

  2. 特定のDNの自己署名証明書を手動で生成します。

  3. SSL ターミネーションサービスに使用するアクセスプロファイルを定義します。

  4. 読み込まれた証明書を SSL プロキシ プロファイルで root-ca として構成します。

  5. CA リスト全体をインポートせず、セッションをドロップしない場合は、 ignore-server-auth-failure オプションを指定します。

  6. セキュリティポリシーにSSLターミネーションプロファイルを追加します。

  7. 設定をコミットします。

Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。

プラットフォームに関連する注意事項については、 プラットフォーム固有の SSL ターミネーションサービスの動作 の節を参照してください。

適応サービスインターフェイスのデジタル証明書の設定

デジタル証明書の実装では PKI を使用するため、公開鍵と秘密鍵で構成される鍵ペアを生成する必要があります。キーは乱数ジェネレーターで作成され、データの暗号化と復号化に使用されます。デジタル証明書を使用しないネットワークでは、IPsec 対応デバイスが秘密キーでデータを暗号化し、IPsec ピアが公開キーでデータを復号化します。

デジタル証明書を使用すると、鍵共有プロセスにさらに複雑なレベルが必要になります。まず、ユーザーとIPsecピアが、CAの公開キーを含むCA 証明書を送信するよう 要求します。次に、公開鍵と追加情報を含むローカルのデジタル証明書を割り当てるよう CA に要求します。CA は、要求を処理するときに、CA の秘密キーを使用してローカル証明書に署名します。次に、CA証明書とローカル証明書をルーターにインストールし、CAをリモートデバイスにロードしてから、ピアとのIPsecトンネルを確立します。

デジタル証明書の場合、Junos OSは、適応サービス(AS)およびマルチサービスPIC向けに、VeriSign、Entrust、Cisco Systems、Microsoft Windows CAをサポートしています。

以下のタスクにより、デジタル証明書を実装できます。

認証局のプロパティを設定する

CA は、デジタル証明書の作成、登録、検証、および失効を行う信頼できる第三者組織です。

ASおよびマルチサービスPIC用にCAとそのプロパティを設定するには、 [edit security pki] 階層レベルで以下のステートメントを含めます。

CA プロパティを設定するためのタスクは、以下のとおりです。

CA プロファイル名を指定します

CA プロファイルには、CA または RA の名前と URL、およびいくつかの再試行タイマー設定が含まれます。Entrust、VeriSign、Cisco Systems、および Microsoft によって発行された CA 証明は互換性があります。

CA プロファイル名を指定するには、[edit security pki] セキュリティ レベルで ca-profile statement を含めます。

また、証明書要求で使用される CA ID の名前も指定する必要があります。通常、この名前はドメイン名です。CA ID の名前を指定するには、[edit security pki ca-profile ca-profile-name] レベルで ca-identity ステートメントを含めます。

登録 URL の指定

ルーターが SCEP ベースの証明書登録要求を送信する CA の場所を指定します。CA URLに名前を付けてCAの場所を指定するには、[edit security pki enrollment]階層レベルでurlステートメントを含めます。

url-name は CA の場所です。形式は http://CA_name で、 CA_name は CA ホスト DNS名または IP アドレスです。

登録プロパティの指定

ルーターが証明書要求を再送信する回数と、ルーターが登録の試行の間に待機する時間(秒単位)を指定できます。

デフォルトでは、登録の再試行回数は 0 に設定されており、再試行回数は無限です。ルーターが証明書要求を再送信する回数を指定するには、[edit security pki ca-profile ca-profile-name enrollment]階層レベルで retry number-of-attempts ステートメントを含めます。

number-of-attempts の範囲は 0 から 100 からです。

ルーターが登録試行の間に待機する時間を秒単位で指定するには、[edit security pki ca-profile ca-profile-name enrollment]階層レベルでretry-interval secondsステートメントを含めます。

seconds の範囲は 0 から 3600 からです。

証明書失効リストを構成する

CRL を設定するタスクは次のとおりです。

LDAP URL の指定

CA が現在の CRL を保存する LDAP サーバーの URL を指定できます。CA のデジタル証明書に証明書配布ポイント (CDP) が含まれている場合は、LDAP サーバーの URL を指定する必要はありません。CDP は、証明書の CRL を取得する方法に関する情報を含む証明書内のフィールドです。ルーターはこの情報を使用して CRL を自動的にダウンロードします。

証明書で指定されているものとは異なる CDP を使用する場合は、LDAP URL を設定します。設定した LDAP URL は、証明書に含まれる CDP よりも優先されます。

CA プロファイルごとに最大 3 つの URL を設定できます。

LDAP サーバー CRL にアクセスするためにパスワードが必要な場合は、 password ステートメントを含める必要があります。

LDAP サーバーからCRLを取得するようにルーターを設定するには、 url ステートメントを含め、 [edit security pki ca-profile ca-profile-name revocation-check crl] 階層レベルでURL名を指定します。

url-name は、CA LDAP サーバー名です。形式は ldap://server-name で、 server-name は CA ホスト DNS名または IP アドレスです。

CRL へのアクセスにパスワードを使用するように指定するには、[edit security pki ca-profile ca-profile-name revocation-check crl url] 階層レベルで password ステートメントを含めます。

password は、LDAP サーバーがアクセスに必要とする秘密のパスワードです。

CRL 更新の間隔を設定する

既定では、CRL の更新間隔は 24 時間です。CRL の更新間隔を設定するには、[edit security pki ca-profile ca-profile-name revocation-check crl] 階層レベルで refresh-interval ステートメントを含めます。

時間数の範囲は 0 から 8784 です。

CRL のダウンロードに失敗した場合の証明書検証の上書き

デフォルトでは、ルーターが LDAP URL にアクセスできない場合、または有効な CRL を取得できない場合、証明書の検証に失敗し、IPsec トンネルは確立されません。CRL がダウンロードされないときにこの動作をオーバーライドし、IPsec ピアの認証を許可するには、[edit security pki ca-profile ca-profile-name revocation-check crl] 階層レベルで disable on-download-failure ステートメントを含めます。

デジタル証明書の管理

CA プロファイルを構成した後、信頼できる CA から CA 証明書を要求できます。次に、公開鍵と秘密鍵のペアを生成する必要があります。キーペアが使用可能な場合は、オンラインまたは手動でローカル証明書を生成できます。

デジタル証明書を管理するタスクは、以下のとおりです。

ASおよびマルチサービスPICのCAデジタル証明書を要求する

CA プロファイルの設定方法については、「 認証局のプロパティの設定」を参照してください。

この例では、証明書はオンラインで登録され、ルーターに自動的にインストールされます。

CA 証明書を CA から直接取得する場合 (たとえば、電子メールの添付ファイルや Web サイトのダウンロードなど) は、 request security pki ca-certificate load コマンドを使用してインストールできます。詳細については、 CLIエクスプローラーを参照してください。

公開鍵と秘密鍵のペアを生成する

AS PIC または MS-PIC の証明書を取得した後、ローカル証明書を生成する前に公開秘密キーを生成する必要があります。公開キーはローカルデジタル証明書に含まれており、秘密キーはピアから受信したデータの復号化に使用されます。公開鍵と秘密鍵のペアを生成するには、 request security pki generate-key-pair certificate-id certificate-id-name コマンドを発行します。

以下の例は、AS PICまたはMS-PICの公開-秘密キーを生成する方法を示しています。

ローカルデジタル証明書を生成して登録する

ローカルデジタル証明書は、オンラインまたは手動で生成および登録できます。AS PICまたはMS-PICのSCEPを使用して、ローカル証明書をオンラインで生成および登録するには、 request security pki local-certificate enroll コマンドを発行します。ローカル証明書要求を PKCS-10 形式で手動で生成するには、 request security pki generate-certificate-request コマンドを発行します。

ローカル証明書要求を手動で作成する場合は、証明書も手動で読み込む必要があります。ルーターに証明書を手動でインストールするには、 request security pki local-certificate load コマンドを発行します。

次の例は、ローカル証明書要求を手動で生成し、それを CA に送信して処理する方法を示しています。

信頼できる CA は、ローカル証明書にデジタル署名し、それをユーザーに返します。証明書ファイルをルーターにコピーし、証明書を読み込みます。

CA から送信されたファイルの名前が、証明書識別子の名前と一致していない可能性があります。ただし、 certificate-id 名は、ルーター用に生成したキーペアの名前と常に一致する必要があります。

ローカルおよび CA 証明が読み込まれたら、IPsec 設定で証明書を参照できます。ASおよびマルチサービスPICでデフォルト値を使用すると、IPsecプロポーザルやIPsecポリシーを設定する必要はありません。ただし、デジタル証明書の使用を指定するIKE の提案を設定し、IKE の提案を参照して IKE ポリシーで証明書を検索し、CA プロファイルをサービス セットに適用する必要があります。

ルーター証明書の自動再登録を設定する

auto-re-enrollment ステートメントを使用して、指定された既存のルーター証明書の有効期限前に自動再登録を設定します。この機能は、ルータ証明書を自動的に再登録します。再登録プロセスでは、新しい有効期限を持つ新しいルーター証明書を発行するよう CA に要求します。自動再登録の日付は、次のパラメーターによって決定されます。

  • re-enroll-trigger-time- ルータ証明書の開始日時(証明書が生成された時刻)と有効期間の差の割合。有効期限が切れるまでに自動再登録を開始する期間を指定するために使用される re-enroll-trigger-time 。

  • validity-period—証明書の生成時に設定された、ルーター証明書の発行後期限切れになる日数。

デフォルトでは、この機能は明示的に設定されていない限り有効にされていません。つまり、自動再登録が構成されていない証明書は、通常の有効期限に期限切れになります。

ca-profile ステートメントは、有効期限が近づいている証明書を再登録するためにどの CA に接続するかを指定します。これは、元のルーター証明書を発行した CA です。

challenge-password ステートメントは、管理者が設定し、通常は CA の SCEP 登録 Web ページから取得されるルータ証明書のパスワードを発行 CA に提供します。パスワードの長さは16文字です。

オプションで、 re-generate-keypair ステートメントを使用してルーター証明書キーペアを再生成できます。

自動再登録プロパティを設定するには、 [edit security pki] 階層レベルに以下のステートメントを含めます。

percentage は、再登録トリガー時間の割合です。範囲は 1 から 99% までです。

days は、有効期間の日数です。範囲は 1 から 4095 までです。

証明書の自動再登録を構成するタスクは次のとおりです。

証明書 ID を指定します

certificate-idステートメントを使用して、自動再登録用に構成するルーター証明書の名前を指定します。証明書IDを指定するには、[edit security pki auto-re-enrollment]階層レベルで ステートメントを含めます。

CA プロファイルの指定

ca-profile ステートメントを使用して、以前に 証明書ID で指定されたルーター証明書から CA プロファイルの名前を指定します。CA プロファイルを指定するには、[edit security pki auto-re-enrollment certificate-id certificate-name] 階層レベルで ステートメントを含めます。

参照される ca-profile には、 [edit security pki ca-profile ca-profile-name enrollment url] 階層レベルで設定された登録URLが必要です。

チャレンジパスワードの指定

チャレンジ パスワードは、 PKI 証明書IDによって指定された CA によって再登録および失効に使用されます。チャレンジパスワードを指定するには、 [edit security pki auto-re-enrollment certificate-id certificate-name] 階層レベルに次のステートメントを含めます。

再登録トリガー時間を指定する

re-enroll-trigger-time ステートメントを使用して、有効期限が切れるまでの有効期間のうち、再登録が発生する割合を設定します。再登録のトリガー時間を指定するには、[edit security pki auto-re-enrollment certificate-id certificate-name]階層レベルで次のステートメントを含めます。

percentage は、再登録トリガー時間の割合です。範囲は 1 から 99% までです。

再生成キーペアの指定

再生成キーペアが設定されている場合、再登録時に新しいキーペアが生成されます。再登録が成功すると、新しいキーペアと新しい証明書が古い証明書とキーペアに置き換わります。新しいキーペアを生成するには、 [edit security pki auto-re-enrollment certificate-id certificate-name] 階層レベルで以下のステートメントを含めます。

有効期間の指定

validity-periodステートメントは、指定されたルーター証明書が有効であるルーター証明書の有効期間を日数で指定します。有効期間を指定するには、[edit security pki auto-re-enrollment certificate-id certificate-name]階層レベルで ステートメントを含めます。

days は、有効期間の日数です。範囲は 1 から 4095 までです。

参照

  • デジタル証明書の概要
  • ES PIC のデジタル証明書の設定

SCEP を使用した CA 証明書の登録

SCEP を使用して CA 証明書をオンラインで登録する

開始する前に、以下を実行します。

  1. 公開鍵と秘密鍵のペアを生成します。

  2. CA プロファイルを作成します。

CA 証明書をオンラインで登録するには、次の手順を実行します。

  1. SCEP を使用して CA 証明書をオンラインで取得します。

    コマンドは同期的に処理され、受信した CA 証明書のフィンガープリントが提供されます。

  2. 正しい証明書が読み込まれていることを確認します。CA 証明書は、CLI プロンプトで yes と入力した場合にのみロードされます。

    キーペアのビット長など、証明書に関する詳細については、コマンド show security pki ca-certificate を使用します。

例:SCEP を使用したローカル証明書のオンライン登録

この例では、SCEP を使用してローカル証明書をオンラインで登録する方法を示しています。

必要条件

開始する前に、以下を実行します。

概要

この例では、ローカル証明書をオンラインで取得し、SCEP で指定された証明書IDのオンライン登録を開始するようにジュニパーネットワークスデバイスを設定します。CA プロファイル名 ca-profile-ipsecで CA サーバーへの URL パスを指定します。

request security pki local-certificate enroll scep コマンドを使用して、指定した証明書IDのオンライン登録を開始します。 Junos OS リリース 15.1X49-D40 および Junos OS リリース 17.3R1 以降では、scep キーワードがサポートされており、必須です。CA プロファイル名(例:ca-profile-ipsec)、以前に生成されたキーペアに対応する証明書ID(例:qqq)、および以下の情報を指定する必要があります。

  • 証明書の登録および再登録のために CA 管理者から提供されたチャレンジ パスワード。

    RFC8894には、既存の証明書が更新要求に署名する場合、チャレンジパスワードはオプションであることが示されています。チャレンジパスワードは必須ではありません。チャレンジ パスワードがなくても設定をコミットできます。

  • 次の値の少なくとも 1 つ:

    • IKE ネゴシエーションで証明書の所有者を識別するためのドメイン名(例: qqq.example.net)。

    • 電子メール ステートメントを使用した IKE ネゴシエーションの証明書所有者の ID(例: qqq@example.net)。

    • デバイスが静的 IP アドレス(例: 10.10.10.10)用に設定されている場合の IP アドレス。

ドメインコンポーネント(DC)、共通名(CN)、シリアル番号(SN)、組織単位名(OU)、組織名(O)、地域(L)、都道府県(ST)、国(C)など、サブジェクト名を引用符で囲んでDN形式で指定します。

デバイス証明書を取得し、証明書IDのオンライン登録が開始されると、コマンドは非同期的に処理されます。

構成

プロシージャ
手順

ローカル証明書をオンラインで登録するには:

  1. CA プロファイルを指定します。

  2. デバイスの設定が完了したら、設定をコミットします。

  3. 運用モードコマンドを実行して、登録プロセスを開始します。

    シリアル番号を指定せずにサブジェクトフィールドでSNを定義すると、シリアル番号はデバイスから直接読み取られ、CSRに追加されます。

Junos OS リリース 19.4R2以降、ECDSAキーはSCEPでサポートされていないため、SCEPでECDSAキーを使用してローカル証明書を登録しようとすると、警告メッセージ ECDSA Keypair not supported with SCEP for cert_id <certificate id> が表示されます。

検証

設定が正常に機能していることを確認するには、 show security pki コマンドを入力します。

例:SCEP を使用したローカル証明書の自動更新

CMPv2 または SCEP を使用して、デジタル証明書を登録できます。この例では、SCEP を使用してローカル証明書を自動的に更新する方法を示しています。

必要条件

開始する前に、以下を実行します。

概要

オンライン登録で取得した証明書、または手動で読み込んだ証明書を自動的に更新するようにデバイスを有効にすることができます。証明書の自動更新により、証明書の有効期限が切れる前にデバイス上の証明書を覚えておく必要がなくなり、常に有効な証明書を維持できます。

証明書の自動更新は、デフォルトでは無効になっています。証明書の自動更新を有効にし、有効期限が切れる前に証明書を再登録する要求を自動的に送信するようにデバイスを設定できます。証明書の再登録要求をいつ送信するかを指定できます。再登録のトリガーは、証明書の有効期間のうち、有効期限が切れるまで残っている割合です。たとえば、証明書の残りの有効期間が 10% のときに更新要求を送信する場合は、再登録トリガーに 10 を構成します。

証明書の自動更新を機能させるには、デバイスが CA サーバーに到達でき、更新プロセス中に証明書がデバイスに残っていることを確認します。さらに、証明書を発行する CA が同じ DN を返すことができることも確認する必要があります。CA は、新しい証明書のサブジェクト名または代替サブジェクト名拡張を変更してはなりません。

SCEP 証明書の自動更新は、すべての SCEP 証明書に対して、または証明書ごとに有効または無効にすることができます。 set security pki auto-re-enrollment scep コマンドを使用して、証明書の再登録を有効にして設定します。この例では、CA 証明書の証明書IDを ca-ipsec に指定し、証明書に関連付けられた CA プロファイル名を ca-profile-ipsec に設定します。CA 証明書のチャレンジ パスワードは、CA 管理者から提供されたチャレンジ パスワードに設定します。このパスワードは、以前に CA に設定されたものと同じである必要があります。また、再登録トリガーの割合を 10 に設定します。自動再登録時に、ジュニパーネットワークスデバイスはデフォルトで既存のキーペアを使用します。セキュリティ対策として、再登録のために新しいキーペアを再生成することをお勧めします。新しいキーペアを生成するには、 re-generate-keypair コマンドを使用します。

構成

プロシージャ
手順

ローカル証明書の再登録を有効にして設定するには、次の手順を実行します。

  1. 次のコマンドを使用して、証明書の再登録を有効にして構成します。

    Junos OS リリース 15.1X49-D40 および Junos OS リリース 17.3R1 以降では、 scep キーワードがサポートされており、必須です。

  2. デバイスの設定が完了したら、設定をコミットします。

検証

設定が正常に機能していることを確認するには、 show security pki local-certificate detail 運用モードコマンドを入力します。

CMPv2 を使用した CA 証明書のオンライン登録

request security pki local-certificate enroll cmpv2 コマンドは、CMPv2 を使用してローカルのデジタル証明書をオンラインで登録します。このコマンドは、CA サーバの設定に基づいて、エンドエンティティと CA 証明の両方をロードします。登録 URL は CA プロファイルから抽出されるため、CA 証明を登録する前に CA プロファイルを作成する必要があります。

このトピックでは、CMPv2 プロトコルを使用した証明書の登録について説明します。

証明書の登録および再登録メッセージ

CMPv2プロトコルには、主に証明書の登録と再登録の操作が含まれます。証明書の登録プロセスには初期化要求メッセージと初期化応答メッセージが含まれ、証明書の再登録にはキー更新要求メッセージとキー更新応答メッセージが含まれます。

CMPv2 サーバーは初期化応答(IP)で応答します。応答には、EE 証明書とオプションの CA 証明が含まれます。RFC 4210に準拠したshared-secret-informationを使用して、メッセージの整合性とメッセージの真正性初期化応答を検証できます。また、発行者 CA 公開キーを使用して初期化応答を検証することもできます。EE 証明書を再登録する前に、デバイスに有効な CA 証明書が登録されている必要があります。

初期化応答またはキー更新応答メッセージには、発行者 CA 証明書または CA 証明のチェーンを含めることができます。応答で受信された CA 証明は、信頼できる CA 証明として扱われ、信頼できる CA ストアの場合、受信デバイスに保存されます。これらの CA 証明は、後で EE 証明書の検証に使用されます。

CA 証明書の再登録はサポートされていません。CA 証明書の有効期限が切れた場合は、現在の CA 証明書を登録解除し、再度登録する必要があります。

EE 証明書と発行者 CA 証明書

単純なシナリオでは、初期化応答メッセージに EE 証明書のみが含まれることがあり、その場合、CA 情報は別個に提供されます。証明書は EE 証明書ストアに保管されます。

初期化応答メッセージには、EE 証明書と自己署名発行者 CA 証明書を含めることができます。EE 証明書は、最初に証明書ストアに保管され、次に CA 証明書が検査されます。CA 証明書が見つかり、初期化応答メッセージ内の CA 証明書のサブジェクト DN が EE 証明書の発行者 DN と一致する場合、CA 証明書は、CMPv2 certificate enrollment コマンドで指定された CA プロファイル名の CA 証明書ストアに保管されます。CA 証明書が CA 証明書ストアに既に存在する場合、アクションは実行されません。

EE 証明書と CA 証明書チェーン

多くのデプロイメントでは、EE 証明書は証明書チェーン内の中間 CA によって発行されます。この場合、初期化応答メッセージには、EE 証明書とチェーン内の CA 証明のリストを含めることができます。EE 証明書を検証するには、中間 CA 証明と自己署名ルート CA 証明をすべて必要です。CA チェーンは、同様の階層を持つピア デバイスから受信した証明書を検証するために必要になる場合もあります。次のセクションでは、CA チェーン内の証明書がどのように格納されるかについて説明します。

図 1 では、初期化応答メッセージに、EE 証明書と証明書チェーン内の 3 つの CA 証明が含まれています。

図 1: CA 証明書チェーン Digital certificate hierarchy in PKI showing chain of trust from Root-CA to end entity EE-A with issuer, subject, and serial details.を使用したエンドエンティティ証明書

上の図では、EE 証明書は EE 証明書ストアに保管されています。各 CA 証明書には CA プロファイルが必要です。サブジェクト DN が Sub11-CA の CA 証明書は、チェーン内の最初の CA であり、EE 証明書の発行者です。これは、CMPv2 certificate enrollment コマンドで指定された CA プロファイルに保存されます。

デバイスは、CA ストアのチェーン内の残りの各 CA 証明の存在を確認します。CA ストアに CA 証明書が存在しない場合は、その証明書が保存され、その CA プロファイルが作成されます。新しい CA プロファイル名は、CA 証明書のシリアル番号の最下位の 16 桁を使用して作成されます。シリアル番号が 16 桁より長い場合、16 桁を超える最上位桁は切り捨てられます。シリアル番号が 16 桁より短い場合、残りの最上位桁は 0 で埋められます。例えば、シリアル番号が11111000100010001000場合、CA プロファイル名は 1000100010001000になります。シリアル番号が 10001000 の場合、CA プロファイル名は 0000000010001000 です。

複数の証明書のシリアル番号が、同じ最下位の 16 桁を持つ可能性があります。この場合、一意の CA プロファイル名を作成するために、プロファイル名に -00 が付加されます。付加された番号を -01 から -99 に増やすことで、追加の CA プロファイル名が作成されます。例えば、CA プロファイル名は、 1000100010001000、 1000100010001000-00、および 1000100010001000-01 にすることができます。

ルーターにデジタル証明書をインストールする

デジタル証明書は、CA と呼ばれる信頼できるサードパーティーを通じて ID を確認するための電子的な手段です。 または、自己署名証明書を使用して ID を証明することもできます。使用する CA サーバーは、独立した CA または独自の組織によって所有および運用され、その場合は独自の CA になります。独立 CA を使用する場合は、独立 CA および CRL サーバーのアドレス (証明書と CRL を取得するため)、および個人証明書要求をサブミットする際に必要な情報について、独立 CA に連絡する必要があります。自分自身の CA の場合は、この情報を自分で決定します。PKI は、デジタル証明書管理のためのインフラストラクチャーを提供します。

デジタル証明書を手動で要求する

デジタル証明書を手動で取得するには、CA プロファイルを設定し、秘密鍵と公開鍵のペアを生成し、ローカル証明書を作成して、ルーターに証明書をロードする必要があります。証明書を読み込むと、IPsec–vpn 設定で参照できます。

以下の手順は、CA プロファイルを設定する方法を示しています。

  1. 以下のコマンドを使用して、CA プロファイルを設定します。

    この設定をコミットします。ルーター 2 の設定には、以下が含まれている必要があります。

  2. デバイスはデフォルトで CRL 検証を実行します。オプションで、CA が CRL を格納する LDAP サーバーを指定できます。通常、証明書には、証明書の CRL を取得する方法に関する情報を含む証明書配布ポイント (CDP) が含まれています。ルーターはこの情報を使用して CRL を自動的にダウンロードします。この例では、LDAP URL が指定されており、証明書で指定された場所が上書きされます。

    この設定をコミットします。ルーター 2 の設定には、以下が含まれている必要があります。

  3. CA プロファイルを構成した後、信頼できる CA から CA 証明書を要求します。この例では、証明書はオンラインで登録され、ルーターに自動的にインストールされます。

    CA 証明書を CA から直接取得する場合(たとえば、電子メールの添付ファイルや Web サイトのダウンロードなど)は、 request security pki ca-certificate load コマンドを使用してインストールできます。

  4. 次に、ローカル証明書を作成する前に、秘密鍵と公開鍵のペアを生成する必要があります。

    キーペアが使用可能になったら、ローカル証明書要求を生成し、処理のために CA に送信します。

    request security pki local-certificate enrollコマンドを使用して、ローカル証明書の作成とインストールをオンラインで要求できます。

  5. 信頼できる CA は、ローカル証明書にデジタル署名し、それをユーザーに返します。証明書ファイルをルーターにコピーし、証明書を読み込みます。

    CA から送信されたファイルの名前が、証明書識別子の名前と一致していない可能性があります。ただし、 certificate-id 名は、ルーター用に生成したキーペアの名前と常に一致する必要があります。

ACMEプロトコルの理解

ACMEプロトコルと証明書の登録方法について学びます。

ACMEプロトコルとは

自動証明書管理環境(ACME)プロトコルは、Let's EncryptなどのいくつかのPKIサーバーで使用される新しいPKI登録標準です。Let's encrypt証明書は、ファイアウォールでWebサーバー証明書を無料で使用できるもので、Juniper Secure ConnectやJ-Webで使用できます。Junos OS は、25 日ごとに Let's Encrypt 証明書を自動的に再登録します。

ACMEプロトコルでは、Let's EncryptサーバーまたはACME対応サーバーからの証明書を登録できます。ファイアウォールはLet's Encryptサーバーから証明書を登録し、Juniper Secure ConnectはCA 証明をコピーしてダウンロードすることなく、証明書を検証します。

Let's Encrypt を使用する場合は、 図 2 に示すように、Let's Encrypt サーバーがドメイン名をファイアウォール インターフェイスの IP アドレスに解決できることを確認してください。Let's Encryptサーバーは、TCPポート80のファイアウォールインターフェイスに到達できる必要があります。証明書の登録中に、ファイアウォールはこの受信要求を一時的に自動的に有効にします。ファイアウォール、中間デバイス、またはルーターが TCPポート 80 をブロックしている場合、証明書の登録は失敗します。

ファイアウォールは、 Let's Encryptサーバー との送信通信にポート443を使用します。ネットワーク セキュリティ ポリシーでこの送信トラフィックが許可されていることを確認します。ポート 80 を介した Let's Encrypt サーバーへの通信は、ファイアウォールからの送信接続ではサポートされていません。

図2:Let's EncryptProcess of obtaining or renewing an SSL/TLS certificate from Let's Encrypt for a domain on an SRX device with DNS server and verification flow.の名前解決

制限

  • dns-01 と外部アカウントのバインドはサポートされていません。

  • J-Webがポート 80 をリッスンする場合、ACME は使用できません

  • *.mydomain.comなどのワイルドカード証明書はサポートされていません。代わりに、複数のDNS名を登録できます。

Let's Encryptサーバーを使用してローカル証明書を登録する

この例では、Let's Encrypt を使用してローカル証明書を登録する方法を示します。

  1. CA プロファイルを指定します。ACME登録プロセスには、CRL検証は含まれません。

  2. 設定をコミットします。

  3. CA 証明書を読み込みます。

    ISRG_Root_X1.pem証明書をダウンロードするには、KB84991を参照してください。

  4. ACMEキーIDを作成します。

  5. ローカル証明書の登録を準備します。

  6. 1 つのドメイン名で証明書を登録します。

    Let's Encrypt を使用する場合は、 図 2 に示すように、Let's Encrypt サーバーがドメイン名をファイアウォール インターフェイスの IP アドレスに解決できることを確認してください。Let's Encryptサーバーは、TCPポート80のファイアウォールインターフェイスに到達できる必要があります。証明書の登録中に、ファイアウォールはこの受信要求を一時的に自動的に有効にします。ファイアウォール、中間デバイス、またはルーターが TCPポート 80 をブロックしている場合、証明書の登録は失敗します。

    ファイアウォールは、 Let's Encryptサーバー との送信通信にポート443を使用します。ネットワーク セキュリティ ポリシーでこの送信トラフィックが許可されていることを確認します。ポート 80 を介した Let's Encrypt サーバーへの通信は、ファイアウォールからの送信接続ではサポートされていません。

    複数のドメイン名で証明書を登録します。

  7. 登録が完了すると、発行された証明書が certificate-id service-mydomian に読み込まれます。

ローカル証明書の手動再登録

ローカル証明書をオンラインで再登録するには、次の手順を実行します。

  1. 再登録要求を開始します。

  2. 再登録が完了すると、発行された証明書が certificate-id service-mydomian に読み込まれます。

ACMEアカウントの削除

ACMEアカウントを削除するには、次の手順を実行します。

  1. 次のコマンドを発行します。

    ACME アカウント キーは、登録によって ACME がアクティブ化または作成された場合にのみ削除できます。

プラットフォーム固有のSSLターミネーションサービスの動作

Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。

次の表を使用して、プラットフォームのプラットフォーム固有の動作を確認します。

プラットフォーム の違い
SRX シリーズ

  • SRX5400、SRX5600、およびSRX5800は、SSLターミネーションサービスをサポートします。